Audit-gerechte Veröffentlichung, durch Architektur — nicht durch Nachträge.

Der Anlass, der diese Seite entstehen ließ.

Ein Kunde reicht am 15. August einen Anspruch für ein Ereignis ein, das am 9. August stattgefunden hat. Die Police wurde rückwirkend am 10. August ergänzt – mit einem Ausschluss, den der Kunde nicht gesehen hat, als er sich am 13. im Portal anmeldete, um die Einreichung zu beginnen. Die Rechtsabteilung stellt die Frage, die die meisten CMS-Gespräche beendet:

„Was genau war am 13. August im Portal zu sehen, als unser Kunde sich eingeloggt hat?"

Die meisten Content-Management-Systeme können diese Frage nicht mit der erforderlichen Präzision beantworten. Sie können Ihnen sagen, was jetzt dort steht. Sie können Ihnen den Zeitstempel der letzten Bearbeitung nennen. Sie können die Seite jedoch nicht so rekonstruieren, wie sie zu einem bestimmten Zeitpunkt in der Vergangenheit erschienen ist – einschließlich aller Variablen, die sie beeinflusst haben: Inhalt, Template, Theme, Routing-Regel, eingebettetes Asset – mit kryptografischer Gewissheit, dass die Rekonstruktion dem tatsächlich Ausgelieferten entspricht.

StaticOwl kann das. Der Rest dieser Seite erklärt, wie – und wie diese Fähigkeit Ihrem spezifischen regulatorischen Rahmen entspricht.

Drei Fragen, die Sie stellen werden.

Direkte Antworten zuerst. Mechanismus danach.

1. Können Sie „Was war am 13. August veröffentlicht?" mit kryptografischer Sicherheit beantworten?

Ja, by design. Jeder Zustand jedes Inhaltsknotens – Seite, Template, Route, Theme-Einstellung, Media-Asset – wird als unveränderliche Tatsache in einem bitemporalen Graphen gespeichert. Der Graph trägt zwei Zeitdimensionen pro Datensatz: Gültigkeitszeit (wann die Tatsache in der realen Welt galt) und Transaktionszeit (wann sie erfasst wurde). Die Frage nach dem 13. August wird zu einer einzigen Graphabfrage – kein archäologisches Projekt als Reaktion auf eine Vorladung. Das zurückgegebene Rendering ist die Seite exakt so, wie sie erschienen ist, einschließlich des verknüpften Zeitplans, des Offenlegungstexts, der rechtlichen Fußzeile und der referenzierten Assets.

2. Sind Datensätze unveränderlich? Kann ein Administrator die Geschichte stillschweigend umschreiben?

Nein, und wir liefern kryptografische Beweise dafür. Die Graph-Engine (InvariantDB, unsere Datenbankschicht) pflegt eine Hash-Kette über jede Mutation. Der Hash jeder neuen Tatsache wird über ihren Inhalt plus den vorherigen Hash berechnet. Jede Manipulation – auch durch uns – bricht die Kette auf eine Weise, die von einem externen Prüfer mit Lesezugriff auf das WAL verifiziert werden kann. Sie können diese Verifizierung selbst durchführen; das Verfahren ist dokumentiert, und der Verifier wird als separäres Binary ausgeliefert.

3. Welche Datenspeicherungsgarantien gibt es, und was passiert, wenn StaticOwl verschwindet?

Ihre Daten gehören Ihnen, und Sie können sie ohne uns exportieren. Die kompilierte Ausgabe jedes Releases ist einfaches HTML/CSS/JS/Assets in einem S3-Bucket. Sie können entweder den Bucket selbst besitzen (BYO-Modus) oder uns ihn verwalten lassen (Managed Tier); in beiden Fällen haben Sie Exportrechte. Der Quellinhalt – jede Seite, jedes Feld, jedes Asset – ist jederzeit als sauberes JSON oder HTML exportierbar. Der Audit-Verlauf ist als verifizierbares Beweispaket exportierbar. Nichts liegt in einem proprietären Format vor; nichts erfordert unsere weitere Existenz zum Lesen.

Die Architektur, für den Sicherheitsarchitekten.

Quelle der Wahrheit: bitemporaler Append-only-Graph

Die Inhaltsschicht ist eine Graphdatenbank (InvariantDB), die im Append-only-Modus konfiguriert ist. Kein Datensatz wird jemals an Ort und Stelle überschrieben. Wenn Sie eine Seite „bearbeiten", erfasst der Graph eine neue Version mit valid_from auf den Moment gesetzt, ab dem diese Version die Wahrheit darstellt, und das valid_to der vorherigen Version auf denselben Zeitpunkt. Versionen können auch rückwirkend datiert werden (Sie erfassen am 14. Aug. eine Tatsache, die ab dem 10. Aug. galt), indem Sie valid_from unabhängig vom Schreibzeitpunkt setzen. Beide Zeitstempel werden gespeichert.

