---
title: "Vertrauen und Sicherheit bei KYA: Architektur und Lieferkette"
url: https://knowyouragent.ch/unternehmen/vertrauen
lang: de-CH
updated: 2026-10-12
license: © Innopulse Consulting GmbH
---

# Vertrauen und Sicherheit

Was wir technisch erzwingen, was wir vor jedem Release prüfen und was wir bewusst nicht behaupten.

Kurz gesagt

Statische Architektur, strenge Sicherheits-Header, keine Laufzeitabhängigkeiten, Release-Manifest mit SHA-256 und ein Gate mit 32 Stufen vor jedem Release, inklusive axe-core und html-validate.

## Architektur

KYA ist eine statische Website ohne Serverlogik. Die Prüfung läuft als JavaScript-Modul im Browser; es gibt kein Konto, keine Datenbank, keine Cookies und keine Analysewerkzeuge. Ausgeliefert wird über das Edge-Netz von Vercel.

## Sicherheits-Header

| Header | Wert | Wirkung |
|---|---|---|
| Content-Security-Policy | default-src 'none'; script-src 'self'; connect-src 'none'; form-action 'none'; frame-ancestors 'none' … | Nur eigene Skripte, keine Netzwerkverbindungen aus der Seite, keine Einbettung |
| Strict-Transport-Security | max-age=63072000; includeSubDomains; preload | Nur verschlüsselte Verbindungen |
| X-Content-Type-Options | nosniff | Kein Umdeuten von Dateitypen |
| Referrer-Policy | strict-origin-when-cross-origin | Keine Pfade an fremde Seiten |
| Permissions-Policy | camera=(), microphone=(), geolocation=() … | Keine Gerätezugriffe |
| Cross-Origin-Opener-Policy | same-origin | Isolation von fremden Fenstern |

Die Header sind Teil des Repositorys und werden bei jedem Release automatisch gegen die Seite getestet.

## Lieferkette und Release-Integrität

- Keine Laufzeitabhängigkeiten; Build-Werkzeuge sind auf exakte Versionen festgelegt und werden gegen das Lockfile installiert.
- Jede ausgelieferte Datei steht mit SHA-256 im öffentlichen [Release-Manifest](https://knowyouragent.ch/release-manifest.json).
- Das Auslieferungspaket trägt Prüfsummen für jede Datei; die Einrichtung bricht bei Abweichungen ab.
- Testvektoren enthalten nachweislich kein privates Schlüsselmaterial.

## Prüfung vor jedem Release

Kein Release ohne grünes Gate. Es umfasst 32 Stufen, darunter Typprüfung im strengsten Modus, 62 Testvektoren und 24'000 Fuzz-Mutationen, Abgleich des Prüfprofils mit dem Prüfkern, Sprachparität, Link- und Strukturprüfung sowie End-to-End-Tests in Chromium unter der Produktions-CSP mit Messung der Layoutstabilität.

Dazu kommen unabhängige Werkzeuge: axe-core prüft jede Seite in zwei Breiten nach WCAG 2.2 AA, html-validate die HTML-Struktur, Vercels eigene Routing-Logik die Header und Umleitungen. Die Kommandozeile wird über alle Vektoren geprüft, und die Website läuft im Test auch auf einem fremden Webserver ohne Netzzugang.

## Datenschutz

Nachweise verlassen den Browser nicht. Der Hoster verarbeitet technisch notwendige Verbindungsdaten; wir werten sie nicht aus. [Zur Datenschutzerklärung](https://knowyouragent.ch/datenschutz)

## Barrierefreiheit

Ziel ist WCAG 2.1 auf Stufe AA. Automatisch geprüft werden jede Seite mit axe-core in Desktop- und Mobilbreite, Farbkontraste aller Text- und Statuskombinationen, Beschriftung aller Formularfelder, Tastaturführung mit Skip-Link, Bildalternativen, freier Zoom und reduzierte Bewegung. Hinweise auf Barrieren nehmen wir unter [info@innopulse.io](mailto:info@innopulse.io) entgegen.

## Schwachstellen melden

Bitte vertraulich an [info@innopulse.io](mailto:info@innopulse.io). Die maschinenlesbaren Angaben stehen in [security.txt](https://knowyouragent.ch/.well-known/security.txt). Wir bestätigen den Eingang und informieren über das weitere Vorgehen.

## Was wir bewusst nicht behaupten

- KYA trägt keine Zertifizierung.
- KYA ist kein akkreditierter Vertrauensdienst.
- Ob ein Zeitstempel qualifiziert ist, wird ohne offizielle Vertrauensliste nicht festgestellt.
- Prüfergebnisse sind technische Aussagen, keine Rechtsauskunft.

---
Quelle: https://knowyouragent.ch/unternehmen/vertrauen · KYA – Know Your Agent