Latet
Demnächst

Latet Enterprise

Latet ersetzt Geheimnisse und personenbezogene Daten in den Anfragen Ihrer KI-Agenten durch realistische Ersatzwerte, bevor sie nach außen gehen. Mit Latet Enterprise hat Ihr Sicherheitsteam das Sagen: Es legt Regeln fest, die niemand lockern kann, entscheidet über jede Änderung, die sie schwächen würde, und erhält Ereignisse und Berichte für SIEM und Audits. Alles läuft auf einem Server in Ihrem Netzwerk.

Auf die Warteliste Schreiben Sie an info@latet.ai

Wo es läuft

Latet Enterprise läuft auf Ihrem eigenen Server, in Ihrem Netzwerk. Es gibt keine Latet-Cloud, und der Server nimmt nie Kontakt zu Latet auf.

Ihr Netzwerk
Rechner Claude Code, Codex, OpenCode und weitere Agenten
CI und Programme jedes mit eigenem API-Schlüssel
Latet-Server maskiert jede Anfrage und setzt in jeder Antwort die echten Werte wieder ein
KI-Anbieter die Ihre Agenten bereits nutzen
Direkte Verbindung: gesperrt
Firewall
Mit der Firewall-Regel erreicht nur der Latet-Server die KI-Anbieter.
  • Der Server maskiert. Rechner und Programme schicken ihre KI-Anfragen per HTTPS an den Latet-Server, und der Server maskiert jede einzelne selbst. Er verlässt sich dafür nie auf einen Rechner.
  • Keine Verbindung zu Latet. Der Server verbindet sich mit den KI-Anbietern und mit den Systemen, die Sie anbinden, etwa Ihrem Identity Provider und Ihrem SIEM. Die Lizenz ist eine signierte Datei, die offline geprüft wird.
  • Ihr Kontrollpunkt, zusammen mit der Firewall. Der Server wird zu Ihrem Kontrollpunkt, sobald Ihre Firewall nur ihn zu den KI-Anbietern durchlässt; ein Rechner, der sie direkt erreicht, umgeht ihn. Die Dokumentation zeigt ein Beispiel für die Regel. Latet prüft nicht, ob sie aktiv ist.
Technische Details
  • Betrieb. Der Server läuft als zustandslose Instanzen hinter Ihrem Load Balancer, mit PostgreSQL und Valkey, im Container oder als systemd- oder Windows-Dienst.
  • Verschlüsselung. In PostgreSQL sind die Werte, Texte und Bilder jeder Person und jedes API-Schlüssels mit einem eigenen Schlüssel versiegelt, und diese Schlüssel mit einem Hauptschlüssel. Kontonamen und E-Mail-Adressen liegen im Klartext vor.
  • Der Hauptschlüssel. Der Server liest ihn aus einer Datei oder einer Umgebungsvariable. Bewahren Sie eine Kopie getrennt von den Datenbank-Backups auf.
  • Builds. Jedes Release entsteht in einem Workflow, der Build-Provenienz-Attestierungen und eine CycloneDX-SBOM hinzufügt.

Kontrolle

Ihr Sicherheitsteam legt die Regeln für alle an einer Stelle fest, mit einer Untergrenze, die niemand unterschreiten kann, und entscheidet über Änderungen, die den Schutz schwächen würden.

Regeln für alle

  • Einmal festgelegt, für alle. Begriffe, Listen, Erkenner, Feldregeln und Schutzstufen werden auf dem Server festgelegt und gelten für jede Person und jeden API-Schlüssel; jede Person ergänzt eigene.
  • Eine Untergrenze, keine Obergrenze. Die Einstellungen jeder Person bauen auf Ihrer Richtlinie auf. Eine Änderung, die diese Grenze unterschreiten würde, wird abgelehnt, ob sie aus dem Dashboard, von der Kommandozeile oder aus einem Import kommt, und die Ablehnung nennt die Einstellung, die Ihr Unternehmen gesperrt hat.
  • Für alle sichtbar. Im Dashboard sieht jede Person die gesperrten Einstellungen mit einem Schlosssymbol.
  • Sofort wirksam auf dem Server. Die Richtlinie liegt in der Datenbank des Servers und gilt sofort für jede Person und jeden API-Schlüssel.
Technische Details
  • Format. Die Richtlinie hat das Format der Regeldatei von Latet: Sie können mit einem Export der Regeln beginnen, die Sie schon nutzen.
  • Ohne Server. Ihre Geräteverwaltung installiert eine Richtliniendatei dort, wo nur Administratoren schreiben können: C:\ProgramData\Latet\policy.yaml, /Library/Application Support/Latet/policy.yaml oder /etc/latet/policy.yaml.
  • Die Grenzen einer Datei. Wer auf dem eigenen Rechner Administratorrechte hat, kann die Datei löschen. Eine verlässliche Untergrenze liegt auf dem Server, zusammen mit der Firewall-Regel.

