Kundensouveränität im Zeitalter der KI

Die meisten KI-Plattformen sprechen über Ihre Daten, als wären sie ein Punkt in ihren Nutzungsbedingungen. Wir behandeln sie als Architektur. 2026 brachte der Leitfaden von ByteByteGo zum Multi-Tenancy den Zielkonflikt klar auf den Punkt: ein gemeinsames System ist günstiger, aber „sobald viele Kunden auf dieselbe Datenbank, dieselben Server und dieselben Hintergrundjobs angewiesen sind, werden ihre Geschicke miteinander verknüpft" (ByteByteGo, „A Guide to Multi-Tenancy: Benefits and Challenges", 2026). Wir haben Everythink andersherum gebaut. Souveränität ist Wert Nummer vier unserer fünf Selbstverpflichtungen, und auf dieser Plattform ist sie ein Feature — kein Schalter, den Sie umlegen, kein Tarif, den Sie kaufen.

Key Takeaways

• Tenancy pro Netzwerk, kein gemeinsamer Pool: jede Organisation läuft mit ihrer eigenen isolierten Tenancy und ihren eigenen Credentials (Everythink, seit 2016 in Produktion).
• Multi-Tenancy mit gemeinsamem Pool verknüpft die Geschicke der Kunden — ein lauter Nachbar oder ein schlechtes Deployment kann alle treffen (ByteByteGo, 2026).
• Self-hosted-Tools werden mittlerweile in sechs Dimensionen bewertet, darunter Tenant-Isolation und Datenwiederherstellung (NocoBase, 2026).
• Souveränität wird ehrlich gekennzeichnet: Whitelabel Network und Kampagnen mit eigenen Credentials sind Production ✅; Wallet und Community Credit sind Roadmap 🔵.

Was bedeutet Kundensouveränität auf einer KI-Plattform?

Souveränität bedeutet, dass die Plattform beweisen kann, wo Ihre Daten leben und wer sie berühren darf — nicht nur in einem Richtliniendokument zu versprechen. 2026 maß die Evaluation von NocoBase mit über 20 Self-hosted-Tools für Unternehmen Kontrolle in sechs Dimensionen — Infrastruktur, Zugriffskontrolle, Audit und Compliance, Datensicherheit und -wiederherstellung, Wartbarkeit und KI-Bereitschaft — und führte „Tenant-Isolation" als erstklassige Anforderung der Zugriffskontrolle auf (NocoBase, „20+ Best Self Hosted Tools for Enterprises with Full Data Control", 2026). Das entspricht unserer Sicht. Souveränität ist keine Einstellung; sie ist eine Eigenschaft, die in die Topologie, die Credentials und das Sichtbarkeitsmodell hineinkonzipiert wurde.

[PERSONAL EXPERIENCE] Die Engine von Everythink läuft seit 2016 in Produktion, und die Topologie, die wir damals bauten — network → community → room, jede Ebene ein echtes Polygon — wurde durch die Weigerung geformt, Kunden in einen gemeinsamen Pool zu werfen. Ein network ist die äußerste Grenze einer Organisation auf der Plattform. Alles darin (Communities, Rooms, Mitglieder, Nachrichtenverlauf) gehört zur Tenancy dieses network. Wir vermischen die Daten zweier network nicht, um ein geteiltes Modell zu trainieren, und routen keine Anfrage aus einem network in die Rooms eines anderen.

Das ist der Mechanismus hinter der Aussage „Ihre Daten bleiben Ihre". Es ist keine DPA-Klausel, von der wir hoffen, dass sie vor Gericht hält; es ist die Form des Schemas. Wenn ein Käufer fragt, wo seine Daten sind, lautet die Antwort: in der Tenancy seines network — nicht „im Cluster, neben allen anderen".

Worin unterscheidet sich Tenancy pro Netzwerk von einem gemeinsamen Pool?

Tenancy pro Netzwerk gibt jeder Organisation ihren eigenen isolierten Raum, während ein gemeinsamer Pool alle Kunden in dieselbe Datenbank legt und sie mit Logik auf Zeilenebene trennt. Der Leitfaden von ByteByteGo aus 2026 ist ungeschönt darüber, was Teilen kostet: „ein Kunde, der einen schweren Bericht ausführt, kann den Service für alle neben ihm verlangsamen. Ein einziges fehlerhaftes Deployment kann alle gleichzeitig treffen … und das ernsthafteste Risiko betrifft Datenlecks, bei denen einem Kunden Daten gezeigt werden, die einem anderen gehören" (ByteByteGo, „A Guide to Multi-Tenancy: Benefits and Challenges", 2026). Das sind keine theoretischen Risiken — es sind die dokumentierten Fehlermodi des Pooling.

