Benutzerhandbuch · Community Edition
Community Edition im Browser
Versatile AI Risk Assessment führt Sie strukturiert durch die Risikobewertung eines KI-Systems, von den Bedrohungen über den EU AI Act bis zur DSGVO/DSFA. Die Community Edition ist die kostenfreie Fassung für dauerhafte lokale, nichtkommerzielle Arbeit: Sie läuft vollständig in Ihrem Browser, ohne Anmeldung und ohne Datenübertragung. Die Website startet sie mit einem ausgefüllten Lernbeispiel. Dieses Handbuch erklärt jede Funktion Schritt für Schritt.
- 6Schritte je Assessment
- 52KI-Bedrohungen im Katalog
- Projektdatei
.vra-project.jsonfür Backup und Gerätewechsel - 0Konten, Server, Telemetrie
Was die Community Edition leistet
Die Community Edition öffnet direkt ein vollständig vorbefülltes Beispiel-Assessment, einen autonomen Rechnungs- und Zahlungs-Agenten. So sehen Sie den kompletten Ablauf mit realistischen Inhalten, ohne selbst Daten eingeben zu müssen.
Das bietet die Community Edition
- Ein KI-System erfassen und den Kontext strukturiert festhalten.
- Systemtypbasierte Bedrohungsauswahl prüfen, Risiken bewerten, EU AI Act und DSGVO/DSFA einordnen.
- PDF-Berichte erzeugen und den vollständigen Arbeitsstand als versionierte
.vra-project.json-Projektdatei sichern und wieder importieren.
Bewusste Grenzen der Edition
- Keine Anmeldung, keine Benutzerrollen, keine Mandanten: ein Arbeitsplatz, lokal.
- Keine Datenübertragung, keine Cloud, keine Telemetrie.
- Kein Portfolio und keine generischen JSON-, CSV-, XLSX-, DOCX- oder Integrations-Exporte.
- Kein Ersatz für Rechts- oder Fachberatung (siehe Hinweise).
Erste Schritte
- Starten. Wählen Sie „Live-Demo starten“. Das Handbuch öffnet die Website und startet dort die Community Edition in derselben Vollbildansicht wie auf der Website. Über „Website anzeigen“ oder „Schließen“ kehren Sie jederzeit zur Website zurück; mit der Zurück-Funktion des Browsers gelangen Sie wieder in dieses Handbuch. In der Offline-Fassung funktioniert derselbe Weg vollständig lokal. Es wird nichts installiert und nichts übertragen.
- Hinweis zur Nutzung. Beim ersten Start erläutert ein Hinweis die lokale, nichtkommerzielle Nutzung: keine Datenübertragung, lokale Auto-Save-Speicherung und Berichte mit Community-Kennzeichnung. Mit „Lizenzbedingungen akzeptieren und Community Edition starten“ geht es weiter.
- Geführte Tour. Eine optionale Tour führt in rund fünf Minuten durch den kompletten Ablauf. Sie lässt sich jederzeit über „Tour starten“ erneut aufrufen und mit Esc beenden.
- Sprache. Über die Schaltfläche „DE“ oben rechts wechseln Sie zwischen Deutsch und Englisch. Oberfläche und Berichte folgen der Wahl.
- Darstellung. Das Sonnen-Symbol schaltet zwischen heller und dunkler Ansicht um. Sprache und Darstellung werden für den nächsten Start gemerkt.
Keine Verbindung nötig. Die Anwendung funktioniert vollständig offline. Es werden keine Inhalte nachgeladen und nichts gesendet.
Ein neues Assessment anlegen
Die Community Edition führt genau ein aktuelles Projekt im Browser. Ein neues Assessment ersetzt deshalb den bisherigen Arbeitsstand. So gehen Sie vor:
- Schritt 1 öffnen. Wechseln Sie zu „Systeminfo“ und suchen Sie den Bereich „Status & Versionierung“.
- „Neue Analyse“ wählen. Die Anwendung bietet zuerst an, das aktuelle Projekt zu sichern. Empfohlen ist „Exportieren und fortfahren“; alternativ können Sie bewusst ohne Export fortfahren oder abbrechen.