Zentrale Freigaben

  • Ihr Sicherheitsteam entscheidet. Wenn Ihre Richtlinie es vorsieht, geht eine Änderung, die den Schutz schwächen würde, an die Personen mit der Rolle „Sicherheit“, etwa wenn ein Wert im Klartext durchgelassen oder eine Regel abgeschaltet werden soll.
  • Keine Werte in der Anfrage. Eine Freigabeanfrage nennt die Einstellung, die sie ändern würde, nie einen Wert.
  • Transparent für Wartende. Wer die Änderung beantragt hat, sieht, wer darüber entscheidet.
  • Der Live-Prüfer, wenn Sie es wünschen. Der Live-Prüfer hält jeden neuen Text zurück, bis ihn jemand freigibt. Ihr Unternehmen kann das Sicherheitsteam statt jeder einzelnen Person freigeben lassen. Die Betroffenen werden informiert.

Nachweise

Latet Enterprise sendet Ereignisse an Ihr SIEM und erstellt Berichte für Ihre Audits. Sie enthalten Anzahlen und Kategorien, nie einen Wert.

Ereignisse für Ihr SIEM

  • Splunk. Die Ereignisse gehen an den HTTP Event Collector (HEC) von Splunk.
  • Syslog. Ereignisse gehen als Nachrichten nach RFC 5424 über TLS an rsyslog, syslog-ng oder einen Collector vor Microsoft Sentinel.
  • Webhook. Jedes Ereignis geht als JSON über HTTPS an eine Adresse Ihrer Wahl, mit den Headern, die der Empfänger braucht. Das funktioniert mit Elastic, mit Microsoft Sentinel über eine Logic App und mit Collectoren wie Vector oder Fluent Bit.
  • Bremst keine Anfrage. Das Senden eines Ereignisses hält nie die Anfrage eines Agenten auf. Ereignisse warten in einer Warteschlange und werden erneut gesendet, wenn Ihr SIEM nicht antwortet.
Technische Details
  • Ereignistypen. exchange, stopped, approval, change, policy, sync, sign-in, license sowie admin für das Administrationsprotokoll.
  • Zustellung. Ereignisse werden mindestens einmal und der Reihe nach zugestellt, in Paketen von bis zu 500, die jeweils nur eine Instanz sendet. Bricht die Übertragung eines Pakets mittendrin ab, kann ein Teil doppelt ankommen: Die id jedes Ereignisses macht Duplikate erkennbar.
  • Wiederholungen. Antwortet ein Empfänger nicht, versucht Latet es nach 5 Sekunden, 10 Sekunden, 30 Sekunden und einer Minute erneut, danach alle 5 Minuten. Die wartenden Ereignisse behalten ihre Reihenfolge, auch über Neustarts hinweg.
  • Geheimnisse. Tokens und Schlüssel liegen versiegelt in der Datenbank des Servers. Ein Webhook mit Geheimnis wird signiert (x-latet-signature), und http:// wird abgelehnt, außer zum Server selbst.
Ein Ereignis: Anzahlen, nie ein Wert
{
  "v": 1,
  "id": "3f9a0c1d2e4b4c6f8a1b2c3d4e5f6071",
  "ts": "2026-11-03T09:12:44Z",
  "type": "exchange",
  "identity": null,
  "kind": "person",
  "group": "g_payments",
  "agent": "claude-code",
  "project": "billing-api",
  "masked": {"EMAIL": 3, "IBAN": 1},
  "stopped": 0,
  "reason": null,
  "outcome": null,
  "by": null,
  "rule": null
}

In diesem Austausch wurden drei E-Mail-Adressen und eine IBAN maskiert. Das Ereignis gibt an, wie viele Werte welcher Art es waren, aber nie, welche. Solange Berichte nach Gruppe erstellt werden (die Standardeinstellung), bleibt identity auf null.

