Written for the person your operations director forwards it to: the CIO, the IT lead, the data-protection or security reviewer. The first section answers the six questions every review starts with, in plain language. The rest is the detail, including what is still open.Geschrieben für die Person, an die Ihre Betriebsleitung diese Seite weiterleitet: CIO, IT-Leitung, Datenschutz- oder Sicherheitsprüfung. Der erste Abschnitt beantwortet die sechs Fragen, mit denen jede Prüfung beginnt, in einfacher Sprache. Der Rest ist das Detail — einschließlich dessen, was noch offen ist.
Both platforms install as a Docker Compose stack on your machines — a Windows workstation with Docker Desktop, or your own Linux server. The database is yours, the backups are yours, the network perimeter is yours. AI features run either on a local model on your hardware (Ollama, pulled once at installation) or in a transparent analytical mode that computes answers from the database without any model. In both configurations core application data and AI processing stay on infrastructure you control; external connections — your mail server for notifications, a customer-specific identity provider — are explicit and configured by you. The products contain no external AI integration and no cloud option to switch on; internet is needed at build time for images and the one-time model download, and the stack runs offline afterwards.Beide Plattformen installieren als Docker-Compose-Stack auf Ihren Maschinen — einer Windows-Arbeitsstation mit Docker Desktop oder Ihrem eigenen Linux-Server. Die Datenbank gehört Ihnen, die Sicherungen gehören Ihnen, die Netzwerkgrenze gehört Ihnen. KI-Funktionen laufen entweder auf einem lokalen Modell auf Ihrer Hardware (Ollama, einmalig bei der Installation geladen) oder in einem transparenten Analysemodus, der Antworten ohne Modell aus der Datenbank berechnet. In beiden Konfigurationen bleiben die Anwendungsdaten und die KI-Verarbeitung auf Infrastruktur, die Sie kontrollieren; externe Verbindungen — Ihr Mailserver für Benachrichtigungen, ein kundenspezifischer Identitätsanbieter — sind ausdrücklich und werden von Ihnen konfiguriert. Die Produkte enthalten keine externe KI-Anbindung und keine Cloud-Option zum Einschalten; Internet wird beim Bau für Images und den einmaligen Modell-Download gebraucht, danach läuft der Stack offline.
One distinction, so nothing on this site contradicts itself. The only hosted AI anywhere in our company is the assistant on this website, which answers visitors' questions through a hosted model provider and never touches any customer's operational data — see the website privacy policy. The products you install are a different matter: no cloud path, by architecture.Eine Unterscheidung, damit sich nichts auf dieser Website widerspricht. Die einzige gehostete KI in unserem gesamten Unternehmen ist der Assistent auf dieser Website, der Besucherfragen über einen gehosteten Modellanbieter beantwortet und nie Betriebsdaten eines Kunden berührt — siehe die Datenschutzerklärung der Website. Die Produkte, die Sie installieren, sind eine andere Sache: kein Cloud-Weg, aus Architekturgründen.
Every endpoint checks role and scope on the server — store, area, region, country, national and the distribution centre in Drogista; facility, region, national and the hub (recursive) in Galenara — and access fails closed: an unknown scope means no access, not all access. Four-eyes is structural where value moves: the decider can never be the requester or the counter, and buying, receiving and paying are three different hands. Passwords are bcrypt-hashed with server-side policy; accounts lock after repeated failures; logins are rate-limited per IP. Both platforms offer optional TOTP two-factor authentication — enrolment confirmed by a live code, and a stolen session cannot strip the factor. Supplier portal accounts are confined by a single choke point to their own orders, delivery notes, prices and invoices; every internal door refuses them, and the portal refuses internal accounts in turn. Scope isolation is locked in place by the platforms' own test suites, with counter-proof runs that fail when a guard is removed.Jeder Endpunkt prüft Rolle und Zuständigkeit auf dem Server — Filiale, Gebiet, Region, Land, National und das Verteilzentrum bei Drogista; Einrichtung, Region, National und das Zentrallager (rekursiv) bei Galenara — und der Zugriff schließt im Zweifel: unbekannte Zuständigkeit heißt kein Zugriff, nicht aller Zugriff. Vier Augen sind strukturell, wo Werte sich bewegen: Wer entscheidet, kann nie zugleich anfordern oder zählen, und Kaufen, Annehmen und Zahlen sind drei verschiedene Hände. Passwörter sind bcrypt-gehasht mit serverseitiger Richtlinie; Konten sperren nach wiederholten Fehlversuchen; Anmeldungen sind je IP gedrosselt. Beide Plattformen bieten optionale TOTP-Zwei-Faktor-Anmeldung — die Einrichtung wird per Live-Code bestätigt, und eine gestohlene Sitzung kann den zweiten Faktor nicht entfernen. Lieferantenkonten sind durch einen einzigen Engpass auf ihre eigenen Bestellungen, Lieferscheine, Preise und Rechnungen begrenzt; jede interne Tür verweigert sie, und das Portal verweigert umgekehrt interne Konten. Zuständigkeits-Isolation ist durch die eigenen Testsuiten der Plattformen festgeschrieben, mit Gegenproben, die scheitern, wenn eine Sperre entfernt wird.
