Zeitstempel an der Quelle
Jeder Eintrag trägt Datum, Uhrzeit und die Identität seines Urhebers zum Zeitpunkt der Handlung: keine Rekonstruktion aus dem Gedächtnis, kein Tage nach dem Vorfall „gerundetes“ Datum.
Nachweise & Architektur · die Grundlage und die Spur
Wie Galyct Pro Entscheidungen und Nachweise festhält.
Jeder Registereintrag bewahrt seinen Urheber, seinen Zeitstempel, seinen Kontext und die Elemente, mit denen er verknüpft ist. Das Register ist dafür ausgelegt, eine Chronologie zu rekonstruieren und eine Akte zu exportieren, die Geschäftsleitung, Auditor oder ein befugter Dritter verwerten können.
Das Risiko verstehen. Die Kontrolle zurückgewinnen. Dauerhaft standhalten.
Append-only-Protokoll · zeitgestempelt · in Frankreich bei Scaleway gehostet · KI von Mistral (EU) · Ihre Daten bleiben exportierbar.
GRUNDSATZ
Vertrauen
muss man belegen.
„Souverän“ ist zum Marketingargument geworden. Wir setzen lieber auf überprüfbare Fakten: das Land des Hostings, den Namen jedes Auftragsverarbeiters, den Anbieter unserer KI, die genaue Art der Verschlüsselung und die ausdrückliche Liste dessen, was wir nicht tun. Eine Organisation vertraut ihre Cybersicherheit keinem Versprechen an, sondern einer Architektur, die sie lesen, prüfen und ihrem eigenen DSB vorlegen kann.
Teil IDer Nachweis: was nach der Entscheidung bleibt
01 · DAS NACHWEISREGISTER
Ein zeitgestempeltes Register, das sich von selbst füllt
Sie müssen nicht „ans Dokumentieren denken“. Jeder Schritt in der Konsole (eine Krisenentscheidung, eine Behandlungsmaßnahme, eine behobene Compliance-Lücke, eine IOC-Analyse) speist das Register in dem Moment, in dem er geschieht, mit Zeitstempel und Urheber. Der Nachweis ist kein nachträglich verfasster Bericht, sondern die Spur dessen, was tatsächlich stattgefunden hat.
Mit seinem Kontext verknüpft
Ein Nachweis steht nie allein: Er ist mit dem Risiko, dem Vorfall, dem Playbook oder der regulatorischen Anforderung verknüpft, aus der er entstanden ist. Man gelangt vom Fakt zur Entscheidung und von der Entscheidung zum Fakt.
Protokolle, Screenshots, Dokumente
Entscheidungen, Hypothesen, Ereignisprotokolle, Screenshots, Korrespondenz und Anhänge: Die Akte entsteht fortlaufend, bereit zur Durchsicht durch einen Dritten, der nicht dabei war.
So lange aufbewahrt wie nötig
Aufbewahrung nach Kategorie und Zweck, verhältnismäßig: Vorfallakten werden zu Beweiszwecken bis zu 5 Jahre archiviert (die allgemeine zivilrechtliche Verjährungsfrist beträgt in Frankreich fünf Jahre, Art. 2224 des Code civil); Konten 24 Monate nach der letzten Aktivität. Nie unbegrenzt.
02 · ZEITGESTEMPELTES, NACHVOLLZIEHBARES ENTSCHEIDUNGSPROTOKOLL
Append-only: Man ergänzt, man schreibt die Geschichte nicht um
Ein Protokoll hat nur Wert, wenn man es nachträglich nicht schönen kann. Das Entscheidungsprotokoll von Galyct Pro arbeitet append-only: Einträge werden ergänzt, die Vergangenheit wird weder gelöscht noch stillschweigend geändert. Eine Entscheidung zu korrigieren heißt, einen neuen Eintrag zu schreiben, der die Korrektur erklärt; der ursprüngliche Eintrag bleibt sichtbar. Wie das Protokoll versiegelt und überprüfbar ist →
Das Prinzip
Eine Lebenslinie, kein Entwurf
Jede Entscheidung hält fest: was entschieden wurde, von wem, zu welchem Zeitpunkt, auf Grundlage welcher damals verfügbaren Informationen und warum. Eine spätere Überarbeitung legt sich darüber, ohne das Vorherige zu löschen. Der Faden liest sich der Reihe nach, vom ersten Signal bis zum Abschluss.
