Benutzerhandbuch der Opsiton-Plattform

Opsiton ist eine moderne, zweischichtige Data-Loss-Prevention-Plattform (DLP) für Endpoints. Sie verhindert, dass vertrauliche und regulierte Daten Unternehmensgeräte verlassen – über Webbrowser, Desktop-Anwendungen, Entwickler-IDEs und Kommandozeilen-Tools im Terminal hinweg.

Zweischichtige Architektur

1. 1Zentrale Verwaltung: Administratoren definieren und veröffentlichen Sicherheitsrichtlinien im Tenant Portal
2. 2Nativer Endpoint-Agent: Ein schlanker nativer Systemdienst (mit WFP-Treiber unter Windows bzw. Network Extension unter macOS) fängt Systemverkehr und Terminal-Befehle ab
3. 3Browser-Erweiterung: Tiefgreifende DOM- und UI-Interception in Chrome, Edge und Brave für sofortige Warnungen und Sperrbildschirme
4. 4Lokaler transparenter Proxy: Setzt die DLP-Prüfung in Echtzeit über lokales Loopback mit einer Latenz von unter 15 ms durch
5. 5Echtzeit-Transparenz: Bereinigte Sicherheitsereignisse und Incidents werden zur Prüfung und Untersuchung mit dem Opsiton-Portal synchronisiert

Was Opsiton erkennt

• Sensible Texte, die in Webformulare und Chat-Eingaben getippt werden
• Kreditkartennummern, validiert per Luhn-Prüfsummenalgorithmus
• TCKN und türkische IBAN, validiert per algorithmischer Modulus-Prüfung
• Datei-Uploads, geprüft nach MIME-Typ, Dateiendung und vollständiger Textextraktion (PDF, DOCX)
• OCR-Extraktion auf Türkisch und Englisch aus hochgeladenen Bilddateien
• In GenAI-Plattformen eingefügte Daten (ChatGPT, Claude, Gemini, Copilot, DeepSeek, Perplexity)
• Aufrufe schädlicher, Phishing- oder nicht freigegebener Bedrohungs-URLs
• Terminal-Befehle und Datenabfluss über das Netzwerk durch Desktop-Anwendungen

Opsiton basiert auf einem strikten Zero-Data-Exfiltration-Modell. Ihre sensiblen Dateien, vertraulichen Prompts und privaten Kundendatensätze verlassen niemals den lokalen Endpoint in Richtung der Opsiton-Cloud-Server.

• Prüfung auf dem Gerät: Sämtliches Regex-Matching, Luhn-Prüfsummen, OCR-Auswertung und kontextbasierte NER-Modellauswertungen laufen zu 100 % lokal auf CPU/GPU des Geräts
• Bereinigte Ereignis-Telemetrie: Bei einem Richtlinienverstoß überträgt Opsiton ausschließlich bereinigte Metadaten: Regelname, Zeitstempel, Domain-/Anwendungsname, Schweregrad sowie einen SHA-256-Inhalts-Hash mit maskiertem Ausschnitt
• Keine Klartextspeicherung: Weder das Portal noch die Cloud-Datenbanken von Opsiton erhalten oder speichern jemals die sensiblen Rohdaten.

Die wichtigste Zuverlässigkeitsfrage eines IT-Einkäufers lautet: „Was passiert, wenn Ihr Agent abstürzt oder der Daemon stoppt?“ Opsiton arbeitet nach einem formalen Fail-Safe-Vertrag (REQ-PRX-001), der unterbrechungsfreien Geschäftsbetrieb und den Schutz vor jeglicher Datenkompromittierung transparent ausbalanciert.

Vertrag für Ziel- und allgemeinen Datenverkehr

Enterprise-Norm & empirische Verifizierung

• Branchenstandard: Führende Enterprise-DLP- und Netzwerksicherheitsprodukte (Forcepoint „no policies are enforced“, GlobalProtect standardmäßig Fail-Open) zeigen, dass Endpoint-Sicherheit nicht zum Single Point of Failure für den Netzwerkbetrieb werden darf.
• Empirische Live-Verifizierung: Geprüft in laufenden Chrome- und Safari-Sitzungen – wird der Opsiton-Daemon gestoppt, werden vom Admin überwachte KI-Endpunkte (chatgpt.com) sofort getrennt (Fail-Closed), während Web-Tools des Unternehmens erreichbar bleiben (Fail-Open).
• Automatisierte IT-Transparenz: Stoppt ein Agent oder verliert er die Richtliniensynchronisierung, meldet er einen beeinträchtigten Status an das zentrale Portal und stößt IT-Diagnosen an, ohne die Arbeitsabläufe der Endbenutzer zu stören.

