Benutzerhandbuch Community Edition | Versatile AI Risk Assessment

Was die Community Edition leistet

Die Website-Demo öffnet ein vollständig vorbefülltes, fiktives Beispiel-Assessment eines autonomen Rechnungs- und Zahlungs-Agenten. Die Downloads und die Browserfassungen ohne Beispielprojekt starten leer. Auf der Community-Seite stehen additive Bewertung und 3×3-Risikomatrix zur Wahl. Arbeitsstände gehören zum gewählten Risikomodell; wählen Sie beim Wiederherstellen das passende Modell.

Das bietet die Community Edition

Ein KI-System erfassen und den Kontext strukturiert festhalten.
Systemtypbasierte Bedrohungsauswahl prüfen, Risiken bewerten, EU AI Act und DSGVO/DSFA einordnen.
PDF-Berichte erzeugen und den vollständigen Arbeitsstand als versionierte .vra-project.json-Projektdatei sichern und wieder importieren.

Bewusste Grenzen der Edition

Keine Anmeldung, keine Benutzerrollen, keine Mandanten: ein Arbeitsplatz, lokal.
Keine Datenübertragung, keine Cloud, keine Telemetrie.
Kein Portfolio und keine generischen JSON-, CSV-, XLSX-, DOCX- oder Integrations-Exporte.
Kein Ersatz für Rechts- oder Fachberatung (siehe Hinweise).

Erste Schritte

Starten Wählen Sie „Live-Demo starten“. Das Handbuch öffnet die Website und startet dort die Community Edition in derselben Vollbildansicht wie auf der Website. Über „Website anzeigen“ oder „Schließen“ kehren Sie jederzeit zur Website zurück; mit der Zurück-Funktion des Browsers gelangen Sie wieder in dieses Handbuch. In der Offline-Fassung funktioniert derselbe Weg vollständig lokal. Es wird nichts installiert und nichts übertragen.
Herunterladen Wählen Sie auf der Community-Seite das Risikomodell, laden Sie das ZIP herunter, prüfen Sie die SHA-256-Prüfsumme und entpacken Sie das Paket. Öffnen Sie index.html in einem aktuellen Browser und bewahren Sie Lizenz- und Begleitdokumente auf.
Hinweis zur Nutzung Beim ersten Start erläutert ein Hinweis die lokale, nichtkommerzielle Nutzung: keine Datenübertragung, lokale Auto-Save-Speicherung und Berichte mit Community-Kennzeichnung. Mit „Lizenzbedingungen akzeptieren und Community Edition starten“ geht es weiter.
Geführte Tour Eine optionale Tour führt in rund fünf Minuten durch den kompletten Ablauf. Sie wird beim ersten Start der Demo angeboten und lässt sich mit Esc beenden.
Sprache Über die Schaltfläche „DE“ oben rechts wechseln Sie zwischen Deutsch und Englisch. Oberfläche und Berichte folgen der Wahl.
Darstellung Das Sonnen-Symbol schaltet zwischen heller und dunkler Ansicht um. Sprache und Darstellung werden für den nächsten Start gemerkt.

Keine Verbindung nötig. Die Anwendung funktioniert vollständig offline. Es werden keine Inhalte nachgeladen und nichts gesendet.

Ein neues Assessment anlegen

Jedes Assessment erhält eine feste Assessment-ID. Sie identifiziert das Assessment unabhängig von Titel und Dokumentversion; eine neue Analyse erhält eine neue ID.

Die Community Edition führt genau ein aktuelles Projekt im Browser. Ein neues Assessment ersetzt deshalb den bisherigen Arbeitsstand. So gehen Sie vor:

Schritt 1 öffnen Wechseln Sie zu „Systeminfo“ und suchen Sie den Bereich „Status & Versionierung“.
„Neue Analyse“ wählen Die Anwendung bietet zuerst an, das aktuelle Projekt zu sichern. Empfohlen ist „Exportieren und fortfahren“; alternativ können Sie bewusst ohne Export fortfahren oder abbrechen.
Katalog festlegen Wählen Sie anschließend, ob der Standardkatalog mit 52 Bedrohungen geladen oder der aktuell geladene Katalog beibehalten werden soll.
Neues System beschreiben Die Anwendung setzt Projekt-, Bewertungs-, Vergleichs-, EU-AI-Act-, DSGVO- und FRIA-Eingaben zurück, startet wieder mit Dokumentversion v1.0 und öffnet Schritt 1 für Ihre neuen Angaben. Änderungen werden automatisch lokal gespeichert.

