# Referenzen — INX Systems

INX Systems belegt die eigenen Möglichkeiten mit zwei Referenzen: Wo andere noch prüfen und testen oder sich in Umstellung auf neue Verfahren befinden, haben wir bereits geliefert.

### Eine Plattform für die Unternehmensvermittlung (anonymisiert)

Die INX Systems GmbH hat für einen Anbieter in der Unternehmensvermittlung eine Plattform mit moderner Weboberfläche für die Nutzung an Desktop und Handy gebaut. Ein Umfang von 75 Tabellen mit sicheren Zugriffsregeln auf Datenbankebene ermöglicht es, sensible Daten sicher zu verwalten und den Anforderungen komplexer Businessprozesse gerecht zu werden. Die Einbindung von KI-Modellen ermöglicht eine größtmögliche Unterstützung der Nutzerinnen und Nutzer bei Erfassung, Analyse und Optimierung der Daten. Laufzeit rund fünf Monate, vollständig übergeben und seit dem Abschluss im Einsatz.

- **Branche:** Unternehmensvermittlung
- **Laufzeit:** rund fünf Monate (vom Briefing bis zum Abschluss)
- **Datenmodell:** 75 Tabellen (314 Datenbankmigrationen)
- **Übergabe:** vollständig und im produktiven Betrieb (Code, Daten und Dokumentation)
- **Anwendung:** Web-Applikation (für Desktop und Handy)

Die Anwendung arbeitet mit mehreren Nutzergruppen und ermöglicht webbasiert auf Desktop und Handy die Verwaltung von Kunden und zu vermittelnden Unternehmen. Integrierte KI-Systeme unterstützen alle Mitarbeiterinnen und Mitarbeiter bei der Eingabe, der Verbesserung und der Analyse von Übereinstimmungen zwischen Kunden und Unternehmen. Umfangreiche automatisierte Prozesse tragen die Kommunikation mit Kunden und Vertretern der zu verkaufenden Unternehmen und bieten eine Selbsterfassung durch die jeweiligen Nutzergruppen. Daten aus einem Altsystem wurden übernommen und für die neuen Nutzungszwecke aufbereitet.

Umfang:

- **Rollen und Portale** — Mehrere Nutzergruppen mit eigenen Oberflächen und getrennten Rechten, durchgesetzt über Row Level Security in Postgres statt über die Sichtbarkeit in der Oberfläche.
- **Vertraulichkeit im Fachprozess** — Unterscheidung zwischen externer und interner Sichtweise, tokengesicherte Zeichnung von Dokumenten.
- **KI-Unterstützung** — Integrierte KI-Systeme unterstützen die Mitarbeiterinnen und Mitarbeiter bei der Eingabe, der Verbesserung und der Analyse von Übereinstimmungen zwischen Kunden und Unternehmen.
- **Dokumente und Korrespondenz** — Automatisch erzeugte Dokumente als PDF und PowerPoint, dazu geprüfte Mailvorlagen für die Serienkommunikation.
- **Datenschutz als Funktion** — Auskunft, Löschung und Sperre sind implementierte Funktionen zur vollständigen Unterstützung.
- **Datenübernahme** — Migration aus einem Altsystem mit Berichten über Feldabdeckung und Abweichungen.

Technischer Aufbau:

- Next.js (App Router), React, TypeScript strict
- Postgres über eine selbst betriebene Supabase-Instanz: Row Level Security, Auth, Storage
- Betrieb über eine Managed-Docker-Infrastruktur in der EU

Zum Abschluss geprüft (Prüfumfang, nicht Befunde — die gehören dem Auftraggeber):

- Geheimnis-Scan über die vollständige Git-Historie
- Statische Analyse gegen OWASP-, TypeScript- und React-Regelsätze über den gesamten Quellbestand
- Rollen-Simulation der Zugriffsregeln gegen echte Daten, aus der Sicht jeder Nutzergruppe
- Abgleich aller Datenbankfunktionen mit erweiterten Rechten
- Prüfung des ausgelieferten Browser-Bundles auf Schlüsselmaterial
- Verifikation der Security-Header am laufenden Server
- Abhängigkeitsprüfung mit Bewertung jedes Fundes nach Erreichbarkeit

Was diese Prüfungen ergeben haben, steht nirgends öffentlich. Befunde aus einem Kundenprojekt gehören dem Kunden — auch die behobenen.

