Wir bauen die Plattform so, dass standardmäßig alles abgeriegelt ist. Der Server, den Ihr KI-Agent erstellt, ist aus dem Internet nicht sichtbar. Standardmäßig haben nur Sie Zugriff auf Ihre App. Schlüssel werden mit eingeschränkten Rechten ausgegeben. Sie bleiben Eigentümer Ihrer Daten und entscheiden, wer was sehen darf.
Ein Schritt blockiert 99 % der Versuche, ein Konto zu übernehmen. In einer Minute aktiviert.
Er öffnet alles, worauf Sie Zugriff haben. Fügen Sie ihn nie in Code ein und teilen Sie ihn nie in Chats.
Das bedeutet vollen Zugriff aus dem Internet ohne Anmeldung. Aktivieren Sie ihn nur, wenn Sie die Folgen verstehen.
An der Arbeit mit der Plattform sind drei Parteien beteiligt. Jede hat ihren eigenen Bereich. Das hilft zu klären, was wir übernehmen und was von Ihnen abhängt.
Dies ist ein Drittanbieterdienst. Code von jeder KI sollte überprüft werden – das ist gängige Branchenpraxis, keine Eigenheit von Vibecode.
Funktioniert ohne Ihr Zutun und schützt Sie standardmäßig.
Standardmäßig startet jeder Server im nicht-öffentlichen Modus – alle Ports geschlossen, kein Zugriff von außen. Nur wem Sie Zugriff gewähren, erreicht den Server, und nur über einen verschlüsselten Tunnel.
Jede App ist standardmäßig nur für ihren Eigentümer verfügbar. Die Erweiterung des Zugriffs erfolgt schrittweise: Mitarbeiter, Abteilung, das gesamte Bitrix24-Konto. Jede Änderung wird protokolliert.
Daten sind bei der Übertragung über einen sicheren Kanal und bei der Speicherung geschützt. Schlüssel zu Drittanbieterdiensten werden verschlüsselt gespeichert.
Vibecode-Server laufen auf Bitrix24 Cloud. Vibecode ist Teil des Bitrix24-Ökosystems.
Die Anmeldung ist so gestaltet, dass geheime Sitzungsdaten niemals den Browser des Besuchers erreichen. Versuche, sich als jemand anderes auszugeben, werden direkt am Eingang abgefangen.
Sie können Rechte einschränken, ein Ablaufdatum festlegen, den Nur-Lese-Modus aktivieren (in dem nichts geändert oder gelöscht werden kann) und einen Schlüssel jederzeit widerrufen.
Damit ein KI-Agent beginnt, eine App für Sie zu bauen, geben Sie ihm den einheitlichen Vibecode-Schlüssel und übergeben ihn einem externen Werkzeug. Im Grunde ist dieser Schlüssel der Generalschlüssel zu allem, worauf Sie Zugriff haben. Wer den Schlüssel hält, kontrolliert den Zugriff. Behandeln Sie ihn vorsichtiger als ein gewöhnliches Passwort.
Ein gestohlener Schlüssel bedeutet Zugriff auf Ihre Daten. Über ihn kann ein Angreifer KI-Anfragen ausführen und Ihr Guthaben verbrauchen – manchmal, bevor Sie es überhaupt bemerken.
Widerrufen Sie ihn in der Oberfläche, erstellen Sie einen neuen, aktualisieren Sie die Apps, die ihn nutzen, und prüfen Sie das Anfrageprotokoll auf unbekannte Adressen.
Sechs einfache Schritte. Keine Programmierkenntnisse erforderlich.
Die meisten Konten gehen nicht wegen Lücken in Plattformen verloren, sondern wegen schwacher Passwörter und gestohlener Zugangsdaten. Hier fangen wir an.
Das ist die wichtigste Regel des Vibe-Codings, und hier ist der Grund.
KI-Werkzeuge sind Drittanbieterdienste. Bevor Sie etwas in einen Prompt einfügen, überlegen Sie, was genau Sie senden.
