Sicherheit

In der App öffnen

Zielgruppe: AdministratorenGilt für: Workspace-Verwaltung

Die Seite Sicherheit enthält Sicherheitskontrollen auf Workspace-Ebene. Sie ist in drei Sub-Tabs unterteilt: PII, wo Sie die Erkennung personenbezogener Daten im Chat steuern, SSO, wo Sie Single Sign-on für Ihren Workspace einrichten, und MFA, wo Sie die Zwei-Faktor-Authentifizierung einrichten.

Sub-Tabs

PII

Personenbezogene Daten im Chat erkennen und maskieren.

SSO

Single Sign-on für Ihren Workspace einrichten.

MFA

Zwei-Faktor-Authentifizierung für Ihren Workspace einrichten.

PII

Der Tab PII enthält einen Abschnitt Chat mit einem Schalter PII-Erkennung. Wenn er aktiviert ist, erkennt und maskiert Zentre AI personenbezogene Daten im Chat und hilft so, sensible Daten aus Konversationen herauszuhalten.

1. Öffnen Sie den Sub-Tab PII.
2. Aktivieren Sie im Abschnitt Chat die PII-Erkennung.
3. Wählen Sie Einstellungen speichern, um Ihre Änderungen zu übernehmen.

Der Sub-Tab „PII“ mit dem Schalter für die PII-Erkennung im Chat und der Schaltfläche Einstellungen speichern.

Änderungen werden wirksam, sobald Sie Einstellungen speichern wählen.

Was die PII-Erkennung findet

Die PII-Erkennung findet personenbezogene Daten im Text, unter anderem:

• Namen
• E-Mail-Adressen und Telefonnummern
• Postanschriften und Datumsangaben
• IBANs und Kreditkartennummern
• IP-Adressen und URLs
• Krypto-Adressen
• Deutsche Kennungen: Steuer-ID, Sozialversicherungsnummer, Personalausweisnummer und Kfz-Kennzeichen

Diese Liste ist nicht vollständig; auch andere personenbezogene Daten werden erkannt. Erkennung und Maskierung sind für Englisch und Deutsch validiert.

So funktioniert die Maskierung

Wenn die Maskierung aktiviert ist, ersetzt Zentre AI personenbezogene Daten durch Platzhalter, bevor das Modell die Nachricht sieht. Das Modell arbeitet nur mit den Platzhaltern.

In der Antwort, die der Nutzer sieht, werden die Platzhalter wieder durch die ursprünglichen Werte ersetzt, sodass der Nutzer eine normale Antwort liest.

vorsicht

Wenn die Maskierung aktiviert ist und der Maskierungsdienst eine Nachricht nicht verarbeiten kann, sendet Zentre AI die Nachricht nicht an das Modell. Eine Nachricht wird nie unmaskiert gesendet, weil die Maskierung fehlgeschlagen ist.

PII-Einstellungen

Der Sub-Tab PII enthält diese Einstellungen. Sie gelten für den gesamten Workspace.

Einstellung	Wirkung
Erkennung	Schaltet die PII-Erkennung ein oder aus.
Vor der KI anonymisieren	Ein: Personenbezogene Daten werden maskiert, bevor das Modell sie sieht. Aus: Personenbezogene Daten werden nur erkannt und gezählt, und der Text wird unmaskiert an das Modell gesendet.
Methode	Hash: Derselbe Wert erhält immer denselben Platzhalter, auch über Unterhaltungen hinweg. Ersetzen: Jedes Vorkommen erhält einen neuen Platzhalter.
Konfidenzschwelle	Wie sicher ein Treffer sein muss, bevor er maskiert wird. Eine höhere Schwelle maskiert nur die sichersten Treffer.
Original speichern	Schaltet das Speichern der ursprünglichen Werte ein oder aus.

