# Shield-Pack: 27 Compliance-Spezialisten und 11 Workflows

> Shield leitet Compliance-Fragen an 27 Rahmenwerk-Spezialisten und 11 DSGVO- und AI-Act-Workflows und ergänzt Assurance Cases, KI-Register und Review-Regeln. Keine Rechtsberatung.

Canonical: https://bmad-plus.rochetta.fr/de/docs/packs/shield/
Language: de
BMAD+ version: 0.23.1
Documentation reviewed: 2026-10-19
Author: Laurent Rochetta
License: MIT

BMAD+ Dokumentation › [Packs](https://bmad-plus.rochetta.fr/de/docs/packs/) › Shield-Pack: 27 Compliance-Spezialisten und 11 Workflows

Shield macht aus BMAD+ einen Assistenten für Governance, Risiko und Compliance (GRC). Ein Orchestrator liest deine Frage, erkennt die betroffenen Rahmenwerke und leitet sie an einen Spezialisten weiter: 27 insgesamt, jeder einer Vorschrift oder Norm gewidmet, in sechs Kategorien. Elf weitere Workflows decken die wiederkehrenden Dokumente von DSGVO und EU-AI-Act ab (Folgenabschätzungen, Datenpannen, Datenschutzhinweise, Cookie-Richtlinien, KI-Risikoklassifizierung). Dazu liefert Shield drei Nachweiswerkzeuge, die auf echten CLI-Befehlen beruhen: einen Assurance Case, ein Register der KI-Verarbeitung und Compliance-Review-Regeln.

> **Warnung · Keine Rechtsberatung** Jeder Shield-Bericht trägt die Kennzeichnung KI-generiert und den Hinweis, dass er keine Rechtsberatung ist. Die Ausgabe kann unvollständig oder veraltet sein und ersetzt weder Anwältin noch Datenschutzbeauftragten noch zertifizierten Auditor. Eine qualifizierte Person muss sie vor jeder Compliance-Entscheidung, Einreichung oder Attestierung prüfen.

<a id="when-to-use"></a>
## Wann du es brauchst

- Du musst belegen, dass ein Produkt eine Vorschrift oder Norm erfüllt (DSGVO, SOC 2, ISO 27001, PCI DSS, HIPAA, NIS2, DORA, EU AI Act und weitere) und willst eine strukturierte Lückenanalyse statt eines leeren Blattes.
- Du brauchst ein typisches DSGVO- oder AI-Act-Dokument: DSFA, Meldung einer Datenpanne, Prüfung des berechtigten Interesses, Datenschutzhinweis, Cookie-Richtlinie, KI-Risikoklasse.
- Du willst Prüfnachweise, die durch Befehle geprüft statt behauptet werden: einen an einen Commit gebundenen Assurance Case.
- Du willst ein Code-Review, das sagt, welche Compliance-Kontrollen eine Änderung berührt.

<a id="installed"></a>
## Was installiert wird

Shield ist ein in sich geschlossenes Pack: Alles liegt in `.agents/skills/pack-shield/`. Der Ordner enthält den Pack-Skill `SKILL.md`, den Orchestrator `shield-orchestrator.md`, `categories/` (die 27 Spezialisten und die 11 Workflows), `references/` (79 regulatorische Referenzdateien), `shared/` (Zuordnungswerkzeug zwischen Rahmenwerken, Vorlagen für Lückenanalyse und Auditbericht, Verfahren für Assurance Case und KI-Register mit Vorlagen) und `review-rules/` (die sechs Compliance-Review-Regeln und ihr Index). `bmad-plus doctor` prüft, dass `SKILL.md` und `review-rules/index.yaml` vorhanden sind.

<a id="frameworks"></a>
### Die Rahmenwerke nach Kategorie

**Sechs Kategorien, 27 Spezialisten-Agenten**

| Kategorie | Agenten | Rahmenwerke |
| --- | --- | --- |
| Datenschutz | 5 | DSGVO, CCPA/CPRA, LGPD, DPDPA, ISO/IEC 27701 |
| Cybersicherheit | 6 | ISO/IEC 27001, NIST CSF 2.0, NIST SP 800-53 Rev. 5, CIS Controls v8, NIS2, australisches ISM |
| Branchen-Compliance | 6 | SOC 2, PCI DSS v4.0.1, HIPAA, SWIFT CSP, DORA und FedRAMP |
| Verteidigung und Exportkontrolle | 4 | CMMC 2.0, ITAR, EAR, TSA Security Directives |
| KI-Governance | 3 | EU AI Act 2024/1689, ISO/IEC 42001, NIST AI RMF 1.0 |
| Barrierefreiheit und ESG | 3 | WCAG 2.2, Section 508, CSRD |

