Entwickelt für die Anforderungen von Finanzinstituten.
Sicherheit, Compliance und Nachvollziehbarkeit sind Voraussetzung jeder Bankenlösung. openESG ist von Beginn an auf die regulatorischen, technischen und organisatorischen Anforderungen von Finanzinstituten ausgelegt — und auf die Prüfungen durch Aufsicht, Interne Revision und Auslagerungscontrolling, die daraus folgen.
Die Plattform ist entlang der aufsichtsrechtlichen Erwartungen an IKT-Dienstleister konzipiert (MaRisk, DORA, EBA Guidelines) und unterstützt Institute bei der Integration von ESG-Daten in ihre Risiko- und Steuerungsprozesse. Das Informationssicherheits-Managementsystem ist an ISO/IEC 27001:2022 und BSI C5 ausgerichtet, dokumentiert und prüffähig.
DORA
Digital Operational Resilience Act. openESG unterstützt Institute bei IKT-Risikomanagement, Vorfallmeldung und Drittparteiensteuerung und liefert die Angaben für das Informationsregister zu (Art. 28 Abs. 3 DORA).
MaRisk
Mindestanforderungen an das Risikomanagement (BaFin). Die Plattform ist auf die Anforderungen an IT-Sicherheit, Auslagerungssteuerung und ESG-Risikointegration ausgelegt.
EBA Guidelines
EBA/GL/2019/04 zu ICT & Security Risk Management sowie die EBA Guidelines zum Management von ESG-Risiken bilden den Bezugsrahmen der Plattformarchitektur.
DSGVO
Verarbeitung als Auftragsverarbeiter nach Art. 28 DSGVO: Auftragsverarbeitungsvertrag, technische und organisatorische Maßnahmen nach Art. 32, Verarbeitungsverzeichnis, Datenschutz-Folgenabschätzung für den KI-Einsatz.
Penetrationstests
BSI-konforme Penetrationstests durch einen unabhängigen externen Sicherheitsdienstleister über Web-, API- und Infrastruktur-Layer. Management Summary auf Anfrage unter NDA.
EU-Datenhaltung
Plattformbetrieb und Datenspeicherung in Rechenzentren in Deutschland (Open Telekom Cloud). Für einzelne Verarbeitungsschritte kann eine Verarbeitung außerhalb der EU erfolgen; sie ist über Standardvertragsklauseln und das EU-US Data Privacy Framework abgesichert und in der Subdienstleisterliste dokumentiert.
ISO 27001 (Dienstleister)
Betrieb bei nach ISO/IEC 27001 zertifizierten Dienstleistern — Rechenzentrum (zusätzlich BSI C5 Typ II, ISO 27017, 27018, 27701) und Managed-Kubernetes-Betrieb. openESG selbst ist nicht zertifiziert; das eigene ISMS ist an ISO/IEC 27001:2022 und BSI C5 ausgerichtet und prüffähig dokumentiert.
Verschlüsselung
TLS 1.2/1.3 im Transport, AES-256 im Ruhezustand mit dediziertem Schlüsselmanagement (SSE-KMS) für den Objektspeicher, feldweise Verschlüsselung personenbezogener Stammdaten, Argon2id für Zugangsdaten.
Audit-Trail
Revisionssicherer Audit-Trail mit periodischer Integritätsprüfung, nicht überschreibbar. Jeder Datenpunkt mit Zeitstempel, Quelle und Bearbeiter; sicherheitsrelevante Protokolle mindestens 12 Monate.
Sieben Ebenen.
Ein prüffähiges Fundament.
Jede Schicht der Plattform ist auf die Anforderungen regulierter Finanzinstitute ausgelegt — von der Infrastruktur über die KI-gestützte Datenextraktion bis zur auditfähigen Datenhaltung.
