§ PLATTFORM / COMPLIANCE-NACHWEISE
Compliance-Nachweise, die ein Prüfer ohne Vertrauensvorschuss prüfen kann
Execlave macht aus dem, was Ihre KI-Agenten getan haben, Nachweise: einen mit RSA-PSS signierten Compliance-Bericht, ein Audit-Paket mit SHA-256-Pakethash und CSV- oder JSON-Exporte. Ihr Prüfer kann den Bericht offline prüfen, mit den Schritten unten.
§ WAS SIE ÜBERGEBEN
Vier Nachweise, eine Quelle
Alle vier entstehen aus denselben Daten: dem hash-verketteten Audit-Log, Ihren Richtlinien, Freigaben und dem Agenten-Register.
Vier Nachweise, eine Quelle
01 / Nachweis
Signierter Compliance-Bericht
Ein Bericht pro Zeitraum und Framework-Auswahl, als JSON, HTML oder PDF. Das JSON ist mit RSA-SHA256-PSS über seine kanonische Form signiert, und der öffentliche Schlüssel steckt im Bericht. HTML und PDF zeigen die Signatur und die Schritte zur Prüfung.
02 / Nachweis
Audit-Paket
Die neuesten 10.000 Audit-Log-Einträge eines Zeitraums, das Ergebnis der Hash-Ketten-Prüfung, wie viel der Kette inhaltlich prüfbar ist, und ein SHA-256-Hash über alle Einträge. Die Prüfschritte stehen im Paket.
03 / Nachweis
CSV- und JSON-Exporte
Traces und das Audit-Log als CSV oder JSON, bis zu 10.000 Zeilen pro Anfrage. Trace-Exporte filtern nach Zeitraum, Agent, Status und Umgebung, Audit-Log-Exporte nach Zeitraum.
04 / Nachweis
Berichtsverlauf
Jeder JSON-Bericht wird gespeichert, sodass ein Viewer den Bericht des letzten Quartals so öffnen kann, wie er signiert wurde. Das Erzeugen eines Berichts schreibt einen Audit-Log-Eintrag; lässt sich dieser nicht schreiben, schlägt die Anfrage fehl, statt einen unprotokollierten Bericht zu liefern.
§ IM BERICHT
Was der signierte Bericht enthält
Alles unten steht im signierten Teil. Nichts davon lässt sich nach dem Signieren ändern, ohne dass die Signatur fehlschlägt.
Was der signierte Bericht enthält
§ FRAMEWORKS NACH PLAN
Über welche Frameworks jeder Plan berichten kann
Admins erzeugen Berichte im Dashboard oder über GET /api/v1/compliance/report. Jedes Mitglied kann gespeicherte Berichte öffnen.
Über welche Frameworks jeder Plan berichten kann
| Plan | Frameworks im Bericht |
|---|---|
| Free, Trial | Nicht enthalten |
| Starter | DSGVO, EU AI Act, OWASP ASI |
| Professional | DSGVO, EU AI Act, OWASP ASI, SOC 2 Type II, HIPAA, ISO 27001:2022 |
| Enterprise | Alle oben genannten, dazu PCI DSS und NIST AI RMF |
Preise und Limits finden Sie auf der Preisseite.
§ PRÜFEN
So prüfen Sie einen signierten Compliance-Bericht
Dieselben fünf Schritte funktionieren offline mit jeder RSA-Bibliothek. Execlave führt die Schritte 2 bis 4 auch für Sie aus, unter POST /api/v1/compliance/verify-signature.
So prüfen Sie einen signierten Compliance-Bericht
Den JSON-Bericht nehmen
Laden Sie das JSON im Dashboard herunter oder rufen Sie GET /api/v1/compliance/report mit format=json auf. HTML und PDF zeigen die Signatur, die signierten Bytes stammen aber aus dem JSON.
Die Signaturfelder entfernen
Löschen Sie signatureInfo aus dem Berichtsobjekt, und signingStatus, falls vorhanden. Beide gehören nicht zu den signierten Bytes.
Den Rest kanonisieren
Serialisieren Sie das übrige Objekt als JSON mit rekursiv sortierten Objektschlüsseln und ohne Leerzeichen, kodiert als UTF-8.