Genau das erwarten ein Versicherer, der einen Schaden prüft, eine Aufsichtsbehörde, die die Einhaltung einer Frist kontrolliert, oder ein Gericht, das eine Chronologie rekonstruiert: eine Chronologie, die niemand nachträglich verändern konnte.
Was jeder Eintrag festhält
- Was: die getroffene Entscheidung oder Maßnahme
- Wer: der identifizierte Urheber, seine Rolle im Krisenstab
- Wann: der sekundengenaue Zeitstempel
- Worauf gestützt: die zu diesem Zeitpunkt bekannten Elemente
- Warum: die Begründung, die gewählte Abwägung
- Status: gesicherte Tatsache, Hypothese oder schwaches Signal
03 · FESTGESTELLT VS. VERMUTET
Gesichertes von Vermutetem unterscheiden
Der teuerste Fehler, in der Krise wie im Audit, ist es, eine Hypothese als Tatsache darzustellen. Galyct Pro ordnet jedes Element der Akte ausdrücklich ein: Beim Nachlesen weiß man, was belegt war und was zum Zeitpunkt der Entscheidung eine Vermutung blieb.
Festgestellt
Eine gesicherte Tatsache, gestützt auf eine überprüfbare Spur: ein Ereignisprotokoll, ein Screenshot, ein Dokument, eine technische Bestätigung. Was sich einem Dritten zeigen lässt.
Vermutet
Eine Arbeitshypothese, nützlich zum Vorankommen, aber nicht belegt. Sie wird als solche benannt: Man entscheidet auf ihrer Grundlage in Kenntnis der Sachlage, ohne sie als Gewissheit auszugeben.
Schwaches Signal
Ein Hinweis, den man festhalten sollte, ohne Schlüsse zu ziehen. Festgehalten, um ihn nicht zu verlieren, kann er sich im Verlauf der Akte bestätigen (oder widerlegen).
Direkte Folge: keine Zuordnung ohne Beweis. Kein Verantwortlicher und keine Grundursache wird behauptet, solange technische oder kontextuelle Elemente es nicht stützen. Was nicht belegbar ist, wird als Hypothese oder Grenze dargestellt.
04 · VERWERTBARE EXPORTE
Dieselbe Akte, lesbar für jeden Ihrer Ansprechpartner
Ein Nachweisregister nützt nur, wenn es das Werkzeug verlässt. Galyct Pro erzeugt aus denselben Fakten strukturierte Exporte, zugeschnitten auf den jeweiligen Leser. Eine einzige Wahrheit, mehrere Leseebenen: Geschäftsleitung, Bank, Versicherer, Anwalt, Auditor und Aufsichtsbehörde erhalten keine widersprüchlichen Fassungen.
Bank
Chronologie des Vorfalls und ergriffene Maßnahmen: Grundlage für eine Betrugsmeldung, einen Sperrantrag oder eine Rückforderungsakte, mit den entscheidenden Daten.
Cyberversicherer
Eine gut belegte Schadensakte: Zeitstempel, Entscheidungen, Protokolle und Behebungsnachweise, die Belege, die Versicherer häufig verlangen, je nach Ihrem Vertrag.
Anwalt & Recht
Eine unveränderte Chronologie, die Fakten und Hypothesen unterscheidet: die Grundlage für eine Strafanzeige, eine Meldung oder eine Verteidigung, ohne Grauzone bei dem, was belegt ist.
Auditor
Nachweise, verknüpft mit den Anforderungen (ISO 27001, NIS 2, DORA): Die Dokumentation verweist auf gelebte Praxis und Spuren, nicht auf Absichtserklärungen.