Wo sie gilt

PII-Erkennung und -Maskierung gelten für:

• Chats und Agenten
• Die Agenten-Vorschau
• Bearbeitete und neu generierte Nachrichten
• Anhänge
• Unterhaltungstitel, die nie personenbezogene Daten enthalten

Die Kennzahl PII-Erkennungen in der Übersicht zählt die personenbezogenen Daten, die die Erkennung gefunden hat.

SSO

Der Tab SSO richtet Single Sign-on ein, damit sich Ihre Mitglieder über Ihren Identitätsanbieter authentifizieren.

Nur ein Super-Admin kann SSO einrichten. SSO und die vorgeschriebene Zwei-Faktor-Authentifizierung können nicht gleichzeitig aktiv sein: Bevor Sie SSO einschalten, schalten Sie auf dem Tab MFA die Option Zwei-Faktor-Authentifizierung erforderlich aus, und umgekehrt.

SSO einrichten

1. Öffnen Sie den Tab SSO.
2. Schalten Sie Single Sign-On ein. Darunter erscheinen die Felder für die Einrichtung.
3. Wählen Sie unter SSO-Protokoll SAML v2.0 oder OpenID Connect v1.0.
4. Geben Sie die Werte Ihres Identitätsanbieters ein, und hinterlegen Sie bei Ihrem Identitätsanbieter die Werte, die Zentre anzeigt. Die Felder je Protokoll stehen weiter unten.
5. Wählen Sie Einstellungen speichern.

Die Einrichtung funktioniert mit jedem Identitätsanbieter, der SAML 2.0 oder OpenID Connect unterstützt. Zentre hat keine Vorlagen für einzelne Anbieter; die passenden Werte finden Sie in der Dokumentation Ihres Anbieters.

SAML 2.0

Der Tab Einrichtung des Identitätsanbieters nimmt die Werte Ihres Identitätsanbieters auf, auf eine von zwei Arten:

• Mit eingeschalteter Option Entity-Descriptor verwenden (SAML-Metadaten) fügen Sie die SAML-Metadaten-XML Ihres Identitätsanbieters ein. Sie enthält alle erforderlichen Einstellungen.
• Ohne diese Option geben Sie die Entitäts-ID (die Entity ID des Identitätsanbieters), die SSO-URL und das Zertifikat (das X.509-Zertifikat Ihres Identitätsanbieters) ein. Alle drei sind Pflichtfelder.
• Optional: Die URL des SAML 2.0 Single Logout Service, für die Abmeldung über den Identitätsanbieter.

Der Tab Service-Provider-Konfiguration zeigt die Werte für Ihren Identitätsanbieter. Kopieren Sie sie, oder laden Sie die Metadaten-XML-Datei herunter und laden Sie sie bei Ihrem Identitätsanbieter hoch:

• SP-Entitäts-ID
• Assertion-Consumer-Service-URL (ACS)
• Home-URL: Hinterlegen Sie sie bei Ihrem Identitätsanbieter, um die Anmeldung zu erlauben, die beim Identitätsanbieter beginnt (IdP-initiierte Anmeldung).
• SP-Metadaten-XML herunterladen: die Metadatendatei zum Hochladen bei Ihrem Identitätsanbieter.

OpenID Connect

Für OpenID Connect geben Sie ein:

• Mit OpenID-Connect-Discovery verwenden (empfohlen): die Discovery-URL. Zentre konfiguriert die übrigen Endpunkte daraus.
• Ohne Discovery: die Autorisierungs-URL und die Token-URL (Pflichtfelder) sowie die Userinfo-URL, die JWKS-URL und die Logout-URL (optional).
• Die bei Ihrem Anbieter registrierte Client-ID und das Client-Secret. Beide sind Pflichtfelder.
• Die Client-Authentifizierungsmethode: Client-Secret (Basic), Client-Secret (Post), Client-Secret (JWT) oder Private-Key-JWT.
• Die Standard-Scopes, durch Leerzeichen getrennt. Das Feld ist mit openid email profile vorbelegt.

