Sieht die CloudDNA meine Tenant-Daten?

Nein. Es gibt keinen Server der CloudDNA im Datenweg, keine Telemetrie und kein Analyse-Werkzeug. Daten verlassen den Browser nur, wenn du es auslöst – zum Beispiel an die API, die du im Test Studio aufrufst, oder an dein eigenes KI-Modell.

Welche Rechte braucht die Extension am Tenant?

Keine eigenen. Sie nutzt die SAP-Session, mit der du im Browser angemeldet bist, und deine Rollen. Was du nicht sehen darfst, sieht auch iFlowTailor nicht.

Liest iFlowTailor private Schlüssel oder Passwörter?

Nein. Aus dem Security Material liest die Extension Alias, Typ, Name und Ablaufdatum. Private Schlüssel, Passwörter und Secure Parameters bleiben unberührt.

Gibt es ein Security Whitepaper und einen Sicherheitsfragebogen?

Ja. Das Whitepaper beschreibt Architektur, Zugriff, lokale Daten, externe Verbindungen, Policies und Lieferkette; einen ausgefüllten Fragebogen schicken wir auf Anfrage. Schreib an security@iflowtailor.com oder über das Formular.

Wie melde ich eine Schwachstelle?

Bitte vertraulich an security@iflowtailor.com. Wir antworten persönlich und nennen dich auf Wunsch, sobald die Lücke geschlossen ist.

Sicherheit · Stand Version 1.2.0 vom 03.11.2026

Wenig zu erklären.

Ein Werkzeug, das jedes iFlow eines Tenants lesen kann, muss sich gegenüber der Security-Abteilung erklären. Wir haben iFlowTailor so gebaut, dass die Erklärung kurz ist: kein Server von uns, keine eigenen Zugangsdaten, kein Schreiben ab Werk. Alles Weitere steht hier – jede Aussage mit Fundstelle.

Whitepaper anfordern Rollout per Richtlinie

ArchitekturKein Backend
Kein Server, keine Telemetrie, keine Remote-Konfiguration. Updates nur über die Browser-Stores, kein nachgeladener Code.
ZugriffDeine Session
Nur lesende Aufrufe auf eine Liste freigegebener Pfade, mit deiner bestehenden SAP-Session und deinen Rollen.
SchreibenAus ab Werk
Prüfkette, Vorher/Nachher, Audit-Log – und per Policy ganz sperrbar.
SecretsVerschlüsselt
AES-GCM 256 mit nicht exportierbarem Schlüssel, nur im Browserprofil.
LizenzOffline
Signiertes Token, ohne Lizenzserver und ohne Nutzungstracking.

Berechtigungen der Extension

Was der Browser erlaubt – und warum.

So steht es auch in den Store-Einträgen. Alles, was über den Tenant hinausgeht, ist optional und wird je Host erfragt.

Quelle: Store-Texte und Manifest von iFlowTailor 1.2.0.
Berechtigung	Wofür
`storage`	Einstellungen, Collections, Tenant-Index und verschlüsselte Secrets lokal speichern
`sidePanel`	Das Panel neben dem iFlow-Editor anzeigen (Chrome und Edge)
Hosts der SAP Integration Suite	Den Tenant erkennen und mit der bestehenden Session lesen (`.hana.ondemand.com`, `.cloud.sap`)
Weitere Hosts – optional	Nur auf Nachfrage und je Host: Ziel-APIs im Test Studio, dein KI-Endpunkt, Confluence, Schwachstellen-Abgleich
Nachgeladener Code	Keiner

Was den Browser verlässt

Nur, was du auslöst. Nur, wohin du willst.

Jede Verbindung außerhalb des Tenants ist nutzerausgelöst, braucht die Erlaubnis des Browsers für genau diesen Host und geht ohne Cookies raus.

Test Studio.Die Ziel-API, die du eingibst; On-Premise nur über ein Relay-iFlow mit Allowlist, das du selbst importierst.
Ask Tailor.Dein Modell, dein Schlüssel. E-Mails, Hosts, URLs, IPs, IBANs, Tokens, Secrets, Message-IDs und eigene Begriffe werden vor dem Senden ersetzt; das Panel zeigt den gesendeten Text.
Datenschutz-Wächter.In Arbeit, für alle Editionen: findet E-Mails, IBANs, Kartennummern, Geburtsdaten und Steuer-IDs vor Export und KI und maskiert sie.
Schwachstellen-Check.Nur auf Wunsch, nur Maven-Koordinaten und Version, mit Vorschau vor dem Senden – an OSV.dev.
Confluence.Upload der erzeugten Doku nach Bestätigung; der Token liegt verschlüsselt im Browser.

Rollout im Unternehmen

Die IT verteilt. Die Policy gilt.

Extension, Lizenzschlüssel und Team-Policy kommen über die verwaltete Konfiguration des Browsers: Chrome und Edge per GPO oder Intune, macOS per Configuration Profile, Firefox per policies.json. Eine so verteilte Policy können Nutzer nicht ändern.

Die Policy entsteht im Policy Studio: Read-only erzwingen, einzelne Schreibaktionen sperren, KI erlauben oder auf bestimmte Endpunkte beschränken, Maskierung erzwingen, Mindest-Score und Naming-Standard festlegen. Aus Datei oder URL gilt sie nur mit gültiger Signatur.

Rollout mit uns planen →

1Policy zusammenstellen. Im Policy Studio, mit Test gegen ein Beispiel-iFlow.
2Exportieren. Als JSON für die Browser-Richtlinie, mit Ablaufdatum.
3Verteilen. Extension, Lizenz und Policy über Intune, GPO oder Google Admin.
4Messen. Tenant Health und Security Risk Radar zeigen, ob der Standard wirkt.