Kryptografische Audit-Kette

Jede Mutation wird an ein Write-Ahead-Log (WAL) angehängt, das hash-verkettet ist: h(n) = SHA-256(h(n-1) || mutation_n). Der Kettenkopf wird mit jedem Release veröffentlicht. Ein externer Prüfer mit Lesezugriff auf das WAL kann die Kette vollständig verifizieren, ohne uns zu vertrauen. Wir verwenden diese Verifizierung selbst – das Binary ist bin/verify-audit-chain, das mit jedem Release ausgeliefert wird. (Siehe SECURITY.md für das Verifizierungsprotokoll und das Bedrohungsmodell des Engine-Teams.)

Kompilierte Artefakte als Deploy-Einheit

Ein Deploy bedeutet nicht „diese Änderungen in die Produktion übertragen". Ein Deploy kompiliert den aktuellen Zustand des Graphen zu einem bestimmten Zeitpunkt in ein unveränderliches Bundle (HTML-Seiten, Sidecar-JSON, Manifest, signierte Herkunft) und weist ihm eine Release-ID zu. Das CDN liefert das aktuell referenzierte Release aus; ein Rollback ist dieselbe Operation in umgekehrter Reihenfolge – eine neue Deployment-Tatsache, die auf ein älteres Release zeigt. Releases sind kryptografisch inhaltsadressiert; ihre Hashes werden in die Audit-Kette eingestempelt.

Reviews sind erstklassig

Releases werden durch Reviews freigegeben – KI-gestützt (wir führen Alt-Text-Prüfungen, Broken-Link-Scans, SEO-Regressionen usw. durch), automatisiert (benutzerdefinierte Regeln, die Sie schreiben), manuelle Genehmigung (benannte Prüfer pro Inhaltstyp) und Compliance-Prüfungen (benutzerdefiniert). Blockierende Befunde verhindern den Deploy mit einem 409 Conflict; Prüfer und Befunde werden als Graphtatsachen erfasst, die mit der Release-ID verknüpft sind. Der Audit beantwortet „wer hat das genehmigt" mit dem benannten Menschen oder der benannten automatisierten Prüfung.

Jeden vergangenen Zeitpunkt wiederherstellen

Da jeder Zustand des Graphen erhalten bleibt, können wir die Website exakt so neu rendern, wie sie zu jedem vergangenen Zeitpunkt erschienen ist. Nicht „annähernd". Bit für Bit: Dieselbe Kompilierung, angewendet auf den historischen Graphzustand, erzeugt dasselbe Artefakt mit demselben Hash. Wir nutzen dies für unsere eigenen Regressionstests; Sie können es für die Beweissicherung nutzen.

Framework-Zuordnung.

Direkte Zuordnung zu den spezifischen Klauseln, nach denen Ihr Audit-Team fragen wird. Wo wir by design konform sind, sagen wir das; wo die Konformität eine kundenseitige Konfiguration erfordert, sagen wir das ebenfalls; wo das Framework nicht zutrifft, sagen wir nichts.

SOX (Sarbanes-Oxley, §302 + §404)

Section 302 verpflichtet Führungskräfte, interne Kontrollen über die Finanzberichterstattung zu zertifizieren; §404 verpflichtet das Management, diese Kontrollen jährlich zu bewerten und zu bestätigen. Für veröffentlichte Inhalte (10-K-Offenlegungen, Investor-Relations-Updates, Ergebnismitteilungen): Jedes Release ist signiert, jeder Prüfer ist benannt, jede Änderung ist umkehrbar, jeder vergangene Zustand ist rekonstruierbar. Das Release-Log ist der Kontrollnachweis.

HIPAA (Health Insurance Portability and Accountability Act, §164.312)

§164.312(b) verlangt Audit-Kontrollen – Hardware-, Software- und Verfahrensmechanismen, die Aktivitäten aufzeichnen und untersuchen. Das hash-verkettete WAL ist die Audit-Kontrolle. §164.312(c) verlangt Integritätskontrollen; die kryptografische Kette ist der Integritätsnachweis. Hinweis: Wir verarbeiten KEINE PHI im Auftrag von Kunden. Wenn Ihre veröffentlichten Inhalte PHI vermeiden (was bei den meisten Marketing-/Patientenportal-Inhalten der Fall ist), sind wir als Business Associate nicht im Geltungsbereich. Wenn Ihr Anwendungsfall PHI-bezogen ist, sprechen Sie direkt mit uns – es gibt Deployment-Muster, die uns aus dem PHI-Pfad heraushalten.

FDA 21 CFR Part 11 (Elektronische Aufzeichnungen, Elektronische Signaturen)

Part 11 §11.10 verlangt Kontrollen über Integrität, Authentizität und Vertraulichkeit elektronischer Aufzeichnungen: Validierung, Audit-Trails, Betriebsprüfungen, Berechtigungsprüfungen, Geräteprüfungen, Personenverantwortlichkeit. Der bitemporale Graph + Reviews + kryptografische Kette entsprechen direkt den §11.10(e)-Audit-Trails. §11.50 (Signaturmanifestationen) – signierte Reviews mit benannten Prüfern entsprechen diesem Abschnitt. Wir haben KEINE FDA-Validierung für einen spezifischen Anwendungsfall durchlaufen; die Architektur unterstützt dies; der kundenseitige Validierungsaufwand liegt beim Kunden. Wir können diesen Aufwand mit einem Validierungspaket unterstützen; sprechen Sie mit uns.