- Katalog festlegen. Wählen Sie anschließend, ob der Standardkatalog mit 52 Bedrohungen geladen oder der aktuell geladene Katalog beibehalten werden soll.
- Neues System beschreiben. Die Anwendung setzt Projekt-, Bewertungs-, Vergleichs-, EU-AI-Act-, DSGVO- und FRIA-Eingaben zurück, startet wieder mit Dokumentversion v1.0 und öffnet Schritt 1 für Ihre neuen Angaben. Änderungen werden automatisch lokal gespeichert.
Vorher sichern. Nur die exportierte Projektdatei lässt sich später wieder importieren. Ein PDF-Bericht ist ein Lesedokument und kein wiederherstellbares Backup.
Der Ablauf in sechs Schritten
Ein Assessment durchläuft sechs Schritte. Die Schrittleiste am oberen Rand zeigt den Fortschritt; Sie können jederzeit zwischen den Schritten wechseln.
| Schritt | Inhalt | Ergebnis |
|---|---|---|
| 1 · Systeminfo | Stammdaten des KI-Systems | Kontext für alle weiteren Schritte |
| 2 · Bedrohungen | Relevanz und Bewertung je Bedrohung | Inhärentes und residuales Risiko |
| 3 · Auswertung | Dashboard, Risikomatrizen, Export | Gesamtbild und Berichte |
| 4 · Vergleich | Aktueller Stand gegen eine Baseline | Veränderungen je Bedrohung |
| 5 · EU KI-Verordnung | Klassifikation und Pflichten | EU-AI-Act-Risikoklasse, Pflichtenliste |
| 6 · DSGVO | Datenschutz und DSFA-Pflicht | WP248-Score, DSFA-Bewertung |
Systeminfo
Hier beschreiben Sie das KI-System: Systemname, Beschreibung, Systemtyp, Bereitstellungsphase, Nutzergruppe, Verantwortliche, App- und GRC-Referenz sowie Zertifizierungen und Prüfnachweise. Neben ISO/IEC 27001 und ISO/IEC 42001 können Sie ISO/IEC 27701:2025 und ISA/IEC 62443 erfassen. Die zugehörigen Info-Schaltflächen erklären, welche Angaben zu Geltungsbereich, Zertifikat, Aussteller und Gültigkeit vor der Auswahl geprüft werden sollten. Diese Angaben fließen als Kontext in alle weiteren Schritte und in die Berichte ein.
Eingaben werden sofort übernommen und automatisch im lokalen Browser-Speicher gesichert. Über den Systemtyp (mehrfach wählbar) erkennt die Anwendung passende Bedrohungsprofile für Schritt 2. Die daraus abgeleitete Auswahl bleibt transparent: empfohlene, optional zu prüfende und ausgeblendete Bedrohungen können vor der Bewertung kontrolliert und überschrieben werden.
Bedrohungsanalyse
Der Katalog umfasst 52 KI-Bedrohungen über die Phasen Lieferkette, Entwicklung und Produktion, mit Zuordnungen unter anderem zu OWASP LLM, NIST AI RMF, MITRE ATLAS, BIML ARA und ISO. Sie markieren die Relevanz und bewerten jede relevante Bedrohung: Eintrittswahrscheinlichkeit, Auswirkung und Schutzgrad, jeweils inhärent und residual, mit Begründung und geplanten Maßnahmen samt Verantwortlichen und Fälligkeit. Die Detailinformationen zu empfohlenen Maßnahmen weisen zusätzlich Maßnahmentyp, Wirkung und Umsetzungsebene aus.
So wird gerechnet
Im Standardmodell ergibt sich das Risiko additiv aus Wahrscheinlichkeit, Auswirkung und Schutzgrad. Die Stufen:
- Niedrig 0 bis 5
- Mittel 6 bis 8
- Hoch 9 bis 10
- Kritisch ab 11
Bis zu fünf eigene Bedrohungen lassen sich ergänzen. Sie bleiben projektgebunden lokal gespeichert und werden mit der Community-Projektdatei gesichert; einen wiederverwendbaren globalen Katalog bilden sie nicht.
Auswertung
Das Dashboard verdichtet die Bewertung: Kennzahlen je Restrisiko-Stufe, zwei Risikomatrizen (inhärent und residual) als Heatmap und darunter die nach Restrisiko sortierte Bedrohungstabelle mit inhärentem (I) und residualem (R) Wert. Von hier erzeugen Sie auch die PDF-Berichte.
