Sicherheit, Compliance und Souveränität — transparent gemacht.
VamiGRC ist die agentische GRC-Plattform der VamiSec GmbH — gebaut für Teams, die Compliance nachweisen müssen. Dieses Trust Center zeigt dir, wie wir Daten schützen, wo wir hosten und wie wir sicher entwickeln.
Auf zertifizierten Grundlagen gebaut.
VamiGRC wird von der VamiSec GmbH betrieben, deren Informationssicherheits-Managementsystem nach ISO/IEC 27001 durch eine DAkkS-akkreditierte Stelle zertifiziert ist. Die Betriebsplattform T Cloud Public bringt eigene, testierte Nachweise mit. Wir kennzeichnen transparent, was zertifiziert, was ausgerichtet und was Plattform-Testat ist.
ISO/IEC 27001
ISMS der VamiSec GmbH, zertifiziert durch DAkkS-akkreditierte Stelle.
ZertifiziertISO/IEC 42001
AI-Management-System nach ISO/IEC 42001 aufgebaut — Zertifizierung in Vorbereitung.
In VorbereitungDSGVO / GDPR
DSGVO-konforme Verarbeitung, AVV verfügbar, Datenresidenz EU.
KonformBSI C5 · ISO 27001 · TISAX
Testat, Label & Zertifikate der Betriebsplattform T Cloud Public (Deutsche Telekom).
Hosting-PlattformSouverän gehostet in Deutschland — unter europäischem Recht.
VamiGRC läuft auf T Cloud Public (ehemals Open Telekom Cloud) der Deutschen Telekom — einer souveränen europäischen Cloud, für VamiGRC ausschließlich mit Rechenzentren in Deutschland. Plattformdaten und Logs unterliegen europäischem Recht und deutscher Jurisdiktion. Identitäts- und Terminmetadaten werden über Microsoft (EU-Region) verarbeitet.
T Cloud PublicDeutsche Telekom · souveräne Cloud
- BSI C5 Typ II (ISAE 3000)
- ISO/IEC 27001, 27017, 27018, 27701
- SOC 1/2/3, TISAX Level 3
- ISO 22301 (BCM), ISO 27001-Rechenzentren
Von unabhängigen Prüfern erteilte Zertifikate, Testate und Labels der Hosting-Plattform (Deutsche Telekom) — nicht der VamiSec GmbH. Quelle: t-cloud-public.com/certifications.
Wie wir schützen — nach Domänen.
Konkrete Kontrollen statt Marketing. Diese Maßnahmen sind Teil unseres Sicherheitskonzepts und orientieren sich am ISMS der VamiSec.
Datensicherheit
- Verschlüsselung at rest (AES-256) und in transit (TLS 1.2+)
- Datenresidenz EU, Löschkonzept nach Vertragsende
- Customer-Managed Keys (CMK/BYOK) auf Wunsch
Anwendungssicherheit
- Secure SDLC nach Stand der Technik (Details unten)
- SAST, DAST, SCA & Dependency Scanning in der Pipeline
- Regelmäßige Penetrationstests
Zugriff & Identität
- SSO & MFA via Microsoft Entra ID (OIDC)
- Keycloak-JWT-Validierung bei jedem Request
- Least Privilege & rollenbasierte Zugriffskontrolle
Infrastruktur
- Souveränes Hosting auf T Cloud Public (DE)
- Containerisierter Betrieb auf Kubernetes, Mandanten strikt getrennt
- Zentrales Secrets-Management — Zugangsdaten nie im Code
Logging, Monitoring & SOC
- Zentrales Logging & Monitoring, SIEM-Auswertung
- SOC-gestützte Überwachung sicherheitsrelevanter Ereignisse
- Lückenloses Audit-Log für Änderungen und KI-Aktionen
Incident Management
- Definierter Incident-Response-Prozess
- Kundenbenachrichtigung mit dem Ziel eines Reportings binnen 24 Stunden
- Responsible Disclosure über bugbounty.vamisec.com
KI-Governance & Human-in-the-Loop
- Autonomie-Level L0–L3 — du entscheidest je Workflow, wie viel die KI darf
- KI-Antworten mit Quellenzitat aus deiner Wissensbasis
- Drittanbieter-LLMs optional und je Mandant abschaltbar
Organisation & Governance
- ISO/IEC 27001-zertifiziertes ISMS (DAkkS)
- Security-Awareness-Schulungen für alle Mitarbeitenden
- Lieferanten- und Risikomanagement-Prozesse
Wir entwickeln so sicher, wie unsere Kunden prüfen müssen.
Security ist bei VamiGRC kein nachgelagerter Schritt, sondern in jeder Phase der Entwicklung verankert — nach Stand der Technik, von den Anforderungen bis zum Betrieb.
