Nudge Security
Nudge Security, Inc. ·www.nudgesecurity.com· Stand: 2026-07-30
Dieses Werkzeug mit KI durchgehen
Unser Urteil
Wer nicht weiß, welche KI-Dienste an den Firmendaten hängen, kann weder eine Kundenfrage zum KI-Einsatz beantworten noch ein Verzeichnis führen. Das ist Rückstand, nicht Vorsprung. Die Liste selbst unterscheidet niemanden am Markt: Der Wettbewerber nebenan erzeugt dieselbe Liste in derselben Woche. Ein Vorsprung entsteht erst daraus, was ein Haus mit der Liste entscheidet, und das leistet kein Werkzeug.
Belege:Preise, Mindestpreis, Definition des aktiven Kontos, kostenpflichtige ZusatzmoduleZur QuelleVerschlüsselung, Betrieb auf Amazon Web Services, SOC 2 Type II, Löschung durch den Kunden, keine dauerhafte Speicherung von E-MailsZur QuelleGründungsjahr, Marktstart, Series A über 22,5 Mio. US-Dollar vom 18.11.2025, Investoren, knapp 200 KundenZur QuelleGenannte Dienstleister Stripe und Google, keine Liste der Unterauftragnehmer, keine Angabe zum Speicherort, keine Standardvertragsklauseln genanntZur QuelleSuchabfragen je Ressource mit maximal 100 Treffern je Seite, kein dokumentierter Endpunkt für einen GesamtexportZur Quelle
Für wen es taugt
Solopreneur
nicht geeignet
Unter 150 aktiven Konten ruft der Anbieter pauschal 750 US-Dollar im Monat auf. Bei einer Handvoll Konten sieht man dieselben erteilten Rechte kostenlos in der Verwaltungskonsole von Google Workspace oder Microsoft 365.
KMU
geeignet
Ab etwa 150 Konten wird der Preis von 5 US-Dollar je aktivem Konto verhältnismäßig, und das ist genau die Größe, ab der die Geschäftsführung nicht mehr weiß, wer welchen KI-Dienst angemeldet hat. Unterhalb dieser Schwelle zahlt man die Pauschale und damit ein Vielfaches je Kopf.
Konzern
bedingt geeignet
Ab 2500 Konten verhandelt man einen Rahmenvertrag, der Preis ist dann nicht mehr öffentlich. Schwerer wiegt: Der Anbieter dokumentiert den Speicherort nicht öffentlich und führt keine offene Unterauftragnehmerliste. Beides fragt jede Konzern-Datenschutzabteilung im ersten Gespräch ab.
Kaufen, wechseln oder bauen
Standardprodukt
Sicherheits-Suite mit Netzwerk- oder Endgeräte-Sensor
Die klassische Antwort auf Schatten-IT sitzt im Netzwerkverkehr oder auf dem Endgerät und sieht damit mehr als nur die Anmeldevorgänge. Sie kostet dafür ein Ausrollprojekt, eine Runde mit der Mitbestimmung und in aller Regel einen Konzernvertrag mit Mindestabnahme. Für ein Haus mit 100 bis 300 Beschäftigten ist das der deutlich teurere Weg zur gleichen Liste.
KI-nativ
Browser-Schicht, die Eingaben sieht statt Anmeldungen
Eine jüngere Klasse sitzt als Erweiterung im Browser und protokolliert, was Beschäftigte in ein Sprachmodell hineinschreiben. Das beantwortet die Frage nach dem Datenabfluss genauer, hebt die Mitbestimmung aber auf eine andere Stufe, weil Verhalten am Arbeitsplatz aufgezeichnet wird. Nudge Security bietet selbst eine Browser-Erweiterung an, der Kern der Erkennung bleibt aber die Spur im Postfach.