Regulatorisch konforme Infrastruktur
- Betrieb in der Open Telekom Cloud (Region eu-de, Deutschland); Managed-Kubernetes-Betrieb durch einen nach ISO/IEC 27001 und ISO 9001 zertifizierten Dienstleister
- Rechenzentrumszertifizierungen: ISO/IEC 27001, 27017, 27018, 27701, BSI C5 Typ II, SOC 1/2/3, DIN EN 50600
- Drei getrennte Umgebungen (Staging, Demo, Produktion) mit eigenen Cluster-, Datenbank-, Cache-, Queue- und Speicherinstanzen; Netzwerksegmentierung auf Infrastrukturebene
- In Test- und Entwicklungsumgebungen ausschließlich synthetische bzw. anonymisierte Daten
- Funktionstrennung in der Betreiberadministration über definierte IAM-Rollen (Systemadministration getrennt von Berechtigungsverwaltung)
- Dokumentierte Dienstleistersteuerung mit Auswahl, Überwachung, Exit-Betrachtung und Nachweisführung
Identity & Access Management
- Granulares Role-Based Access Control mit Object-Level-Permissions nach Least-Privilege-Prinzip (Rollen: Organization Admin, Member, Viewer, Provider, Requestor)
- Strikte Mandantentrennung über Datenbank, Middleware, API und Berechtigungsschicht
- Zwei-Faktor-Authentifizierung: TOTP, E-Mail-OTP, WebAuthn/Passkeys und Backup-Codes; die Erzwingung je Nutzer erfolgt durch den Administrator des Instituts. Für interne und administrative Zugänge von openESG ist 2FA verpflichtend
- Brute-Force-Schutz (Sperre nach zehn Fehlversuchen), begrenzte Sitzungsdauer, sichere Cookies; API-Zugriff über OAuth 2.0 mit kurzlebigen Token
- Jährliche Rezertifizierung aller Konten und Berechtigungen mit dokumentiertem Protokoll
Daten- und Kommunikationssicherheit
- TLS 1.2/1.3 für sämtliche Kommunikationskanäle, HSTS inklusive Subdomains und Preload, erzwungene HTTPS-Weiterleitung
- Objektspeicher serverseitig ruheverschlüsselt (SSE-KMS, AES-256) mit dediziertem Schlüsselmanagement
- Datenbank-Sicherungen AES-256-verschlüsselt; feldweise Verschlüsselung personenbezogener Stammdaten (AES)
- Dokumentenzugriff ausschließlich über signierte URLs mit begrenzter Gültigkeit
- Argon2id für Zugangsdaten; Schlüssel und Secrets im Secret-Management, anlassbezogene Rotation
Applikationssicherheit
- Schutz vor OWASP Top 10 (u. a. SQL Injection, CSRF, XSS)
- Gehärtetes Web-Framework mit etablierten Security Controls; Content Security Policy mit Nonce, HSTS, HTTPS-only
- Malware-Prüfung hochgeladener Dateien vor Ablage im Objektspeicher, self-hosted in der EU-Infrastruktur. Dateien, die nicht geprüft werden können, werden abgelehnt statt gespeichert
- Statische Code- und Abhängigkeitsanalyse in der CI/CD-Pipeline; monatlicher Update-Zyklus für Abhängigkeiten
- Trennung der Deployment-Pfade: Staging automatisiert, Produktion tag-basiert und manuell freigegeben, mit Testpflicht (Unit und E2E)
- Patching und Härtung der Infrastrukturebene liegen vertraglich beim zertifizierten Betreiber und sind über dessen Statement of Applicability nachgewiesen
KI-gestützte Datenextraktion
- Verarbeitung über Google Vertex AI (Google Cloud EMEA Ltd.); die EU-Region ist systemseitig als Standard vorausgewählt. Eine Verarbeitung außerhalb der EU kann der Datenprovider nur explizit und manuell wählen; sie ist über Standardvertragsklauseln und das EU-US Data Privacy Framework abgesichert
- Kein Training auf Kundendaten (vertraglich ausgeschlossen)
- Zero Data Retention durch den Anbieter bestätigt — es werden weder Prompts noch Antworten gespeichert
