Admin-Tab: Vertrauenswürdige Ziele (PII-Abfluss)

Der PII-Schild ersetzt personenbezogene Daten vor dem Versand durch Platzhalter — jedes externe Ziel sieht standardmäßig nur [NAME_1] statt Max Mustermann. Das ist die harte Vertrauensgrenze von CompanyWizard.

Vertrauenswürdige Ziele öffnen diese Grenze gezielt pro Ziel: Ein als vertrauenswürdig markiertes Ziel erhält die Original-Werte. Das ist ein bewusster, sicherheitsrelevanter PII-Abfluss — und die einzige Stelle, an der sich die Pseudonymisierung selektiv aufheben lässt.

Der Standard: nichts ändert sich

Jedes Ziel startet untrusted. Bestehende Installationen verhalten sich nach einem Update unverändert — kein Ziel erhält re-identifizierte Werte, solange niemand ein Häkchen setzt. Es gibt keinen Sammelschalter: Vertrauen wird einzeln, pro Ziel vergeben.

Eine Ausnahme vorweg: Der Indexlauf der Wissensbasis schickt Dokumenttexte standardmäßig im Original an den Embedding-Provider — auch ohne jedes Häkchen. Das ändert erst PII-Pseudonymisierung für Embeddings. „Kein Häkchen” heißt also nicht „nichts geht im Klartext hinaus”.

Die drei Zieltypen

Das Häkchen sitzt jeweils im Editor des Ziels — in den Tabs MCP, Tools und Modelle.

Zieltyp	Wo	Wirkung, wenn gesetzt
MCP-Server	Administration → MCP-Server → Server-Editor	Tool-Argumente an diesen Server werden re-identifiziert
Konfiguriertes Tool	Administration → Konfigurierte Tools → Tool-Editor	Aufruf-Argumente an das Ziel des Tools werden re-identifiziert
Modell-Provider	Administration → Modelle → Provider-Editor	Nur auf der Zeile des aktiven Embedding-Providers: die Vektor-Suche bettet den Original-Anfragetext ein, bei aktivem Scrub before embed auch der Indexlauf den Original-Dokumenttext

MCP-Server

Im Server-Editor (Externe Werkzeuge (MCP)) steht die Checkbox „Vertrauenswürdiger Server — erhält Original-PII-Werte”. Die Warnung daneben ist wörtlich zu nehmen:

PII-Abfluss: Tool-Aufrufe an diesen Server werden re-identifiziert — erkannte personenbezogene Daten (Namen, E-Mail-Adressen, …) gehen im Klartext an den Server. Nur für Server auf vertrauenswürdiger, idealerweise firmeneigener Infrastruktur aktivieren. Auf gepaarten Clients gilt diese Entscheidung bei der Erst-Einrichtung mit: Die Server-Zeile reist im Pairing-Bundle mit. Ein späterer Abgleich lässt ein dort gesetztes Häkchen unangetastet — ein Client erreicht denselben Server aus einer anderen Netzlage und entscheidet selbst.

In der Serverliste tragen markierte Server das Badge „PII-vertraut” — so ist auf einen Blick sichtbar, welcher Server Klartext bekommt. Nicht markierte Server erhalten weiterhin ausschließlich Platzhalter.

Konfigurierte Tools

Im Tool-Editor (Konfigurierte Tools) heißt die Checkbox „Vertrauenswürdiges Ziel — erhält Original-PII-Werte”. Sie wirkt einheitlich für alle Tool-Arten — SQL, Postfach, Verzeichnis, Kalender, Kontakte und HTTP-API — und sowohl im Chat als auch in Agenten.

Modell-Provider — nur der aktive Embedding-Provider

Im Provider-Editor (KI-Modelle / Provider) heißt die Checkbox „Vertrauenswürdiger Embedding-Provider — erhält Original-PII-Werte”. Sie wirkt nur, solange diese Zeile der aktive Embedding-Provider ist — also die Zeile, deren Modell als Standard-Embedding-Modell eingestellt ist (Systemeinstellungen).

Auf jeder anderen Provider-Zeile ist das Häkchen wirkungslos — auch auf einem reinen Chat-, OCR- oder Bild-Anbieter. Bei Verbindungen (Confluence, X-Artikel) blendet der Editor es gar nicht erst ein: Eine Verbindung trägt keine Modelle und kann nie Embedding-Provider werden.