Der Tab Redirect-Konfiguration zeigt die Redirect-URI. Fügen Sie sie in der Client-Konfiguration Ihres Anbieters als zulässige Redirect-URI hinzu. Für die IdP-initiierte Anmeldung setzen Sie bei Ihrem Anbieter außerdem die Home-URL auf den dort angezeigten Wert.

Die SSO-Konfiguration löschen

Wählen Sie Konfiguration löschen und im Dialog SSO-Konfiguration löschen? dann Löschen.

vorsicht

Die SSO-Konfiguration wird dauerhaft entfernt, und Benutzer melden sich danach mit Benutzername und Passwort an. Das kann nicht rückgängig gemacht werden.

Was Mitglieder bei der Anmeldung sehen

Die Anmeldung beginnt mit der E-Mail-Adresse: Mitglieder geben sie unter „Geben Sie Ihre E-Mail-Adresse ein, um fortzufahren.“ ein, und Zentre erkennt ihre Organisation. Gehört die E-Mail-Adresse zu mehreren Organisationen, wählen sie eine aus.

Mit SSO verwaltet der Identitätsanbieter die Passwörter: Die Kontoeinstellungen zeigen „Die Änderung Ihres Passworts wird von Ihrem Identitätsanbieter verwaltet.“ Schlägt eine SSO-Anmeldung fehl, sehen Mitglieder „SSO-Anmeldung fehlgeschlagen. Bitte versuchen Sie es erneut.“

MFA

Der Tab MFA enthält einen Abschnitt Zwei-Faktor-Authentifizierung mit dem Schalter Zwei-Faktor-Authentifizierung erforderlich. Wenn er aktiviert ist, muss jedes Mitglied Ihrer Organisation eine Authentifizierungs-App einrichten, bevor es sich anmelden kann.

1. Öffnen Sie den Sub-Tab MFA.
2. Aktivieren Sie Zwei-Faktor-Authentifizierung erforderlich.
3. Die Einstellung wird sofort gespeichert. Die App meldet „Die Einstellung für die Zwei-Faktor-Authentifizierung wurde aktualisiert.“

Solange SSO eingeschaltet ist, lässt sich die Zwei-Faktor-Authentifizierung nicht vorschreiben. Schalten Sie zuerst SSO aus.

Was Mitglieder sehen

Sobald die Zwei-Faktor-Authentifizierung vorgeschrieben ist, werden Mitglieder, die sie noch nicht eingerichtet haben, bei der Anmeldung aufgefordert, die Einrichtung einer Authentifizierungs-App abzuschließen. Sie gehen dann so vor:

1. Sie installieren eine Authentifizierungs-App.
2. Sie scannen den QR-Code mit der App. Lässt er sich nicht scannen, geben Sie den darunter angezeigten Code ein.
3. Sie geben den 6-stelligen Code aus der App ein.

Danach melden sie sich erneut mit der Authentifizierungs-App an. Bei jeder weiteren Anmeldung fragt Zentre nach dem Bestätigungscode aus der App.

Ein Mitglied hat seine Authentifizierungs-App verloren

Verliert ein Mitglied seine Authentifizierungs-App oder sein Gerät, setzt ein Administrator die Zwei-Faktor-Authentifizierung zurück: mit 2FA zurücksetzen auf der Detailseite des Mitglieds unter Benutzer. Bei der nächsten Anmeldung richtet das Mitglied eine neue Authentifizierungs-App ein.

Berechtigungen & Rollen

Zielgruppe

Administratoren

Gilt für

Workspace-Verwaltung

Nur Workspace-Administratoren können die Seite Sicherheit öffnen und diese Kontrollen ändern. Die PII-Erkennung und die SSO-Einstellungen gelten für den gesamten Workspace.

Unter Rollen und Berechtigungen sehen Sie alle Rollen auf einen Blick.

Verwandt

Organisation

Verwalten Sie die Identität Ihrer Organisation.

Audit

Überprüfen Sie Workspace-Aktivitäten zur Compliance.