Gute Nachricht für alle, die keinen Code lesen können: Sie können die Prüfung an eine KI delegieren. Die schlechte Nachricht – Sie können sie nicht an denselben Agenten delegieren, der die App geschrieben hat: Er neigt dazu, seine eigene Arbeit zu „rechtfertigen“, und sagt vielleicht überzeugend, alles sei in Ordnung, auch wenn es das nicht ist.
Wenn Sie sich nicht sicher sind, ist es immer am besten, das Sicherheitsaudit der App einem Spezialisten für Informationssicherheit oder einem Unternehmen anzuvertrauen, das solche Dienste anbietet.
Wenn die App fertig ist, entscheiden Sie, wer sie nutzen soll, und legen Sie den Zugriff nach dem Prinzip „nicht mehr als nötig“ fest.
Planen Sie, die App in einen Katalog zu stellen oder anderen die Nutzung zu erlauben? Dann werden Sie ihr Autor und müssen Ihre eigenen Nutzungsbedingungen und Datenschutzrichtlinien beifügen, die dem geltenden Recht entsprechen, sodass eine Person die App nicht nutzen kann, ohne den Bedingungen zuzustimmen.
Der offenste Zugriffsmodus heißt „Öffentlich“. Bevor Sie ihn aktivieren, ist es wichtig, genau zu verstehen, was geschieht.
Der Server wechselt niemals von selbst in den öffentlichen Modus – nur nach Ihrer ausdrücklichen Bestätigung, und jede solche Änderung wird im Protokoll festgehalten.
Aktivieren Sie „Öffentlich“ nur, wenn Sie es wirklich brauchen – zum Beispiel für ein öffentlich verfügbares Formular oder eine Landingpage, die keine sensiblen Daten und keinen Schreibzugriff auf Ihr Bitrix24-Konto hat. Im Zweifel aktivieren Sie es nicht. Den Zugriff später zu öffnen ist immer einfacher, als mit den Folgen eines Lecks umzugehen.
Diese Dinge gelten für jedes KI-Werkzeug, einschließlich Vibecode. Daran führt kein Weg vorbei.
Was immer sie tut, gilt als Ihre Handlung. Wenn der Agent wegen zu weit gefasster Rechte oder eines unklaren Prompts etwas Unerwünschtes tut, sind Sie verantwortlich. Halten Sie die Rechte daher minimal und behalten Sie die Kontrolle.
Ein Angreifer kann einen versteckten Befehl in eine Seite, ein Dokument oder eine E-Mail einschleusen, die die KI liest. Das nennt man Prompt-Injection: Das Modell sieht eine „fremde“ Anweisung und befolgt sie manchmal. Die Verteidigung ist einfach – geben Sie dem Agenten minimale Rechte und verbinden Sie keine unnötigen externen Quellen.
Generierter Text und Code stimmen möglicherweise nicht mit den Fakten überein – die KI kann eine Funktion „erfinden“ oder die Logik falsch machen. Prüfen Sie das Ergebnis und überlassen Sie wichtige Entscheidungen mit rechtlichen oder finanziellen Folgen nicht allein der KI – das letzte Wort hat ein Mensch.
Das in die Plattform integrierte BitrixGPT-Modell läuft innerhalb unseres Perimeters und verwendet Ihre Daten nicht für sein Training. Ihre Prompts werden nur zur Beantwortung der konkreten Anfrage verarbeitet und gelangen nicht in den Trainingsdatensatz.
Wenn Sie KI-Drittanbieterdienste über Ihren eigenen Schlüssel (BYOK) verbinden, liegt die Richtlinie dieses Dienstes beim Anbieter. Die Nutzungsbedingungen sollten Sie beim jeweiligen Dienst lesen.
Manche Risiken werden nicht durch eine Einstellung beseitigt, sondern durch Aufmerksamkeit – wir versuchen, sie zu erhalten.
