Zum Inhalt springen
Vamiset Trust Center

Sicherheit, Compliance und Souveränität — transparent gemacht.

Vamiset ist die Lösung der VamiSec für Asset Discovery und Continuous Compliance mit Read-only-Anbindung an Cloud-Accounts, Code-Repositories und BambooHR. Dieses Trust Center zeigt, wie wir Daten schützen, wo wir hosten und wie wir sicher entwickeln.

Proks Certification – ISO/IEC 27001 Certified
ISO/IEC 27001:2022 zertifiziert ISMS der VamiSec GmbH · Proks Certification GmbH (DAkkS-akkreditiert) · Zertifikat-Nr. DE-IS-20250191 · gültig bis 18.09.2028 Zertifikat herunterladen (PDF) ⤓
Dokumente ansehen security@vamisec.com
BetreiberVamiSec GmbH · Bonn, Deutschland
HostingT Cloud Public · Deutschland
Sicherheitsvorfall meldensecurity@vamisec.com
Stand13. Oktober 2026
StatusLive
01 — Compliance & Zertifizierungen

Auf zertifizierten Grundlagen gebaut.

Vamiset wird von der VamiSec GmbH betrieben, deren Informationssicherheits-Managementsystem nach ISO/IEC 27001 durch eine DAkkS-akkreditierte Stelle zertifiziert ist. Wir kennzeichnen transparent, was zertifiziert, was in Vorbereitung und was Nachweis der Hosting-Plattform ist.

ISO/IEC 27001

ISMS der VamiSec GmbH — zertifiziert durch die DAkkS-akkreditierte Proks Certification GmbH, gültig bis 09/2028.

Zertifiziert

ISO/IEC 42001

AI-Management-System der VamiSec im Aufbau — Zertifizierung nach ISO/IEC 42001 in Vorbereitung.

In Vorbereitung

DSGVO / GDPR

Produktspezifischer Auftragsverarbeitungsvertrag (AVV) nach Art. 28 DSGVO — auf Anfrage über privacy@vamisec.com; Subprozessoren offengelegt.

Produkt-AVV verfügbar

BSI C5 · ISO 27001 · TISAX

Testat, Label & Zertifikate der Betriebsplattform T Cloud Public (Deutsche Telekom).

Hosting-Plattform

ISO 14001

Umweltmanagementsystem der VamiSec GmbH nach ISO 14001:2026 aufgebaut — Zertifizierung in Vorbereitung.

In Vorbereitung

EcoVadis

Nachhaltigkeitsrating der VamiSec GmbH — Committed-Badge, verliehen im Oktober 2026.

Committed-Badge
02 — Hosting & Digitale Souveränität

Souverän gehostet in Deutschland — unter europäischem Recht.

Im SaaS-Betrieb läuft Vamiset auf T Cloud Public (ehemals Open Telekom Cloud) der Deutschen Telekom — einer souveränen europäischen Cloud, ausschließlich in deutschen Rechenzentren. Plattformdaten unterliegen europäischem Recht; Vertragspartner, anwendbares Recht und Gerichtsstand: Deutschland. Asset-Inventar, Konfigurations-Snapshots und Findings liegen in diesen Rechenzentren; eine KI-Funktion nutzt Vamiset heute nicht.

Ausschließlich deutsche RechenzentrenTwin-Core-Region Biere/Magdeburg (Sachsen-Anhalt) — Hosting ausschließlich in Deutschland, innerhalb des EU-Rechtsrahmens.
BetriebsmodelleSaaS auf T Cloud Public; auf Anfrage auch Betrieb auf Ihrem eigenen Kubernetes-Cluster (On-Prem).
Read-only-AnbindungCloud-Accounts (AWS, Azure, GCP), Repositories (GitHub, GitLab) und BambooHR bindet Vamiset ausschließlich mit Leserechten an.
Heute ohne KI-FunktionVamiset ist ein klassisches Security-Tool ohne KI-Funktion. Kundendaten verwenden wir nicht als Trainingsdaten.
  • BSI C5 Typ II (ISAE 3000)
  • ISO/IEC 27001, 27017, 27018, 27701
  • SOC 1/2/3, TISAX AL 3
  • ISO 22301 (BCM), ISO 27001-Rechenzentren

Von unabhängigen Prüfern erteilte Zertifikate, Testate und Labels der Hosting-Plattform (Deutsche Telekom) — nicht der VamiSec GmbH. Quelle: Zertifikate und Testate der T Cloud Public.

03 — Security Controls

Wie wir schützen — nach Domänen.

