PflichtausrüstungFertigproduktEtabliert, KI nachgerüstet

Nudge Security

Nudge Security, Inc. ·www.nudgesecurity.com· Stand: 2026-07-30

Zeigt, welche KI- und SaaS-Dienste im Haus tatsächlich benutzt werden und welche Zugriffsrechte diese Dienste auf die Firmendaten halten, ohne dass jemand die Belegschaft danach fragen muss.

Unser Urteil

Wer nicht weiß, welche KI-Dienste an den Firmendaten hängen, kann weder eine Kundenfrage zum KI-Einsatz beantworten noch ein Verzeichnis führen. Das ist Rückfall, nicht Vorsprung. Die Liste selbst unterscheidet niemanden am Markt: Der Wettbewerber nebenan erzeugt dieselbe Liste in derselben Woche. Ein Vorsprung entsteht erst daraus, was ein Haus mit der Liste entscheidet, und das leistet kein Werkzeug.

Für wen es taugt

Solopreneur

nicht geeignet

Unter 150 aktiven Konten ruft der Anbieter pauschal 750 US-Dollar im Monat auf. Bei einer Handvoll Konten sieht man dieselben erteilten Rechte kostenlos in der Verwaltungskonsole von Google Workspace oder Microsoft 365.

KMU

geeignet

Ab etwa 150 Konten wird der Preis von 5 US-Dollar je aktivem Konto verhältnismäßig, und das ist genau die Größe, ab der die Geschäftsführung nicht mehr weiß, wer welchen KI-Dienst angemeldet hat. Unterhalb dieser Schwelle zahlt man die Pauschale und damit ein Vielfaches je Kopf.

Konzern

bedingt geeignet

Ab 2500 Konten verhandelt man einen Rahmenvertrag, der Preis ist dann nicht mehr öffentlich. Schwerer wiegt: Der Anbieter dokumentiert den Speicherort nicht öffentlich und führt keine offene Unterauftragnehmerliste. Beides fragt jede Konzern-Datenschutzabteilung im ersten Gespräch ab.

Kaufen, wechseln oder bauen

Standardprodukt

Sicherheits-Suite mit Netzwerk- oder Endgeräte-Sensor

Die klassische Antwort auf Schatten-IT sitzt im Netzwerkverkehr oder auf dem Endgerät und sieht damit mehr als nur die Anmeldevorgänge. Sie kostet dafür ein Ausrollprojekt, eine Runde mit der Mitbestimmung und in aller Regel einen Konzernvertrag mit Mindestabnahme. Für ein Haus mit 100 bis 300 Beschäftigten ist das der deutlich teurere Weg zur gleichen Liste.

KI-nativ

Browser-Schicht, die Eingaben sieht statt Anmeldungen

Eine jüngere Klasse sitzt als Erweiterung im Browser und protokolliert, was Beschäftigte in ein Sprachmodell hineinschreiben. Das beantwortet die Frage nach dem Datenabfluss genauer, hebt die Mitbestimmung aber auf eine andere Stufe, weil Verhalten am Arbeitsplatz aufgezeichnet wird. Nudge Security bietet selbst eine Browser-Erweiterung an, der Kern der Erkennung bleibt aber die Spur im Postfach.

Eigenbau

Rechteliste selbst aus der Verwaltungsschnittstelle ziehen

Google Workspace und Microsoft 365 geben die erteilten OAuth-Rechte über ihre Verwaltungsschnittstellen heraus. Ein Skript, das diese Listen wöchentlich in eine Tabelle schreibt, kostet ein bis zwei Tage und liefert den harten Kern der Antwort: welcher Dienst hält welche Rechte auf welche Postfächer. Es fehlen die Dienste, für die sich jemand ohne OAuth mit der Firmenadresse angemeldet hat, die Historie vor dem ersten Lauf und der Teil, der die Belegschaft anspricht und aufräumt.

Unser Rat

  • Solopreneur: Selbst ziehen. Der Mindestpreis steht in keinem Verhältnis zur Zahl der Konten.
  • KMU: Kaufen, sobald 150 Konten überschritten sind. Darunter das Skript und ein fester Monatstermin.
  • Konzern: Kaufen ist vertretbar, aber Speicherort, Unterauftragnehmer und Mandantenprotokoll vor der Unterschrift schriftlich klären.