Eigenbau
Rechteliste selbst aus der Verwaltungsschnittstelle ziehen
Google Workspace und Microsoft 365 geben die erteilten OAuth-Rechte über ihre Verwaltungsschnittstellen heraus. Ein Skript, das diese Listen wöchentlich in eine Tabelle schreibt, kostet ein bis zwei Tage und liefert den harten Kern der Antwort: welcher Dienst hält welche Rechte auf welche Postfächer. Es fehlen die Dienste, für die sich jemand ohne OAuth mit der Firmenadresse angemeldet hat, die Historie vor dem ersten Lauf und der Teil, der die Belegschaft anspricht und aufräumt.
Unser Rat
- Solopreneur: Selbst ziehen. Der Mindestpreis steht in keinem Verhältnis zur Zahl der Konten.
- KMU: Kaufen, sobald 150 Konten überschritten sind. Darunter das Skript und ein fester Monatstermin.
- Konzern: Kaufen ist vertretbar, aber Speicherort, Unterauftragnehmer und Mandantenprotokoll vor der Unterschrift schriftlich klären.
Wer dahinter steht
Tragfähigkeit: Finanziert
Der Anbieter ist frisch finanziert, aber jung. Fünf Jahre seit Gründung, knapp vier Jahre am Markt und eine Kundenzahl im niedrigen dreistelligen Bereich reichen nicht für die Einordnung etabliert. Die Series A vom November 2025 trägt den Betrieb auf Sicht, ersetzt aber keine belegte Profitabilität.
- Gründung und Marktstart: 2021 gegründet, Plattform seit Oktober 2022 am Markt, Sitz Austin, TexasGründungsjahr, Marktstart, Series A über 22,5 Mio. US-Dollar vom 18.11.2025, Investoren, knapp 200 KundenZur Quelle · Stand 2026-07-30
- Finanzierung: 22,5 Mio. US-Dollar Series A vom 18.11.2025, angeführt von Cerberus Ventures, mit Ballistic Ventures, Forgepoint Capital und Squadra VenturesGründungsjahr, Marktstart, Series A über 22,5 Mio. US-Dollar vom 18.11.2025, Investoren, knapp 200 KundenZur Quelle · Stand 2026-07-30
- Kundenzahl: knapp 200 Kunden, Anbieterangabe zum 18.11.2025Gründungsjahr, Marktstart, Series A über 22,5 Mio. US-Dollar vom 18.11.2025, Investoren, knapp 200 KundenZur Quelle · Stand 2026-07-30
- Nachweis: SOC 2 Type II laut eigener Trust-Seite; die erste veröffentlichte Prüfung 2022 war ein Type-1-BerichtVerschlüsselung, Betrieb auf Amazon Web Services, SOC 2 Type II, Löschung durch den Kunden, keine dauerhafte Speicherung von E-MailsZur Quelle · Stand 2026-07-30
- Rechtsperson: Nudge Security, Inc.; Zustellanschrift Las Vegas, Nevada; Gerichtsstand laut Nutzungsbedingungen Massachusetts. Eine Registernummer ist öffentlich nicht abrufbar.nudgesecurity.com/legal/terms-and-conditionsZur Quelle · Stand 2026-07-30
Ausstiegskosten: Gering
Das Werkzeug hält keine Daten, die man zurückbraucht, es liest nur mit. Man entzieht die Lesefreigabe in Google Workspace oder Microsoft 365 und ist draußen, ohne Migration und ohne Datenübernahme. Was verloren geht, ist die aufgebaute Historie. Einen Endpunkt für einen vollständigen Export nennt die Programmierschnittstelle nicht, sie bietet Suchabfragen mit maximal 100 Treffern je Seite. Wer die Bestände behalten will, zieht sie vor der Kündigung seitenweise heraus.