Der Zugriff auf das Tenant Portal wird über rollenbasierte Zugriffskontrolle (RBAC) geregelt:

Schritt 1: Organisation registrieren

Öffnen Sie das Tenant Portal (bs-portal.opsiton.com) und klicken Sie auf „Get Started“ bzw. „Register“. Geben Sie Ihren vollständigen Namen, den Namen Ihrer Organisation, Ihre geschäftliche E-Mail-Adresse und ein sicheres Passwort ein.

Schritt 2: Onboarding-Einrichtung

1. 1Erstellen Sie Ihre erste DLP-Richtlinie aus geprüften Compliance-Vorlagen (z. B. Credit Card Luhn, TCKN, AI Platform)
2. 2Holen Sie sich das Enrollment-Token für Ihre Flotte auf der Seite „Agent Deployment“
3. 3Stellen Sie den Opsiton-Agenten per MSI/PKG oder MDM-Profil bereit und erzwingen Sie die Installation der Chrome/Edge-Erweiterung
4. 4Prüfen Sie die Live-Verbindung im Dashboard

Das Dashboard bietet ein Echtzeit-Lagebild über Ihre gesamte Organisation.

Security Posture Score

Ein dynamischer Wert von 0 bis 100, der den Sicherheitszustand Ihrer Flotte beziffert. Der Wert sinkt bei unbearbeiteten Ereignissen mit hohem Schweregrad und offenen Incidents und erholt sich, sobald Incidents untersucht und gelöst werden.

Live-KPI-Karten

Richtlinien legen fest, welche Datenmuster erkannt werden und welche Durchsetzungsmaßnahme greift, wenn Mitarbeitende mit sensiblen Daten arbeiten.

Durchsetzungsmaßnahmen

Integrierte Regelvorlagen

• Zahlungskarten (Prüfsummenverifizierung per Luhn-Algorithmus)
• TC Kimlik No (11-stellige Modulus-Prüfung)
• Türkiye IBAN (Prüfsumme nach ISO 7064 MOD 97-10)
• Türkische Mobil- & Festnetznummern
• E-Mail-Adressen & Muster vertraulicher Token
• Compliance-Frameworks für DSGVO, KVKK und PCI-DSS

Opsiton bietet sechs spezialisierte Erkennungs-Engines für hochpräzise DLP ohne Fehlalarme:

Stellen Sie Opsiton unbemerkt auf Tausenden von Unternehmensarbeitsplätzen bereit – mit Ihrer bevorzugten Endpoint-Management-Lösung (Jamf, Kandji, Microsoft Intune oder Active Directory GPO).

Enterprise-MDM-Bereitstellung unter macOS (.mobileconfig & PKG)

Verteilen Sie den nativen .pkg-Installer zusammen mit den MDM-Konfigurationsprofilen (mobileconfig), die direkt in der Konsole „Agent Deployment“ verfügbar sind, um Benutzerabfragen zu vermeiden:

• system-extension.mobileconfig: Autorisiert die Ausführung der Network Extension vorab – ohne Bestätigungsabfragen beim Endbenutzer
• content-filter.mobileconfig: Autorisiert den Netzwerk-Inhaltsfilter für die DLP-Prüfung
• transparent-proxy.mobileconfig: Leitet Browser- und Desktop-Verkehr sicher über den lokalen Opsiton-Systemdienst
• pac-global-proxy.mobileconfig: Konfiguriert Proxy Auto-Config (PAC) und direkte Bypass-Regeln für Unternehmensdomains

Unbeaufsichtigte CLI-Installation unter macOS / Jamf-Skript

printf 'API_KEY="YOUR_ENROLLMENT_KEY"\nSILENT_INSTALL="1"\n' | sudo tee /tmp/.opsitonbrowsecure_install_args >/dev/null && sudo installer -pkg OpsitonBrowsecureAgent.pkg -target /

Unbeaufsichtigte & automatisierte Bereitstellung unter Windows (MSI / Intune / GPO)

Installieren Sie den Windows-Agenten unbeaufsichtigt mit dem Enrollment-Token Ihrer Flotte:

msiexec /i OpsitonBrowsecure.msi ENROLLMENT_TOKEN="YOUR_ENROLLMENT_KEY" /qn

Erzwungene Installation der Browser-Erweiterung (Chrome & Edge)

Stellen Sie sicher, dass die Chrome- und Edge-Erweiterungen dauerhaft installiert und nicht entfernbar sind, indem Sie die Richtlinie ExtensionInstallForcelist per PowerShell oder GPO verteilen:

$id = "opsiton-extension-id;https://clients2.google.com/service/update2/crx"
New-Item -Path "HKLM:\SOFTWARE\Policies\Google\Chrome\ExtensionInstallForcelist" -Force | Out-Null
Set-ItemProperty -Path "HKLM:\SOFTWARE\Policies\Google\Chrome\ExtensionInstallForcelist" -Name "1" -Value $id
New-Item -Path "HKLM:\SOFTWARE\Policies\Microsoft\Edge\ExtensionInstallForcelist" -Force | Out-Null
Set-ItemProperty -Path "HKLM:\SOFTWARE\Policies\Microsoft\Edge\ExtensionInstallForcelist" -Name "1" -Value $id

Für ein vollständig berührungsloses (Zero-Touch) Rollout ohne macOS-Kennwortabfragen oder Konflikte mit Drittanbieter-EDR/AV-Agenten (CrowdStrike Falcon, SentinelOne, Microsoft Defender for Endpoint) konfigurieren Sie die folgenden MDM-Payloads und Ausnahmen.

1. macOS Zero-Touch Root CA & MDM-Payload-Kennungen

macOS zeigt eine interaktive Schlüsselbund-Kennwortabfrage an, wenn ein lokales Skript security add-trusted-cert -d -r trustRoot aufruft. Bei unbeaufsichtigten Installationen (SILENT_INSTALL=1) überspringt der Opsiton-Installer diesen Schritt, sodass Sie die Root CA über ein com.apple.security.pkcs1 MDM-Profil verteilen können:

2. macOS TCC- / PPPC-Datenschutzberechtigungen

Verteilen Sie ein Privacy Preferences Policy Control (com.apple.TCC.configuration-profile-policy) Profil mit folgenden Berechtigungen für die Team-ID R84B9N3435:

• SystemPolicyAllFiles (Festplattenvollzugriff): Erlauben für /Library/Application Support/OpsitonBrowsecure/bin/opsiton-agent und com.opsiton.browsecure.agent zur lokalen Prüfung von Datei-Uploads
• Accessibility (Bedienungshilfen): Erlauben für com.opsiton.browsecure.agent zur Kontextprüfung aktiver Fenster und Browser-Tabs

3. EDR- & Antivirus-Ausnahmematrix (macOS & Windows)

Schließen Sie die folgenden Binärdateien, Zertifikatsverzeichnisse und lokalen Loopback-Ports in CrowdStrike Falcon, SentinelOne oder Microsoft Defender aus, um TLS-Doppelprüfungs-Deadlocks zu vermeiden:

So gewähren Sie Mitgliedern des Security-Teams Zugriff auf das Tenant Portal:

1. 1Öffnen Sie in der Seitenleiste den Bereich „Users“
2. 2Klicken Sie auf die Schaltfläche „Invite User“
3. 3Geben Sie die geschäftliche E-Mail-Adresse ein
4. 4Wählen Sie die passende Rolle: Viewer, User oder Tenant Admin
5. 5Klicken Sie auf „Send Invite“

1. 1Öffnen Sie die automatische Einladungs-E-Mail von Opsiton
2. 2Klicken Sie auf den sicheren Einladungslink
3. 3Legen Sie ein starkes Kontopasswort fest
4. 4Melden Sie sich mit Ihren neuen Zugangsdaten an
5. 5Sie gelangen direkt zum Dashboard – mit den Ihnen zugewiesenen Berechtigungen

Opsiton trennt betriebliche API-Schlüssel von den Zugangsdaten für die Geräteregistrierung – für Sicherheit nach dem Defense-in-Depth-Prinzip:

Enrollment-Tokens für Geräte (ops_tok_...)

Werden ausschließlich bei der Installation des Endpoint-Agenten verwendet, um Geräte automatisch in Ihrer Organisation zu registrieren, ohne Admin-API-Berechtigungen preiszugeben.

API-Schlüssel der Organisation (sk_opsiton_...)

Werden für den programmatischen Zugriff auf die REST API, die Automatisierung von CI/CD-Pipelines sowie SIEM-/SOAR-Integrationen verwendet.

