Unternehmenskontext: Gib dem Assistenten einmalig deine Identität

Die erste Klausel, die ein ernstzunehmender Informationssicherheitsstandard von dir verlangt, ist keine Kontrolle. ISO/IEC 27001:2022 (veröffentlicht Oktober 2022) widmet sich in Klausel 4 dem „Kontext der Organisation“ und beginnt in 4.1 mit „Verständnis der Organisation und ihres Kontexts“. Vor dem Geltungsbereich, vor der Anwendbarkeitserklärung, vor einer einzigen Richtlinie möchte der Standard wissen, wer du bist: Was du tust, wen du bedienst und was für ein Unternehmen wie deines schiefgehen könnte.

Ein KI-Assistent, der diese Klausel überspringt, erstellt generische Compliance. Fordere ihn zur Erstellung einer Zugriffskontrollrichtlinie auf, und wenn er dich nicht kennt, liefert er dir eine Vorlage, die genauso gut zu einer 5.000-köpfigen Bank wie zu einem Drei-Personen-Startup passen könnte. Die Worte sind in Ordnung. Das Dokument gehört zu einem Unternehmen, das es nicht gibt.

Bis jetzt hast du improvisiert. Du hast wiederholt, wer du bist, am Anfang jedes Gesprächs, oder deine Organisationsdaten in freie benutzerdefinierte Anweisungen gezwängt, oder den Assistenten einzelne Fakten nach und nach als gespeicherte Erinnerungen aufnehmen lassen. Jede davon kann eine Information speichern. Keine davon ist ein Ort für die Identität deiner Organisation. Verstreute Fakten über hundert Threads sind kein Kontext – es ist Wiederholung.

Was wir veröffentlicht haben

Unternehmenskontext ist ein strukturiertes Profil für deine Organisation, an einem Ort, im neuen Bereich „Anpassen“ in der Seitenleiste. Du füllst ein kurzes Formular mit den Fakten aus, die beeinflussen, wie Compliance-Empfehlungen zu verstehen sind:

• Firmenname und Branche
• Größe (Größenordnung, Stadium oder Mitarbeiteranzahl)
• Hauptsitz-Land und Hosting-Region (wo deine Daten gespeichert sind)
• Datenschutzrolle: Verantwortlicher, Auftragsverarbeiter oder beides
• Datenarten, die du verarbeitest (Klassen personenbezogener oder regulierter Daten)
• Tech-Stack (Kernsysteme, Cloud, Identitätsanbieter)
• Notizen: alles Weitere, was der Assistent wissen muss, bis zu 2.000 Zeichen

Du gibst es einmal ein. Ab dann erstellen dein persönlicher Chat und Beyond Entwürfe mit deinem Unternehmen im Blick. Fordere eine Risikobewertung an und der Assistent berücksichtigt deine Datenarten und Hosting-Region, nicht ein Standardbeispiel. Fordere eine Richtlinie an und sie passt zu deiner Größe statt zu einem generischen Organigramm. Allein das Feld für die Datenschutzrolle ändert viel: GDPR Artikel 4 (die Verordnung gilt seit dem 25. Mai 2018) definiert, was ein Verantwortlicher und ein Auftragsverarbeiter sind, und die DSGVO weist jedem unterschiedliche Verantwortlichkeiten zu. Wenn du dem Assistenten mitteilst, welche Rolle du einnimmst, macht das den Unterschied zwischen Empfehlungen, die für dich gelten, und solchen, die es nicht tun.

Drei verschiedene Dinge, damit du aufhörst, sie zu vermischen

Menschen verwechseln drei Einstellungen, die unterschiedliche Aufgaben erfüllen. Der Unternehmenskontext existiert, damit du nicht die falsche auswählen musst.

• Unternehmenskontext ist, wer deine Organisation ist. Strukturierte, dauerhafte Fakten. Gib sie ein und vergiss sie.
• Benutzerdefinierte Anweisungen sind, wie du möchtest, dass sich der Assistent verhält. Tonfall, Format, Hausstil. Eine Präferenz, keine Tatsache.
• Gespeicherte Erinnerungen sind inkrementelle Fakten, die der Assistent unterwegs aufnimmt. Nützlich, aber gesammelt, statt von vornherein deklariert.

Vor dem Unternehmenskontext hatte die Identität deiner Organisation keinen sauberen Ort, an dem sie leben konnte, also sickerten die Informationen in die anderen beiden Bereiche ein: ein Absatz über deine Branche, der in benutzerdefinierte Anweisungen gezwängt wurde, eine Mitarbeiteranzahl, die halb in Erinnerung war aus einer vor Monaten gespeicherten Erinnerung. Jetzt gibt es ein Formular für die Organisation, und die anderen beiden können ihre eigentlichen Aufgaben erfüllen.