- Human-in-the-Loop: KI-Ergebnisse sind Vorschläge und werden erst nach ausdrücklicher Bestätigung durch den Nutzer übernommen. Keine automatisierte Entscheidung im Einzelfall nach Art. 22 DSGVO
- Revisionssichere Protokollierung je Extraktionslauf: Region, Modell, Prompt- und Schema-Version, Nutzer, Quellenangabe je extrahiertem Wert
- Datenschutz-Folgenabschätzung liegt vor; Datenminimierung durch zielgerichtete Extraktion. Nach aktueller Bewertung kein Hochrisikosystem im Sinne der KI-Verordnung
- Uploads auf definierte Dateitypen und Dateigrößen begrenzt, jede Datei mit SHA-256-Hash referenziert
Protokollierung, Backup und Notfallvorsorge
- Sicherheitsrelevante Anwendungs- und Zugriffsprotokolle: Aufbewahrung mindestens 12 Monate, Audit-Trail mit periodischer Integritätsprüfung
- Error- und Performance-Monitoring mit EU-Data-Residency — kein Session Replay, keine Übertragung von Dokumentinhalten, kein Web-Tracking auf openesg.de
- Backups täglich, verschlüsselt, 30 Tage Aufbewahrung in Deutschland/EU, mit regelmäßigen Restore-Tests
- Dokumentiertes Notfall-, Incident- und Backup-Konzept mit definierten Schweregraden, zentraler Meldestelle und benannter Vertretung; Szenarien werden regelmäßig durchgesprochen und protokolliert
- Vorfallregister wird geführt; Meldewege und -fristen gegenüber dem Institut sind vertraglich vereinbart
- BSI-konforme Penetrationstests durch einen unabhängigen externen Dienstleister über Web-, API- und Infrastruktur-Layer
- Garantierte Verfügbarkeit 98 %; Ausfallsicherheit über Kubernetes (Pod-Recovery, Health-Checks)
Auditfähigkeit und Governance
- Revisionssichere Audit-Trails und vollständige Data Lineage; nachvollziehbare Dokumentation aller Datenänderungen und -quellen
- Konsistente Datenbasis für Pillar-III-Offenlegung nach Art. 449a CRR und ESG-Risikoberichterstattung
- Dokumentiertes Regelwerk: Informationssicherheitsleitlinie, IT-Sicherheitsrichtlinie, Notfall- und Incident-Konzept, Risikomanagement- und Dienstleisterkonzept, Löschregelung, Datenschutz-Folgenabschätzung — freigegeben, versioniert, mit turnusmäßiger Überprüfung
- Register: Risiko-, Vorfall-, Lösch-, Rezertifizierungs- und Dokumentenverzeichnis
- Zulieferung der Angaben für das DORA-Informationsregister des Instituts (Art. 28 Abs. 3 DORA)
- Transparente Subdienstleisterliste als Bestandteil des Auftragsverarbeitungsvertrags, mit Informationspflicht bei Änderungen
- Prüfunterlagen für Aufsicht, Interne Revision und Wirtschaftsprüfer auf Anfrage
Sicherheit, die Anwender direkt sehen.
Sicherheit ist in openESG kein Backend-Versprechen, sondern jederzeit nachvollziehbar – von der Zugriffskontrolle über Benutzereinstellungen bis zur Multi-Faktor-Authentifizierung.
Granulare Zugriffskontrolle
Integrierte und transparente Rollen- und Rechteverwaltung nach Least-Privilege-Prinzip.
2-Faktor-Authentifizierung
Integrierte MFA — je Nutzer durch den Administrator aktivierbar, für Anwender und API-Integrationen.
Nahtlos integriert. Mandantensicher getrennt.
openESG fügt sich systembruchfrei in bestehende Bankenarchitekturen ein – über offene APIs, ohne Medienbrüche, mit strikter Mandantentrennung.
Sie wollen tiefer einsteigen?
Auf Anfrage stellen wir Instituten die vollständigen Prüfunterlagen bereit: Stellungnahme zur KI-gestützten Dokumentenextraktion, Nachweise zum eingesetzten KI-Dienst, technische und organisatorische Maßnahmen nach Art. 32 DSGVO, ausgefüllte Dienstleisterfragebögen sowie die Management Summary des Penetrationstests (unter NDA).