Regulatorik und Daten
| Auftragsverarbeitungbelegt, ohne Auflage: Auftragsverarbeitungsvertrag öffentlich abrufbar und ohne weitere Bedingung Bestandteil des Vertrags; oder er entfällt nachvollziehbar begründet, weil kein Anbieter Kundendaten verarbeitet.belegt, an eine Auflage gebunden: Vertrag existiert, ist aber an einen Tarif gebunden, nur nach Anfrage einsehbar oder allein in den Nutzungsbedingungen geregelt statt als eigenes Dokument.belegt, aber ungünstig: Kein Auftragsverarbeitungsvertrag im üblichen Sinn: entweder weil der Anbieter für das Kerngeschäft eigenständig Verantwortlicher ist und stattdessen eine andere Konstruktion gilt, oder weil öffentlich offen bleibt, ob überhaupt einer angeboten wird.an einem kritischen Punkt offen: Weder ein Vertrag noch ein dokumentierter Weg zu einem Vertrag; der Einkauf hätte nichts, worauf er sich stützen kann. | belegt, an eine Auflage gebundenvorhanden, über das Trust Center anzuforderntrust.nudgesecurity.comZur QuelleDas Trust Center listet einen Auftragsverarbeitungsvertrag neben Rahmenvertrag und Datenschutzerklärung als abrufbares Dokument. Der Text ist nicht frei einsehbar, sondern wird auf Anfrage herausgegeben.Stand 2026-07-30 |
|---|---|
| Speicherortbelegt, ohne Auflage: EU-Speicherort ohne Zusatzkosten und ohne Tarifbindung, oder der Ort ist vollständig selbst bestimmbar, weil das Werkzeug im eigenen Betrieb läuft.belegt, an eine Auflage gebunden: EU-Speicherort möglich, aber an einen Tarif, einen gesondert zu aktivierenden Zusatz oder einen Umzug in eine getrennte Umgebung gebunden; oder die EU-Region ist nicht die Voreinstellung.belegt, aber ungünstig: Kein EU-Speicherort, der Ort ist aber eindeutig benannt, sodass die Folgen bewertbar sind.an einem kritischen Punkt offen: Der Speicherort ist öffentlich nicht benannt oder vom Kunden nicht steuerbar, sodass sich die Verarbeitung nicht verorten lässt. | an einem kritischen Punkt offenunklarVerschlüsselung, Betrieb auf Amazon Web Services, SOC 2 Type II, Löschung durch den Kunden, keine dauerhafte Speicherung von E-MailsZur QuelleDer Anbieter nennt Amazon Web Services als Infrastruktur, aber keine Region. Weder die Trust-Seite noch die Datenschutzerklärung sagen, ob die Bestandsdaten in der EU oder in den Vereinigten Staaten liegen. Eine Wahl der Region wird nirgends angeboten.Stand 2026-07-30 |
| Subunternehmerbelegt, ohne Auflage: Vollständige öffentliche Liste der Unterauftragnehmer mit Zweck und Land; oder es gibt keine, weil das Werkzeug im eigenen Betrieb läuft.belegt, an eine Auflage gebunden: Liste existiert und ist benannt, aber nur nach Anfrage oder nach Zugang zu einem Vertrauensportal einsehbar, oder sie nennt Zweck und Land nicht vollständig.belegt, aber ungünstig: Keine geführte Liste; namentlich stehen nur einzelne Dienste in der Datenschutzerklärung, überwiegend solche der eigenen Website.an einem kritischen Punkt offen: Weder eine Liste noch eine Nennung der Verarbeiter des Produkts, und kein dokumentierter Weg, sie zu erfahren. | belegt, aber ungünstigkeine öffentliche ListeGenannte Dienstleister Stripe und Google, keine Liste der Unterauftragnehmer, keine Angabe zum Speicherort, keine Standardvertragsklauseln genanntZur QuelleDie Datenschutzerklärung nennt namentlich nur Stripe für Zahlungen und Google für Web-Analyse, dazu die Gattungen Hosting- und Kommunikationsdienstleister. Wer die Kundendaten mitverarbeitet, steht öffentlich nirgends.Stand 2026-07-30 |