Auch deine verbundenen Agenten können es lesen und schreiben

Unternehmenskontext ist nicht nur ein Webformular. Wenn du ISMS Copilot aus einem Entwicklungstool über MCP nutzt (Claude Code, Cursor oder einen anderen kompatiblen MCP-Client, dieselbe Verbindung, die in ISMS Copilot mit Claude Code verbinden beschrieben wird), kann dein Agent den Unternehmenskontext direkt mit deiner Erlaubnis lesen und aktualisieren.

Das ist wichtig, weil der Ort, an dem du deine echten Organisationsdaten speicherst, oft nicht ein Browser-Tab ist. Es ist dein Repository, deine Infrastruktur-Konfiguration, dein Codebase. Der Unternehmenskontext liest diese Quellen nicht selbst aus, aber ein Agent, der bereits darin arbeitet, kann das. Ein verbundener Agent kann deine Hosting-Region oder deinen Tech-Stack aus dem übernehmen, was er bereits in deiner Umgebung sieht, und es in deinen Kontext schreiben, mit eingeschränkten, privilegienminimierten Berechtigungen, die du dem Token erteilst: Lesezugriff und Schreibzugriff sind getrennt, sodass du einem Agenten erlauben kannst, deinen Kontext zu lesen, ohne ihm zu erlauben, ihn zu ändern. Gib deinen Kontext in dem Editor ein, den du bereits nutzt, und Chat sowie Beyond im Web lesen dasselbe Profil.

Ehrlicher Geltungsbereich

Der Unternehmenskontext ist kontenbezogen: ein Profil für dich, das angewendet wird, unabhängig davon, ob ein Arbeitsbereich ausgewählt ist. Er beschreibt deine Organisation.

Zwei Orte erhalten ihn bewusst nicht. Ein temporärer Chat erhält dein Unternehmenskontext-Profil nicht. Und ein geteilter Team-Thread trägt es ebenfalls nicht, weil das Profil dir gehört: Die Unternehmensdaten eines Mitglieds sollten nicht stillschweigend zum Kontext für alle in einem geteilten Gespräch werden. Der Unternehmenskontext wird auf deinen persönlichen Chat und Beyond angewendet, nicht auf diese beiden.

Wenn du als Berater:in für jede:n Kund:in einen Arbeitsbereich betreibst, gehören die spezifischen Daten der Kund:in nicht hierher. Die Details einer Kund:in gehören weiterhin in die Anweisungen, angehefteten Dokumente und Erinnerungen dieses Arbeitsbereichs, die kundenspezifische Überlagerung, die jedes Engagement separat hält. Der Unternehmenskontext ist die darunterliegende Schicht: Es geht um dich, die:der Praktiker:in oder das interne Team, nicht um die Kund:in der Woche.

Dies ist Version 1. Sie zieht noch keine Fakten aus Google Drive, Notion oder anderen verbundenen Quellen ein; du gibst sie ein. Dieser automatische Weg ist auf der Roadmap, aber noch nicht veröffentlicht, und wir sagen es lieber so, als den Eindruck zu erwecken, es funktioniere bereits heute.

Für wen es gedacht ist

• Interne Teams, die wiederholte Compliance-Arbeiten durchführen und es leid sind, am Anfang jedes Threads von Neuem erklären zu müssen, wer sie sind.
• Praktiker:innen, die Entwürfe möchten, die passen, bei denen Branche, Größe und Datenarten von vornherein eingebunden sind, statt nach jeder Generierung nachbearbeitet werden zu müssen.
• Entwickler:innen, die die Konten-API oder einen verbundenen Agenten nutzen und ihre Organisationsdaten lieber aus ihrer eigenen Umgebung heraus einstellen möchten, statt eine Einstellungsseite zu öffnen.

Wenn du nur gelegentlich Fragen stellst, kannst du darauf verzichten. Der Unternehmenskontext lohnt sich, sobald du bemerkst, dass du zum zehnten Mal erklären musst, wer dein Unternehmen ist.

Probier es aus

Öffne „Anpassen“ in der Seitenleiste und dann „Unternehmenskontext“. Fülle aus, was du weißt – schon ein paar Felder helfen – und speichere es. Starte dann einen neuen Chat und bitte um etwas, wofür du normalerweise mit einem Absatz über dein Unternehmen einleitest, wie z. B. „Entwirf eine Zugriffskontrollrichtlinie für uns“. Der Entwurf sollte bereits zu deinem Unternehmen passen. Falls nicht, ist das fehlende Feld das nächste, das du ausfüllen solltest.

„Verständnis der Organisation und ihres Kontexts“ ist aus gutem Grund Klausel 4.1. Ein Assistent sollte dich nicht zwingen, sie zu überspringen.