Aufsicht · CNIL, NIS-2-Behörde
Fristgerechte Meldung einer Datenschutzverletzung (72 Stunden nach DSGVO), mit der Spur der getroffenen Entscheidungen: Regulatorische Uhr und Protokoll sprechen dieselbe Sprache.
Geschäftsleitung & Gremium
Eine kompakte, entscheidungs- und budgetorientierte Auswertung: was geschehen ist, was entschieden wurde, was noch zu tun bleibt, alles gestützt auf die detaillierte Akte.
Offene Formate, auch außerhalb der Plattform lesbar. Die abgedeckten Standards ansehen →
05 · DURCHGÄNGIGE NACHVOLLZIEHBARKEIT
Vom ersten Signal zum Nachweis, eine einzige Kette
Der Nachweis wird nicht am Ende hergestellt: Er entsteht an jedem Glied. Weil Risiko, Analyse, Vorfall und Compliance am selben Ort leben, wird nichts doppelt erfasst und nichts geht zwischen zwei Werkzeugen verloren. Jedes Element der Akte lässt sich bis zu seinem Ursprung zurückverfolgen.
01SignalEin Konnektoralarm (gebündelt in der Ansicht „Signale“), eine IOC-Analyse, ein Risikoszenario: Das Ereignis kommt datiert herein.
02EinordnungFestgestellt, vermutet oder schwaches Signal: Das Element wird benannt, bevor es verwertet wird.
03EntscheidungDie Abwägung wird mit Urheber, Uhrzeit und Begründung festgehalten.
04MaßnahmePlaybook, Verantwortlicher, Frist, Behebung: Jeder Schritt hinterlässt seine Spur.
05NachweisFakten, Entscheidungen und Dokumente werden im Append-only-Register verknüpft.
06ExportDie Akte geht hinaus, zugeschnitten auf Bank, Versicherer, Anwalt, Auditor oder Aufsichtsbehörde.
06 · REVERSIBILITÄT
Ihre Nachweise gehören Ihnen, und Sie können damit gehen
Ein Nachweisregister, eingeschlossen in einem Werkzeug, das Sie nicht kontrollieren, ist kein Nachweis, sondern eine Abhängigkeit. Bei Galyct Pro bleiben Ihre Daten Ihre, gehostet in Frankreich bei Scaleway, und Sie exportieren sie, wann Sie wollen, auch um die Plattform zu verlassen.
In Frankreich gehostet, bei Scaleway
Ihre Nachweise und Protokolle werden in Frankreich gehostet, bei Scaleway. Der KI-Assistent stützt sich auf Mistral (EU), unter menschlicher Aufsicht: keine Verarbeitung außerhalb der EU hinter Ihrem Rücken.
Jederzeit exportierbar
Register, Entscheidungsprotokoll und Dokumente lassen sich in offenen Formaten exportieren: Sie brauchen weder unsere Zustimmung noch unser Werkzeug, um Ihre eigene Akte zu lesen.
Gelebte Reversibilität
Gehen muss möglich bleiben. Sie erhalten den vollständigen Verlauf Ihrer Entscheidungen und Nachweise zurück: Die Nachvollziehbarkeit verschwindet nicht, weil Sie die Lösung wechseln.
Wir fragen nie nach Ihren Zugangscodes zu Banken, E-Mail-Konten oder Diensten Dritter. Der Nachweis entsteht aus dem, was Sie feststellen und entscheiden, nicht aus einem Zugriff auf Ihre Konten.
Teil IIDie Architektur: wo Ihre Daten liegen und wer sie verarbeitet
07 · DIE GRUNDLAGE: WO IHRE DATEN LIEGEN
Ihre Konto- und Vorfalldaten, in Frankreich bei Scaleway gehostet und verarbeitet
Hosting, Backups, Protokolle und Nachweisdokumente bleiben in Frankreich (EU), bei Scaleway. Die optionalen externen Prüfungen (DNS-Auflösung, URL-Reputation, Leak-Suche) werden kontrolliert und dokumentiert ausgelöst: Für jede wissen Sie, welche Daten an welchen Dienst übermittelt werden. Fakten, beschrieben, kein Marketing-Absolutum.