Berichte

  • Im Dashboard. Filtern Sie nach Zeitraum, Gruppe, Projekt, Agent oder Kategorie, verfolgen Sie die Entwicklung über die Zeit und exportieren Sie die Berichte als CSV oder JSON.
  • Unabhängig vom Verlauf. Die Berichte stammen aus einem eigenen Ereignisprotokoll mit eigener Aufbewahrungsdauer und funktionieren daher auch bei abgeschaltetem Verlauf.

Administrationsprotokoll

  • Wer was getan hat. Das Protokoll hält jede administrative Aktion fest: wer, was, woran, wann und von welcher Adresse aus, aber nie einen Wert. Es wird 365 Tage aufbewahrt, sofern Sie nichts anderes festlegen.
  • Änderungen fallen auf. Jeder Eintrag enthält den Hash des vorherigen. latet server log verify, eine stündliche Prüfung und latet server status zeigen, ob die Kette intakt ist.
  • Auch in Ihrem SIEM. Eine Hash-Kette macht eine Änderung sichtbar, verhindert sie aber nicht: Wer in die Datenbank schreiben kann, kann die ganze Kette neu schreiben. Deshalb geht das Protokoll auch an Ihr SIEM.
  • Auf jedem Server. Das Protokoll gehört zu jedem Latet-Server, schon in der Community Edition. Enterprise bringt es in die Berichte und ins SIEM.

Die Namen Ihres Unternehmens

Latet findet, was ein klares Format hat: Schlüssel, E-Mail-Adressen, IBANs, Ausweisnummern. Die Namen Ihrer Kunden und die Codenamen Ihrer Projekte haben keines. Latet Enterprise übernimmt sie aus Ihren eigenen Systemen und maskiert sie wie jeden anderen Wert, ohne dass jemand sie eintippen muss.

  • Aus einer Datei oder URL. Latet liest regelmäßig eine Liste in CSV, JSON oder YAML ein, und jedes System kann eine erzeugen.
  • Aus Microsoft Entra ID. Latet übernimmt über Microsoft Graph die Namen und E-Mail-Adressen von Personen sowie Gruppennamen.
  • Aus LDAP und Active Directory. Latet liest die Namen direkt aus Ihrem Verzeichnis.
  • Aus einem CRM, auf Anfrage. HubSpot oder Salesforce werden angebunden, wenn ein Latet-Kunde danach fragt.
Technische Details
  • Begriffstypen. Jede Quelle ordnet ihre Felder Typen wie CLIENT, PERSON und PROJECT zu.
  • Versiegelt. Synchronisierte Begriffe liegen versiegelt in PostgreSQL, nicht in einer Einstellungsdatei: Eine Kundenliste ist für sich schon sensibel.
  • An der Quelle entfernt. Ein Begriff, der aus seiner Quelle verschwindet, bleibt maskiert und wird als nicht mehr vorhanden markiert, bis jemand mit der Rolle „Sicherheit“ ihn entfernt.

Anmeldung und Rollen

Ihre Mitarbeitenden melden sich über Ihren Identity Provider an, und ihre Konten werden dort verwaltet.