Vorher sichern. Nur die exportierte Projektdatei lässt sich später wieder importieren. Ein PDF-Bericht ist ein Lesedokument und kein wiederherstellbares Backup.

Der Ablauf in sechs Schritten

Ein Assessment durchläuft sechs Schritte. Die Schrittleiste am oberen Rand zeigt den Fortschritt; Über die Schrittleiste wechseln Sie zwischen den Ansichten. Vor der Auswertung muss die Prüfung der Bedrohungsauswahl bestätigt sein.

Schritt	Inhalt	Ergebnis
1 Systeminfo	Stammdaten des KI-Systems	Kontext für alle weiteren Schritte
2 Bedrohungen	Relevanz und Bewertung je Bedrohung	Risiko vor Gegenmaßnahmen (inhärentes Risiko) und verbleibendes Risiko (Restrisiko)
3 Auswertung	Dashboard, Risikomatrizen, Export	Gesamtbild und Berichte
4 Vergleich	Aktuellen Stand mit einem früheren Vergleichsstand (Baseline) vergleichen	Veränderungen je Bedrohung
5 EU KI-Verordnung	Klassifikation und Pflichten	EU-AI-Act-Risikoklasse, Pflichtenliste
6 DSGVO	Datenschutz und DSFA-Pflicht	WP248-Score, DSFA-Bewertung

Schritt 1

Systeminfo

Hier beschreiben Sie das KI-System: Systemname, Beschreibung, Systemtyp, Bereitstellungsphase, Nutzergruppe, Verantwortliche, App- und GRC-Referenz sowie Zertifizierungen und Prüfnachweise. Neben ISO/IEC 27001 und ISO/IEC 42001 können Sie ISO/IEC 27701:2025 und ISA/IEC 62443 erfassen. Die zugehörigen Info-Schaltflächen erklären, welche Angaben zu Geltungsbereich, Zertifikat, Aussteller und Gültigkeit vor der Auswahl geprüft werden sollten. Diese Angaben fließen als Kontext in alle weiteren Schritte und in die Berichte ein.

Eingaben werden sofort übernommen und automatisch im lokalen Browser-Speicher gesichert. Über den Systemtyp (mehrfach wählbar) erkennt die Anwendung passende Bedrohungsprofile für Schritt 2. Die daraus abgeleitete Auswahl bleibt transparent: empfohlene, optional zu prüfende und ausgeblendete Bedrohungen können vor der Bewertung kontrolliert und überschrieben werden. Öffnen Sie „Auswahl prüfen“ und bestätigen Sie, dass Sie empfohlene, optionale und ausgeblendete Bedrohungen geprüft haben. Erst danach ist die Auswertung zugänglich.

Systeminfo-Ansicht der Community Edition: Formular mit Stammdaten des Beispielsystems, einem autonomen Rechnungs- und Zahlungs-Agenten — **Systeminfo.** Stammdaten des Beispielsystems; Klick öffnet den Screenshot in voller Größe.

Schritt 2

Bedrohungsanalyse

Der Katalog umfasst 52 KI-Bedrohungen über die Phasen Lieferkette, Entwicklung und Produktion, mit Zuordnungen unter anderem zu OWASP LLM, NIST AI RMF, MITRE ATLAS, BIML ARA und ISO. Sie markieren die Relevanz und bewerten jede relevante Bedrohung: Eintrittswahrscheinlichkeit, Ausnutzbarkeit und Schutzbedarf. Bewerten Sie das Risiko vor Gegenmaßnahmen und das verbleibende Restrisiko. Begründen Sie die Bewertung und erfassen Sie geplante Maßnahmen mit Verantwortlichen und Fälligkeit. Die Detailinformationen zu empfohlenen Maßnahmen weisen zusätzlich Maßnahmentyp, Wirkung und Umsetzungsebene aus.