Wer dahinter steht

Tragfähigkeit: Finanziert

Der Anbieter ist frisch finanziert, aber jung. Fünf Jahre seit Gründung, knapp vier Jahre am Markt und eine Kundenzahl im niedrigen dreistelligen Bereich reichen nicht für die Einordnung etabliert. Die Series A vom November 2025 trägt den Betrieb auf Sicht, ersetzt aber keine belegte Profitabilität.

  • Gründung und Marktstart: 2021 gegründet, Plattform seit Oktober 2022 am Markt, Sitz Austin, Texas · Quelle · Stand 2026-07-30
  • Finanzierung: 22,5 Mio. US-Dollar Series A vom 18.11.2025, angeführt von Cerberus Ventures, mit Ballistic Ventures, Forgepoint Capital und Squadra Ventures · Quelle · Stand 2026-07-30
  • Kundenzahl: knapp 200 Kunden, Anbieterangabe zum 18.11.2025 · Quelle · Stand 2026-07-30
  • Nachweis: SOC 2 Type II laut eigener Trust-Seite; die erste veröffentlichte Prüfung 2022 war ein Type-1-Bericht · Quelle · Stand 2026-07-30
  • Rechtsperson: Nudge Security, Inc.; Zustellanschrift Las Vegas, Nevada; Gerichtsstand laut Nutzungsbedingungen Massachusetts. Eine Registernummer ist öffentlich nicht abrufbar. · Quelle · Stand 2026-07-30

Ausstiegskosten: Gering

Das Werkzeug hält keine Daten, die man zurückbraucht, es liest nur mit. Man entzieht die Lesefreigabe in Google Workspace oder Microsoft 365 und ist draußen, ohne Migration und ohne Datenübernahme. Was verloren geht, ist die aufgebaute Historie. Einen Endpunkt für einen vollständigen Export nennt die Programmierschnittstelle nicht, sie bietet Suchabfragen mit maximal 100 Treffern je Seite. Wer die Bestände behalten will, zieht sie vor der Kündigung seitenweise heraus.

Regulatorik und Daten

Auftragsverarbeitungvorhanden, über das Trust Center anzufordernDas Trust Center listet einen Auftragsverarbeitungsvertrag neben Rahmenvertrag und Datenschutzerklärung als abrufbares Dokument. Der Text ist nicht frei einsehbar, sondern wird auf Anfrage herausgegeben.Quelle · Stand 2026-07-30
SpeicherortunklarDer Anbieter nennt Amazon Web Services als Infrastruktur, aber keine Region. Weder die Trust-Seite noch die Datenschutzerklärung sagen, ob die Bestandsdaten in der EU oder in den Vereinigten Staaten liegen. Eine Wahl der Region wird nirgends angeboten.Quelle · Stand 2026-07-30
Subunternehmerkeine öffentliche ListeDie Datenschutzerklärung nennt namentlich nur Stripe für Zahlungen und Google für Web-Analyse, dazu die Gattungen Hosting- und Kommunikationsdienstleister. Wer die Kundendaten mitverarbeitet, steht öffentlich nirgends.Quelle · Stand 2026-07-30
DrittlandübermittlungunklarDer Anbieter sitzt in den Vereinigten Staaten, eine Drittlandsübermittlung findet also statt. Auf welcher Grundlage, sagen die öffentlichen Dokumente nicht. Standardvertragsklauseln oder eine Zertifizierung nach dem EU-US-Rahmen werden in der Datenschutzerklärung nicht genannt.Quelle · Stand 2026-07-30
Training mit KundendatenunklarOb die erhobenen Bestands- und Nutzungsdaten in das Training von Modellen des Anbieters einfließen, sagt keines der öffentlichen Dokumente. Das Produkt wertet Postfach-Metadaten mit maschinellem Lernen aus, damit gehört die Frage in die Vertragsverhandlung.ohne Quellenangabe · Stand 2026-07-30
Aufbewahrung und Löschungsolange das Konto besteht, vollständige Löschung durch den Kunden möglichDie Datenschutzerklärung bindet die Aufbewahrung an das offene Konto. Die Trust-Seite sagt zusätzlich, dass Kunden ihre Daten vollständig löschen können und dass E-Mails nicht dauerhaft gespeichert werden. Eine Frist in Tagen, etwa für Sicherungskopien, ist nicht genannt.Quelle · Stand 2026-07-30
ZertifikateSOC 2 Type II laut Anbieter; im Trust Center zusätzlich Kennzeichen für DSGVO, CCPA und HIPAAEin ISO-27001-Zertifikat wird nirgends genannt. Die Aussage zu Type II steht ohne Prüfdatum und ohne Prüferin auf der eigenen Seite; die einzige datierte Veröffentlichung von 2022 betrifft einen Type-1-Bericht. Kennzeichen für DSGVO und HIPAA sind Selbstauskünfte, keine Zertifikate.Quelle · Stand 2026-07-30
EU-KI-Verordnung, Artikel 50unklarZu den eigenen Pflichten aus der europäischen KI-Verordnung äußert sich der Anbieter öffentlich nicht. Das Werkzeug hilft beim Führen eines Verzeichnisses eingesetzter KI-Dienste, das ist eine Zuarbeit zur eigenen Pflicht und keine Zusage des Anbieters.ohne Quellenangabe · Stand 2026-07-30
ProtokollierungunklarDie Trust-Seite nennt Zugriffsprotokolle für die eigene Infrastruktur des Anbieters. Ob der Kunde ein eigenes, auswertbares Protokoll über Zugriffe und Änderungen in seinem Mandanten erhält und in welchem Tarif, ist öffentlich nicht belegt.Quelle · Stand 2026-07-30