### Taktus Kontor (https://github.com/INXcode/taktus)

Die INX Systems GmbH entwickelt mit Taktus Kontor ein eigenes Produkt unter AGPL-3.0-or-later: Quellcode, Sicherheitsarchitektur und Datenschutzdokumente sind öffentlich einsehbar — unsere Arbeitsweise lässt sich damit umfangreich prüfen.

Taktus Kontor ist ein schlanker Orchestrator für Kleinunternehmen: Ticketsystem, Zeiterfassung und KI-Zuarbeit in einer Anwendung, mehrmandantenfähig, mit Mandantentrennung auf Datenbankebene. Der Anspruch ist bewusst asymmetrisch verteilt — Tiefe in der Architektur als Beleg für technische Präzision, in der überschaubaren Größe einer kleinen Verwaltungsapp.

Hier zählt nicht, was das Produkt kann, sondern dass Sie es überprüfen können. Jede Zugriffsregel hat einen Test gegen einen fremden Mandanten, jedes Feld im Datenmodell eine Zweckbegründung, jede genannte Prüfung einen Verweis darauf, wo sie läuft.

Und der Punkt, auf den es uns ankommt: Was dort nicht eingerichtet ist, steht getrennt und ausdrücklich als solches gekennzeichnet. Eine genannte Prüfung ist eine Zusicherung — sechs belegbare Prüfungen sind mehr wert als zwölf behauptete. Genau diese Haltung bekommen Sie auch in einem Auftrag.

Prüfkette:

- **Bei jedem Pull Request:** Unit-Tests, Zugriffstests auf Datenbankebene, End-to-End-Tests; Statische Analyse mit eigenen Regeln plus OWASP-, React- und TypeScript-Regelsätzen; Lizenz-Policy und Lizenzangabe an jeder Datei; Prüfung des Browser-Bundles auf Schlüsselmaterial; Geheimnis-Scan über die vollständige Historie; Verhaltensanalyse neuer und geänderter Abhängigkeiten
- **Laufend und je Release:** Fortlaufende Schwachstellenprüfung der Abhängigkeiten; Wöchentlicher Geheimnis-Scan über die Historie; SPDX-Stückliste, abgelegt an jedem Release

Mitgelieferte Dokumente: Risikomatrix mit Zuordnung Maßnahme zu Werkzeug, Architekturbegründung samt Entscheidung zur Datensouveränität, Datenmodell mit Zweckbindung je Feld, Zugriffsmatrix, deckungsgleich mit den Tests, Löschkonzept, Verarbeitungsverzeichnis nach Art. 30 DSGVO, Technische und organisatorische Maßnahmen nach Art. 32 DSGVO, Hinweise zur Auftragsverarbeitung, inklusive der Grenzen, Abwägung zur Wahl des Sprachmodell-Anbieters.

INX Systems belegt die eigene Arbeitsweise mit zwei Referenzen statt mit Kundenlogos: einer anonymisierten Plattform für die Unternehmensvermittlung — verkauft, im Einsatz, vom Auftraggeber zur anonymisierten Darstellung freigegeben — und Taktus Kontor, einem eigenen Open-Source-Produkt, dessen Sicherheitsarchitektur und Datenschutzdokumente vollständig nachlesbar sind. Kundennamen nennen wir im Gespräch, nicht auf der Webseite; im persönlichen Gespräch dürfen wir den Auftraggeber namentlich nennen.