Das Pack hat 27 Spezialisten-Agenten, einen je Rahmenwerk. Die Liste der Compliance-Tags in der Registry nennt alle 27, und die Pack-Liste des Installers zeigt „GRC compliance (27 frameworks)“.

<a id="specialists"></a>
### Die 27 Spezialisten-Agenten

**Spezialisten-Agenten, ihr Rahmenwerk und wobei sie helfen**

| Agent | Rahmenwerk | Geltungsbereich | Hilft bei |
| --- | --- | --- | --- |
| `gdpr-agent` | GDPR | EU, EWR, Vereinigtes Königreich | Code- und Systemaudit, Dokumente entwerfen, Fragen und Antworten, Datenfluss- und PII-Prüfung, DSFA, Datenpannen, LIA (7 Workflows) |
| `ccpa-agent` | CCPA / CPRA | Kalifornien | Wer betroffen ist, Verbraucherrechte, Pflichten, Sanktionsrisiko |
| `lgpd-agent` | LGPD | Brasilien | Anwendungsbereich, Grundsätze, die zehn Rechtsgrundlagen, Betroffenenrechte, Unterschiede zur DSGVO |
| `dpdpa-agent` | DPDPA | Indien | Hinweise, Rechte der Betroffenen, Pflichten des Verantwortlichen, Kinderdaten, grenzüberschreitende Übermittlungen |
| `iso27701-agent` | ISO/IEC 27701 | International | Lückenanalyse, Richtlinien, Maßnahmenhilfe, Datenschutz-Risikobewertung, Erklärung zur Anwendbarkeit |
| `iso27001-agent` | ISO/IEC 27001 | International | Lückenanalyse, Richtlinien und Dokumente erzeugen, Maßnahmenhilfe, Risikobewertung, Checkliste der Pflichtdokumente |
| `nist-csf-agent` | NIST CSF 2.0 | USA | Lückenbewertung, Profile, Roadmap, Zuordnung zwischen Rahmenwerken, Richtlinien |
| `nist-800-53-agent` | NIST SP 800-53 Rev. 5 | USA (Bund) | Systemkategorisierung, Baselines, Kontrollfamilien, Tailoring, Overlays, SSP-Beschreibungen, Bewertung |
| `cis-controls-agent` | CIS Controls v8 | International | Implementierungsgruppen, die 18 Controls, Zuordnung zu anderen Rahmenwerken, Lückenbewertung |
| `nis2-agent` | NIS2 | EU | Einstufung der Einrichtung, Lückenbewertung, Vorfallmeldung, Pflichten der Leitung, Abgleich mit ISO 27001 |
| `ism-agent` | Australian ISM | Australien | Lückenanalyse, Systemfreigabe, IRAP-Vorbereitung, Sicherheitsdokumentation, Essential Eight gegenüber ISM |
| `soc2-agent` | SOC 2 Type I/II | USA | Reife- und Lückenbewertung, Richtlinien, Kontrolldokumentation, Prüfnachweise, Lieferantenrisiko-Fragebögen |
| `pci-dss-agent` | PCI DSS v4.0.1 | International | Abgrenzung der Kartendaten-Umgebung, Lückenbewertung, SAQ-Auswahl, Maßnahmenhilfe, Richtlinien |
| `hipaa-agent` | HIPAA | US-Gesundheitswesen | Compliance-Prüfung, Vorlagen und Richtlinien, technische Schutzmaßnahmen, Erläuterungen |
| `swift-csp-agent` | SWIFT CSP | Internationale Banken | Architekturtypen, Kontrollrahmen, jährlicher Bewertungs- und Attestierungsablauf, typische Feststellungen |
| `dora-agent` | DORA | EU-Finanzsektor | Betroffene Unternehmen, IKT-Risikomanagementrahmen (Artikel 5 bis 16) |
| `fedramp-agent` | FedRAMP | US-Bundes-Cloud | Reifebewertung, Zulassungsdokumentation, Zuordnung zu NIST 800-53 |
| `cmmc-agent` | CMMC 2.0 | US-Verteidigung | Lückenbewertung, System Security Plan, SPRS-Score, POA&M, CUI-Abgrenzung |
| `itar-agent` | ITAR | US-Rüstungsexport | ITAR- oder EAR-Zuständigkeit, Registrierung, Lizenzen, Vereinbarungen, Deemed Exports, freiwillige Offenlegung, Technology Control Plan |
| `ear-agent` | EAR | US-Dual-Use-Export | Zuständigkeit, ECCN-Klassifizierung, Lizenzpflicht, Ausnahmen, Endverwender-Kontrollen |
| `tsa-agent` | TSA Security Directives | US-Verkehr | Abdeckung der Richtlinien nach Sektor, kritische Cybersysteme, Vorfallmeldung, Benennung des Koordinators |
| `eu-ai-act-agent` | EU AI Act 2024/1689 | EU | Compliance-Workflow in acht Schritten, Antwortformat, Zeitplan, Sanktionen |
| `iso42001-agent` | ISO/IEC 42001 | International | Lückenbewertung, Folgenabschätzung für KI-Systeme, KI-Risikobewertung, Erklärung zur Anwendbarkeit, Zertifizierungsweg |
| `nist-ai-rmf-agent` | NIST AI RMF 1.0 | USA | Funktionen Govern, Map, Measure und Manage, Vertrauenswürdigkeit, Lückenbewertung, KI-Risikoregister |
| `wcag-agent` | WCAG 2.2 | International | Die vier Prinzipien, Barrierefreiheits-Audit, Erklärung zur Barrierefreiheit, ARIA, Kontrast, rechtliche Zuordnung |
| `section508-agent` | Section 508 | USA (Bund) | Regelwerk, IKT-Geltungsbereich, VPAT ausfüllen, Barrierefreiheits-Audit |
| `csrd-agent` | CSRD | EU | Anwendungsbereich und Schwellen, doppelte Wesentlichkeitsanalyse, ESRS-Architektur, Offenlegungspflichten |