Die Signatur prüfen
Prüfen Sie die Base64-Signatur aus signatureInfo.signature über diese Bytes mit RSA-PSS und SHA-256 gegen signatureInfo.publicKey. Schlägt das fehl, wurde der Bericht nach dem Signieren verändert.
Prüfen, wer signiert hat
Eine gültige Signatur belegt, dass der Bericht unverändert ist, seit er mit diesem Schlüssel signiert wurde, aber nicht, wer ihn signiert hat. Rufen Sie /.well-known/execlave-signing-keys.json vom API-Host der ausstellenden Instanz ab (Execlave Cloud: https://api.execlave.com/.well-known/execlave-signing-keys.json), suchen Sie den Eintrag, dessen kid gleich signatureInfo.keyId ist, und prüfen Sie die Signatur erneut mit dem publicKey dieses Eintrags, nicht mit dem Schlüssel im Bericht. Die keyId ist nicht signiert; eine übereinstimmende ID allein beweist nichts. Schlüssel aus der Zeit vor einer Rotation bleiben als retired gelistet; bei Berichten ohne keyId vergleichen Sie die Schlüssel in DER-Form, nicht als PEM-Text.
Das Audit-Paket wird anders geprüft: Hash jedes Eintrags neu berechnen, Kettenglieder prüfen und den Pakethash neu berechnen. Diese Schritte stehen auf der Audit-Trail-Seite.
§ FAQ
Compliance-Nachweise, beantwortet
Compliance-Nachweise, beantwortet
Ist ein Execlave-Compliance-Bericht eine Zertifizierung?
Nein. Der Bericht ist ein Nachweis für Ihr Audit. Er zeigt, was Ihre Kontrollen in einem Zeitraum getan haben und wo sie nicht ausreichen. Ob Ihre Organisation ein Framework erfüllt, entscheidet Ihr Prüfer, und Execlave selbst ist nicht nach diesen Frameworks zertifiziert.
Kann ein Prüfer einen Bericht ohne Zugang zu Execlave prüfen?
Ja. Der öffentliche Schlüssel steckt im Bericht, und die fünf Schritte oben brauchen nur die JSON-Datei und eine übliche RSA-Bibliothek. Der Endpunkt verify-signature ist eine Erleichterung, keine Voraussetzung.
Was, wenn auf einer Instanz keine Signatur eingerichtet ist?
Der Bericht sagt es. Ein unsignierter Bericht trägt ein Feld signingStatus mit dem Grund (Schlüssel nicht konfiguriert, Schlüssel fehlerhaft oder Signieren fehlgeschlagen), und HTML und PDF geben an, dass der Bericht nicht signiert ist.
Verbirgt der Bericht Lücken?
Nein. Nicht erfüllte Kontrollen stehen mit Risikostufe und Lückenhinweis im Bericht. Er gibt außerdem an, wie viele erlaubte Aktionen ein bestätigtes Ergebnis haben und wie viele Aufrufe ohne Server-Entscheidung liefen, damit Schweigen nie als Erfolg gelesen wird.
Wie weit kann ein Bericht zurückreichen?
So weit, wie die Daten aufbewahrt werden. Das Audit-Log wird in jedem Plan ein Jahr aufbewahrt, Traces für die Aufbewahrungsdauer Ihres Plans. Gespeicherte Berichte behalten, was sie beim Erzeugen zeigten.
Was unterscheidet den Bericht vom Audit-Paket?
Der Bericht fasst einen Zeitraum entlang von Frameworks zusammen und ist signiert. Das Audit-Paket enthält die rohen Audit-Log-Einträge mit einem SHA-256-Pakethash, für Prüfer, die die Kette Eintrag für Eintrag nachprüfen wollen.
Execlave liefert Nachweise für Ihre Compliance-Arbeit. Es ist keine Rechtsberatung, kein Prüfurteil und keine Zertifizierung.
Erzeugen Sie Ihren ersten signierten Bericht
Verbinden Sie einen Agenten, setzen Sie eine Richtlinie und exportieren Sie einen signierten Bericht für den Zeitraum Ihrer Wahl. Starter enthält Berichte für DSGVO, EU AI Act und OWASP ASI.