Funktion

Sichere BWA-Analyse: drei Verschlüsselungsschichten, gehostet in Deutschland

Eine BWA gehört zu den sensibelsten Dokumenten eines Unternehmens: Sie zeigt Umsätze, Gehälter, Margen und die gesamte Kostenstruktur. Wer sie einem Analyse-Tool anvertraut, muss wissen, wie sie geschützt ist — nicht als Marketingversprechen, sondern als überprüfbare Architektur.

bwa.expert schützt Ihre Daten mit drei Verschlüsselungsschichten — von der Übertragung über eine zusätzliche Verschlüsselung bereits im Browser bis zur Speicherung mit mandantenspezifischen Schlüsseln. Gehostet wird in Deutschland, DSGVO-konform, ohne Nutzung Ihrer Daten für KI-Training.

Ohne Automatisierung

BWAs enthalten Gehälter, Margen und Bankverbindungen — ein Datenleck wäre geschäftlich und rechtlich gravierend.
Viele Cloud-Tools hosten außerhalb der EU oder reichen Daten an Drittanbieter-KIs weiter — für Kanzleien und Unternehmen ein Ausschlusskriterium.
Transportverschlüsselung allein (das Schloss-Symbol im Browser) schützt Daten nur unterwegs, nicht auf den Servern.
Passwörter sind das schwächste Glied: Phishing und Passwort-Wiederverwendung gefährden auch gut verschlüsselte Systeme.
Bei mandantenübergreifenden Plattformen stellt sich die Frage, wie strikt die Daten verschiedener Mandanten getrennt sind.

Schicht 1: TLS 1.3 auf dem Transportweg

Die Basis ist der aktuelle Standard der Transportverschlüsselung: TLS 1.3 sichert jede Verbindung zwischen Ihrem Browser und den Servern. Das schützt vor Mitlesen und Manipulation auf dem Übertragungsweg — die Schicht, die seriöse Web-Anwendungen heute selbstverständlich bieten sollten.

Bei bwa.expert ist sie bewusst nur die erste von drei Schichten. Denn Transportverschlüsselung endet am Server: Was dort passiert, entscheiden die nächsten beiden Schichten.

Schicht 2: AES-256-GCM bereits im Browser

Zusätzlich zur Transportverschlüsselung baut bwa.expert einen Secure Channel auf: Ihre Daten werden bereits im Browser mit AES-256-GCM verschlüsselt, bevor sie den Rechner verlassen — der Schlüsselaustausch erfolgt per ECDH-Verfahren. Es entsteht eine zweite, von TLS unabhängige Verschlüsselungsebene auf Anwendungsschicht.

Der praktische Wert: Selbst wenn die Transportverschlüsselung an irgendeinem Punkt der Kette terminiert wird — etwa an Load-Balancern oder Proxies —, bleiben die Inhalte durch die App-Layer-Verschlüsselung geschützt. Ihre BWA-Zahlen reisen doppelt verpackt.

Schicht 3: verschlüsselte Speicherung mit mandantenspezifischen Schlüsseln

Auf den Servern werden die Daten at rest mit AES-256-GCM verschlüsselt gespeichert — und zwar mit mandantenspezifischen Schlüsseln: Jeder Mandant hat eigene Schlüssel, die Daten verschiedener Mandanten sind kryptographisch voneinander getrennt. Für Steuerkanzleien und Beratungen, die mehrere Mandanten auf der Plattform führen, ist diese Trennung entscheidend.

Gehostet wird vollständig in Deutschland, die Verarbeitung ist DSGVO-konform. Es gibt keine Datenflüsse in Drittländer — auch nicht für die KI: Der BWA-Assistent nutzt ein lokal in Deutschland gehostetes Modell ohne Drittanbieter, und Kundendaten werden niemals für KI-Training verwendet.

Die drei Verschlüsselungsschichten im Überblick

Schicht	Technik	Schützt vor
Transport	TLS 1.3	Mitlesen und Manipulation auf dem Übertragungsweg
App-Layer (Browser)	AES-256-GCM Secure Channel mit ECDH-Schlüsselaustausch	Zugriff an TLS-Terminierungspunkten — Daten sind schon vor dem Versand verschlüsselt
Speicherung (at rest)	AES-256-GCM mit mandantenspezifischen Schlüsseln	Zugriff auf gespeicherte Daten; kryptographische Trennung der Mandanten

Anmeldung ohne Passwort-Risiko: Passkeys

Die stärkste Verschlüsselung nützt wenig, wenn das Konto über ein gephishtes Passwort fällt. bwa.expert setzt deshalb auf Passkeys (WebAuthn): Die Anmeldung erfolgt über kryptographische Schlüsselpaare, die Ihr Gerät verwaltet — per Fingerabdruck, Gesichtserkennung oder Geräte-PIN. Es gibt kein Passwort, das gestohlen, wiederverwendet oder auf einer Phishing-Seite eingegeben werden könnte.