<a id="workflows"></a>
### Die 11 DSGVO- und AI-Act-Workflows

**Workflow-Agenten und das Dokument, das jeder erzeugt**

| Workflow | Zweck |
| --- | --- |
| `dpia-sentinel` | Datenschutz-Folgenabschätzung, Artikel 35, mit KI-Besonderheiten; Bericht in neun Abschnitten |
| `breach-sentinel` | Reaktion auf Datenpannen, Artikel 33 und 34: Schweregrad, Meldung an die Behörde binnen 72 Stunden, Benachrichtigung Betroffener, Lehren |
| `legitimate-interest` | Prüfung des berechtigten Interesses, Artikel 6 Absatz 1 Buchstabe f: Zweck, Erforderlichkeit und Abwägung |
| `privacy-advisor` | Bewertung eines DSGVO-Programms und der Gesamtlage |
| `privacy-notice-gen` | Datenschutzhinweis mit den Pflichtangaben der Artikel 13 und 14 |
| `privacy-policy-gen` | Vollständige Datenschutzerklärung für eine Website oder App |
| `cookie-policy-gen` | Cookie-Richtlinie nach ePrivacy und DSGVO, mit CNIL-Leitlinien |
| `ai-act-classifier` | Risikoklasse eines KI-Systems: verboten, hohes Risiko (Anhang III), begrenzt, minimal |
| `ai-act-roles` | Anbieter, Betreiber oder Einführer: welche Pflichten dich treffen |
| `ai-act-fria` | Grundrechte-Folgenabschätzung, Artikel 27 |
| `ai-act-incidents` | Workflow zur Meldung schwerwiegender Vorfälle, Artikel 73 |