| Drittlandübermittlungbelegt, ohne Auflage: Keine Übermittlung in ein Drittland, oder die Übermittlung findet statt und die Grundlage ist benannt und im Vertrag verankert, etwa Standardvertragsklauseln, Angemessenheitsbeschluss oder EU-US-Datenschutzrahmen.belegt, an eine Auflage gebunden: Übermittlung findet statt, eine Grundlage ist genannt, aber ohne Zuordnung, welcher Empfänger auf welcher Grundlage arbeitet.belegt, aber ungünstig: Übermittlung findet statt und die eigenen Unterlagen widersprechen sich, oder die genannte Grundlage bezieht sich erkennbar nur auf einen Randbereich wie die Marketing-Website.an einem kritischen Punkt offen: Übermittlung findet erkennbar statt und eine Grundlage wird nirgends genannt. | an einem kritischen Punkt offenunklarGenannte Dienstleister Stripe und Google, keine Liste der Unterauftragnehmer, keine Angabe zum Speicherort, keine Standardvertragsklauseln genanntZur QuelleDer Anbieter sitzt in den Vereinigten Staaten, eine Drittlandsübermittlung findet also statt. Auf welcher Grundlage, sagen die öffentlichen Dokumente nicht. Standardvertragsklauseln oder eine Zertifizierung nach dem EU-US-Rahmen werden in der Datenschutzerklärung nicht genannt.Stand 2026-07-30 |
| Training mit Kundendatenbelegt, ohne Auflage: Vertraglich oder in der Datenschutzerklärung ausdrücklich ausgeschlossen, mit Erstreckung auf die eingesetzten Modellanbieter; oder es gibt keine Datenübertragung an einen Anbieter.belegt, an eine Auflage gebunden: Ausschluss ab einem bestimmten Tarif, oder die Zusage steht nur auf einer Dokumentationsseite statt im Vertrag, oder die Frage stellt sich für das Werkzeug sachlich kaum und der Anbieter schweigt dazu.belegt, aber ungünstig: Nutzung ist die Voreinstellung und nur ein Widerspruch beendet sie; oder der Anbieter trainiert eigene Modelle auf bereinigten Kundendaten.an einem kritischen Punkt offen: Keine Aussage, obwohl das Werkzeug KI-Funktionen auf Kundeninhalten betreibt. | an einem kritischen Punkt offenunklarOb die erhobenen Bestands- und Nutzungsdaten in das Training von Modellen des Anbieters einfließen, sagt keines der öffentlichen Dokumente. Das Produkt wertet Postfach-Metadaten mit maschinellem Lernen aus, damit gehört die Frage in die Vertragsverhandlung.ohne Quellenangabe · Stand 2026-07-30 |
| Aufbewahrung und Löschungbelegt, ohne Auflage: Löschfristen nach Vertragsende beziffert und die Löschung oder Rückgabe zugesagt; oder die Fristen bestimmt der Betreiber selbst, weil das Werkzeug im eigenen Betrieb läuft.belegt, an eine Auflage gebunden: Löschung ist zugesagt, die Fristen sind aber nur teilweise beziffert, oder Sicherungskopien sind ausdrücklich ausgenommen.belegt, aber ungünstig: Nur der Grundsatz der Erforderlichkeit ohne jede Frist nach Vertragsende, oder Fristen sind allein für Randbereiche wie Website-Protokolle genannt.an einem kritischen Punkt offen: Keine Aussage zu Aufbewahrung und Löschung. | belegt, an eine Auflage gebundensolange das Konto besteht, vollständige Löschung durch den Kunden möglichVerschlüsselung, Betrieb auf Amazon Web Services, SOC 2 Type II, Löschung durch den Kunden, keine dauerhafte Speicherung von E-MailsZur QuelleDie Datenschutzerklärung bindet die Aufbewahrung an das offene Konto. Die Trust-Seite sagt zusätzlich, dass Kunden ihre Daten vollständig löschen können und dass E-Mails nicht dauerhaft gespeichert werden. Eine Frist in Tagen, etwa für Sicherungskopien, ist nicht genannt.Stand 2026-07-30 |