So wird gerechnet

Im additiven Standardmodell gilt: Eintrittswahrscheinlichkeit + Ausnutzbarkeit + Schutzbedarf (EW + AN + SB, 0–11). Bewerten Sie inhärentes Risiko und Restrisiko getrennt. Die Stufen:

Niedrig 0 bis 5
Mittel 6 bis 8
Hoch 9 bis 10
Kritisch ab 11

Bis zu fünf eigene Bedrohungen lassen sich ergänzen. Sie bleiben projektgebunden lokal gespeichert und werden mit der Community-Projektdatei gesichert; einen wiederverwendbaren globalen Katalog bilden sie nicht.

Bedrohungsanalyse der Community Edition: Bedrohungsliste mit Phasen-Filter, Relevanz-Schaltern und aufgeklappter Einzelbewertung — **Bedrohungsanalyse.** Erkannte Profile, Filter und Suche oben, darunter die Bewertung je Bedrohung.

Schritt 3

Auswertung

Das Dashboard verdichtet die Bewertung: Kennzahlen je Restrisiko-Stufe, zwei Risikomatrizen für das Risiko vor Gegenmaßnahmen und das Restrisiko als farbige Übersicht (Heatmap). Darunter steht die nach Restrisiko sortierte Bedrohungstabelle. „I“ kennzeichnet den Wert vor Gegenmaßnahmen, „R“ das Restrisiko. Von hier erzeugen Sie auch die PDF-Berichte.

In der 3×3-Edition lässt sich der Schutzbedarf auf alle Bedrohungen anwenden. Die 3×3-Edition bewertet Eintrittswahrscheinlichkeit und Auswirkung in jeweils drei Stufen. Ihre Matrizen verwenden diese Skala; additive Werte und 3×3-Werte gehören zu unterschiedlichen Modellen.

Schritt 4

Versionsvergleich

Vergleichen Sie den aktuellen Stand des Lernassessments mit der darin vorbereiteten Baseline v0.9, um Veränderungen nach umgesetzten Maßnahmen sichtbar zu machen. Die Anwendung zeigt je Bedrohung die Differenz (besser, schlechter, gleich, hinzugefügt, entfernt) sowie das Stand-Datum; Filter und Suche helfen bei der Prüfung. Der Katalog-Fingerprint im PDF kennzeichnet den verwendeten Katalogstand. Das Ergebnis kann als Community-gekennzeichneter Vergleichsbericht (PDF) ausgegeben werden. Für eigene Vergleiche laden Sie eine zuvor gespeicherte .vra-project.json-Projektdatei als Baseline in Schritt 4. Die Datei muss mit dem aktuellen Bewertungsmodell kompatibel sein. Beim Vergleich identischer gespeicherter Stände werden keine fachlichen Änderungen ausgewiesen. Tabellenexporte gehören nicht zum Community-Umfang.

Schritt 5

EU KI-Verordnung

Ein geführter Fragebogen bestimmt die EU-AI-Act-Risikoklasse des Systems. Er berücksichtigt dabei auch den Produktrechtskontext und den Bewertungsstichtag. Anschließend zeigt die Anwendung die zugehörigen Pflichten, deren Nachweise und einen Fristen-Kalender.