Versionsvergleich
Vergleichen Sie den aktuellen Stand des Lernassessments mit der darin vorbereiteten Baseline v0.9, um Veränderungen nach umgesetzten Maßnahmen sichtbar zu machen. Die Anwendung zeigt je Bedrohung die Differenz (besser, schlechter, gleich, hinzugefügt, entfernt); Filter und Suche helfen bei der Prüfung. Das Ergebnis kann als Community-gekennzeichneter Vergleichsbericht (PDF) ausgegeben werden. Der Import beliebiger Vergleichs-Baselines und Tabellenexporte gehört nicht zum Community-Umfang.
EU KI-Verordnung
Ein geführter Fragebogen bestimmt die EU-AI-Act-Risikoklasse des Systems. Er berücksichtigt dabei auch den Produktrechtskontext und den Bewertungsstichtag. Anschließend zeigt die Anwendung die zugehörigen Pflichten, deren Nachweise und einen Fristen-Kalender.
Klassifikation und Pflichten
- Der Fragebogen arbeitet die Prüfschritte des EU AI Act ab (Geltungsbereich, Rolle, Hoch-Risiko, Transparenz, GPAI) und leitet daraus die Klasse ab.
- Zur Klasse gehört eine Pflichten-Checkliste (inklusive AI-Literacy nach Art. 4) mit Fortschrittsanzeige.
- Ein Normenkalender ordnet die Pflichten den Fristen und ihrem Rechtsstand zu.
- Der Katalogstand berücksichtigt die am 24. Juli 2026 veröffentlichte und am 27. Juli 2026 in Kraft getretene Verordnung (EU) 2026/1744 einschließlich der gestaffelten Übergangsfristen.
- Der Community-EU-AI-Act-Report entsteht lokal als gekennzeichnetes PDF. Annex IV / OSCAL und Mapping-Exporte für EAM-Systeme gehören zu den kommerziellen Editionen.
DSGVO / DSFA
Ein Fragenkatalog in zehn Sektionen bewertet den Datenschutz und prüft, ob eine Datenschutz-Folgenabschätzung (DSFA) erforderlich ist: von Geltungsbereich über Rechtsgrundlage und Betroffenenrechte bis zum Nachweis, mit bedingter Anzeige der Folgefragen.
Der Inhaltsstand v3.16.0 erweitert die geprüfte DSGVO-/EDPB-Nachweisbasis. Hinweise, Begründungen und erforderliche Nachweise werden weiterhin aus den dokumentierten Antworten des konkreten Verarbeitungskontexts abgeleitet und müssen fachlich geprüft werden.
WP248 und Muss-Liste
Die Anwendung bewertet die WP248-Kriterien und prüft die Pflicht zur DSFA nach Art. 35 Abs. 3 sowie die Muss-Liste der Aufsichtsbehörden nach Art. 35 Abs. 4. Das Ergebnis ist eine nachvollziehbare Einstufung mit Begründung.
Berichte und Projektdatei
In der Community Edition ist der PDF-Export freigeschaltet: Bedrohungs- und Risikoanalyse,
EU-AI-Act-Report und DSGVO-Report entstehen lokal im Browser und tragen das Community-Wasserzeichen.
Zusätzlich exportiert Schritt 1 den vollständigen Arbeitsstand als versionierte
.vra-project.json-Projektdatei. Sie ist für eigene Sicherungen, Wiederherstellung und
Gerätewechsel gedacht und wird vor dem Import auf Format, Schema, Integrität und Kompatibilität geprüft.
Projektdatei ist nicht gleich allgemeiner JSON-Export. Generische oder kombinierte JSON-Exporte, CSV, XLSX, LeanIX, Word, Annex IV, Evidence-Bundle, Mapping-Profile und Assessment-Pakete bleiben Professional und Enterprise vorbehalten. Auf der Editionsübersicht finden Sie den Vergleich.
Speichern und Grenzen der Edition
Ihre Eingaben werden automatisch im Browser gespeichert. Es gibt keinen Server, der die Daten kennt. Browser-Speicher ist jedoch kein dauerhaftes Backup: Beim Löschen von Website-Daten oder beim Wechsel von Browserprofil oder Gerät kann der lokale Arbeitsstand verloren gehen.