Was es wirklich kostet

Einstieg

Unter 150 aktiven Konten 750 US-Dollar im Monat pauschal. Von 150 bis 2500 Konten 5 US-Dollar je aktivem Konto und Monat. Darüber Rahmenvertrag auf Anfrage. Eine kostenlose Testphase gibt es, ihre Länge nennt die Preisseite nicht.

Quelle · Stand2026-07-30

Was teuer wird

An drei Stellen. Erstens zählt der Anbieter jedes lizenzierte Postfach, also auch Gäste, Werkvertragskräfte, Verteiler und geteilte Postfächer; die Rechnung fällt höher aus, als die Zahl der Mitarbeitenden vermuten lässt. Zweitens sind die beiden schärfsten Funktionen, die Prüfung von App-zu-App-Integrationen und die Härtung der Konfiguration, kostenpflichtige Zusätze ohne öffentlichen Preis. Drittens verschwindet der Preis oberhalb von 2500 Konten ganz in der Verhandlung.

Was es verdrängt

  • Selbst gepflegte Tabelle der eingesetzten Werkzeuge
  • Rundmail an die Teams mit der Frage, wer was benutzt

Schnittstellen

  • Lesende Anbindung an Google Workspace oder Microsoft 365
  • REST-Programmierschnittstelle für Konten, Anwendungen, Nutzer, OAuth-Freigaben und Ereignisse
  • Browser-Erweiterung für Endgeräte

Bei uns: Nicht von uns genutzt

Nicht im Einsatz. Bei der Größe eines Ein-Personen-Betriebs greift der Mindestpreis von 750 US-Dollar im Monat, und die erteilten Rechte lassen sich in der Verwaltungskonsole direkt einsehen.

Passende Methoden

Belege

  1. 1.Preise, Mindestpreis, Definition des aktiven Kontos, kostenpflichtige Zusatzmodule · Stand 2026-07-30
  2. 2.Verschlüsselung, Betrieb auf Amazon Web Services, SOC 2 Type II, Löschung durch den Kunden, keine dauerhafte Speicherung von E-Mails · Stand 2026-07-30
  3. 3.Gründungsjahr, Marktstart, Series A über 22,5 Mio. US-Dollar vom 18.11.2025, Investoren, knapp 200 Kunden · Stand 2026-07-30
  4. 4.Genannte Dienstleister Stripe und Google, keine Liste der Unterauftragnehmer, keine Angabe zum Speicherort, keine Standardvertragsklauseln genannt · Stand 2026-07-30
  5. 5.Suchabfragen je Ressource mit maximal 100 Treffern je Seite, kein dokumentierter Endpunkt für einen Gesamtexport · Stand 2026-07-30

Zuletzt geprüft: 2026-07-30vonDr. Oliver Gausmann, Convios GmbH

Angaben veraltet? Schreiben Sie uns.

Diese Methode mit KI durchgehen