# Nudge Security

> Zeigt, welche KI- und SaaS-Dienste im Haus tatsächlich benutzt werden und welche Zugriffsrechte diese Dienste auf die Firmendaten halten, ohne dass jemand die Belegschaft danach fragen muss.

- Anbieter: Nudge Security, Inc.
- Kanonische URL: https://www.convios.com/de/werkzeugkasten/nudge-security
- Sprachfassung: https://www.convios.com/en/toolbox/nudge-security
- Bereich: Governance & Sicherheit · Cluster: KI-Nutzungs-Transparenz
- Rolle: Fertigprodukt · Herkunft: Etabliert, KI nachgerüstet
- Stand: 2026-07-30 · Geprüft: 2026-07-30 · Autor: Dr. Oliver Gausmann, Convios GmbH
- Werkzeugkasten: https://www.convios.com/de/werkzeugkasten — Markdown: https://www.convios.com/de/werkzeugkasten.md

## Urteil

Verhindert Rückstand: Wer nicht weiß, welche KI-Dienste an den Firmendaten hängen, kann weder eine Kundenfrage zum KI-Einsatz beantworten noch ein Verzeichnis führen. Das ist Rückstand, nicht Vorsprung. Die Liste selbst unterscheidet niemanden am Markt: Der Wettbewerber nebenan erzeugt dieselbe Liste in derselben Woche. Ein Vorsprung entsteht erst daraus, was ein Haus mit der Liste entscheidet, und das leistet kein Werkzeug.

## Eignung nach Unternehmensgröße

- Solopreneur: nicht geeignet — Unter 150 aktiven Konten ruft der Anbieter pauschal 750 US-Dollar im Monat auf. Bei einer Handvoll Konten sieht man dieselben erteilten Rechte kostenlos in der Verwaltungskonsole von Google Workspace oder Microsoft 365.
- KMU: geeignet — Ab etwa 150 Konten wird der Preis von 5 US-Dollar je aktivem Konto verhältnismäßig, und das ist genau die Größe, ab der die Geschäftsführung nicht mehr weiß, wer welchen KI-Dienst angemeldet hat. Unterhalb dieser Schwelle zahlt man die Pauschale und damit ein Vielfaches je Kopf.
- Konzern: bedingt geeignet — Ab 2500 Konten verhandelt man einen Rahmenvertrag, der Preis ist dann nicht mehr öffentlich. Schwerer wiegt: Der Anbieter dokumentiert den Speicherort nicht öffentlich und führt keine offene Unterauftragnehmerliste. Beides fragt jede Konzern-Datenschutzabteilung im ersten Gespräch ab.

## Tragfähigkeit des Anbieters

Finanziert: Der Anbieter ist frisch finanziert, aber jung. Fünf Jahre seit Gründung, knapp vier Jahre am Markt und eine Kundenzahl im niedrigen dreistelligen Bereich reichen nicht für die Einordnung etabliert. Die Series A vom November 2025 trägt den Betrieb auf Sicht, ersetzt aber keine belegte Profitabilität.

- Gründung und Marktstart: 2021 gegründet, Plattform seit Oktober 2022 am Markt, Sitz Austin, Texas (Quelle: https://www.nudgesecurity.com/press/nudge-security-raises-22-5m-series-a-to-secure-workforce-ai-and-saas, Stand 2026-07-30)
- Finanzierung: 22,5 Mio. US-Dollar Series A vom 18.11.2025, angeführt von Cerberus Ventures, mit Ballistic Ventures, Forgepoint Capital und Squadra Ventures (Quelle: https://www.nudgesecurity.com/press/nudge-security-raises-22-5m-series-a-to-secure-workforce-ai-and-saas, Stand 2026-07-30)
- Kundenzahl: knapp 200 Kunden, Anbieterangabe zum 18.11.2025 (Quelle: https://www.nudgesecurity.com/press/nudge-security-raises-22-5m-series-a-to-secure-workforce-ai-and-saas, Stand 2026-07-30)
- Nachweis: SOC 2 Type II laut eigener Trust-Seite; die erste veröffentlichte Prüfung 2022 war ein Type-1-Bericht (Quelle: https://www.nudgesecurity.com/trust-center, Stand 2026-07-30)
- Rechtsperson: Nudge Security, Inc.; Zustellanschrift Las Vegas, Nevada; Gerichtsstand laut Nutzungsbedingungen Massachusetts. Eine Registernummer ist öffentlich nicht abrufbar. (Quelle: https://www.nudgesecurity.com/legal/terms-and-conditions, Stand 2026-07-30)

## Ausstiegskosten

Gering: Das Werkzeug hält keine Daten, die man zurückbraucht, es liest nur mit. Man entzieht die Lesefreigabe in Google Workspace oder Microsoft 365 und ist draußen, ohne Migration und ohne Datenübernahme. Was verloren geht, ist die aufgebaute Historie. Einen Endpunkt für einen vollständigen Export nennt die Programmierschnittstelle nicht, sie bietet Suchabfragen mit maximal 100 Treffern je Seite. Wer die Bestände behalten will, zieht sie vor der Kündigung seitenweise heraus.

