So schützen wir deine Dokumente

Was mit deinen Dokumenten passiert, wer sie sehen kann — und wo der Schutz aufhört.

Das Grundprinzip

Damit Neo deine Dokumente lesen, sortieren und Fristen finden kann, müssen wir sie entschlüsseln können — das gilt für jeden Anbieter, der dir diese Arbeit abnimmt. Der Unterschied bei docu9: Gespeichert wird ausschließlich verschlüsselt, und jede einzelne Entschlüsselung wird protokolliert — und du siehst dieses Entschlüsselungs-Protokoll an jedem Dokument.

Grundschutz für alle Dokumente

Unlesbare Bytes auf den Festplatten

Jedes Dokument hat einen eigenen Schlüssel. Auf den Servern liegen nur verschlüsselte Daten.

Hauptschlüssel in der Schlüsselverwaltung

Der Hauptschlüssel liegt in einer Schlüsselverwaltung, aus der ihn kein Mensch herausholen kann — auch wir nicht. Er beantwortet nur einzelne, protokollierte Anfragen.

Backups mit Offline-Schlüssel

Backups sind zusätzlich mit einem separaten Offline-Schlüssel gesichert — ein gestohlenes Backup ist wertlos.

Dein Archiv bleibt getrennt — auch beim Chat

Verschlüsselung schützt die Bytes. Zusätzlich sorgt eine harte Trennung dafür, dass niemand — auch nicht über Neo — in ein fremdes Archiv schaut. Deine Anmeldung entscheidet, welche Dokumente überhaupt geladen werden dürfen — nicht die Frage, die du stellst.

Zugriff nur mit deiner Anmeldung

Jede Anfrage läuft über dein Konto. Listen, Downloads und Vorschauen zeigen nur Dokumente aus deinem Haushalt — gemeinsame und deine eigenen privaten; fremde private bleiben ausgeblendet.

Neo sucht nur in deinem Korpus

Bevor Neo antwortet, durchsucht das System ausschließlich Dokumente, die du sehen darfst. Fremde Inhalte kommen physisch nicht in den Prompt — auch nicht über Tricks in der Frage.

Privat heißt bewusst privat

Im Haushalt sind neue Dokumente standardmäßig gemeinsam sichtbar. Du kannst sie auf verknüpfte Personen eingrenzen oder nur für dich behalten — dann bleiben sie für andere ausgeblendet.

Privater Tresor — für das Sensibelste

Ausweise, Gesundheitsunterlagen, Testament? Markiere sie für den Tresor. Datei und Analyse-Ergebnisse werden auf deinem Gerät verschlüsselt — wir können Tresor-Inhalte technisch nicht mehr lesen. Entsperren kannst nur du (Passphrase, Recovery-Kit oder Passkey).

Was der Tresor garantiert

✓Wir können verschlüsselte Tresor-Dateien und -Metadaten nicht entschlüsseln.
✓Keine automatische KI, kein Chat-Index, kein Auto-Modus — Tresor-Dokumente sind für diese Pfade unsichtbar.
✓Beim Eintritt werden Chunks, Embeddings und serverseitige Analyse-Daten gelöscht.
✓KI nur auf deinen aktiven Anstoß mit Einwilligung — Ergebnisse landen wieder clientseitig verschlüsselt.
✓Voll-Export enthält Tresor-Dateien standardmäßig nur als Chiffrat; Klartext nur optional lokal im Browser nach Entsperren.

Was er nicht garantiert

·Titel, Ordner und Schloss-Badge bleiben sichtbar — benenne sensibel benannte Dokumente ggf. neutral um.
·KI-Sitzungs-Freigabe: während der Freigabe sieht der Server den Inhalt transient im Speicher (protokolliert, nicht gespeichert).
·Bereits analysierte Dokumente waren vor dem Tresor-Eintritt serverseitig lesbar — der Tresor schützt ab dem Eintritt.
·Verlierst du Passphrase, Recovery-Kit und alle Passkeys, sind Tresor-Inhalte verloren — außer du hast die optionale Wiederherstellung durch uns aktiviert.
·Kompromittierte Endgeräte liegen außerhalb jedes Server-Schutzmodells.

—Titel und Ordner bleiben sichtbar — benenne das Dokument ggf. neutral um.
—Wenn du Neo ein Tresor-Dokument ausdrücklich anschauen lässt, wird es dafür einmalig übertragen — nichts davon wird gespeichert.
—Verlierst du alle Schlüssel und das Recovery-Kit, sind Tresor-Dokumente unwiederbringlich verloren — es sei denn, du hast die optionale Wiederherstellung durch uns aktiviert.