Automatisch im Browser
Der Bereich „Projekt-Backup“ zeigt die letzte lokale Speicherung, den letzten ausgelösten Projektdatei-Export, Schema-Version und Projektversion. „Projektdatei exportieren“ erzeugt eine strukturierte Projektdatei bis maximal 5 MiB. „Projektdatei importieren“ zeigt zuerst eine Kompatibilitätsprüfung; erst Ihre Bestätigung ersetzt den lokalen Arbeitsstand. Optional lässt sich der bisherige Stand davor als Projektdatei sichern.
Reicht der lokale Browser-Speicher nicht mehr aus, bleibt ein Warnhinweis sichtbar. Die Anwendung hält noch nicht gesicherte Eingaben zum erneuten Speichern bereit und öffnet über „Speicher verwalten“ eine Übersicht der lokalen Belegung. Schließen Sie den Tab in diesem Zustand erst, nachdem „Jetzt speichern“ den Erfolg bestätigt hat.
Importgrenzen
Nur kompatible Community-Projektdateien. Die Importdatei darf höchstens 5 MiB
(5.242.880 Byte) groß sein und gültige Projektdaten enthalten. Neue Exporte verwenden Schema 1.2.0;
Projektdateien aus Schema 1.1.0 werden beim Wiederherstellen unterstützt und auf 1.2.0 migriert.
Der Dateiname endet regulär auf .vra-project.json; vom Browser erzeugte Kopien wie
…vra-project (1).json werden ebenfalls akzeptiert. Allgemeine JSON-Dateien und nicht
unterstützte Formatversionen werden nicht importiert. Vor der Übernahme prüft die Anwendung außerdem
Integrität, Katalogreferenzen und Risikomodell. Der bestätigte Import ersetzt das aktuell geöffnete
Browserprojekt; exportieren Sie dieses deshalb vorher über die angebotene Sicherung.
Abgrenzung zu den kommerziellen Editionen
Die Community Edition umfasst den lokalen Kernworkflow, PDF-Berichte, systemtypbasierte Bedrohungsauswahl, bis zu fünf projektgebundene eigene Bedrohungen und die Community-Projektdatei. Erlaubt sind persönliche nichtkommerzielle Nutzung sowie nichtkommerzielle Bildung, Forschung und Nonprofit-Arbeit. Unternehmens-, Beratungs-, Kunden- und sonstige Erwerbsnutzung sowie Portfolio, vollständige Exportformate und Integrationen benötigen eine passende Professional- oder Enterprise-Lizenz.
Hilfe, Sprache und Darstellung
Hilfe und Einstellungen erreichen Sie über die Symbole oben rechts. Das Hilfe-Panel erklärt Schnellstart, Begriffe und Tastenkürzel direkt in der Anwendung. Der Hell/Dunkel-Umschalter wirkt auf die gesamte Oberfläche; Sprache und Darstellung werden für den nächsten Start gemerkt.
Datenschutz und Grenzen
Datenhoheit und Demo-Kennzeichnung
Die Edition überträgt keine Daten; alles bleibt im Browser Ihres Geräts. Berichte tragen ein Community-Wasserzeichen, die Nutzung ist ausschließlich im erlaubten nichtkommerziellen Umfang freigegeben. Verwenden Sie in der Demo keine echten personenbezogenen Daten, Geschäftsgeheimnisse oder produktiven Kundendaten.
Kein Rechts- oder Fachrat. Die Anwendung ist eine Orientierungs- und Strukturierungshilfe. Sie trifft keine verbindliche Konformitätsbestimmung und ersetzt keine rechtliche, datenschutz- oder fachbezogene Beratung. Ergebnisse sind anhand des konkreten Systems zu prüfen und zu dokumentieren.
Weitere Hinweise stehen in den Begleitdokumenten des Auslieferungspakets, unter anderem EULA, Datenschutz- und Speicherhinweise, AI-Act-Statement und Anbieterkennzeichnung. Manifest, Prüfsummen, SBOM, VEX, Content Assurance und die verwendeten Lizenzen liegen der Anwendung bei.