## Regulatorik und Daten

| Punkt | Befund | Belegstand | Stand |
|---|---|---|---|
| Auftragsverarbeitung | vorhanden, über das Trust Center anzufordern — Das Trust Center listet einen Auftragsverarbeitungsvertrag neben Rahmenvertrag und Datenschutzerklärung als abrufbares Dokument. Der Text ist nicht frei einsehbar, sondern wird auf Anfrage herausgegeben. | teilweise belegt | 2026-07-30 |
| Speicherort | unklar — Der Anbieter nennt Amazon Web Services als Infrastruktur, aber keine Region. Weder die Trust-Seite noch die Datenschutzerklärung sagen, ob die Bestandsdaten in der EU oder in den Vereinigten Staaten liegen. Eine Wahl der Region wird nirgends angeboten. | nicht belegt | 2026-07-30 |
| Subunternehmer | keine öffentliche Liste — Die Datenschutzerklärung nennt namentlich nur Stripe für Zahlungen und Google für Web-Analyse, dazu die Gattungen Hosting- und Kommunikationsdienstleister. Wer die Kundendaten mitverarbeitet, steht öffentlich nirgends. | teilweise belegt | 2026-07-30 |
| Drittlandübermittlung | unklar — Der Anbieter sitzt in den Vereinigten Staaten, eine Drittlandsübermittlung findet also statt. Auf welcher Grundlage, sagen die öffentlichen Dokumente nicht. Standardvertragsklauseln oder eine Zertifizierung nach dem EU-US-Rahmen werden in der Datenschutzerklärung nicht genannt. | nicht belegt | 2026-07-30 |
| Training mit Kundendaten | unklar — Ob die erhobenen Bestands- und Nutzungsdaten in das Training von Modellen des Anbieters einfließen, sagt keines der öffentlichen Dokumente. Das Produkt wertet Postfach-Metadaten mit maschinellem Lernen aus, damit gehört die Frage in die Vertragsverhandlung. | nicht belegt | 2026-07-30 |
| Aufbewahrung und Löschung | solange das Konto besteht, vollständige Löschung durch den Kunden möglich — Die Datenschutzerklärung bindet die Aufbewahrung an das offene Konto. Die Trust-Seite sagt zusätzlich, dass Kunden ihre Daten vollständig löschen können und dass E-Mails nicht dauerhaft gespeichert werden. Eine Frist in Tagen, etwa für Sicherungskopien, ist nicht genannt. | teilweise belegt | 2026-07-30 |
| Zertifikate | SOC 2 Type II laut Anbieter; im Trust Center zusätzlich Kennzeichen für DSGVO, CCPA und HIPAA — Ein ISO-27001-Zertifikat wird nirgends genannt. Die Aussage zu Type II steht ohne Prüfdatum und ohne Prüferin auf der eigenen Seite; die einzige datierte Veröffentlichung von 2022 betrifft einen Type-1-Bericht. Kennzeichen für DSGVO und HIPAA sind Selbstauskünfte, keine Zertifikate. | teilweise belegt | 2026-07-30 |
| EU-KI-Verordnung, Artikel 50 | unklar — Zu den eigenen Pflichten aus der europäischen KI-Verordnung äußert sich der Anbieter öffentlich nicht. Das Werkzeug hilft beim Führen eines Verzeichnisses eingesetzter KI-Dienste, das ist eine Zuarbeit zur eigenen Pflicht und keine Zusage des Anbieters. | teilweise belegt | 2026-07-30 |
| Protokollierung | unklar — Die Trust-Seite nennt Zugriffsprotokolle für die eigene Infrastruktur des Anbieters. Ob der Kunde ein eigenes, auswertbares Protokoll über Zugriffe und Änderungen in seinem Mandanten erhält und in welchem Tarif, ist öffentlich nicht belegt. | nicht belegt | 2026-07-30 |

## Kosten

- Einstieg: Unter 150 aktiven Konten 750 US-Dollar im Monat pauschal. Von 150 bis 2500 Konten 5 US-Dollar je aktivem Konto und Monat. Darüber Rahmenvertrag auf Anfrage. Eine kostenlose Testphase gibt es, ihre Länge nennt die Preisseite nicht. (Stand 2026-07-30)
- Teuer wird es: An drei Stellen. Erstens zählt der Anbieter jedes lizenzierte Postfach, also auch Gäste, Werkvertragskräfte, Verteiler und geteilte Postfächer; die Rechnung fällt höher aus, als die Zahl der Mitarbeitenden vermuten lässt. Zweitens sind die beiden schärfsten Funktionen, die Prüfung von App-zu-App-Integrationen und die Härtung der Konfiguration, kostenpflichtige Zusätze ohne öffentlichen Preis. Drittens verschwindet der Preis oberhalb von 2500 Konten ganz in der Verhandlung.