  • Single Sign-on mit OIDC. Es funktioniert mit Microsoft Entra ID, Google, Okta, Keycloak, Authentik, Auth0 und weiteren OIDC-Anbietern. SAML 2.0 gibt es auf Anfrage.
  • Konten über SCIM 2.0. Ihr Identity Provider legt Konten an und deaktiviert sie. Nur Mitglieder der Gruppe, die Sie wählen, etwa latet-users, erhalten eines.
  • Deaktiviert heißt abgemeldet. Wer deaktiviert wird, verliert sofort alle Sitzungen und Tokens auf jeder Instanz, und der Lizenzplatz wird frei.
  • Gruppen und Rollen. Gruppen kommen aus Ihrem Identity Provider oder werden von Hand angelegt. Rollen werden Personen oder Gruppen zugewiesen.
Technische Details
  • OIDC. Latet nutzt den Authorization Code Flow mit PKCE. Das Client Secret ist mit dem Hauptschlüssel versiegelt, und die Gruppen im Token werden den Gruppen von Latet zugeordnet.
  • SCIM. Der Server stellt /scim/v2/Users und /scim/v2/Groups bereit, den Teil von SCIM 2.0, den Entra ID und Okta nutzen.
Rollen
Rolle Sieht Entscheidet
Benutzer die eigenen Daten und die API-Schlüssel unter eigener Kontrolle die eigenen Einstellungen oberhalb der Untergrenze und die der API-Schlüssel unter eigener Kontrolle
Gruppenleitung die Berichte der eigenen Gruppen nichts
Sicherheit alle Berichte die Richtlinie, die Begriffe, die Freigaben, das SIEM
Auditor die Berichte, den Verlauf der Richtlinie und das Administrationsprotokoll, nur lesend nichts
Administrator Personen, Gruppen und API-Schlüssel die Anmeldung, die Rollen, die Lizenz, die API-Schlüssel und wer sie verwaltet

Datenschutz im Unternehmen

Latet hält die Werte Ihrer Mitarbeitenden von den KI-Anbietern fern, und auch von Ihren Administratoren.

  • Die Daten jeder Person gehören ihr. Niemand sieht die Werte oder Texte einer anderen Person, auch Administratoren nicht. Tresor, Verlauf und Freigaben gehören jeder Person allein.
  • Berichte ohne Inhalte. Berichte und SIEM-Ereignisse enthalten Anzahlen, Kategorien, Regel-IDs, Agent, Projekt, Gruppe und Ergebnis, aber nie einen Wert, einen Text oder einen Ersatzwert.
  • Eine Ausnahme, transparent geregelt. Gibt das Sicherheitsteam die Texte des Live-Prüfers frei, sieht die freigebende Person jeden Text samt Werten. Ihr Unternehmen entscheidet sich dafür und informiert die Betroffenen.
  • Standardmäßig Berichte nach Gruppe. Berichte pro Person, unter Pseudonym oder mit Namen, schaltet Ihr Unternehmen selbst ein, nach einer Vereinbarung mit den Beschäftigten, wo das Gesetz eine verlangt.
Technische Details
  • Wo das Gesetz eine Vereinbarung verlangt. In Italien Art. 4 des Statuto dei lavoratori (L. 300/1970); in Deutschland die Mitbestimmung des Betriebsrats (§ 87 Abs. 1 Nr. 6 BetrVG).

Was Auditoren bekommen

Was Ihre Auditoren selbst prüfen können.

  • Eine reine Leserolle. Auditoren sehen die Berichte, den Verlauf der Richtlinie und das Administrationsprotokoll und ändern nichts.
  • Zahlen pro Zeitraum. Die Berichte zeigen, wie viele Werte welcher Art maskiert, wie viele Anfragen gestoppt und wie viele Änderungen freigegeben wurden, nach Gruppe, Projekt und Agent, aber nie einen Wert.
  • Wer was geändert hat. Der Verlauf der Richtlinie, das Administrationsprotokoll und die Freigabe-Ereignisse zeigen, wer welche Regel geändert und wer die Änderung freigegeben hat.
  • Ein überprüfbares Protokoll. Die Hash-Kette lässt sich mit latet server log verify prüfen.
  • Grundlagen für eine DSFA. Die Dokumentation beschreibt, was Latet speichert, wo, was versiegelt ist und was im Klartext liegt, und wie lange.
Wofür es Nachweise liefert
Regelwerk Artikel und Maßnahmen
DSGVO Pseudonymisierung (Art. 4 Nr. 5), Datenschutz durch Technikgestaltung (Art. 25), Sicherheit der Verarbeitung (Art. 32 Abs. 1 lit. a)
ISO/IEC 27001:2022, Anhang A 8.11 Datenmaskierung, 8.12 Verhinderung von Datenlecks, 8.15 Protokollierung, 8.16 Überwachungstätigkeiten

Latet verringert das Risiko; ob Sie die Anforderungen erfüllen, hängt von Ihren eigenen Maßnahmen ab.