Klassifikation und Pflichten

Der Fragebogen arbeitet die Prüfschritte des EU AI Act ab (Geltungsbereich, Rolle, Hoch-Risiko, Transparenz, GPAI) und leitet daraus die Klasse ab.
Zur Klasse gehört eine Pflichten-Checkliste (inklusive AI-Literacy nach Art. 4) mit Fortschrittsanzeige.
Ein Normenkalender ordnet die Pflichten den Fristen und ihrem Rechtsstand zu.
Der Katalogstand berücksichtigt die am 24. Juli 2026 veröffentlichte und am 27. Juli 2026 in Kraft getretene Verordnung (EU) 2026/1744 einschließlich der gestaffelten Übergangsfristen.
Der Community-EU-AI-Act-Report entsteht lokal als gekennzeichnetes PDF. Annex IV / OSCAL und Mapping-Exporte für EAM-Systeme gehören zu den kommerziellen Editionen.

EU-AI-Act-Ansicht der Community Edition: Anforderungen und dokumentierter Fortschritt im fiktiven Lernbeispiel — **EU KI-Verordnung.** Anforderungen nach der Einordnung des fiktiven Lernbeispiels. Antworten und Nachweise sind fachlich zu prüfen.

Schritt 6

DSGVO / DSFA

Ein Fragenkatalog in zehn Sektionen bewertet den Datenschutz und prüft, ob eine Datenschutz-Folgenabschätzung (DSFA) erforderlich ist: von Geltungsbereich über Rechtsgrundlage und Betroffenenrechte bis zum Nachweis, mit bedingter Anzeige der Folgefragen.

Hinweise, Begründungen und erforderliche Nachweise stützen sich auf die geprüfte DSGVO-/EDPB-Nachweisbasis, werden aus den dokumentierten Antworten des konkreten Verarbeitungskontexts abgeleitet und müssen fachlich geprüft werden.

WP248 und Muss-Liste

Die Anwendung bewertet die WP248-Kriterien und prüft die Pflicht zur DSFA nach Art. 35 Abs. 3 sowie die Muss-Liste der Aufsichtsbehörden nach Art. 35 Abs. 4. Das Ergebnis ist eine nachvollziehbare Einstufung mit Begründung. Der DSGVO-PDF-Bericht enthält direkt beantwortete und abgeleitete WP248-Kriterien; bei abgeleiteten Kriterien nennt er die zugrunde liegenden Fragen. Seine Fortschrittsanzeige verwendet dieselben beantworteten und sichtbaren Fragen wie die Anwendung.

DSGVO-Ansicht der Community Edition: Fragenabschnitt Rechenschaft und Dokumentation mit fiktiven Beispielantworten — **DSGVO / DSFA.** Rechenschaft und Dokumentation: beantwortete Fragen mit fiktiven Erläuterungen. Über die Seitenleiste wechseln Sie zum DSFA-Abschnitt und zum Live-Bericht.

Berichte und Projektdatei

In der Community Edition ist der PDF-Export freigeschaltet: Bedrohungs- und Risikoanalyse, EU-AI-Act-Report und DSGVO-Report entstehen lokal im Browser und tragen das Community-Wasserzeichen. Zusätzlich exportiert Schritt 1 den vollständigen Arbeitsstand als versionierte .vra-project.json-Projektdatei. Sie ist für eigene Sicherungen, Wiederherstellung und Gerätewechsel gedacht und wird vor dem Import auf Format, Schema, Integrität und Kompatibilität geprüft.

Projektdatei ist nicht gleich allgemeiner JSON-Export. Generische oder kombinierte JSON-Exporte, CSV, XLSX, LeanIX, Word, Annex IV, Evidence-Bundle, Mapping-Profile und Assessment-Pakete bleiben Professional und Enterprise vorbehalten. Auf der Editionsübersicht finden Sie den Vergleich.

Speichern und Grenzen der Edition

Ihre Eingaben werden automatisch in der IndexedDB-Datenbank des Browsers gespeichert. Sprach- und Darstellungseinstellungen werden getrennt davon abgelegt. Es gibt keinen Server, der die Daten kennt. Browser-Speicher ist jedoch kein dauerhaftes Backup: Beim Löschen von Website-Daten oder beim Wechsel von Browserprofil oder Gerät kann der lokale Arbeitsstand verloren gehen.