[UNIQUE INSIGHT] Das gemeinsame-Pool-Modell optimiert die Kosten pro Kunde des Anbieters, nicht die Isolation des Kunden. Tenancy pro Netzwerk optimiert andersherum: der Explosionsradius eines Fehlers ist das network, nicht die Plattform. Wir akzeptieren die Betriebskosten dieser Grenze, weil dies die Grenze ist, die ein Käufer tatsächlich wünscht, wenn er fragt: „Sind meine Daten sicher?"

Konkret, bei Everythink:

• Jedes network ist sein eigener Tenant. Eine Anfrage trägt den Tenant-Kontext ab dem Edge mit; das ist nichts, was die Anwendungsschicht sich merken muss.
• Communities und Rooms leben innerhalb des network. Netzwerkübergreifender Zugriff ist kein fehlendes Feature, sondern eine Designentscheidung.
• Ein schwerer Job in einem network kann ein anderes nicht blockieren, weil sie nicht denselben Ausführungskontext teilen wie gepoolte Tenants.

Deshalb nennen wir Souveränität ein Feature. Die Isolation ist gebaut, nicht versprochen — und nach unserem Theorem 3 („eine Eigenschaft ist genau dann garantiert, wenn ihr Mechanismus implementiert und gemessen wird") erhält eine Fähigkeit das Wort „Production" nur, wenn der Mechanismus dahinter sowohl gebaut als auch aktiv gemessen ist. ✅

Wie schützt es Sie, Kampagnen mit eigenen Credentials zu senden?

Kampagnen auf Everythink werden über Ihre eigenen Email-, SMS- und Push-Credentials gesendet — nicht über ein geteiltes Pool-Konto, das die Plattform kontrolliert. Die 2026er Übersicht von NocoBase zu Open-Source-KI-Agent-Plattformen bewertet Self-Hosting nach „vollständiger Datenkontrolle" und stellt fest, dass Credentials, Audit-Logs und berechtigte Feldberechtigungen das sind, was ein Werkzeug, das Ihnen gehört, von einem unterscheidet, das Sie besitzt (NocoBase, „8 Open-Source AI Agent Platforms for Building Internal Tools", 2026). Dasselbe gilt für ausgehende Nachrichten: Wenn das Anbieterkonto der Plattform Ihre Kampagnen sendet, ist die Plattform Verwahrer Ihrer Kontaktliste und Ihrer Absender-Reputation.

Wenn Sie Ihre eigenen Credentials mitbringen:

• Zustellbarkeitsprobleme sind in den Logs Ihres eigenen Anbieters diagnostizierbar, nicht über ein Support-Ticket an uns.
• Ihre Absender-Reputation gehört Ihrer Domain, nicht einem gemeinsamen Pool, den ein schlechter Akteur in einem anderen network vergiften kann.
• Ihre Abonnentenliste muss nie zu einem Dritten exportiert werden, um sie zu erreichen — sie bleibt in der Tenancy Ihres network und wird über Ihren Anbieter gesendet.

Das ist eine Souveränitätsentscheidung, und bei Everythink ist sie Production ✅. Das Modul Campaigns wird, neben Social und dem Whitelabel Network, heute mit dem Eigenen-Credentials-Modell ausgeliefert. Wir beschreiben kein Roadmap-Element; der Mechanismus ist gebaut und im Einsatz.

Es gibt einen Trade-off, und wir sagen ihn ehrlich: Eigene Credentials mitzubringen bedeutet, dass Sie Ihre eigenen Anbieterkonten provisionieren und bezahlen. Wir tun nicht so, als sei das kostenlos. Es ist der Preis dafür, den ausgehenden Kanal zu behalten.

Ist öffentliche oder private Sichtbarkeit eine Entscheidung, die die Plattform aufzwingen sollte?

Nein — und das 2026er Framework von NocoBase behandelt „Tenant-Isolation" deshalb als Anforderung der Zugriffskontrolle, weil Sichtbarkeit eine Richtlinie ist, die der Betreiber festlegen sollte, nicht der Anbieter (NocoBase, „20+ Best Self Hosted Tools for Enterprises with Full Data Control", 2026). Unsere Wer-wir-sind-Seite formuliert das als schriftliche Richtlinie: „Ihr network, Ihre Marke, Ihre Daten. Öffentliche oder private Sichtbarkeit pro Room, von Ihnen entschieden." Ein room ist ein Funktionsbereich innerhalb einer community — die Veranstaltungsseite einer Filiale, das interne Hauptbuch einer Genossenschaft, die Bürgerhilfe einer Gemeinde. Einige Rooms sind als öffentliche Seiten im offenen Internet gedacht; andere für eine geschlossene Mitgliedschaft. Die Plattform entscheidet nicht, was was ist.