Security Requirements Engineering
Sicherheits- und Datenschutzanforderungen werden vor der ersten Zeile Code definiert.
Threat Modeling
Bedrohungsmodellierung nach STRIDE und — für KI-/Agenten-Komponenten — MAESTRO.
SAST
Statische Code-Analyse automatisiert in der CI/CD-Pipeline.
SCA & Dependency Scanning
Software-Composition-Analysis und kontinuierliche Prüfung der Abhängigkeiten.
DAST
Dynamische Sicherheitstests gegen die laufende Anwendung.
Penetrationstests
Regelmäßige manuelle und agentische Pentests vor Releases.
Transparenz — sichtbar, nicht nur behauptet.
So arbeitet VamiGRC: Frameworks als Code, jede KI-Antwort belegt, jeder Nachweis versioniert. Screenshots aus der Demo-Umgebung — mit Beispieldaten.
// Screenshots aus der Demo-Umgebung — Beispieldaten (Demo-Konzern).
Offen gelegt — wer welche Daten verarbeitet.
Wir setzen eine bewusst schlanke Zahl sorgfältig ausgewählter Subprozessoren ein. Alle verarbeiten Daten innerhalb der EU bzw. unter EU-Recht. Änderungen kündigen wir Vertragskunden vorab an.
| Subprozessor | Zweck | Region |
|---|---|---|
| Deutsche Telekom T Cloud Public |
Cloud-Hosting & Infrastruktur der Plattform | DE |
| Microsoft Entra ID |
Authentifizierung, SSO & MFA (Identitätsverwaltung) | EU |
| Microsoft Bookings / Outlook |
Terminvereinbarung & geschäftliche Kommunikation | EU |
| Drittanbieter-LLMs optional / je Mandant abschaltbar |
KI-Inferenz für VamiAI — Datenverarbeitung standardmäßig in der EU; Drittanbieter-LLMs nur, wenn du sie aktivierst | EU / optional |
Vollständige, jeweils aktuelle Subprozessorenliste inklusive Kontakt für Änderungsbenachrichtigungen: privacy@vamisec.com.
Alles, was du für deine Prüfung brauchst.
Öffentliche Dokumente stehen direkt bereit. Vertrauliche Nachweise geben wir nach kurzer Anfrage bzw. unter NDA frei.
ISO/IEC 27001-Zertifikat
Zertifikat des VamiSec-ISMS, ausgestellt von einer DAkkS-akkreditierten Stelle.
Ansehen →Informationssicherheits-Leitlinie
Übergeordnete Leitlinie zur Informationssicherheit mit strategischer Ausrichtung.
Ansehen →AVV / DPA
Auftragsverarbeitungsvertrag nach Art. 28 DSGVO — auf Anfrage zur Unterzeichnung.
Anfordern →Pentest-Zusammenfassung
Management-Summary des jüngsten externen Penetrationstests der Plattform.
Anfordern →Sicherheits-Whitepaper & Architektur
Technische Übersicht zu Mandantentrennung, CMK/BYOK, KI-Governance und Datenfluss.
Anfordern →CAIQ / Security Questionnaire
Ausgefülltes Assessment für deinen Vendor-Risk-Prozess — VamiSec beantwortet gängige Fragebögen.
Anfordern →Was sich zuletzt getan hat.
Wir halten unser Sicherheitsprofil aktuell und dokumentieren wesentliche Änderungen transparent.
Trust Center veröffentlicht
Dieses Trust Center ging live — mit Controls, Subprozessoren, Secure-SDLC-Übersicht und Dokumentenzugang.
Frameworks-as-Code mit OSCAL
Die Framework-Engine von VamiGRC dokumentiert: OSCAL-basiert, 25+ Kataloge, Bring-your-own-Framework.
Migration auf T Cloud Public
Betrieb auf der souveränen europäischen Cloud der Deutschen Telekom (ehemals Open Telekom Cloud) — ausschließlich in deutschen Rechenzentren.
Häufige Fragen aus der Due Diligence.
Wo werden unsere Daten gespeichert?
Ist VamiGRC ISO 27001-zertifiziert?
Wie authentifizieren sich Nutzer?
Sieht die KI unsere Daten — und welche Modelle nutzt ihr?
Wie ist die Mandantentrennung umgesetzt?
Wie werden wir bei einem Sicherheitsvorfall informiert?
Wie erhalten wir Zugang zu vertraulichen Dokumenten?
Sprich mit unserem Team.
Wir beantworten deine Sicherheits- und Compliance-Fragen und stellen die Nachweise bereit, die dein Einkauf braucht.