Die Lizenz

Der Server gehört zur Community Edition und ist mit seinem Administrationsprotokoll für jedes Unternehmen kostenlos. Latet Enterprise fügt alles Weitere auf dieser Seite hinzu, einschließlich der Regeln für alle.

Wer sie braucht. Ein Unternehmen, das die Enterprise-Funktionen im Produktivbetrieb nutzt, braucht eine Latet-Enterprise-Lizenz. Entwicklung und Tests damit sind kostenlos, und die Community Edition, der Server eingeschlossen, bleibt für jedes Unternehmen kostenlos, unabhängig von seiner Größe.

Nur von den Enterprise-Funktionen geprüft. Die Community Edition hat keine Lizenzschlüssel und prüft nichts. Nur die Enterprise-Funktionen lesen die Lizenzdatei, und zwar offline.

Wer mitzählt

Wie bei Jira zählt jedes aktivierte Konto mit Zugang zu Latet, ob es im jeweiligen Monat genutzt wurde oder nicht. Eine Person zählt nur einmal, ganz gleich, wie viele Rechner und Gruppen sie hat. Jeder aktivierte API-Schlüssel zählt als ein Benutzer. Wird ein Konto deaktiviert, ist sein Platz sofort wieder frei.

Die Lizenzdatei

Sie ist mit Ed25519 signiert und wird offline geprüft, ohne Aktivierung. Sie nennt Ihr Unternehmen, die Zahl der lizenzierten Benutzer, die Funktionen und das Enddatum; latet license show und latet doctor zeigen diese Angaben an.

Die Testphase

Für Entwicklung und Tests mit den Enterprise-Funktionen ist keine Lizenz nötig. Um sie vorher im echten Einsatz auszuprobieren, kann ein Unternehmen eine Testlizenzdatei anfordern, die 32 Tage gilt.

Wenn die Verlängerung zu spät kommt

  1. 30 Tage vor Ablauf Ein Hinweis

    Administratoren sehen einen Hinweis im Dashboard und in latet doctor.

  2. Das Enddatum Noch ändert sich nichts

    Weitere 30 Tage funktioniert alles wie bisher.

  3. 30 Tage nach Ablauf Pause für Neues

    Latet erzeugt nichts Neues mehr für Sie: keine neuen Berichte und Exporte, keine SIEM-Ereignisse und keine Synchronisierung von Begriffen. Bereits synchronisierte Begriffe bleiben maskiert.

  • Der Schutz setzt nie aus. Gesperrte Regeln bleiben gesperrt, Freigaben laufen wie bisher, und alle können sich weiterhin anmelden.
  • Mehr Benutzer als lizenziert. Der Hinweis kommt sofort, danach folgen dieselben 30 Tage und dieselbe Pause.

Latet schützt weiter, damit niemand ungeschützt bleibt, aber die Lizenz bleibt nötig. Ein Unternehmen, das Latet Enterprise nach Ablauf weiter nutzt, verlängert sie, und ein Unternehmen mit mehr Benutzern als lizenziert erwirbt Lizenzen für die zusätzlichen Benutzer dazu.

Die vollständigen Bedingungen

Kontakt

Wenn Sie über die Situation in Ihrem Unternehmen sprechen möchten, schreiben Sie an info@latet.ai. Nennen Sie, wie viele Personen Latet nutzen würden, welchen Identity Provider und welches SIEM Sie einsetzen und welche Agenten in Ihrem Unternehmen verwendet werden.

Erfahren Sie, wann Latet Enterprise verfügbar ist

Hinterlassen Sie Ihre E-Mail-Adresse: Sie erhalten eine einzige Nachricht, sobald Latet Enterprise verfügbar ist, und sonst nichts.

Wie die Adresse aufbewahrt wird

Fragen zu Latet Enterprise?

Schreiben Sie an diese Adresse:

info@latet.ai

E-Mail schreiben