Die Methode: Aus Behauptungen werden prüfbare Aussagen
«Sicher» und «menschlich überwacht» sind zunächst nur Behauptungen. Der Methodenentwurf 0.1 macht daraus Aussagen, die eine unabhängige Person testen und bestätigen kann.
Acht Bereiche, vier Säulen
24 Kontrollen decken alles Wichtige ab: Verantwortung, Daten, Sicherheit der Anbindungen, Zuverlässigkeit, menschliche Aufsicht, Transparenz, Betrieb und Nachweise. Sie fliessen in vier Säulen ein: Sicherheit, Daten, Aufsicht und Betrieb.
Warum so ausführlich? Eine einzige Gesamtnote könnte ein Problem verstecken. Detailwerte zeigen genau, wo ein Agent stark ist — und wo nicht.
Erst der Nachweis, dann die Aussage
Jede Kontrolle beschreibt sechs Dinge: das Risiko, die Anforderung, wann sie gilt, welche Belege erwartet werden, wie getestet wird — und wo die Grenzen liegen. Jeder Beleg nennt Version und Umgebung.
Ein Bildschirmfoto ohne Herkunft oder eine Richtlinie ohne Betriebsbeleg reicht nicht. Was zählt, ist der Nachweis aus dem laufenden System.
Der Zusammenhang entscheidet
Derselbe Klick kann harmlos oder folgenreich sein. Einen Terminentwurf zu erstellen ist etwas anderes, als ihn zu buchen. Darum gilt im Entwurf: Buchungen, Nachrichten nach aussen, Löschungen und klinische Weitergaben brauchen immer die Freigabe einer Person — gebunden an den genauen Inhalt.
Bekannte Referenzen, ehrlich eingeordnet
Das NIST-Rahmenwerk hilft beim Risikomanagement, OWASP bei technischen Angriffen, der EDÖB beim Schweizer Datenschutz. Diese Quellen geben Orientierung — mehr nicht. Wer sie zitiert, ist dadurch weder konform noch empfohlen noch zertifiziert.