Getrennte Arbeitsstände und Update auf v3.27.1

Additive Bewertung, 3×3-Matrix und die drei Einzelmodule grenzen ihre Arbeitsstände nach Risikomodell und Funktionsumfang voneinander ab. Die 3×3-Demo hat einen eigenen Arbeitsbereich. Die additive Demo und die vollständige additive Browserfassung verwenden weiterhin denselben Arbeitsbereich. Die leere 3×3-Ausgabe und die drei Einzelmodule lassen sich parallel zu einer additiven Ausgabe öffnen. Die beiden Website-Demos und die additive Vollfassung teilen eine Schreibsperre; öffnen Sie diese nacheinander.

Wenn Sie die bisherige 3×3-Browserfassung ohne Beispielprojekt verwenden, exportieren Sie vor dem Website-Update Ihre Projektdatei und eine Rohsicherung. Öffnen Sie nach dem Update wieder die 3×3-Ausgabe und importieren Sie die Projektdatei nach der Kompatibilitätsprüfung. Ein zunächst leerer Arbeitsbereich bedeutet nicht, dass die bisherigen Browserdaten gelöscht wurden. Löschen Sie Website-Daten erst, wenn die Wiederherstellung geprüft ist.

Automatisch im Browser

Über „Sichern & Wiederherstellen“ im Kopfbereich erreichen Sie die Sicherungsfunktionen. Der Bereich „Projekt-Backup“ in Schritt 1 zeigt die letzte lokale Speicherung, den letzten ausgelösten Projektdatei-Export, Schema-Version und Projektversion. „Projektdatei exportieren“ erzeugt eine strukturierte Projektdatei bis maximal 5 MiB. „Projektdatei importieren“ zeigt zuerst eine Kompatibilitätsprüfung; erst Ihre Bestätigung ersetzt den lokalen Arbeitsstand. Optional lässt sich der bisherige Stand davor als Projektdatei sichern.

Reicht der lokale Browser-Speicher nicht mehr aus, bleibt ein Warnhinweis sichtbar. Die Anwendung hält noch nicht gesicherte Eingaben zum erneuten Speichern bereit und öffnet über „Speicher verwalten“ eine Übersicht der lokalen Belegung. Schließen Sie den Tab in diesem Zustand erst, nachdem „Jetzt speichern“ den Erfolg bestätigt hat.

Sichern & Wiederherstellen

Der gleichnamige Dialog im Kopfbereich führt durch die Wiederherstellung des einzelnen Arbeitsstands. Die Prüfung allein verändert keine Daten.

Laden Sie zuerst den aktuellen Rohstand über „Aktuellen Rohstand sichern“ herunter.
Wählen Sie genau diese heruntergeladene Sicherung zur Kontrolle erneut aus.
Wählen Sie die wiederherzustellende Sicherungs- oder Arbeitsdatei und prüfen Sie Assessment-Auswahl, Vorschau und gegebenenfalls Hinweise zur Teilrettung.
Bestätigen Sie die geprüfte Sicherung und Vorschau erst dann, wenn Sie den aktuellen Arbeitsstand ersetzen möchten.
Klicken Sie nach erfolgreicher Speicherung auf „Anwendung neu laden“. Prüfen Sie anschließend die wiederhergestellten Inhalte; bis zum Neuladen bleibt die vorige Sitzung gesperrt.

Sicherungsdateien enthalten vertrauliche Daten und sind unverschlüsselt. Bewahren Sie sie geschützt auf. Die angebotenen Dateitypen werden auf Kompatibilität geprüft; eine Auswahl ist noch keine Freigabe zum Import. Eine Community-Projektdatei ist ein portabler Teilstand; fehlende Historie oder Nachweise werden bei der Wiederherstellung nicht ergänzt. Für eine vollständige Rohsicherung verwenden Sie den Sicherungsdialog.

Projektdatei importieren

Wählen Sie über „Projektdatei importieren“ Ihre Community-Projektdatei aus.
Prüfen Sie das Ergebnis der Kompatibilitätsprüfung.
Sichern Sie bei Bedarf den bisherigen Arbeitsstand über die angebotene Sicherung.
Bestätigen Sie die Übernahme. Der Import ersetzt das aktuell geöffnete Browserprojekt.