| Zertifikatebelegt, ohne Auflage: Mehrere anerkannte Nachweise, benannt mit Norm, Fassung und Geltungsbereich, und bezogen auf den Anbieter selbst.belegt, an eine Auflage gebunden: Ein anerkannter Nachweis für den Anbieter belegt, der Bericht aber nur auf Anfrage, oder der Nachweis hängt an einem Tarif, oder der Geltungsbereich bleibt teilweise offen.belegt, aber ungünstig: Nur pauschale Nennung ohne Norm-Fassung und Geltungsbereich, oder bloße Selbstauskunft, oder die Nachweise gehören dem Infrastrukturanbieter statt dem Anbieter, oder der Prüfzeitraum ist erkennbar veraltet, oder die eigenen Angaben widersprechen sich.an einem kritischen Punkt offen: Kein Nachweis genannt und keine Sicherheits- oder Vertrauensseite vorhanden. | belegt, aber ungünstigSOC 2 Type II laut Anbieter; im Trust Center zusätzlich Kennzeichen für DSGVO, CCPA und HIPAAVerschlüsselung, Betrieb auf Amazon Web Services, SOC 2 Type II, Löschung durch den Kunden, keine dauerhafte Speicherung von E-MailsZur QuelleEin ISO-27001-Zertifikat wird nirgends genannt. Die Aussage zu Type II steht ohne Prüfdatum und ohne Prüferin auf der eigenen Seite; die einzige datierte Veröffentlichung von 2022 betrifft einen Type-1-Bericht. Kennzeichen für DSGVO und HIPAA sind Selbstauskünfte, keine Zertifikate.Stand 2026-07-30 |
| EU-KI-Verordnung, Artikel 50belegt, ohne Auflage: Der Anbieter macht eine belegte Aussage, die die eigene Pflicht trägt, etwa Modelldokumentation und Zertifizierung nach ISO/IEC 42001; oder das Werkzeug enthält nachvollziehbar begründet kein KI-System im Sinne der Verordnung.belegt, an eine Auflage gebunden: Der Anbieter äußert sich zur Verordnung oder ordnet die eigene Funktion ein, eine benannte Zusage zu den Transparenzpflichten aus Artikel 50 fehlt aber; oder das Werkzeug enthält kein KI-System, das gegenüber Menschen auftritt, und der Anbieter schweigt.belegt, aber ungünstig: Das Produkt enthält KI-Funktionen, der Anbieter schweigt dazu oder trägt ein Selbstetikett ohne Nachweis; die Kennzeichnung ist vom Betreiber aber selbst setzbar.an einem kritischen Punkt offen: KI spricht im Produkt unmittelbar mit Endkunden und der Anbieter sagt zu Artikel 50 nichts; die Kennzeichnung lässt sich ohne Zusage des Anbieters nicht sicher setzen. | belegt, an eine Auflage gebundenunklarZu den eigenen Pflichten aus der europäischen KI-Verordnung äußert sich der Anbieter öffentlich nicht. Das Werkzeug hilft beim Führen eines Verzeichnisses eingesetzter KI-Dienste, das ist eine Zuarbeit zur eigenen Pflicht und keine Zusage des Anbieters.ohne Quellenangabe · Stand 2026-07-30 |
| Protokollierungbelegt, ohne Auflage: Nachvollziehbares Protokoll über Zugriffe und Änderungen in allen Tarifen enthalten, mit benannter Frist und Ausleitung in eigene Systeme; oder die Nachvollziehbarkeit liegt vollständig in eigener Hand, weil das Werkzeug im eigenen Betrieb läuft.belegt, an eine Auflage gebunden: Protokoll vorhanden, aber an einen höheren Tarif oder einen kostenpflichtigen Zusatz gebunden, oder die Ausleitung fehlt in den unteren Stufen; Reichweite und Frist sind benannt.belegt, aber ungünstig: Protokolle sind nur anbieterseitig beschrieben, oder Reichweite und Frist bleiben offen, sodass sich Nachweispflichten nicht planen lassen.an einem kritischen Punkt offen: Öffentlich nicht belegt, ob der Kunde überhaupt ein auswertbares Protokoll erhält. | an einem kritischen Punkt offenunklarVerschlüsselung, Betrieb auf Amazon Web Services, SOC 2 Type II, Löschung durch den Kunden, keine dauerhafte Speicherung von E-MailsZur QuelleDie Trust-Seite nennt Zugriffsprotokolle für die eigene Infrastruktur des Anbieters. Ob der Kunde ein eigenes, auswertbares Protokoll über Zugriffe und Änderungen in seinem Mandanten erhält und in welchem Tarif, ist öffentlich nicht belegt.Stand 2026-07-30 |