Für den aktiven Embedding-Provider wirkt das Häkchen auf zwei Wegen mit unterschiedlicher Bedingung:

Weg	Bedingung	Wirkung bei gesetztem Häkchen
Anfrage — Vektor-Suche in der Wissensbasis	immer	Die Suchanfrage wird im Original eingebettet statt pseudonymisiert. Nutzen: Echte Namen treffen echte Namen statt Platzhalter Platzhalter.
Index — Einbetten der Dokumente	nur bei aktivem Scrub before embed	Der Indexlauf bettet den Original-Dokumenttext statt der Typ-Platzhalter ein.

Ohne Scrub before embed geht der Indexlauf ohnehin für jeden Provider im Original hinaus — auf diesem Weg ändert das Häkchen dann nichts.

Nicht betroffen sind Chat-Prompt, RAG-Kontext, Reranking, OCR und Bildgenerierung. Diese Wege bleiben pseudonymisiert, egal auf welcher Zeile das Häkchen sitzt.

Warnung — Umschalten kann den Vektorindex neu aufbauen. Ist Scrub before embed aktiv, ändert das Setzen oder Entfernen des Häkchens, was eingebettet wird. CompanyWizard behandelt das wie einen Modellwechsel: Der Vektorindex wird vollständig gelöscht und neu aufgebaut. Bei großen Wissensbasen dauert das Stunden — schalten Sie nicht zum Ausprobieren um.

Gepaarte Clients übernehmen die Entscheidung. Die Provider-Zeile reist im Pairing-Bundle mit und überschreibt beim nächsten Abgleich den Wert auf dem Client. Ein Häkchen am Server lässt den Klartext also auch von jedem gepaarten Desktop aus an diesen Provider gehen. → Export, Import und Pairing

Ohne Provider-Zeile: Embedding über die Konfiguration. Läuft das Embedding nicht über ein unter Modelle angelegtes Modell, sondern über die Konfiguration (Embeddings:*), gibt es keine Zeile und damit kein Häkchen. Der Bereich „Presidio (PII-Erkennung)” der Systemeinstellungen zeigt dann stattdessen „Embedding-Konfiguration (Embeddings:*) ist vertrauenswürdig (lokal/on-prem)”. Dieser Schalter gilt nur, solange das so bleibt — sobald eine Provider-Zeile mit Embedding-Modell aktiv ist, entscheidet allein deren Häkchen. Auch hier löst Umschalten bei aktivem Scrub before embed den Neuaufbau aus; die Seite fragt vorher nach.

Den früheren globalen Schalter gibt es nicht mehr. „Embedding-Provider ist vertrauenswürdig (lokal/on-prem)” wurde entfernt; es gibt keine zweite Quelle mehr, die neben dem Häkchen Klartext freigibt. War er vor dem Update gesetzt, wurde der Wert einmalig übernommen — auf die Zeile des aktiven Embedding-Providers bzw. in den Konfigurations-Schalter. Enthält ein älterer Export der Systemeinstellungen den alten Schalter noch, wird er beim Import ignoriert und mit einer Warnung gemeldet.

PII-Ausnahme vs. PII-vertraut — nicht verwechseln

Zwei Schalter, zwei Richtungen. Das ist die häufigste Verwechslung:

	PII-Ausnahme (exempt)	PII-vertraut (trusted)
Richtung	herein — vom Ziel zurück zum Modell	hinaus — von CompanyWizard zum Ziel
Was passiert	Ergebnisse des Tools bleiben unredigiert, statt pseudonymisiert zu werden	Argumente des Aufrufs werden vor dem Versand re-identifiziert
Beispiel	Die SQL-Abfrage liefert echte Kundennamen an das Modell zurück	Der Tool-Aufruf sucht mit Max Mustermann statt mit [NAME_1]

Die beiden sind unabhängig und lassen sich einzeln setzen. Ein Tool kann also Original-Argumente erhalten, seine Ergebnisse aber trotzdem durch den Schild schicken — und umgekehrt. → PII-Ausnahme bei SQL-Datenquellen

Audit-Liste: Wer bekommt Klartext?

Der Bereich „Presidio (PII-Erkennung)” der Systemeinstellungen listet alle vertrauenswürdigen Ziele read-only unter „Vertrauenswürdige Ziele (PII-Abfluss)” — je Eintrag die Art (MCP-Server, Tool oder Embedding-Provider) und der Name. Läuft das Embedding über die Konfiguration und ist diese als vertrauenswürdig markiert, steht dort ein Embedding-Provider-Eintrag „Embedding-Konfiguration (Embeddings:*, keine Provider-Zeile)”:

Diese Ziele erhalten Original-PII-Werte statt Pseudonym-Platzhaltern. Konfiguration pro Ziel in den Tabs MCP, Tools und Modelle.

Ist nichts markiert, steht dort: „Keine vertrauenswürdigen Ziele konfiguriert — alle externen Ziele erhalten ausschließlich Platzhalter.”