Unterstützte Dateien und Größenlimit

Die Datei darf höchstens 5 MiB (5.242.880 Byte) groß sein.
Neue Exporte verwenden Formatversion 2.1.0 und enthalten eine feste Assessment-ID. Ältere Community-Projektdateien der Versionen 1.1.0, 1.2.0, 1.3.0 und 2.0.0 werden beim Wiederherstellen geprüft und migriert. Projektdateien im Format 2.1.0 können nur in Anwendungsversionen geöffnet werden, die dieses Format unterstützen. Bewahren Sie vor dem Wechsel eine Sicherung auf.
Der Dateiname endet gewöhnlich auf .vra-project.json. Browserkopien wie …vra-project (1).json werden ebenfalls akzeptiert.
Allgemeine JSON-Dateien und andere Formatversionen lassen sich nicht importieren.

Vor der Übernahme prüft die Anwendung die Integrität der Datei, ihre Verweise auf den Bedrohungskatalog und das verwendete Risikomodell.

Abgrenzung zu den kommerziellen Editionen

Die Community Edition umfasst den lokalen Kernworkflow, PDF-Berichte, systemtypbasierte Bedrohungsauswahl, bis zu fünf projektgebundene eigene Bedrohungen und die Community-Projektdatei. Erlaubt sind persönliche nichtkommerzielle Nutzung sowie nichtkommerzielle Bildung, Forschung und Nonprofit-Arbeit. Unternehmens-, Beratungs-, Kunden- und sonstige Erwerbsnutzung sowie Portfolio, vollständige Exportformate und Integrationen benötigen eine passende Professional- oder Enterprise-Lizenz.

Projekt-Backup der Community Edition mit Auto-Save-Status, Projektdatei-Export, Schema-Version und Versionsverlauf — **Projekt-Backup.** Lokaler Speicherstatus und portable Projektdatei für Sicherung, Wiederherstellung und Gerätewechsel.

Hilfe, Sprache und Darstellung

Hilfe und Einstellungen erreichen Sie über die Symbole oben rechts. Das Hilfe-Panel erklärt Schnellstart, Begriffe und Tastenkürzel direkt in der Anwendung. Der Hell/Dunkel-Umschalter wirkt auf die gesamte Oberfläche; Sprache und Darstellung werden für den nächsten Start gemerkt.

Datenschutz und Datenhoheit

Die Edition überträgt keine Daten; alles bleibt im Browser Ihres Geräts. Berichte tragen ein Community-Wasserzeichen, die Nutzung ist ausschließlich im erlaubten nichtkommerziellen Umfang freigegeben. Verwenden Sie in der Demo keine echten personenbezogenen Daten, Geschäftsgeheimnisse oder produktiven Kundendaten.

Verantwortungsvoll einsetzen

Kein Rechts- oder Fachrat. Die Anwendung ist eine Orientierungs- und Strukturierungshilfe. Sie trifft keine verbindliche Konformitätsbestimmung und ersetzt keine rechtliche, datenschutz- oder fachbezogene Beratung. Ergebnisse sind anhand des konkreten Systems zu prüfen und zu dokumentieren.

Weitere Hinweise stehen in den Begleitdokumenten des Auslieferungspakets, unter anderem EULA, Datenschutz- und Speicherhinweise, AI-Act-Statement und Anbieterkennzeichnung. Manifest, Prüfsummen, SBOM, VEX, Content Assurance und die verwendeten Lizenzen liegen der Anwendung bei.

Das Paket enthält oben index.html, favicon.svg, readme.txt und EULA.md. Alle Nachweise einschließlich Manifest, Prüfsummen, SBOM, VEX und Lizenzverzeichnis liegen im Unterordner nachweise/. Entpacken Sie das vollständige Paket.

Zur Live-Demo Kontakt aufnehmen

Community Edition im Browser