Leistungsverzeichnisse, Kundenanfragen und Bestellungen enthalten vertrauliche Informationen: Projekte, Preise, Kunden und Konditionen. Bevor ein Konzern solche Daten einer KI-Software anvertraut, will die IT genau wissen, wo die Daten liegen, wer darauf zugreift und ob sie zum Training fremder Modelle genutzt werden. Dieser Artikel beantwortet die Fragen, die in Security-Fragebögen am häufigsten gestellt werden, am Beispiel von Mercura.

Das Wichtigste in Kürze

• Mercura ist nach ISO/IEC 27001 zertifiziert und DSGVO-konform.

• Die Daten liegen in Europa, in einem Azure-Rechenzentrum in Frankfurt. Für US-Kunden gibt es eine eigene US-Region.

• Jeder Kunde hat einen eigenen Mandanten, die Trennung erfolgt auf Datenbankebene.

• Kundendaten werden nicht zum Training externer KI-Modelle genutzt.

• Login per Microsoft Entra ID (SAML/OIDC), Benutzerverwaltung per SCIM aus Entra ID, Okta oder anderen Identity Providern.

Welche Fragen die IT stellt

Ein typischer Security-Fragebogen für KI-Software im Vertrieb deckt fünf Themen ab: Zertifizierung, Speicherort der Daten, Trennung von anderen Kunden, Umgang mit KI-Modellen und Zugriffsverwaltung. Dazu kommt die Frage, wie die Software mit dem ERP kommuniziert. Die folgenden Abschnitte gehen diese Punkte einzeln durch.

Zertifizierung: ISO/IEC 27001

Mercura ist nach ISO/IEC 27001 zertifiziert. Die Norm verlangt ein Managementsystem für Informationssicherheit, das Risiken systematisch erfasst, Maßnahmen festlegt und regelmäßig von einer unabhängigen Stelle geprüft wird. Für Einkauf und IT ist das der schnellste Nachweis, dass Sicherheit nicht vom Zufall abhängt.

Wo liegen die Daten?

Die Anwendungsdaten europäischer Kunden liegen in einem Azure-Rechenzentrum in Frankfurt. Für Kunden in den USA betreibt Mercura eine eigene US-Region, sodass Daten nicht zwischen den Regionen gemischt werden. Mercura ist DSGVO-konform.

Trennung von anderen Kunden

Jeder Kunde hat in Mercura einen eigenen Mandanten. Die Daten der Organisationen sind auf Datenbankebene voneinander getrennt: Jede Abfrage sieht nur die Daten der eigenen Organisation. Innerhalb eines Mandanten sind die Daten nach Organisation, Standort und Benutzer gegliedert.

Werden meine Daten zum Training von KI genutzt?

Nein. Kundendaten werden nicht zum Training externer KI-Modelle genutzt. Das Wissen, das Mercura aus Ihren Daten aufbaut, etwa welche Artikel zu welchen LV-Positionen passen, bleibt in Ihrem Mandanten und steht nur Ihrer Organisation zur Verfügung.

Login, Benutzer und Rollen

Im Konzern gehört die Benutzerverwaltung ins zentrale Identity Management. Mercura schließt sich daran an:

Ihre Admins richten SCIM selbst ein. So pflegt die IT Benutzer und Gruppen weiter an einer Stelle, statt sie in Mercura doppelt anzulegen.

Schnittstellen sicher betreiben

Die Verbindung zum ERP ist oft der heikelste Teil. Mercura bietet dafür mehrere Wege, die Ihre IT steuert:

• Webhooks sind signiert (HMAC). Für die Authentifizierung stehen Basic, Bearer, API-Key, OAuth2 Client Credentials und SAP OData zur Verfügung.

• SFTP für Artikeldaten und Exporte, wenn Ihr ERP mit Dateien arbeitet.

• API mit Dokumentation für Stammdaten, Angebote und Aufträge.

• Protokoll und Warnungen: Ein gemeinsames Protokoll zeigt Importe, API-Aufrufe, Webhooks und ERP-Exporte. Fällt eine Schnittstelle aus, bekommen die Admins eine E-Mail.

Das ERP bleibt das führende System. Preise und Konditionen kommen aus dem ERP, Mercura bereitet Positionen und Artikelzuordnung vor. Wie das mit SAP aussieht, beschreibt unser Artikel zur SAP-Anbindung für Angebote und LVs. Einen allgemeinen Überblick gibt der Beitrag zu ERP-Schnittstellen.

Der Mensch bleibt die Kontrollinstanz

Sicherheit heißt im Vertrieb auch: Kein Angebot geht ungeprüft raus. In Mercura prüft der Vertriebsinnendienst jeden Vorschlag, bevor ein Angebot an den Kunden oder ein Auftrag ins ERP geht. Unsichere Positionen werden markiert, nicht geraten.

Häufige Fragen

Ist Mercura nach ISO 27001 zertifiziert? Ja, Mercura ist nach ISO/IEC 27001 zertifiziert.

Ist Mercura DSGVO-konform? Ja.

Wo hostet Mercura die Daten? In Europa, in einem Azure-Rechenzentrum in Frankfurt. Für US-Kunden gibt es eine eigene US-Region.

Teilen sich Kunden eine Datenbank? Jeder Kunde hat einen eigenen Mandanten. Die Daten der Organisationen sind auf Datenbankebene getrennt, sodass eine Organisation nie die Daten einer anderen sieht.

Nutzt Mercura meine Daten zum Training von KI-Modellen? Nein, Kundendaten werden nicht zum Training externer KI-Modelle genutzt.

Unterstützt Mercura SSO mit Microsoft Entra ID? Ja, über SAML/OIDC. Benutzer und Rollen lassen sich per SCIM aus Entra ID, Okta oder anderen Identity Providern übernehmen.

Wie Konzerne die Sicherheitsprüfung in eine Gesamtauswahl einbetten, zeigt unsere Enterprise-Checkliste für KI im Angebotsprozess. Mehr zu Funktionen finden Sie auf der Seite Angebote und Ausschreibungen. Wenn Ihre IT einen Security-Fragebogen hat, sprechen Sie uns an.

Quellen

• Hinweis „Mercura is ISO/IEC 27001 certified, GDPR-compliant, Hosted in Europe“ im Fußbereich der Kundengeschichten auf mercura.ai, abgerufen am 10.11.2026

• Mercura Produktdokumentation zu Sicherheit, Single Sign-on, SCIM und Webhooks (Entwicklerdokumentation), Stand November 2026