Französisches Hosting
Server, betrieben in Frankreich bei Scaleway, einem Hoster ohne SecNumCloud-Qualifizierung. Die Daten Ihrer Vorfälle, Risiken und Nachweise verlassen im normalen Rahmen des Dienstes die EU nicht.
Verschlüsselung im Ruhezustand & bei der Übertragung
Sensible Daten werden im Ruhezustand verschlüsselt; der Austausch läuft über TLS (HTTPS), mit gehärteten Sicherheits-Headern (HSTS, CSP). Die Verschlüsselung schützt die Daten, sie ist nie ein Vorwand, nichts festzuhalten.
Trennung mehrerer Einheiten
Jede Organisation (und jede Einheit einer Gruppe) verfügt über einen abgetrennten Bereich. Eine Tochtergesellschaft sieht die Daten einer anderen nicht; eine Freigabe, falls vorhanden, ist eine ausdrückliche und protokollierte Entscheidung.
Backups & Reversibilität
Regelmäßige Backups und Exportierbarkeit Ihrer Daten: Ihre Nachweise, Register und Protokolle gehören Ihnen. Sie gehen mit dem, was Sie erstellt haben, ohne feindselige Zurückhaltung.
Minimaler & protokollierter Zugriff
Rollen (Administrator, Bearbeiter, Mitglied), Prinzip der geringsten Rechte und Nachvollziehbarkeit der Zugriffe. Sensible Aktionen werden zeitgestempelt: wer was gesehen, wer was entschieden hat und wann.
Verschlüsselte DNS-Auflösung (DoH)
Der Baustein Galyct Domain fragt das DNS verschlüsselt ab (DNS-over-HTTPS), über öffentliche, nicht filternde Resolver in der Europäischen Union, Mullvad (Schweden), Freifunk München (Deutschland) und LibreDNS (Griechenland), mit einer Ausweichlösung in Frankreich bei FDN: Nur der geprüfte Domainname wird übertragen, keine personenbezogenen Daten. Eine kontrollierte Beobachtung, so beschrieben, wie sie ist.
Ihre Werkzeuge bleiben Ihre. Die Konnektoren (EDR, Firewalls, Backup, Threat Intelligence) arbeiten nur lesend: „Der Kunde bringt seine Instanz mit“. Galyct liest Ihre Ereignisse und steuert Ihre Werkzeuge nie: Für diese Konnektoren ist kein Galyct-Agent nötig. Ein optionaler Endpunktsensor („Agent de poste“) steht außerdem zur Verfügung, wenn Sie die Telemetrie anreichern möchten. Die Konnektoren ansehen →
08 · KI UNTER MENSCHLICHER AUFSICHT
Eine europäische KI, die unterstützt und nie allein entscheidet
Der Assistent von Galyct Pro stützt sich standardmäßig auf Mistral, einen französischen Anbieter, dessen Modelle in der Europäischen Union betrieben werden. Die KI bereitet vor, schlägt vor und beschleunigt; die Entscheidung bleibt menschlich, und jede Auswertung ist überprüfbar.
Europäisches Modell als Standard
Die KI-Verarbeitung erfolgt bei Mistral (Frankreich/EU). Die Wahl des Anbieters wird serverseitig gesteuert: Sie wissen, welche Engine Ihre Anfragen verarbeitet, und nichts geht ohne Ihr Wissen an ein Modell außerhalb der EU.
Der Mensch bestätigt, die KI handelt nicht allein
Die KI entwirft ein Playbook, schlägt eine Einordnung vor, fasst einen Vorfall zusammen: Ein Mensch bestätigt. Der Assistent löst keine unumkehrbare Aktion ohne Entscheidung des Bedieners aus.