## Drei Wege im Vergleich

### Sicherheits-Suite mit Netzwerk- oder Endgeräte-Sensor

Die klassische Antwort auf Schatten-IT sitzt im Netzwerkverkehr oder auf dem Endgerät und sieht damit mehr als nur die Anmeldevorgänge. Sie kostet dafür ein Ausrollprojekt, eine Runde mit der Mitbestimmung und in aller Regel einen Konzernvertrag mit Mindestabnahme. Für ein Haus mit 100 bis 300 Beschäftigten ist das der deutlich teurere Weg zur gleichen Liste.

### Browser-Schicht, die Eingaben sieht statt Anmeldungen

Eine jüngere Klasse sitzt als Erweiterung im Browser und protokolliert, was Beschäftigte in ein Sprachmodell hineinschreiben. Das beantwortet die Frage nach dem Datenabfluss genauer, hebt die Mitbestimmung aber auf eine andere Stufe, weil Verhalten am Arbeitsplatz aufgezeichnet wird. Nudge Security bietet selbst eine Browser-Erweiterung an, der Kern der Erkennung bleibt aber die Spur im Postfach.

### Rechteliste selbst aus der Verwaltungsschnittstelle ziehen

Google Workspace und Microsoft 365 geben die erteilten OAuth-Rechte über ihre Verwaltungsschnittstellen heraus. Ein Skript, das diese Listen wöchentlich in eine Tabelle schreibt, kostet ein bis zwei Tage und liefert den harten Kern der Antwort: welcher Dienst hält welche Rechte auf welche Postfächer. Es fehlen die Dienste, für die sich jemand ohne OAuth mit der Firmenadresse angemeldet hat, die Historie vor dem ersten Lauf und der Teil, der die Belegschaft anspricht und aufräumt.

Empfehlung nach Größe:

- Solopreneur: Selbst ziehen. Der Mindestpreis steht in keinem Verhältnis zur Zahl der Konten.
- KMU: Kaufen, sobald 150 Konten überschritten sind. Darunter das Skript und ein fester Monatstermin.
- Konzern: Kaufen ist vertretbar, aber Speicherort, Unterauftragnehmer und Mandantenprotokoll vor der Unterschrift schriftlich klären.

## Einordnung

- Setzt Methode um: [Regulatorik-Dichte-Test](https://www.convios.com/de/methodik/regulatorik-dichte-test) — Der Test setzt voraus, dass man den eigenen Betroffenheitsgrad kennt, und ohne eine Liste der tatsächlich genutzten KI-Dienste lässt sich weder eine Kundenfrage zum KI-Einsatz noch ein Verzeichnis beantworten.
- Setzt Methode um: [DORA AI Capabilities Model (sieben KI-Fähigkeiten)](https://www.convios.com/de/methodik/dora-ai-capabilities) — Die Erhebung fragt nach einer klaren Haltung zu KI im Haus, und die gemessene Nutzung im Schatten ist der Abgleich, der zeigt, ob diese Haltung im Alltag überhaupt gilt.
- Verdrängt: Selbst gepflegte Tabelle der eingesetzten Werkzeuge, Rundmail an die Teams mit der Frage, wer was benutzt

## Belege

- Preise, Mindestpreis, Definition des aktiven Kontos, kostenpflichtige Zusatzmodule — https://www.nudgesecurity.com/pricing (Stand 2026-07-30)
- Verschlüsselung, Betrieb auf Amazon Web Services, SOC 2 Type II, Löschung durch den Kunden, keine dauerhafte Speicherung von E-Mails — https://www.nudgesecurity.com/trust-center (Stand 2026-07-30)
- Gründungsjahr, Marktstart, Series A über 22,5 Mio. US-Dollar vom 18.11.2025, Investoren, knapp 200 Kunden — https://www.nudgesecurity.com/press/nudge-security-raises-22-5m-series-a-to-secure-workforce-ai-and-saas (Stand 2026-07-30)
- Genannte Dienstleister Stripe und Google, keine Liste der Unterauftragnehmer, keine Angabe zum Speicherort, keine Standardvertragsklauseln genannt — https://www.nudgesecurity.com/legal/privacy-policy (Stand 2026-07-30)
- Suchabfragen je Ressource mit maximal 100 Treffern je Seite, kein dokumentierter Endpunkt für einen Gesamtexport — https://nudgesecurity.readme.io/reference/post_api-1-0-accounts-search (Stand 2026-07-30)