1. 1Gehen Sie zu „Settings > API Keys“
2. 2Klicken Sie auf „Create New Key“
3. 3Vergeben Sie eine aussagekräftige Bezeichnung
4. 4Kopieren Sie den Schlüssel sofort und bewahren Sie ihn sicher auf (er wird nur einmal angezeigt)

sk_opsiton_{org_slug}_{random_secret}

Opsiton erzielt maximale Transparenz am Endpoint, indem eine Browser-Erweiterung mit einem nativen Hintergrund-Daemon kombiniert wird:

Browser-Erweiterung (Chrome, Edge, Brave)

• DOM-Prüfung in Echtzeit: Bewertet Text in Eingabefeldern, Rich-Text-Editoren und Textbereichen vor dem Absenden
• UI-Schutz: Zeigt benutzerfreundliche Warndialoge und Sperrbildschirme direkt im Browser-Tab an
• Native IPC: Kommuniziert über lokales Loopback in weniger als 1 Millisekunde direkt mit dem lokalen Agent-Daemon

Nativer Endpoint-Daemon (macOS & Windows)

• Transparenter Proxy: Fängt Desktop-Apps (Slack, Teams, ChatGPT Desktop, IDEs) und CLI-Tools (curl, git) ab
• System Tray: Zeigt den Schutzstatus in Echtzeit, den Status der Richtliniensynchronisierung sowie Pause-/Wartungssteuerungen an
• Hardware-Effizienz: Minimaler Ressourcenbedarf mit weniger als 1 % CPU und unter 50 MB RAM

Die Seite „Events“ zeichnet jeden Richtlinientreffer auf allen registrierten Endpoints Ihrer Organisation auf.

Incidents sind Sicherheitsfälle mit hoher Priorität, die eine formale Untersuchung, Lösung und Compliance-Dokumentation erfordern.

Die Seite „Active Users“ bietet ein Live-Inventar aller registrierten Endpoints in Ihrem Unternehmen.

Opsiton enthält spezialisierte, tiefgreifende DOM-Adapter für sechs große GenAI-Plattformen im Unternehmenseinsatz:

• Unterstützte Plattformen: OpenAI ChatGPT, Anthropic Claude, Google Gemini, Microsoft Copilot, DeepSeek und Perplexity
• Prompt-Interception: Prüft Benutzer-Prompts vor der Übertragung und blockiert Quellcode, Kundendatensätze oder API-Zugangsdaten
• Blockieren von Einfügevorgängen: Erkennt das Einfügen großer vertraulicher Codebasen oder vertraulicher Kundendaten aus der Zwischenablage
• Filterung von Datei-Uploads: Prüft an KI-Chatsitzungen angehängte Dokumente vorab und verhindert die Offenlegung proprietärer Dokumente

Datensicherheit darf die Produktivität der Mitarbeitenden nicht beeinträchtigen. Opsiton ist als kompilierter nativer Systemdienst für eine Durchsetzung mit extrem niedriger Latenz entwickelt.

• Proxy-Overhead unter 15 ms: Der vom lokalen Proxy verursachte Latenz-Overhead liegt im P95 unter 15 Millisekunden
• Transparente Telemetrie: Die Konsole /performance zeigt Live-Round-Trip-Latenz, Upstream-TTFB sowie Auswertungszeiten für Regex/OCR an
• Keine Auswirkung auf das Surfen: Lokale Vorfilterung leitet nicht geprüften Verkehr sofort durch und gewährleistet so die volle Netzwerkgeschwindigkeit

Binden Sie Opsiton in Ihren bestehenden Enterprise-Security-Stack und Ihre Alarmierungsabläufe ein.

Opsiton bietet unkomplizierte Preise pro Agent ohne künstliche Richtlinien- oder Administratorlimits. Alle Pläne beinhalten unbegrenzte Sicherheitsrichtlinien und unbegrenzte Portal-Benutzer, und die Browser-Erweiterung verbraucht keinen eigenen Platz.

Free-Evaluierung & Abonnement-Zyklus

Der dauerhafte 1-Endpoint-Free-Plan umfasst den vollen Erkennungsumfang von Business (OCR, NER und eigene Regelmuster), sodass Sie das echte Produkt auf einem echten Gerät ohne Zeitlimit evaluieren können; Evaluierungszeiträume für mehrere Geräte sind auf Anfrage verfügbar. Kostenpflichtige Abonnements beinhalten eine 7-tägige Zahlungsfrist, bevor der Schutz ohne Datenverlust im Wartungsmodus pausiert.

Der Security Score in Ihrem Dashboard bildet den gesamten Risikozustand Ihrer Flotte auf einer Skala von 0 bis 100 ab.

• Auswirkung von Incidents: Offene, ungelöste Incidents führen zu einem nach Schweregrad gewichteten Abzug
• Ereignisvolumen: Verstöße der Schweregrade High und Critical in den letzten 7 Tagen senken den Gesamtwert
• Triage-Geschwindigkeit: Zügiges Untersuchen und Lösen von Incidents bringt Ihren Wert wieder in Richtung 100 %
• Flottenhygiene: Veraltete Agent- oder Browserversionen führen bis zur Aktualisierung zu geringfügigen Abzügen