Das ist wichtig, weil Sichtbarkeit der Punkt ist, an dem Souveränität aufhört, abstrakt zu sein. Eine Plattform, die standardmäßig jeden room öffentlich macht, hat eine Entscheidung über Ihre Daten an Ihrer Stelle getroffen. Eine Plattform, die standardmäßig jeden room privat macht, hat die entgegengesetzte Entscheidung getroffen. Wir standardisieren auf keines von beidem — der Betreiber des network setzt die Sichtbarkeit pro room, und die Topologie setzt das durch.

[ORIGINAL DATA] Über die drei Topologie-Ebenen der Plattform hinweg ist Sichtbarkeit eine Eigenschaft pro room, nicht pro network. Das bedeutet, dass ein einzelnes network eine öffentlich zugewandte community (die offenen Veranstaltungen einer Handelskammer) und eine private community (die internen Freigaben ihres Vorstands) unter derselben Marke und Identität betreiben kann — ohne eine zweite Installation. Konfiguration, nicht Code, schaltet einen room von privat auf öffentlich.

Das Ehrlichkeits-Tag hier ist Production ✅ für den Sichtbarkeits-Mechanismus selbst. Die Module, die auf Rooms aufsitzen, haben eigene Zustände, und wir vermischen sie nicht: Matchmaking ⚠️ Partial, Marketplace ⚠️ Partial, Calendar ⚠️ Partial. Jedes ist heute nützlich und nicht fertig, und wir kennzeichnen sie so, damit ein Käufer aus einer Production-Fähigkeit keine fertige Suite ableitet.

Was kostet Souveränität — bedeutet Isolation Wartungslast?

Isolation hat Kosten, aber Konfiguration vor Code ist es, was sie davon abhält, zur Wartungslast zu werden. Der Leitfaden von ByteByteGo aus 2026 stellt fest, dass die Alternative zum Teilen — „eine dedizierte Kopie pro Kunde" — „leicht zu durchdenken ist, aber die Kosten, Hunderte separater Kopien zu pflegen, wachsen mit jedem neuen Kunden" (ByteByteGo, „A Guide to Multi-Tenancy: Benefits and Challenges", 2026). Das stimmt, wenn jede Kopie ein separates Deployment ist. Es stimmt nicht, wenn jeder Tenant ein isolierter Kontext innerhalb einer konfigurierten Plattform ist.

Everythinks Modell ist das zweite. Die Plattform ist eine Codebasis; jedes network ist eine Tenancy, kein Fork. Ein Modul in einem room zu aktivieren ist eine Einstellung, kein Sprint. Der Betreiber des network ändert die Form seiner Welt, ohne dass wir ein Release ausliefern, und ohne dass er Code schreibt. So halten wir das pro-Netzwerk-Modell erschwinglich: die Isolation liegt in der Daten- und Credential-Schicht, nicht in der Deployment-Schicht.

Darum ist unsere Roadmap veröffentlicht, nicht versteckt. Federation zwischen Netzwerken 🔵, das pro-Netzwerk-Token-Wallet 🔵 und Community Credit 🔵 sind auf 2026 datiert und als Roadmap gekennzeichnet — vor dem Umsatz, unimplementiert und abhängig von den einschlägigen Finanz- und Wertpapier-Rahmenwerken (z. B. der Howey-Analyse), bevor irgendetwas startet. Wir werden sie nicht als Production darstellen. Souveränität über die wirtschaftliche Schicht des network ist ein Versprechen, das wir uns noch nicht verdient haben zu beanspruchen, also beanspruchen wir es nicht.

Wie kennzeichnen wir den Rest des Souveränitäts-Stacks ehrlich?

Dasselbe Ehrlichkeitssystem, das die Netzwerkschicht als Production kennzeichnet, kennzeichnet alles andere. Theorem 3, aus unserer akademischen Reihe von 21 Papern, besagt, dass eine Eigenschaft genau dann garantiert ist, wenn ihr Mechanismus implementiert und gemessen wird. Wir wenden das auf jede Behauptung auf dieser Website an, einschließlich derer in diesem Beitrag.

