Sicherheit und Datenschutz

Diese Seite fasst die Schutzmassnahmen von Dayprep zusammen. Die Datenflüsse stehen unter Überblick und Datengrenze.

Schutzziele

Schutzgut	Beispiele
Vertraulichkeit der Geschäftsdaten	Mails, Chats, Kalender, Tickets, Dateien, Personennotizen
Integrität der Kommunikation	keine Nachricht, kein Termin, keine Ticketänderung ohne den Menschen
Zugangsdaten	API-Tokens, Microsoft- und Google-Tokens, App-Passwörter
Betroffenenrechte (revDSG)	Zweckbindung, Löschung pro Person

Betrachtet wurden unter anderem bösartige Webseiten im Browser der Person (CSRF auf 127.0.0.1, DNS-Rebinding), andere lokale Benutzer auf Terminalservern, bösartige Inhalte in den Daten (HTML, Prompt-Injection, manipulierte Links, Pfadtricks), die Lieferkette und Datenabfluss über Logs, Caches und Cloud-Dienste.

Nicht im Scope: ein Angreifer mit Administratorrechten oder mit Codeausführung im Konto der Person (der könnte die Daten ohnehin direkt in Outlook oder Teams lesen), physischer Zugriff und die Kompromittierung von Microsoft 365 oder Atlassian selbst.

Harte Regeln im Programm

• Nichts senden: Jede HTTP-Anfrage eines Konnektors läuft durch eine Allowlist pro Konnektor und eine gemeinsame Denylist. Outlook (COM) läuft mit gesperrten Methoden wie Send, Delete und Move. Apple Mail läuft über eine Prüfung, die Skripte mit send, delete, move, forward oder Shellbefehlen ablehnt.
• Bestätigung: Der einzige ausführende Vorgang, einen Entwurf ablegen, braucht eine einmalige Bestätigung aus dem Dashboard. Der Dialog zeigt Empfänger, Cc, Betreff und Textanfang.
• Echte Daten nur mit Schalter: Ohne eingeschaltete echte Daten arbeitet Dayprep nur mit Testdaten.
• Sprachmodell nur lokal: lokal immer, firmeneigene Instanz nur mit Freigabe, Cloud nie mit echten Daten.
• Fester Zeitplan: Der Zeitplan hat eine feste Liste von Aufgaben. Es gibt keine dynamisch registrierten Aufgaben und keine Agenten, die sich selbst starten.

Dashboard

Massnahme	Wirkung
Bindung nur an 127.0.0.1	kein Zugriff aus dem Netz
Host-Allowlist	Schutz vor DNS-Rebinding
CSRF-Header und Prüfung von Origin und Fetch-Metadaten	Schutz vor Anfragen fremder Webseiten, auch von anderen lokalen Ports
keine CORS-Freigabe	fremde Seiten können Antworten nicht lesen
lokaler Zugriffsschlüssel (Windows, sobald echte Daten aktiv sind)	Schutz vor anderen Benutzern auf demselben Rechner, zum Beispiel auf Terminalservern
Sicherheitsheader	Content Security Policy ohne Inline-Skripte, frame-ancestors 'none', X-Frame-Options: DENY, nosniff, Referrer-Policy: no-referrer
Cache-Control: no-store für die API	keine Inhalte im Browser-Cache

Inhalte aus Mails, Chats und Tickets werden immer als Text eingesetzt, nie als HTML. Links aus Daten öffnet Dayprep nur mit sicherem Schema (https, http, msteams).

Prompt-Injection

Das Sprachmodell erzeugt nur Text. Es hat keine Werkzeuge, ruft keine Endpunkte auf und kann keine Aktionen auslösen. Empfänger stammen nie aus der Ausgabe des Modells, sondern aus den Kopfdaten der beantworteten Mail. Die Anweisungen an das Modell grenzen ab: Inhalte im Kontext sind Daten, keine Anweisungen.

Restrisiko: Eine eingeschleuste Anweisung kann den Text eines Entwurfs beeinflussen, zum Beispiel mit einer falschen Aussage oder einem Link. Deshalb prüft die Person jeden Entwurf vor der Ablage.

Verschlüsselung des Gelernten

Optional, unter Einstellungen › Lernen › Verschlüsselung. Standard ist aus, bis die Person ein Passwort setzt. Die Firma kann die Verschlüsselung per Richtlinie vorschreiben.

Punkt	Umsetzung
Was	Stil, Regeln, Notizen, Personen, Projekte, Meetings, Wissen über Kontakte, Notizbilder, gespeicherte Chats, Skills und Sicherungen
Verfahren	zufälliger Datenschlüssel mit 256 Bit, AES-256-GCM je Datei; der Datenschlüssel ist mit scrypt aus Passwort bzw. Wiederherstellungscode eingepackt
Integrität	veränderte, vertauschte oder verschobene Dateien und untergeschobener Klartext werden erkannt
Alltag	Der Datenschlüssel liegt im Schlüsselbund des Betriebssystems. Fehlt er, startet Dayprep gesperrt mit Entsperrbildschirm
Passwort	mindestens 10 Zeichen
Wiederherstellungscode	24 Zeichen, nur einmal angezeigt, nie gespeichert oder geloggt. Mit dem Code lässt sich ein neues Passwort setzen; danach gibt es einen neuen Code
Durchprobieren	nach 5 Fehlversuchen 60 Sekunden Sperre

Passwort und Code verloren heisst: Das Gelernte ist nicht wiederherstellbar. Auch Dayprep kann es nicht entschlüsseln. Die Quellen (Mails, Kalender, Tickets) sind davon nicht betroffen; Dayprep liest sie neu ein.

