Wer sieht was, wer hat was getan und wie Sie es später belegen

Ein Recht ist kein großer Schalter. IRIS verteilt 315 Rechte auf 66 Module, einzeln vergeben und einzeln entzogen: Sie entscheiden, wer welche Kamera sieht, wer Video exportiert und wer nichts weiter darf als zuschauen. Acht Profile sind fertig dabei — Administrator, Operator, Auditor, Supervisor, Techniker und einige mehr —, und wer ein anderes braucht, dupliziert und kürzt sie, ohne Begrenzung. Über dem Recht steht die Reichweite: welcher Standort, welche Kamera, welcher Fall, mit Ablaufdatum und mit einer Warnung eine Woche vorher. Und eine Regel steht auf dem Bildschirm selbst: Verweigert eine Gruppe etwas, gewinnt diese Verweigerung immer, auch wenn das Profil es erlaubt. So geben Sie ein weites Profil aus und kürzen es für ein bestimmtes Team, ohne ein neues zu erfinden.

Das Audit-Protokoll lässt nur Ergänzungen zu: geschrieben ist geschrieben. Das ist kein Versprechen der Software, sondern eine Regel des Datenspeichers selbst, der jeden Versuch abweist, einen Eintrag von Hand zu ändern oder zu löschen, ganz gleich von wem. Jeder Eintrag hält 27 Angaben fest — wer, was, woran, von welcher Adresse, der Zustand davor und danach — und hängt über einen Fingerabdruck am vorigen. In einer laufenden Anlage sind das 489 verschiedene protokollierte Aktionen: An- und Abmeldungen, Rechteänderungen, das Öffnen einer Aufzeichnung, das Schwenken einer Kamera, Exporte, Konfigurationsänderungen. Ein Knopf läuft die ganze Kette ab und antwortet, ob sie unversehrt ist oder an welchem Eintrag und an welchem Datum sie bricht. Zusätzlich wird das Protokoll periodenweise versiegelt, damit sich in zwei Jahren der heutige Stand noch abgleichen lässt.

Personenbezogene Daten werden nach Art behandelt, nicht im Block. Jede Tabelle trägt ihre Frist mit der Rechtsgrundlage danebengeschrieben, und ein nächtlicher Lauf wendet sie selbstständig an und hinterlässt eine Spur des Gelöschten; vor dem Scharfschalten lässt er sich als Probelauf starten, der nichts löscht und zeigt, was fallen würde. Die sieben Anträge, die eine Person stellen kann — Auskunft, Berichtigung, Löschung und die übrigen —, haben je ihre Maske, ihre Frist und ihre Warnung, wenn diese Frist näher rückt, und jeder Nutzer stellt seinen eigenen im Profil. Eine Datenpanne wird mit der 72-Stunden-Uhr im Blick eröffnet, und die Übersicht hebt die überschrittenen hervor. Private Bereiche einer Kamera bleiben für alle schwarz, und sie freizugeben verlangt eine schriftliche Begründung, eine zweite Person zur Freigabe und ein befristetes Fenster. Biometrische Daten haben eine eigene Frist, getrennt vom Video, und der Bildschirm schreibt ausdrücklich, dass eine längere Frist das rechtliche Risiko erhöht, statt sie stillschweigend wachsen zu lassen.

Compliance wird als Liste geführt, nicht als Rede. Da sind die 79 Maßnahmen des spanischen nationalen Sicherheitsrahmens auf hoher Stufe und die 93 aus Anhang A der Norm ISO 27001, jede mit Status, Nachweisen, Datum der letzten Prüfung und der Person, die sie vorgenommen hat; beide Rahmen sind miteinander verknüpft, sodass eine einzige Anwendbarkeitserklärung für beide Audits reicht. Dazu kommen ein Verzeichnis der eingesetzten KI-Systeme und eine Warteschlange, in der ein Mensch Entscheidungen der Maschine prüft und sie bestätigt, aufhebt oder weitergibt. Und man sollte sagen, was das nicht ist: IRIS ist darauf ausgelegt, das Einhalten dieser Rahmen zu unterstützen, ist in keinem von ihnen aber zertifiziert oder zugelassen. Zertifiziert wird die Organisation, die das System betreibt, mit ihren Abläufen und ihren Standorten; das Produkt liefert die Nachweise dafür. Die einzige Zulassung durch einen Dritten, die wir tatsächlich haben, ist die des Personenzählens durch das spanische Metrologiezentrum.

Der teure Ausfall ist der, den man an dem Tag entdeckt, an dem man das Video braucht. Darum gibt es eine Übersicht, die jede Kamera einordnet — verbindet, kein Bild, absichtlich abgeschaltet, nicht gemessen, nicht überwacht — und sagt, seit wann das so ist, wie viele Ausfälle sie in den letzten 24 Stunden und in den letzten sieben Tagen hatte und wie lang der längste war. Bei Diensten und Servern gilt dasselbe: Fällt etwas aus, erscheint kein rotes Symbol, sondern der Grund im Klartext, und dieser Grund unterscheidet zwischen läuft nicht, seit Stunden nicht aktualisiert, antwortet aber liefert nichts und wurde absichtlich abgeschaltet. Dazu kommt eine Diagnose, die die stummen Fehler jagt, die nie eine Fehlermeldung erzeugen: zwei Dienste, die sich um denselben Port streiten, eine nie angewandte Datenbankänderung, eine stehengebliebene Überwachung. Und eine Entscheidung sagt viel über das Produkt: Was nicht gemessen wurde, färbt der Bildschirm nicht grün. Keine Störung und nicht prüfbar sind nicht dasselbe, und hier wird beides auseinandergehalten.

Die gesamte Konfiguration liegt im System und wird im Browser bearbeitet: 1.524 Werte in 44 Diensten — Kameras, Speicher, Netz, Fristen, Sprachen und Zeitzonen — ohne eine einzige Datei zum Bearbeiten und ohne Anmeldung am Server. Jede Änderung hält fest, wer sie vorgenommen hat und wann, und jeder Parameter ist in der Plattform selbst dokumentiert: was er steuert, in welcher Einheit, welchen Standardwert er hat und was passiert, wenn man ihn auf null setzt, was nicht immer unbegrenzt bedeutet. Das Zertifikatsverzeichnis ist von derselben Schule: Es listet alle auf, warnt vor ablaufenden und meldet von sich aus zwei Dinge, die kaum jemand in einen Prospekt schreibt: dass gerade mit dem Werkszertifikat ausgeliefert wird, das in jeder Installation dasselbe ist, und dass es Adressen der Maschine gibt, die in keinem Zertifikat stehen. Für eine Erneuerung wird das Administratorkennwort erneut abgefragt, denn eine offene Sitzung genügt nicht, um ein Zertifikat zu ersetzen, und vor jedem Eingriff wird eine Kopie des Bestehenden gesichert. Kleine Details, und genau sie fehlen nach einem halben Jahr.