Dateianalyse (EU)
Die automatisierte Analyse von Dateien und Indikatoren stützt sich auf eine Analyse-Engine, die die EU nicht verlässt, ergänzt durch anerkannte offene Quellen. Die erweiterten Analysefähigkeiten wachsen schrittweise: Manche kommen demnächst, und das sagen wir, statt einen anderen Eindruck zu erwecken.
Einwilligung & Protokoll
Der Einsatz der KI ist durch eine Einwilligung und ein Protokoll geregelt: Ein Risikobildschirm zeigt ausdrücklich, was an das Modell gesendet wird. Sie behalten die Kontrolle darüber, was übermittelt wird und was nicht.
Die KI von Galyct Pro soll keinen Analysten ersetzen: Sie spart ihm Zeit bei Wiederkehrendem, damit er sich auf die Entscheidung konzentrieren kann. Zum Analysebereich →
09 · DER REGULATORISCHE RAHMEN
Für Ihre Compliance ausgelegt, ohne sie vorzutäuschen
Galyct Pro unterstützt die Rahmenwerke, die Ihre Stakeholder verlangen. Die Plattform hilft Ihnen, Ihre Pflichten zu dokumentieren und einzuhalten: Sie vergibt kein staatliches Label und ersetzt weder Ihren DSB noch Ihren Auditor.
DSGVO · 72-Stunden-Meldung
Verzeichnis der Verarbeitungstätigkeiten, Folgenabschätzungen, Verfahren zur fristgerechten Meldung von Datenschutzverletzungen. Sie sind der Verantwortliche; wir sind Auftragsverarbeiter, mit einem eigenen vertraglichen Rahmen (AVV).
NIS 2
Europäische Richtlinie: Pflichten, Governance, Beherrschung des Drittparteienrisikos und Weg zur Umsetzung. Die Plattform strukturiert den Nachweis; die Beurteilung bleibt Ihre Sache und die Ihrer Behörden.
DORA
Operationale Resilienz des Finanzsektors: Management des Risikos durch IKT-Dienstleister, Tests, schwerwiegende Vorfälle und Berichtswesen. Jede Anforderung ist mit Entscheidungen und exportierbaren Nachweisen verknüpft.
10 · UNSERE AUFTRAGSVERARBEITER, NAMENTLICH
Wir sagen Ihnen, wer was verarbeitet. Namentlich.
Vertrauen lässt sich an der Kette der Auftragsverarbeitung überprüfen. Hier die zentralen Dienstleister, die am Dienst beteiligt sind, ihre Rolle und wo sie tätig sind. Die vollständige Liste wird aktuell gehalten (letzte Überprüfung: 15. August 2026) und im vertraglichen Rahmen (AVV) bereitgestellt.
| Auftragsverarbeiter | Rolle | Standort |
|---|---|---|
| Scaleway / Online Hoster |
Hosting der Infrastruktur, der Datenbanken, der Backups und der Protokolle des Dienstes. | Frankreich |
| Mistral Künstliche Intelligenz |
Anbieter des KI-Modells, das Analyse und Texterstellung unterstützt, unter menschlicher Aufsicht. | Frankreich / EU 🇪🇺 |
| Stancer Zahlung |
Französischer Zahlungsdienstleister für Abonnements und Pässe. Wir speichern Ihre Kartendaten nicht: Sie laufen über den Dienstleister. | Frankreich |
Herausgeber des Dienstes: Datashield Risk Consulting (SAS), Herausgeber des Galyct-Ökosystems. Jede Änderung dieser Liste wird Ihnen im vertraglichen Rahmen mitgeteilt. Impressum →
11 · WAS WIR SIE NIE FRAGEN
Wir fragen nie nach Ihren Codes
Eine vertrauenswürdige Plattform erkennt man auch an dem, was sie Sie nicht fragt. Diese Regeln sind keine Verkaufsversprechen, sondern Verbote, die unsere Teams sich selbst auferlegen.