Die Liste ist der Prüfpunkt für Audits: eine Stelle, die die vollständige Antwort auf „Wohin fließt bei uns Klartext-PII?” gibt. Gesetzt wird das Vertrauen aber weiterhin im jeweiligen Tab — die Liste zeigt nur an.

Wann ist „vertrauenswürdig” vertretbar?

Die Faustregel aus der UI-Warnung: nur für vertrauenswürdige, idealerweise firmeneigene Infrastruktur. Die Frage ist nicht „vertraue ich dem Hersteller?”, sondern „verlassen die Daten meinen Verantwortungsbereich?”.

Vertretbar:

• On-Premises-MCP-Server im eigenen Netz, unter eigener Kontrolle
• Lokales Embedding-Modell (z. B. Ollama/LM Studio) — die Daten verlassen den Rechner ohnehin nicht → Daten lokal halten
• Firmeninterne HTTP-API oder Datenbank, die die Daten ohnehin schon führt

Nicht vertretbar — im Zweifel: Häkchen aus:

• Jeder Cloud-Dienst eines Dritten, auch ein namhafter
• Ziele außerhalb der EU bzw. ohne tragfähige Rechtsgrundlage → DSGVO & AV-Vertrag
• Ziele, deren Logging/Aufbewahrung Sie nicht kennen — Klartext-PII in fremden Logs ist ein Datenabfluss, auch ohne böse Absicht

Ein Ziel ist keine Kategorie. Vertrauen gilt für genau diesen Server, genau dieses Tool. Ein zweiter MCP-Server desselben Anbieters startet wieder untrusted — und das ist Absicht.

Export, Import und Pairing

Was mit einem Häkchen passiert, hängt vom Weg ab:

Weg	Provider-Zeile	MCP-Server
JSON-Export (Tab Modelle bzw. MCP)	Häkchen nicht enthalten	Häkchen nicht enthalten
Import, neue Zeile	startet untrusted	startet untrusted
Import mit „Überschreiben” einer bestehenden Zeile	bisheriges Häkchen bleibt	bisheriges Häkchen bleibt
Pairing und jeder spätere Abgleich (Verbindungen)	Wert des Servers — überschreibt den Wert auf dem Client	neue Server-Zeile übernimmt den Wert des Servers; eine bereits vorhandene behält ihr Häkchen

Konfigurierte Tools reisen weder im Export noch beim Pairing mit — ihr Häkchen setzen Sie auf jeder Station selbst. Auch der Konfigurations-Schalter für das Embedding (siehe oben) wird nicht übertragen.

Warum Provider und MCP-Server unterschiedlich behandelt werden:

• Provider: Der Server entscheidet. Welcher Embedding-Anbieter Klartext bekommt, ist eine Richtlinie der Organisation. Ein gepaarter Client folgt ihr; ein dort abweichend gesetzter Wert auf einer vom Server übernommenen Zeile wird beim nächsten Abgleich überschrieben. Wer auf einem Client anders entscheiden muss, legt dort eine eigene Provider-Zeile an.
• MCP-Server: Der Client entscheidet mit. Vertrauen in einen MCP-Server ist eine Aussage über die Netzlage — ein Desktop unterwegs erreicht denselben Server womöglich über einen ganz anderen Weg als der Server im Firmennetz.

Nach einem Import oder Pairing: Audit-Liste prüfen. Neue Zeilen starten untrusted, überschriebene behalten ihren alten Stand, und vom Server übernommene Provider-Zeilen tragen dessen Entscheidung — alle drei Fälle können überraschen.

Grenzen & Hinweise

• Admin-only. Anwender sehen keinen Unterschied — außer besseren Tool-Treffern.
• Vertrauen ist keine Verschlüsselung. Ein trusted Ziel bekommt Klartext; was dort passiert (Logs, Backups, Weitergabe), liegt außerhalb von CompanyWizard.
• Die Erkennung bleibt Mustererkennung. Trusted/untrusted ändert nichts daran, was als PII erkannt wird. → Grenzen des PII-Schilds
• Im Zweifel aus. Untrusted kostet höchstens Trefferqualität; trusted kostet im Zweifel personenbezogene Daten.

Verwandt

• Der PII-Schild · Daten lokal halten
• PII-Pseudonymisierung für Embeddings (Scrub before embed) — das Häkchen am aktiven Embedding-Provider hebt diesen Schutz auf
• Externe Werkzeuge (MCP) · Konfigurierte Tools · KI-Modelle / Provider
• Systemeinstellungen · DSGVO & AV-Vertrag