<a id="evidence-tools"></a>
### Nachweiswerkzeuge mit CLI-Unterbau

**Drei Nachweisfähigkeiten**

| Werkzeug | Befehle | Was er garantiert |
| --- | --- | --- |
| Security Assurance Case | `bmad-plus assurance init`, `run`, `verify` | Eine Aussage gilt nur als gestützt, wenn die zugrunde liegende Prüfung am betroffenen Commit lief und in einem Hash-verketteten Register steht. Fehlende, fehlgeschlagene oder veraltete Nachweise lassen die Aussage ungestützt. |
| Register der KI-Verarbeitung | `bmad-plus ai-register init`, `check` | Vergleicht `_bmad/ai-processing-register.yaml` mit den im Projekt gefundenen KI-Integrationen und warnt vor nicht eingetragenen. Warnungen lassen den Befehl nie scheitern. |
| Compliance-Review-Regeln | `bmad-plus review scope`, `review rules <Pfad>` | Sechs pfadbezogene Checklisten mit Kontrollen wie `ISO27001:A.8.5`, `SOC2:CC6.1` oder `GDPR:Art.32`, damit ein Review die von einer Änderung berührten Kontrollen nennt. |

Die sechs Review-Regeln heißen `shield-access-control`, `shield-personal-data`, `shield-cryptography`, `shield-logging`, `shield-ai-integrations` und `shield-change-and-supply-chain`. Sie ergänzen die eingebauten Review-Regeln und ersetzen sie nie; ein Projekt kann sie in `_bmad/review-rules.yaml` ersetzen oder abschalten.

<a id="quick-start"></a>
## Schnellstart

1. **Das Pack installieren** Core wird automatisch ergänzt. Shield braucht nur Node.js 20 für den Installer; die Nachweisbefehle kommen aus derselben CLI.

   ```sh
   npx bmad-plus install --packs shield
   ```
2. **Den Orchestrator fragen** Nenne das Rahmenwerk, wenn du es kennst, oder beschreibe deine Lage; Shield stellt zwei bis drei Rückfragen (Rechtsraum, Branche, Datenarten), wenn das Rahmenwerk unklar ist.

   ```sh
   Shield, auditiere meine App auf DSGVO-Konformität
   ```
3. **Die Installation prüfen** Die Diagnose bestätigt, dass Pack-Skill und Index der Review-Regeln vorhanden sind.

   ```sh
   npx bmad-plus doctor
   ```

<a id="examples"></a>
## Beispiele zum Kopieren

<a id="example-shield-gdpr-audit"></a>
### Ein Produkt auf DSGVO prüfen

Der kürzeste Weg zu einem Code-Review für ein einzelnes Rahmenwerk. Shield erkennt die DSGVO am Wortlaut und übergibt an den DSGVO-Spezialisten. Eine allgemeine Bitte um ein „DSGVO-Audit“ oder eine „Compliance-Bewertung“ geht stattdessen an den Workflow `privacy-advisor` (Bewertung des gesamten Datenschutzprogramms): Nenne für ein Code-Review konkrete Dateien.

**In deinem KI-Assistenten**

```text
Shield, das Backend unserer Mobile-App speichert Nutzerprofile und Push-Tokens. Prüfe den Code in services/api/ und die Tabellendefinitionen in db/migrations/ gegen die DSGVO: Liste die gefundenen personenbezogenen Daten, die jeweils ableitbare Rechtsgrundlage und die Lücken auf.
```

**Das solltest du erhalten** Die Anfrage geht an `gdpr-agent`, Workflow 1 (Code- und Systemaudit). Der Bericht folgt dem Audit-Format: identifizierte personenbezogene Daten, Bewertung der Rechtsgrundlage, Feststellungen und Zusammenfassung. Er trägt die KI-Kennzeichnung und den Hinweis auf fehlende Rechtsberatung.

<a id="example-shield-multi-framework-gap"></a>
### Zwei Rahmenwerke in einer Analyse vergleichen

Nennt eine Anfrage mehrere Rahmenwerke, führt Shield jeden Spezialisten aus und führt die Ergebnisse zusammen.

**In deinem KI-Assistenten**

```text
Shield, Lückenanalyse NIS2 gegen DORA für unsere Zahlungsplattform, die Banken in drei EU-Ländern bedient. Wir haben einen Prozess für Sicherheitsvorfälle, aber kein Register der IKT-Dienstleister. Zeig, welche Pflichten sich überschneiden, etwa Vorfallmeldung und Drittparteienrisiko, damit wir einen einzigen Prozess aufbauen und beide erfüllen, und gib eine priorisierte Maßnahmen-Roadmap.
```

**Das solltest du erhalten** Sowohl `nis2-agent` als auch `dora-agent` laufen, dann baut Shield mit dem Zuordnungswerkzeug (NIS2 ↔ DORA gehört zu den Paarungen, die es aufführt) die Tabelle überlappender Kontrollen und erzeugt einen konsolidierten Bericht im Audit-Format: gemeinsame Kontrollen (einmal umsetzen, mehrfach erfüllen), rahmenwerkspezifische Lücken und eine priorisierte Roadmap.