Für Teams kommt rollenbasierter Zugriff dazu: Mitglieder werden per E-Mail eingeladen und sehen nur, was ihre Rolle vorsieht — etwa HR die Lohndaten, Finanzen das Gesamtbild. Sensible Bereiche der BWA-Auswertung bleiben so auch intern geschützt.

Sicherheitsfragen vor der Tool-Wahl

Drei Fragen entlarven die meisten Anbieter: Wo genau werden die Daten gehostet? Wird über die Transportverschlüsselung hinaus verschlüsselt — und mit wessen Schlüsseln? Fließen Daten an Drittanbieter-KIs oder in deren Training? bwa.expert beantwortet alle drei auf dieser Seite — fordern Sie dieselbe Klarheit von jedem Tool, dem Sie Ihre BWA anvertrauen.

Das bietet bwa.expert

TLS 1.3 auf dem Transportweg

Jede Verbindung ist mit dem aktuellen Standard der Transportverschlüsselung gesichert — die Grundlage, auf der zwei weitere Schichten aufbauen.

AES-256-GCM schon im Browser

Der Secure Channel verschlüsselt Daten per AES-256-GCM mit ECDH-Schlüsselaustausch, bevor sie Ihren Rechner verlassen — unabhängig von TLS.

Mandantenspezifische Schlüssel at rest

Gespeichert wird AES-256-GCM-verschlüsselt mit eigenen Schlüsseln je Mandant — Daten verschiedener Mandanten sind kryptographisch getrennt.

Hosting in Deutschland, DSGVO-konform

Alle Daten bleiben in Deutschland — auch die KI läuft lokal, ohne Drittanbieter und ohne Datenflüsse in Drittländer.

Passkeys statt Passwörter

Anmeldung per WebAuthn mit kryptographischen Schlüsselpaaren — phishing-resistent, ohne Passwort als Schwachstelle.

Keine KI-Trainingsnutzung

Ihre BWA-Daten werden ausschließlich für Ihre Analysen verwendet — niemals zum Training von KI-Modellen, weder eigenen noch fremden.

Häufige Fragen

Wo werden meine BWA-Daten gespeichert?

In Deutschland, AES-256-GCM-verschlüsselt mit mandantenspezifischen Schlüsseln. Es gibt keine Datenflüsse in Drittländer — auch der KI-Assistent läuft auf einem lokal in Deutschland gehosteten Modell.

Was bedeutet Verschlüsselung „schon im Browser“?

Zusätzlich zur TLS-1.3-Transportverschlüsselung werden Ihre Daten bereits auf Ihrem Rechner mit AES-256-GCM verschlüsselt (Secure Channel mit ECDH-Schlüsselaustausch). Selbst an Punkten, an denen TLS terminiert wird, bleiben die Inhalte verschlüsselt.

Wie sind Mandanten voneinander getrennt?

Kryptographisch: Jeder Mandant hat eigene AES-256-GCM-Schlüssel für die Speicherung. Die Daten verschiedener Mandanten sind damit nicht nur logisch, sondern auf Schlüsselebene getrennt — relevant vor allem für Kanzleien mit vielen Mandaten.

Werden meine Daten für KI-Training verwendet?

Nein, grundsätzlich nicht. Weder Ihre BWA-Zahlen noch Ihre Interaktionen mit dem BWA-Assistenten fließen in das Training von KI-Modellen ein, und es werden keine Daten an Drittanbieter-KIs übermittelt.

Muss ich Passkeys verwenden?

bwa.expert setzt auf Passkeys (WebAuthn) als phishing-resistentes Anmeldeverfahren: Ihr Gerät bestätigt die Anmeldung per Fingerabdruck, Gesichtserkennung oder PIN — ein stehlbares Passwort existiert nicht.

Analysieren Sie Ihre BWA in Minuten

DATEV-BWA als PDF hochladen — Kennzahlen, historische Vergleiche und fertige Berichte. Aktuell kostenlos.

Kostenlos starten

AES-256-verschlüsseltGehostet in DeutschlandDSGVO-konform