Riskante Aktionen erfordern eine Bestätigung. Den Modus „Öffentlich“ aktivieren, einen neuen Schlüssel mit weitreichenden Rechten ausgeben, die Einstellungen der Zwei-Faktor-Anmeldung ändern – in jedem Fall zeigen wir genau, was geschehen wird, und bitten Sie um Bestätigung.
Wir versuchen, Sie per E-Mail über kritische Vorgänge und verdächtige Anmeldeversuche zu benachrichtigen. Wenn Sie eine E-Mail über eine Aktion erhalten, die Sie nicht ausgeführt haben, ist das ein Grund, Ihr Konto sofort zu prüfen und bei Bedarf das Passwort zu ändern.
Kopieren Sie sie, gehen Sie die Punkte durch, und Sie wenden die meisten Probleme im Voraus ab.
Phishing ist der Versuch, ein Passwort oder Daten über gefälschte E-Mails und Websites zu erlangen. Es ist der häufigste und wirksamste Weg, einzubrechen – und leicht zu erkennen, sobald Sie die Anzeichen kennen.
Zum Beispiel bltrix statt bitrix, eine Null statt des Buchstabens „O“, ein zusätzlicher Bindestrich.
„Dringend“, „sonst wird der Zugriff heute gesperrt“, „noch 5 Minuten“.
Echte Dienste tun das nicht. Öffnen Sie die Website manuell über ein Lesezeichen.
Dateien wie .exe, .scr oder mit doppelter Erweiterung wie document.pdf.exe.
Im Zweifel – folgen Sie keinem Link aus der E-Mail. Öffnen Sie den Dienst manuell über ein Lesezeichen oder ein Suchfeld. Bestätigen Sie eine Aufforderung zu Geld oder Daten über einen anderen Kanal – einen Anruf oder einen Arbeitschat.
Kein Fachjargon. Wenn etwas auf der Seite unklar ist, steht die Erklärung wahrscheinlich hier.
Anmeldung in zwei Schritten: ein Passwort plus ein Einmalcode.
Der Generalschlüssel, den Sie KI-Agenten ausgeben. Er öffnet den Zugriff auf alles, worauf Sie Zugriff haben.
Was genau dem Schlüssel erlaubt ist – zum Beispiel nur das CRM zu lesen.
Ein in einem Text versteckter Befehl, der die KI täuschen kann.
„Bring your own key“ – die Nutzung Ihres persönlichen Schlüssels zu einem KI-Drittanbieterdienst.
Derjenige, der entscheidet, welche Daten über Personen erhoben werden und warum (bei Ihren Kunden sind das Sie).
Vibecode-Server ohne öffentliche Internetadresse – standardmäßig geschlossen, nur über einen verschlüsselten Tunnel erreichbar.
Zugriff auf die App aus dem Internet ohne Anmeldung, für jeden Besucher.
Ein ruhiger, schneller Plan für drei Fälle.
Ändern Sie Ihr Passwort, aktivieren Sie 2FA, widerrufen Sie verdächtige Schlüssel und melden Sie sich aus allen Sitzungen ab. Melden Sie es dann dem Support über das Feedback-Formular. Je schneller, desto besser.
Überflüssiger Zugriff, seltsames Verhalten, eine unerwartete Rechnung für KI-Anfragen – schränken Sie die Zugriffsrichtlinie ein oder schalten Sie die App vorübergehend in den Nur-Lese-Modus, widerrufen Sie überflüssige Rechte vom Agenten und den Schlüsseln und prüfen Sie das Zugriffsprotokoll.
Bitte melden Sie sie uns umgehend über das Feedback-Formular in Ihrem Konto. Veröffentlichen Sie die Schwachstelle nicht, bevor sie behoben ist – wir unsererseits werden versuchen, umgehend zu reagieren.
Für Hilfe schreiben Sie uns über das Feedback-Formular in Ihrem Konto – das ist der schnellste Kanal.