<a id="example-shield-soc2-evidence"></a>
### Nachweise für ein SOC-2-Audit vorbereiten

Nutze es vor einem Audit-Zeitraum, wenn du weißt, welche Trust-Kriterien im Umfang liegen.

**In deinem KI-Assistenten**

```text
Shield, erzeuge eine SOC-2-Nachweisliste für Security und Availability. Wir laufen auf AWS mit GitHub Actions. Nenne je Kriterium das zu sammelnde Artefakt, wer dafür zuständig ist und wie oft es erneuert werden muss.
```

**Das solltest du erhalten** Geht an `soc2-agent`, dessen Abschnitt zu Prüfnachweisen die Nachweise nach Kriterium ordnet. Erwarte eine Liste, die du in Tickets verwandeln kannst. Sie zertifiziert nichts: Nur ein Auditor kann einen SOC-2-Bericht ausstellen.

<a id="example-shield-dpia"></a>
### Eine DSFA durchführen (dpia-sentinel)

Nutze es, wenn eine Verarbeitung voraussichtlich ein hohes Risiko für Menschen birgt, etwa die systematische Überwachung von Beschäftigten oder Profiling.

**In deinem KI-Assistenten**

```text
Shield, führe eine DSFA für die Müdigkeitskamera durch, die wir in unsere Lieferwagen einbauen. Sie filmt das Gesicht des Fahrers durchgehend, berechnet auf dem Gerät einen Müdigkeitswert und lädt nur den Wert und einen Zeitstempel ins Flotten-Dashboard hoch. Die Aufnahmen bleiben 24 Stunden auf dem Gerät. Frag mich nach allem, was du zur Beschreibung der Verarbeitung brauchst.
```

**Das solltest du erhalten** Der Workflow `dpia-sentinel` geht die Schritte von Artikel 35 durch (Schwelle, Beschreibung, Erforderlichkeit und Verhältnismäßigkeit, Risiken, Abhilfe, Konsultation des DSB, vorherige Konsultation) und erzeugt einen Bericht in neun Abschnitten: Projektinformationen, Schwellenprüfung, Verarbeitungsbeschreibung, Erforderlichkeit und Verhältnismäßigkeit, Risiken für Betroffene, Abhilfemaßnahmen, Stellungnahme des DSB, Fazit und Freigabe. Die Abschnitte 7 (Stellungnahme des DSB) und 9 (Freigabe) bleiben den Beteiligten zum Ausfüllen überlassen.

<a id="example-shield-breach-response"></a>
### Auf eine Datenpanne reagieren (breach-sentinel)

Nutze es, sobald du eine Datenpanne vermutest: Die 72-Stunden-Frist nach Artikel 33 beginnt, wenn sie dir bekannt wird.

**In deinem KI-Assistenten**

```text
Shield, wir hatten eine Datenpanne. Ein exportiertes Kunden-CSV (Namen, E-Mails, Bestellverlauf, rund 4.200 Personen in der EU) ging heute Morgen um 09:40 an eine falsche externe Adresse. Führe mich durch die ersten Stunden und entwirf die Meldung an die Behörde.
```

**Das solltest du erhalten** Der Workflow `breach-sentinel` folgt einem Zeitplan: Erkennung und Ersteinschätzung (erste Stunden), Schweregradeinstufung, Meldung an die Behörde bis zur 72-Stunden-Marke mit den vier Angaben nach Artikel 33 Absatz 3, Benachrichtigung der Betroffenen, wenn der Schweregrad es verlangt, dann Dokumentation und Lehren. Die Entwürfe soll dein DSB oder deine Anwältin prüfen, bevor etwas versendet wird.

<a id="example-shield-ai-act-classification"></a>
### Ein KI-System nach dem AI Act einstufen

Nutze es zuerst, bevor du entscheidest, welche Pflichten gelten. Schließe die Workflows zu Rollen und FRIA an, wenn das Ergebnis hohes Risiko lautet.