NAIC Model Audit Rule (Annual Financial Reporting Model Regulation)

Für Versicherungsträger: Section 12 verlangt Nachweise interner Kontrollen über die Finanzberichterstattung; Section 14 verlangt, dass wesentliche Änderungen dieser Kontrollen gemeldet werden. Dasselbe Release-Log + Prüfer-Log, das SOX §404 erfüllt, erfüllt auch die NAIC §12-Nachweisanforderung. Die kundenseitige Zuordnung zu spezifischer Schedule-Dokumentation liegt beim Kunden; wir stellen die zugrunde liegenden Audit-Daten bereit.

DSGVO Artikel 17 (Recht auf Löschung)

Dieser Punkt ist der heikle. Append-only-Architektur und das Recht auf Löschung stehen in Spannung zueinander. Unsere Lösung: Subjektbezogene Inhalte (z. B. ein Kundentestimonial, das den Namen der betroffenen Person enthält) können auf Anfrage gelöscht werden – der Graph unterstützt Tombstone-via-Redaktion, bei der der Datensatz durch einen opaken Marker ersetzt wird, der die Kette erhält, aber die personenbezogenen Daten entfernt. Die Tatsache, dass eine Löschung stattgefunden hat, verbleibt in der Kette (Sie können die Löschung nicht löschen); der gelöschte Inhalt ist tatsächlich verschwunden. Dies erfüllt Artikel 17 für personenbezogene Daten, während die Integrität der Audit-Kette für alles andere erhalten bleibt. Wir liefern dies als destroySubjectKey() auf der Engine-Schicht aus.

Was ausgeliefert ist, was kommt.

Ehrliche Bilanz. Wir befinden uns im Early Access, daher ist das wichtiger als sonst.

Heute ausgeliefert, bereit für Sie

• Bitemporaler Append-only-Graph — InvariantDB-Engine-Schicht, produktionsstabil bei mehreren Kunden.
• Kryptografische Audit-Kette — hash-verkettetes WAL mit externem Verifizierungs-Binary (Sprint 3, 23 Regressionstests, die Tamper-Detection-Pfade fixieren).
• Releases als unveränderliche kompilierte Artefakte — inhaltsadressierte Bundles, Manifest-Pointer-Wechsel für atomares Deploy/Rollback.
• Reviews sperren Releases — KI / automatisiert / manuell / Compliance-Review-Typen, blockierende Befunde, vom Prüfer signiert.
• Bitemporale Abfragen — db.diff, db.changes, db.propertyHistory, db.replay-Prozeduren (Sprint 1 + 1.5, 37 + 14 + 50 Tests).
• Subjektlöschung für DSGVO — destroySubjectKey() mit kettenerhaltenden Tombstones.
• Export — vollständiger Inhalt + Audit-Bundle-Export nach S3 / GitHub / lokale Festplatte.

Roadmap, benannt damit Sie planen können

• SOC 2 Type II — Engagement beginnt Q3 2026 mit einem erstklassigen Prüfer. Type-I-Bericht bis Q4. Sprechen Sie vorher mit uns für Design-Partner-Zugang auf Diligence-Ebene.
• HIPAA BAA — auf Anfrage für den Business-Tier verfügbar; wir unterzeichnen einen, wenn Ihr Anwendungsfall es erfordert.
• FedRAMP — nicht auf der unmittelbaren Roadmap. Wenn Ihr Anwendungsfall es benötigt, sprechen Sie mit uns über einen möglichen Weg.
• Hosting in der Region — EU-gehostete Instanz geplant für Q1 2027. Self-Host-Modus ist heute verfügbar, wenn Datenresidenz jetzt wichtig ist.

Was wir nicht behaupten werden

• Wir haben keine SOX-, HIPAA-, FDA-, NAIC- oder DSGVO-Zertifizierungen. Wir haben eine Architektur, die mit den technischen Anforderungen dieser Frameworks übereinstimmt. Die Zertifizierungen sind kundenseitige Audit-Bemühungen; wir liefern Nachweisunterstützung.
• Wir befinden uns im Early Access. Produktions-SLAs liegen heute bei 99,9 % im Managed Tier; wir werden tatsächliche Messungen vierteljährlich veröffentlichen, sobald wir ein Jahr Betriebsdaten haben.
• Wir sind ein kleines Team. Beschaffungsantworten kommen von einem Gründer. Das ist ein Vorteil für Design-Partner und eine Einschränkung, die Unternehmen mit langen Beschaffungszyklen kennen sollten.

Nächste Schritte.

Wenn Sie bis