Jeder Mitarbeiter erhält einen Agenten.

Ein Unternehmens-Tresor. Ein persönlicher Tresor pro Mitarbeiter.

Der Unternehmens-Tresor enthält gemeinsam genutzte Zugangsdaten — API-Keys, Service-Accounts, Datenbank-Passwörter. Scoped nach Team. Der persönliche Tresor jedes Mitarbeiters gehört ihm allein — seine Logins, seine Identitätsfelder, verschlüsselt mit seinem eigenen Hardware-Key.

Der Unternehmens-Tresor enthält keine Identitätsfelder. Nichts Persönliches gehört hierher. Persönliche Tresore sind privat — das Unternehmen kann nicht auf sie zugreifen. Durch Design. Durch Mathematik.

Scoped ab dem ersten Tag

Öffnen Sie die Web-UI, erstellen Sie einen Agenten oder laden Sie ein Teammitglied ein und weisen Sie einen Scope zu. Jeder Akteur — Mensch oder Agent — sieht nur Einträge innerhalb seines Scopes. Der Tresor prüft jede Anfrage und gewährt oder verweigert den Zugriff. Stateless. Sub-Millisekunde.

Der Deploy-Agent kann keine Dev-Zugangsdaten lesen. Der Support-Bot kann keine Deploy-Keys lesen. Das Finanzteam sieht Stripe, aber nicht GitHub. Ihre neue Marketing-Kraft sieht die Social-Media-Logins, aber nicht die Produktionsdatenbank. Jeder Token kodiert exakt, auf welche Einträge er zugreifen kann — nicht mehr, nichts Entdeckbares.

Scopes funktionieren für Menschen und Agenten gleichermassen. Ein neuer Mitarbeiter erhält im Unternehmens-Tresor einen Scope, der seiner Rolle entspricht — Engineering, Finanzen, Operations. Er sieht das, was seine Rolle erfordert. Wenn sich seine Rolle ändert, ändert sich der Scope. Die Zugangsdaten ändern sich nicht.

Menschen kommen und gehen. Zugangsdaten bleiben.

Ein neuer Mitarbeiter beginnt am Montag — erstellen Sie seinen persönlichen Tresor, weisen Sie seine Rollen-Scopes zu, und er ist innerhalb von Minuten einsatzbereit. Keine gemeinsamen Passwörter, die übergeben werden müssen, keine Onboarding-Dokumente mit dem Hinweis: "Der Stripe-Key steht im geteilten Google Doc."

Jemand verlässt das Unternehmen am Freitag — widerrufen Sie seine Token in allen gemeinsam genutzten Tresoren mit einem Klick. Sein persönlicher Tresor geht mit ihm. Die Zugangsdaten im Unternehmens-Tresor ändern sich nie. Kein Chaos bei der Passwortrotation. Keine Frage wie: "Haben wir den AWS-Key schon geändert?" Kein Notfall am Wochenende.

Dies ist der Unterschied zwischen Passwort-Sharing und Credential Issuance. Ein gemeinsam genutzter Passwort-Tresor bedeutet, dass jeder Abgang ein Rotationsereignis ist. Clavitor bedeutet, dass jeder Abgang ein Token-Widerruf ist — instantan, vollständig und unsichtbar für alle anderen im Team.

Jeder Zugriff wird zugeordnet

Jeder Zugriff auf Zugangsdaten wird protokolliert — welcher Agent, welche Person, welche Zugangsdaten, wann und von wo. Wenn eine Sicherheitsprüfung fragt: "Wer hat letzten Donnerstag auf die Produktionsdatenbank zugegriffen?", haben Sie die Antwort in Sekunden. Nicht "jemand mit dem gemeinsamen Passwort" — sondern ein Name, ein Scope, ein Zeitstempel.

Passwortrotationen werden auf die gleiche Weise verfolgt. Wenn sich eine Zugangsberechtigung ändert, zeichnet der Audit-Trail auf, wer dies ausgelöst hat und welche Agenten den neuen Wert übernommen haben. Wenn eine Rotation ein Deployment unterbricht, können Sie dies bis zur exakten Änderung zurückverfolgen.

Dies läuft permanent, über jeden Tresor hinweg. Keine Konfiguration. Kein Opt-in. Das Audit-Log ist Ihr Compliance-Nachweis und Ihr Werkzeug für die Incident Response.

Drei Ebenen der Verschlüsselung

Der Unternehmens-Tresor enthält nur Felder der Berechtigungsebene. Keine Identitätsdaten, keine persönlichen Informationen, keine Karten oder Pässe. Der persönliche Tresor jedes Mitarbeiters gehört ihm allein — verschlüsselt mit seinem eigenen Hardware-Key, unsichtbar für den Unternehmensadmin. Durch Design. Durch Mathematik.