Hilfs-iFlows und Lieferkette

Was optional ist – und wie gebaut wird.

Relay und Groovy Runner sind optional.Du importierst sie selbst; iFlowTailor importiert oder deployt nie automatisch. Der Runner ist für Entwicklungs- und Test-Tenants gedacht und läuft mit Zeitlimit auf einer Kopie der Nachricht.
Entwicklung.TypeScript im strikten Modus, mehr als 270 automatische Tests, CI bei jedem Push, wenige Laufzeitabhängigkeiten, Lockfile.
Tenant-Daten nie im Repository.Testdaten sind anonymisiert. Schwachstellen bitte vertraulich an security@iflowtailor.com.

Fundstellen auf dieser Seite

Die hochgestellten Ziffern im Text verweisen hierher. Antippen zeigt die Fundstelle direkt an der Textstelle, alle Fundstellen der Website stehen gesammelt auf einer Seite.

1
Kein Server des Herstellers, keine Telemetrie ↑Produkt · iFlowTailor Produktdokumentation, Security Whitepaper und Datenschutzerklärung der Extension · geprüft am 04.11.2026
2
Bestehende SAP-Session, kein SAP-Passwort ↑Produkt · iFlowTailor Produktdokumentation, Architekturentscheidung 0002 und Security Whitepaper, Abschnitt 2 · geprüft am 04.11.2026
3
Read-only als Standard, Schreiben nur mit Vorschau ↑Produkt · iFlowTailor Produktdokumentation, Security Whitepaper, Abschnitt 2 · geprüft am 04.11.2026
4
Secrets lokal verschlüsselt ↑Produkt · iFlowTailor Produktdokumentation, Security Whitepaper, Abschnitt 3 · geprüft am 04.11.2026
5
Lizenz offline geprüft ↑Produkt · iFlowTailor Produktdokumentation, Editionen, Abschnitt Technik · geprüft am 04.11.2026
6
Test Studio und Relay ↑Produkt · iFlowTailor Produktdokumentation, Benutzerhandbuch, Test Studio; Hilfs-iFlows · geprüft am 04.11.2026
7
Ask Tailor mit eigenem Modell und Maskierung ↑Produkt · iFlowTailor Produktdokumentation, Security Whitepaper, Abschnitt 4; KI-Anbieter und Aufgaben · geprüft am 04.11.2026
8
Datenschutz-Wächter (in Arbeit) ↑Produkt · iFlowTailor Produktdokumentation, Changelog, Abschnitt „Unreleased“, Datenschutz-Wächter · geprüft am 04.11.2026
9
Schwachstellen-Check ↑Produkt · iFlowTailor Produktdokumentation, Changelog 1.0.0, Schwachstellen-Check · geprüft am 04.11.2026
10
OSV.dev – Datenbank für Schwachstellen in Open Source ↑Hersteller · OSV.dev (Open Source Vulnerabilities) · geprüft am 04.11.2026
11
Doku-Generator ↑Produkt · iFlowTailor Produktdokumentation, Benutzerhandbuch, Doku · geprüft am 04.11.2026
12
Verteilung per Browser-Richtlinie ↑Produkt · iFlowTailor Produktdokumentation, Rollout im Unternehmen · geprüft am 04.11.2026
13
Team-Policies und eigene Regeln ↑Produkt · iFlowTailor Produktdokumentation, Rollout im Unternehmen und Security Whitepaper, Abschnitt 5 · geprüft am 04.11.2026
14
Tenant Health, Landscape und Cleanup ↑Produkt · iFlowTailor Produktdokumentation, Editionen, Team · geprüft am 04.11.2026
15
Security Risk Radar ↑Produkt · iFlowTailor Produktdokumentation, Changelog 1.0.0, Security Risk Radar · geprüft am 04.11.2026
16
Groovy Runner ↑Produkt · iFlowTailor Produktdokumentation, Changelog 1.0.0 und Hilfs-iFlows · geprüft am 04.11.2026
17
Entwicklung und Lieferkette ↑Produkt · iFlowTailor Produktdokumentation, Security Whitepaper, Abschnitt 7 · geprüft am 04.11.2026

Häufige Fragen

Fragen zur Sicherheit.

Sieht die CloudDNA meine Tenant-Daten?: Nein. Es gibt keinen Server der CloudDNA im Datenweg, keine Telemetrie und kein Analyse-Werkzeug. Daten verlassen den Browser nur, wenn du es auslöst – zum Beispiel an die API, die du im Test Studio aufrufst, oder an dein eigenes KI-Modell.
Welche Rechte braucht die Extension am Tenant?: Keine eigenen. Sie nutzt die SAP-Session, mit der du im Browser angemeldet bist, und deine Rollen. Was du nicht sehen darfst, sieht auch iFlowTailor nicht.
Liest iFlowTailor private Schlüssel oder Passwörter?: Nein. Aus dem Security Material liest die Extension Alias, Typ, Name und Ablaufdatum. Private Schlüssel, Passwörter und Secure Parameters bleiben unberührt.
Gibt es ein Security Whitepaper und einen Sicherheitsfragebogen?: Ja. Das Whitepaper beschreibt Architektur, Zugriff, lokale Daten, externe Verbindungen, Policies und Lieferkette; einen ausgefüllten Fragebogen schicken wir auf Anfrage. Schreib an security@iflowtailor.com oder über das Formular.
Wie melde ich eine Schwachstelle?: Bitte vertraulich an security@iflowtailor.com. Wir antworten persönlich und nennen dich auf Wunsch, sobald die Lücke geschlossen ist.

Deine Frage ist nicht dabei? Sprich mich an: +43 664 1964199 office@clouddna.at Demo an deinem Tenant