**In deinem KI-Assistenten**

```text
Shield, stufe mein KI-System nach dem AI Act ein. Es reiht Bewerber für eine Personalagentur anhand von Lebensläufen und einem kurzen Fragebogen. Wir entwickeln es selbst und verkaufen es an Agenturen in Frankreich und Deutschland.
```

**Das solltest du erhalten** Der Workflow `ai-act-classifier` identifiziert das System, prüft die verbotenen Praktiken nach Artikel 5, dann den Hochrisiko-Status über Artikel 6 und Anhang III, dann begrenztes und minimales Risiko, und liefert einen Einstufungsbericht mit Begründung, geltenden Pflichten und empfohlenen nächsten Schritten. Ob ein Fall hohes Risiko ist, ist eine rechtliche Schlussfolgerung: Lass sie bestätigen.

<a id="example-shield-assurance-case"></a>
### Einen an einen Commit gebundenen Assurance Case bauen

Nutze es für ein Release, das du vor einem Auditor verteidigen musst. Führe die Befehle aus einem sauberen Arbeitsverzeichnis am betreffenden Commit aus.

**In deinem KI-Assistenten**

```text
Shield, baue einen Security Assurance Case für Release 2.3 unserer Mobile-API. Aussagen: Der Scan des Container-Images meldet keine kritische Schwachstelle, die API lehnt TLS-Versionen unter 1.2 ab, und das Backup von letzter Nacht lässt sich in eine leere Datenbank zurückspielen. Wähle zu jeder Aussage einen Befehl, der fehlschlägt, wenn die Aussage falsch ist; führe den Case dann aus, verifiziere ihn und sag mir, welche Aussagen gestützt sind.
```

**Das solltest du erhalten** Die Case-Datei `_bmad/assurance/<id>.yaml` entsteht mit `bmad-plus assurance init`, `bmad-plus assurance run` führt jeden deklarierten Befehl ohne Shell aus und hängt das Ergebnis an ein Hash-verkettetes Register an, und `bmad-plus assurance verify` stuft jede Aussage als gestützt oder ungestützt ein und beurteilt die zugrunde liegende Prüfung als bestanden, fehlgeschlagen, veraltet oder fehlend. Setze `BMAD_PLUS_ASSURANCE_KEY` (mindestens 32 Zeichen) und bewahre den von `run` gemeldeten Register-Kopf auf, damit absichtliche Änderungen auffallen. Das Urteil sagt, was die Nachweise sind; es ist keine Zertifizierung.

<a id="example-shield-ai-register"></a>
### Die vom Projekt genutzten KI-Werkzeuge registrieren

Nutze es, wenn du beantworten musst, welche KI-Werkzeuge deine Daten sehen und auf welcher Rechtsgrundlage.

**In deinem KI-Assistenten**

```text
Shield, in diesem Quartal haben wir ein Code-Assistenten-Plugin, einen MCP-Server für den Support-Chatbot und eine OCR-API hinzugefügt. Lege das Register der KI-Verarbeitung an, trage diese drei ein und frag mich zu jedem nach den gesehenen Daten, der Rechtsgrundlage, der Speicherdauer und jeder Übermittlung außerhalb der EU. Prüfe danach das Register und sag mir, welche Integrationen die Prüfung gefunden hat, die ich nicht genannt habe.
```

**Das solltest du erhalten** `bmad-plus ai-register init` legt `_bmad/ai-processing-register.yaml` aus der Shield-Vorlage an; `bmad-plus ai-register check` gibt dann das Prüfdatum und die Zahl der eingetragenen KI-Integrationen aus, mit einer Warnung zu jeder nicht eingetragenen (BMAD+-Adapter, Werkzeugordner, MCP-Server). Die Prüfung ist ein weiches Gate: Warnungen lassen sie nicht scheitern, und `bmad-plus doctor` meldet dasselbe.