Nie
Wir werden Sie nicht fragen nach…
- Ihren Passwörtern, Zugangscodes oder Kennungen Ihrer Konten bei Dritten;
- den per SMS, E-Mail oder Authenticator-App erhaltenen Codes;
- der Deaktivierung Ihrer Zwei-Faktor-Authentifizierung oder Ihrer Schutzmaßnahmen;
- einem Fernzugriff auf Ihre Rechner außerhalb eines klar umrissenen, vertraglich mit dem Beratungshaus vereinbarten Einsatzes.
Wenn eine Nachricht vorgibt, von Galyct zu stammen, und Sie um eines dieser Dinge bittet, handelt es sich um einen Betrugsversuch. Im Zweifel: einen Vorfall melden →
Immer
Was wir Ihnen schulden
- Ihnen sagen, wo Ihre Daten liegen und wer sie verarbeitet;
- sensible Zugriffe festhalten und Ihnen darüber Rechenschaft ablegen;
- Sie exportieren und zurückholen lassen, was Sie erstellt haben;
- in jeder Auswertung eine gesicherte Tatsache von einer Hypothese unterscheiden.
12 · WAS WIR NICHT VERSPRECHEN
Vertrauen entsteht auch aus dem, was man nicht versprechen will
Ein Register dokumentiert, was stattgefunden hat; eine Architektur verringert die Exposition. Keines von beiden schreibt die Geschichte um, garantiert einen Ausgang oder ersetzt das Urteil Ihrer Berater. Genau das auszusprechen, verleiht ihnen ihren Wert.
Eine Spur, keine Ergebnisgarantie
Eine Entscheidung zu dokumentieren garantiert weder, dass sie richtig war, noch dass ein Vorfall vermieden wird: Kein Ergebnis ist garantiert. Das Register belegt, was getan wurde und wann, nicht, dass es ausreichen wird.
Ein belastbares Element, kein Urteil
Ein zeitgestempeltes, stimmiges Protokoll ist ein belastbares Element: Seine genaue Tragweite gegenüber einem Versicherer, einer Aufsichtsbehörde oder einem Gericht hängt von deren Beurteilung und von Ihrer Rechtsberatung ab, nicht von einem Versprechen unsererseits.
Kein Nullrisiko, kein „unverwundbar“
Wir verwenden weder „unverwundbar“ noch „100 % sicher“ noch „garantiert“. Ziel ist es, die Exposition zu verringern und den Nachweis zu führen; eine begrenzte Prüfung beweist nie, dass überhaupt kein Risiko besteht.
Compliance, verknüpft mit der gelebten Praxis
Die Plattform dokumentiert; sie vergibt kein Label. Die Dokumentation muss echten Verantwortlichkeiten und echter Praxis entsprechen: Dokumentiert wird, was getan wird, nicht umgekehrt.
Gelistet, nicht staatlich zertifiziert
Galyct ist ein bei Cybermalveillance.gouv.fr gelisteter Dienstleister, ein Zeichen von Seriosität, keine staatliche Zertifizierung, und wir stellen es nie als solche dar. Über die Einordnung eines bestimmten Vorfalls sagt es nichts aus.
Die Software, und der Mensch, wenn nötig
Galyct Pro steuert den Alltag. Für Audit, EBIOS RM, Forensik, Krisenmanagement oder einen externen CISO/DSB greift das Beratungshaus auf Anfrage ein: Die menschliche Ebene lässt sich nicht durch ein angekreuztes Kästchen ersetzen.
Eine akute Cyberkrise?
Verdacht auf Eindringen, Ransomware, kompromittiertes Konto, Datenleck: Stabilisieren Sie, ohne Beweise zu zerstören. Wir richten einen Krisenstab ein, führen das Entscheidungsprotokoll und bauen die Akte laufend auf.
Nachweise und Architektur, in Ihrem Kontext.
Erkunden Sie das Cockpit frei mit Beispieldaten oder fordern Sie eine 30-minütige Demo an: Stellen Sie Ihre Fragen zu Nachvollziehbarkeit, Hosting und Auftragsverarbeitung. Unverbindlich, Verarbeitung in der Europäischen Union, Ihre Daten bleiben Ihre.