Notfallkit — Zugriff nur mit Code außerhalb des Servers

Für den Ernstfall kannst du Vertrauenspersonen ein Kit zum Lesen freigeben — mit Warteschleife und Veto. Der Notfall-Code liegt auf dem ausgedruckten PDF, nicht als Klartext bei uns. Ohne diesen Code können auch wir das Kit nicht im Namen einer Vertrauensperson öffnen.

·Wir halten den Hauptschlüssel und können Grundschutz-Dokumente entschlüsseln — der Notfall-Code ist das zusätzliche Geheimnis außerhalb des Servers.
·Im Notfallzugriff sind nur Kit-Dokumente sichtbar — kein privates Archiv, kein Chat.
·Veto, entfernte Vertrauenspersonen oder fehlgeschlagene Code-Versuche invalidieren den Code.

Trainings-Opt-in — was gespeichert wird

Damit Neo besser sortieren und Fristen erkennen kann, dürfen wir mit deiner Erlaubnis aus Korrekturen und bestätigten Ablagen lernen. Gespeichert wird nie dein Dokument — sondern ein bereinigtes Muster: Dokumenttyp, Absenderklasse, sichere Stichworte, Seitenanzahl und das Label, das du bestätigt hast. Standardmäßig aus, jederzeit widerrufbar.

Ein Beispiel — Dokument vs. Lernprobe

Was im Dokument steht (fiktiv)

Rechnung von Stadtwerke Musterstadt GmbH
Rechnungsnr. 2024-88421 · Betrag 87,40 €
IBAN DE89 3704 … · Kundennummer 47110815
Musterstraße 12, 12345 Berlin
Absender: rechnung@stadtwerke-musterstadt.de

Was bei aktivem Opt-in gespeichert werden kann

doc_type=Rechnung · sender_class=versorger
keywords=[rechnung,strom,jahresabrechnung] · pages≈2

Label (nur erlaubte Felder)

doc_type: Rechnung
folder_path: Finanzen/Versorger
tags: [rechnung, strom]
sender_class: versorger
action_required: true

Was das Privacy-Gate verwirft

Treffer auf IBAN, E-Mail, Adresse oder Kundennummer → die Lernprobe wird abgelehnt. Gespeichert wird dann nur der Ablehnungsgrund — kein Inhalt, kein Snippet.

Zweites Beispiel: Titel-Stil

Du benennst um in „Rechnung Stadtwerke 2024“. Gespeichert wird nur das Schema — z. B. {doc_type} {sender_class} {year} — nicht der konkrete Titel und nicht der Absendername.

Was das Opt-in garantiert

✓Kein Dokument-Freitext im Clean-Store und in der globalen Beispiel-Bank.
✓Fail-closed: persönliche Daten (E-Mail, IBAN, Telefon, Adresse, lange Ziffern, …) → Probe verwerfen.
✓Tresor-Dokumente fließen nie in Training ein.
✓Global nutzbar erst, wenn mindestens fünf unabhängige Haushalte dasselbe Muster beitragen.
✓Standardmäßig aus — und außerhalb der Closed Beta jederzeit widerrufbar.

Was es nicht garantiert

·Sichere Stichworte und Ordnerpfade können thematisch nah am Inhalt sein — ohne Personenbezug.
·Widerruf stoppt neue Sammlung; Muster, die bereits global in der Beispiel-Bank stehen, bleiben.
·In der Closed Beta kann die Trainingsunterstützung fest aktiv sein.
·Wir speichern keine Live-Rohdaten deines Dokuments als Beweis — nur bereinigte Muster.

—Als Dankeschön gibt es je nach Tarif zusätzliche Verarbeitungen pro Monat — keinen Rabatt auf den Planpreis.
—Rejected-Proben speichern nur den Ablehnungsgrund, keinen Klartext.
—Die globale Beispiel-Bank enthält keine Haushalts-ID — nur das anonymisierte Muster.

In den Einstellungen steuern

Zum Nachprüfen

Sicherheitskonzept und Krypto-Quellen öffentlich nachprüfbar — derselbe Stand wie auf dieser Seite.
„Rohdaten ansehen“ an jedem Dokument in der App: du siehst, wie die Datei im Speicher liegt — reines Chiffrat neben dem entschlüsselten Anfang.
Entschlüsselungs-Protokoll an jedem Dokument: wann und wofür entschlüsselt wurde.