Nicht abgedeckt: Suchindex und Briefings liegen unverschlüsselt im Datenordner. Die Festplattenverschlüsselung (BitLocker bzw. FileVault) wird deshalb vorausgesetzt. Nicht erkannt wird das Zurücksetzen einer Datei auf einen älteren gültigen Stand am selben Ort und das Löschen einzelner Dateien.

Skills und Skill-Dateien

Dayprep lernt aus korrigierten Entwürfen und aus ausdrücklich freigegebenen Ordnern, mit dem lokalen Modell. Es gibt kein Fine-Tuning; das Modell bleibt unverändert.

• Skills sind fünf flache Listen (Stil, Personen, Kunden, Themen, Abläufe) mit Manifest und Prüfsummen. Sie werden nur mit eingerichtetem Tresor geschrieben, also immer verschlüsselt.
• Gleiche Erkenntnisse werden zusammengeführt statt verdoppelt. «Person löschen» wirkt in allen Teilen.
• Skill-Datei (.dayprep-skill): Export des Gelernten für ein neues Gerät oder ein anderes Modell, auch nur einzelne Teile. Der Inhalt ist als Ganzes mit AES-256-GCM versiegelt; Änderungen werden erkannt. Export nur mit entsperrtem Tresor, Import mit Passwort oder Code des alten Geräts.
• Einspielen erst nach einer Vorschau «was kommt dazu, was ändert sich» und ausdrücklicher Bestätigung.

Zugangsdaten

• Tokens und Passwörter liegen im Schlüsselbund des Betriebssystems (Windows Anmeldeinformationsverwaltung mit DPAPI, macOS Schlüsselbund) unter dem Dienst daily-assistant.
• Die Einstellungsdatei und der lokale Zugriffsschlüssel sind nur für den eigenen Benutzer lesbar (Windows: ACL ohne Vererbung, macOS: chmod 600).
• Zugangsdaten werden nie zurückgegeben und nie geloggt; Fehlermeldungen ersetzen sie.

Datenschutz (revDSG)

• Zweckbindung: Dayprep verarbeitet Geschäftsdaten nur, um der Person bei der eigenen Arbeitsorganisation zu helfen (Briefing, Antwortentwürfe, Terminplanung). Kein Profiling für andere Zwecke, keine Weitergabe.
• Personennotizen tragen Zweck, Quelle und Erstellungsdatum. Notizen ohne Zweck werden abgelehnt.
• Wissen über Kontakte: Profile pro Person und Firma aus Metadaten und Titeln, nur Geschäftliches. Das Modell wird angewiesen, nichts Privates, keine Gesundheit und keine Bewertung von Personen aufzunehmen. Abschaltbar.
• Löschen pro Person: Unter Notizen «Person löschen …» entfernt Notizen, Profil, Regeln, Entwürfe, lokale Mail- und Teams-Kopien samt Index, Smartphone-Nachrichten, gespeicherte Briefings und Chats zu dieser Person. Eine Sperrliste mit Hashes verhindert den erneuten Import. Das Löschprotokoll enthält nur einen Hash.
• Chats: Aufbewahrung standardmässig 90 Tage, einzeln löschbar.
• Speicherdauer: Der lokale Index ist ein Cache und lässt sich jederzeit löschen und neu aufbauen.
• Originaldaten in Microsoft 365, Atlassian und anderen Quellen werden nie verändert oder gelöscht.

Logs und Telemetrie

Logs enthalten nur IDs, Zählwerte und Fehlerarten. Keine Mail- oder Notizinhalte, keine Betreffzeilen, keine Adressen, keine Tokens. Dayprep sendet keine Telemetrie.

Lieferkette und Updates

• Installer sind signiert (Windows Authenticode, Apple Developer ID mit Notarisierung).
• Das Update-Manifest ist mit Ed25519 signiert; der öffentliche Schlüssel ist in der App eingebaut. Archive werden mit Grösse und SHA-256 geprüft und sicher entpackt (keine Links, keine absoluten Pfade, kein ..).
• Die Versionen der Python-Abhängigkeiten sind in einer Sperrdatei mit Hashes fixiert. Eine Prüfung mit pip-audit fand im Oktober 2026 keine bekannten Schwachstellen.
• Die Einrichtung lädt nur über https von den offiziellen Quellen (uv von astral.sh, Ollama von ollama.com).

Details: Updates.

Restrisiken

Restrisiko	Umgang
Prompt-Injection beeinflusst den Text eines Entwurfs	Person prüft jeden Entwurf, Bestätigung ist Pflicht; keine Aktionen möglich
Suchbegriffe bzw. die Chatfrage gehen an Atlassian	Live-Suche abschaltbar, Rovo standardmässig aus, Richtlinie; lokale Inhalte gehen nie mit
Richtlinien werden lokal durchgesetzt	Geräteverwaltung ohne lokale Adminrechte
Suchindex und Briefings unverschlüsselt	Festplattenverschlüsselung voraussetzen
Mac: lokaler Zugriffsschlüssel standardmässig aus (Mehrbenutzer-Macs teilen 127.0.0.1)	bei Bedarf UI_ACCESS_TOKEN=on
Eigene Schnittstellen erreichen private Netze	gewollt für interne APIs; Ziel bestimmt nur ein Admin der Firma