Hardening headers on every response; the API runs as a non-root user with dropped capabilities. Startup detection of shipped default secrets: a production installation (ENVIRONMENT=production) of either platform refuses to start on a shipped or missing secret — Drogista also rejects a secret shorter than 32 characters, and its message names the line to fix without printing a secret value; development and test installations log a warning and run, and Drogista's onboarding checklist stays red until the secret is rotated. The production compose file additionally refuses an empty database password. A one-command password-rotation step before access is handed out. Daily database backups with a rehearsed, documented restore. A deep health endpoint reporting database latency, scheduler heartbeat and job failures — including a "degraded" state for your monitoring to page on. Releases pass a CI pipeline that builds the stack, migrates, seeds and runs the full suite, plus a dependency audit.Härtungs-Header auf jeder Antwort; die API läuft als Nicht-Root-Benutzer mit abgelegten Capabilities. Erkennung ausgelieferter Standard-Geheimnisse beim Start: Eine Produktivinstallation (ENVIRONMENT=production) beider Plattformen verweigert den Start mit einem mitgelieferten oder fehlenden Geheimnis — Drogista weist zusätzlich ein Geheimnis unter 32 Zeichen ab, und seine Meldung nennt die zu korrigierende Zeile, ohne einen Geheimniswert auszugeben; Entwicklungs- und Testinstallationen protokollieren eine Warnung und laufen, und Drogistas Onboarding-Checkliste bleibt rot, bis das Geheimnis rotiert ist. Die Produktions-Compose-Datei verweigert zusätzlich ein leeres Datenbankpasswort. Ein Ein-Befehl-Schritt zur Passwortrotation, bevor Zugänge vergeben werden. Tägliche Datenbanksicherungen mit geprobter, dokumentierter Wiederherstellung. Ein tiefer Health-Endpunkt mit Datenbank-Latenz, Scheduler-Herzschlag und Job-Fehlern — einschließlich eines „degraded"-Zustands für Ihr Monitoring. Versionen durchlaufen eine CI-Pipeline, die den Stack baut, migriert, befüllt und die volle Suite ausführt, plus Abhängigkeits-Audit.
Drogista, release harness of 8 September 2026: 431 automated tests passed (1 skipped) behind a systematic acceptance test plan; the consistency oracle ran 1,397 checks with 0 disagreements; 3,801 interface strings in both languages; 501 coded, bilingual refusals; scope-isolation counter-proofs; a fictional-world checker with 0 residues. Galenara, release harness of 7 September 2026: 374 automated tests passed, re-counted by its own checkers on every release, including scope-isolation counter-proofs and a loop-closure audit that drives every workflow from birth to terminal state. These are different measures and are never added together. The documents ship with the product: role definitions, terms of reference per role, process workflow maps, the test plans with dated results, and the security posture files this page is built from — your auditor gets the same papers we work from.Drogista, Release-Prüflauf vom 8. September 2026: 431 automatisierte Tests bestanden (1 übersprungen) hinter einem systematischen Abnahme-Testplan; das Konsistenz-Orakel lief 1.397 Prüfungen mit 0 Widersprüchen; 3.801 Oberflächentexte in beiden Sprachen; 501 kodierte, zweisprachige Abweisungen; Zuständigkeits-Gegenproben; ein Prüfer für die fiktive Welt mit 0 Rückständen. Galenara, Release-Prüflauf vom 7. September 2026: 374 automatisierte Tests bestanden, bei jeder Version von den eigenen Prüfern neu gezählt, einschließlich Zuständigkeits-Gegenproben und eines Kreislauf-Audits, das jeden Arbeitsablauf von der Entstehung bis zum Endzustand durchfährt. Das sind verschiedene Maße und werden nie addiert. Die Dokumente werden mitgeliefert: Rollendefinitionen, Aufgabenbeschreibungen je Rolle, Prozesslandkarten, die Testpläne mit datierten Ergebnissen und die Sicherheitsdossiers, aus denen diese Seite gebaut ist — Ihr Prüfer erhält dieselben Papiere, mit denen wir arbeiten.
We keep a written list of what is not done yet, and it ships with the security documents. Current entries: an external penetration test is planned before the first pilot, not behind us; content-security-policy headers in the products need a dedicated pass; browser session tokens are moving from local storage to httpOnly cookies for production; secrets scanning is not yet part of the CI pipeline; single sign-on awaits the customer's identity-provider decision rather than us building a parallel identity store. If a vendor tells you they have no such list, they have one — unwritten.Wir führen eine schriftliche Liste dessen, was noch nicht fertig ist, und sie wird mit den Sicherheitsdokumenten ausgeliefert. Aktuelle Einträge: Ein externer Penetrationstest ist vor dem ersten Piloten geplant, nicht hinter uns; Content-Security-Policy-Header in den Produkten brauchen einen eigenen Durchgang; Browser-Sitzungstoken wandern für die Produktion aus dem lokalen Speicher in httpOnly-Cookies; ein Secrets-Scan ist noch nicht Teil der CI-Pipeline; Single Sign-on wartet auf die Identity-Provider-Entscheidung des Kunden, statt dass wir einen parallelen Identitätsspeicher bauen. Wenn ein Anbieter sagt, er habe keine solche Liste, hat er eine — ungeschrieben.