<a id="outputs"></a>
## Was es schreibt und wo

**Ausgaben von Shield und seinen Werkzeugen**

| Pfad | Geschrieben von | Inhalt |
| --- | --- | --- |
| Berichte im Chat oder in Dateien, die du nennst | Shield-Agenten | Audit-, Lückenanalyse- und Workflow-Berichte, jeweils mit KI-Kennzeichnung und Hinweis auf fehlende Rechtsberatung |
| `_bmad/assurance/<id>.yaml` | `assurance init` | Der Assurance Case: Umfang, Aussagen, Argumente, Prüfungen |
| `_bmad-output/assurance/` | `assurance run`, `verify` | Register der Läufe und optionale CI-Prüfdatei |
| `_bmad/ai-processing-register.yaml` | `ai-register init` | Das Register der KI-Werkzeuge und ihrer Daten |
| `_bmad-output/review/<id>/` | `review scope` und Folgeschritte | Checkliste, die mit den von der Änderung berührten Kontrollen beginnt |

<a id="data-and-prerequisites"></a>
## Datenflüsse und Voraussetzungen

- Kein Python, kein API-Schlüssel, keine zusätzlichen Werkzeuge: Shield besteht aus Anweisungen plus CLI-Befehlen. Das Modell liefert dein KI-Werkzeug.
- Ein Datenfluss außerhalb des Rechners betrifft die Nachweisbefehle und gehört zur `bmad-plus`-CLI, nicht zum Pack: `assurance-checks`. Der Befehl `assurance` existiert auch ohne Shield (das Pack liefert Verfahren und Vorlagen). `bmad-plus assurance run` führt die im Case geschriebenen Befehle mit demselben Vertrauen wie die Projektskripte aus; eine Prüfung kann also das Netzwerk erreichen, wenn ihr Befehl es tut. Lies einen von jemand anderem geschriebenen Case, bevor du ihn ausführst. Der Schlüssel `BMAD_PLUS_ASSURANCE_KEY` bleibt in der Umgebung und wird nie an eine Prüfung weitergegeben.
- Was du in eine Shield-Unterhaltung einfügst (Code, Datenflüsse, Vorfalldetails), geht wie jeder Prompt an das Modell deines KI-Werkzeugs. Füge keine echten personenbezogenen Daten in eine Audit-Anfrage ein.

<a id="limits"></a>
## Grenzen und Stolpersteine

> **Hinweis · Ein Prompt ist keine Zertifizierung** Die Spezialisten sind Experten-Prompts auf Basis von Referenzdateien. Ihr regulatorischer Inhalt kann veraltet sein, und eine gestützte Aussage in einem Assurance Case heißt nur, dass eine benannte Prüfung an einem Commit bestanden hat. Behandle jede Ausgabe als Entwurf für eine qualifizierte Person.

> **Tipp · Das Pack installieren** `--packs` nimmt eine kommagetrennte Liste von Pack-IDs: `npx bmad-plus install --packs core,shield`. Core ist immer dabei, und `all` installiert alle Packs.

> **Hinweis · Grenzen des Registers** Ohne `BMAD_PLUS_ASSURANCE_KEY` und ohne aufbewahrten `--ledger-head` zeigt die Hash-Kette nur versehentliche oder nachlässige Änderungen: Wer das Register beschreiben kann, kann einen Eintrag anhängen, der sich verifizieren lässt. Nenne bei der Präsentation, welcher Schutz galt.

> **Hinweis · Herkunft** Die Spezialisten-Agenten sind aus einer Open-Source-Sammlung von GRC-Skills unter MIT-Lizenz adaptiert, und die DSGVO- und AI-Act-Workflows wurden mit Ideen aus einem Katalog professioneller Skills angereichert. Die Hinweise stehen in THIRD-PARTY-LICENSES.md des Pakets.

**Siehe auch**

- [Alle zehn Packs im Vergleich](https://bmad-plus.rochetta.fr/de/docs/packs/packs-overview/)
- [Referenz des Befehls assurance](https://bmad-plus.rochetta.fr/de/docs/reference/cli-assurance/)
- [Referenz des Befehls ai-register](https://bmad-plus.rochetta.fr/de/docs/reference/cli-ai-register/)
- [Referenz des Befehls review](https://bmad-plus.rochetta.fr/de/docs/reference/cli-review/)
- [OSINT-Pack](https://bmad-plus.rochetta.fr/de/docs/packs/osint/)
- [Datenverarbeitung und Datenschutz](https://bmad-plus.rochetta.fr/de/docs/security/data-handling/)

[BMAD+ Dokumentation](https://bmad-plus.rochetta.fr/de/docs/) · [Packs](https://bmad-plus.rochetta.fr/de/docs/packs/)

[Quellcode auf GitHub](https://github.com/lrochetta/BMAD-PLUS)