Fähigkeit	Status	Was das bedeutet
HAI-Konversations-Engine	✅ Production	Seit 2016 in Produktion; antwortet heute mit Room-Kontext
Whitelabel Network (web + iOS + Android)	✅ Production	Eine Marke, eine Identität, Ihre App unter Ihrem Namen
Social + Campaigns (eigene Credentials)	✅ Production	Kombinierbare Module, Ihre eigenen Anbieterkonten
Matchmaking / Marketplace / Calendar	⚠️ Partial	Heute nützlich, nicht fertig — entsprechend gekennzeichnet
Federation zwischen Netzwerken	🔵 Roadmap	Entworfen, nicht gebaut; 2026
Wallet, pro-Netzwerk-Token, Community Credit	🔵 Roadmap	Vor dem Umsatz, unimplementiert; Howey-Review vorbehalten

Wir stufen ein Partial- oder Roadmap-Element nie zu Production hoch, um fertig zu wirken. Wenn ein Käufer fragt, ob das Wallet heute existiert, lautet die Antwort nein. Souveränität schließt das Recht ein, die Wahrheit darüber gesagt zu bekommen, was gebaut ist.

Häufig gestellte Fragen

Was ist der Unterschied zwischen Tenancy pro Netzwerk und einem gemeinsamen Pool?

Tenancy pro Netzwerk gibt jeder Organisation ihren eigenen isolierten Tenant-Kontext; ein gemeinsamer Pool legt alle Kunden in dieselbe Datenbank und trennt sie mit Logik auf Zeilenebene. Der Leitfaden von ByteByteGo aus 2026 listet die Fehlermodi des Pool-Modells: laute Nachbarn, gemeinsamer Explosionsradius und mandantenübergreifende Datenlecks. Wir haben Tenancy pro Netzwerk gewählt, damit der Explosionsradius eines Fehlers das network ist, nicht die Plattform.

Sende ich Kampagnen über das Anbieterkonto von Everythink oder mein eigenes?

Über Ihr eigenes. Campaigns ist Production ✅ mit dem Eigenen-Credentials-Modell: Sie provisionieren und bezahlen Ihre Email-, SMS- und Push-Anbieterkonten, und die Plattform sendet darüber. Ihre Absender-Reputation und Ihre Abonnentenliste bleiben Ihre. Wir bündeln ausgehende Nachrichten nicht über Netzwerke hinweg.

Kann ein einzelnes network sowohl öffentliche als auch private Rooms betreiben?

Ja. Sichtbarkeit ist eine Eigenschaft pro room, nicht pro network, und ist Production ✅. Ein network kann eine öffentlich zugewandte community (offene Veranstaltungen) und eine private community (interne Freigaben) unter derselben Marke und Identität betreiben, ohne eine zweite Installation. Der Betreiber setzt die Sichtbarkeit pro room — die Plattform erzwingt keinen Standard.

Sind Wallet oder Community Credit heute verfügbar?

Nein. Das pro-Netzwerk-Token-Wallet und Community Credit sind Roadmap 🔵 — vor dem Umsatz, unimplementiert, auf 2026 datiert und abhängig von den einschlägigen Finanz- und Wertpapier-Rahmenwerken (z. B. der Howey-Analyse), bevor irgendetwas startet. Wir stellen sie nicht als Production dar, und nichts in dieser Schicht ist heute live.

Wie beweisen Sie Souveränität, anstatt sie nur zu behaupten?

Nach unserem Theorem 3 ist eine Eigenschaft genau dann garantiert, wenn ihr Mechanismus implementiert und gemessen wird. Der Mechanismus der Souveränität ist Tenancy pro Netzwerk, Kampagnen mit eigenen Credentials und Sichtbarkeit pro room — jeder gebaut und in Produktion. Die Isolation lebt im Schema und in der Topologie, nicht in einem Richtliniendokument.

---

Wenn Sie eine Welt bauen wollen, bauen Sie sie auf einer Plattform, die Ihnen sagt, wo Ihre Daten leben und was fertig ist. Erstellen Sie Ihr network — oder buchen Sie eine Demo und fordern Sie uns auf, auf den Mechanismus hinter jeder Behauptung auf dieser Seite zu zeigen.

Sources

• ByteByteGo (Alex Xu), "A Guide to Multi-Tenancy: Benefits and Challenges", retrieved 2026-08-23, https://blog.bytebytego.com/p/a-guide-to-multi-tenancy-benefits
• NocoBase, "20+ Best Self Hosted Tools for Enterprises with Full Data Control", retrieved 2026-08-23, https://www.nocobase.com/en/blog/20-best-self-hosted-tools-for-enterprises
• NocoBase, "8 Open-Source AI Agent Platforms for Building Internal Tools", retrieved 2026-08-23, https://www.nocobase.com/en/blog/8-open-source-ai-agent-platforms-for-internal-tools