Was es wirklich kostet
Einstieg
Unter 150 aktiven Konten 750 US-Dollar im Monat pauschal. Von 150 bis 2500 Konten 5 US-Dollar je aktivem Konto und Monat. Darüber Rahmenvertrag auf Anfrage. Eine kostenlose Testphase gibt es, ihre Länge nennt die Preisseite nicht.Preise, Mindestpreis, Definition des aktiven Kontos, kostenpflichtige ZusatzmoduleZur Quelle
Stand 2026-07-30
Was teuer wird
An drei Stellen. Erstens zählt der Anbieter jedes lizenzierte Postfach, also auch Gäste, Werkvertragskräfte, Verteiler und geteilte Postfächer; die Rechnung fällt höher aus, als die Zahl der Mitarbeitenden vermuten lässt. Zweitens sind die beiden schärfsten Funktionen, die Prüfung von App-zu-App-Integrationen und die Härtung der Konfiguration, kostenpflichtige Zusätze ohne öffentlichen Preis. Drittens verschwindet der Preis oberhalb von 2500 Konten ganz in der Verhandlung.
Was es verdrängt
- Selbst gepflegte Tabelle der eingesetzten Werkzeuge
- Rundmail an die Teams mit der Frage, wer was benutzt
Schnittstellen
- Lesende Anbindung an Google Workspace oder Microsoft 365
- REST-Programmierschnittstelle für Konten, Anwendungen, Nutzer, OAuth-Freigaben und Ereignisse
- Browser-Erweiterung für Endgeräte
Passende Methoden
- Regulatorik-Dichte-TestDer Test setzt voraus, dass man den eigenen Betroffenheitsgrad kennt, und ohne eine Liste der tatsächlich genutzten KI-Dienste lässt sich weder eine Kundenfrage zum KI-Einsatz noch ein Verzeichnis beantworten.
- DORA AI Capabilities Model (sieben KI-Fähigkeiten)Die Erhebung fragt nach einer klaren Haltung zu KI im Haus, und die gemessene Nutzung im Schatten ist der Abgleich, der zeigt, ob diese Haltung im Alltag überhaupt gilt.
Quellen
- 1.Preise, Mindestpreis, Definition des aktiven Kontos, kostenpflichtige Zusatzmodule (öffnet in neuem Tab)nudgesecurity.com/pricing · Stand 2026-07-30
- 2.Verschlüsselung, Betrieb auf Amazon Web Services, SOC 2 Type II, Löschung durch den Kunden, keine dauerhafte Speicherung von E-Mails (öffnet in neuem Tab)nudgesecurity.com/trust-center · Stand 2026-07-30
- 3.Gründungsjahr, Marktstart, Series A über 22,5 Mio. US-Dollar vom 18.11.2025, Investoren, knapp 200 Kunden (öffnet in neuem Tab)nudgesecurity.com/… · Stand 2026-07-30
- 4.Genannte Dienstleister Stripe und Google, keine Liste der Unterauftragnehmer, keine Angabe zum Speicherort, keine Standardvertragsklauseln genannt (öffnet in neuem Tab)nudgesecurity.com/legal/privacy-policy · Stand 2026-07-30
- 5.Suchabfragen je Ressource mit maximal 100 Treffern je Seite, kein dokumentierter Endpunkt für einen Gesamtexport (öffnet in neuem Tab)nudgesecurity.readme.io/reference/post_api-1-0-accounts-search · Stand 2026-07-30
- 6.nudgesecurity.com/legal/terms-and-conditions (öffnet in neuem Tab)Stand 2026-07-30
- 7.trust.nudgesecurity.com (öffnet in neuem Tab)Stand 2026-07-30
Zuletzt geprüft: 2026-07-30 von Dr. Oliver Gausmann, Convios GmbH
Angaben veraltet? Schreiben Sie uns.