Konkrete Angaben statt Marketing: Hier steht, was für Vamiset heute gilt — weitere technische Details stellen wir auf Anfrage bereit. Die Maßnahmen orientieren sich am ISMS der VamiSec.

Datensicherheit

  • Plattformdaten im SaaS-Betrieb ausschließlich in deutschen Rechenzentren
  • Definierte Lösch- und Aufbewahrungsfristen, geregelt im produktspezifischen AVV für Vamiset (auf Anfrage über privacy@vamisec.com)
  • Verschlüsselung ruhender Daten (at rest) und bei der Übertragung (TLS)
  • Kein Training mit Kundendaten — weder für eigene noch für externe KI-Modelle

Anwendungssicherheit

  • Secure SDLC von den Anforderungen bis zum Betrieb (Details unten)
  • Threat Modeling, Code-Review und automatisierte Tests in der CI

Zugriff & Identität

  • Read-only-Zugänge zu Ihren Systemen — kein Schreibzugriff durch Vamiset
  • Berechtigungsmanagement ist Teil des ISO/IEC 27001-zertifizierten ISMS der VamiSec GmbH; Zugriffe auf Vamiset-Kundendaten: Angaben auf Anfrage
  • Anmeldung an Vamiset mit Multi-Faktor-Authentifizierung (MFA); Details zum Rollenmodell auf Anfrage

Infrastruktur

  • Souveränes Hosting auf T Cloud Public (DE)
  • Betreiber und Vertragspartner: VamiSec GmbH, Bonn — deutsches Recht, Gerichtsstand Deutschland
  • Mandantentrennung und Netzwerkisolation: Angaben auf Anfrage

Nachweise für Ihre Audits (Produktfunktion)

  • Konfigurations-Snapshot je Asset bei jeder Discovery — ad hoc oder geplant (täglich, wöchentlich, monatlich)
  • Findings mit Severity, Owner und fehlschlagendem Control — verfolgt bis zum Closure
  • Export der Findings als Audit-Evidence für Ihre Prüfungen

Incident Management

  • Definierter Incident-Response-Prozess
  • Kundenbenachrichtigung mit dem Ziel eines Reportings binnen 24 Stunden
  • Responsible Disclosure über security@vamisec.com · security.txt

Framework-Mapping

  • Bewertung gegen Controls aus ISO 27001, SOC 2, DSGVO, NIS2, PCI-DSS und HIPAA
  • Dazu CIS-Benchmarks (Cloud, OS, Kubernetes) und eigene Policies in YAML
  • Das Mapping dient Ihren Nachweisen — es ist keine Zertifizierung oder Attestierung von Vamiset

Organisation & Governance

  • ISMS der VamiSec GmbH nach ISO/IEC 27001 zertifiziert (Proks Certification GmbH, DAkkS-akkreditiert)
  • Security-Awareness-Schulungen für alle Mitarbeitenden
  • Lieferanten- und Risikomanagement-Prozesse

Business Continuity

  • Backup- und Wiederherstellungskonzept: Angaben auf Anfrage
  • Hosting-Plattform T Cloud Public mit ISO 22301 (BCM) — Nachweis der Deutschen Telekom, nicht der VamiSec GmbH
04 — Secure Software Development Lifecycle

Wir entwickeln so sicher, wie wir prüfen.

Security ist bei Vamiset kein nachgelagerter Schritt, sondern in jeder Phase der Entwicklung verankert — nach Stand der Technik, von den Anforderungen bis zum Betrieb.

01

Security Requirements Engineering

Sicherheits- und Datenschutzanforderungen werden vor der ersten Zeile Code definiert.

02

Threat Modeling

Bedrohungsmodellierung nach STRIDE.

03

Code-Review

Änderungen werden vor der Übernahme per Review geprüft — mit Blick auf Sicherheit und Datenschutz.

04

Automatisierte Tests

Die automatisierte Test-Suite läuft bei jedem Pull Request in der CI.

05

Souveräne Bereitstellung

Bereitstellung im SaaS-Betrieb ausschließlich auf der T Cloud Public in deutschen Rechenzentren.

06

Responsible Disclosure

Sicherheitsforschende melden Schwachstellen an security@vamisec.com — maschinenlesbar per security.txt.

05 — Subprozessoren

Offengelegt — wer welche Daten verarbeitet.

Wir setzen eine bewusst schlanke Zahl sorgfältig ausgewählter Subprozessoren ein und legen für jeden von ihnen Zweck und Verarbeitungsregion offen. Änderungen teilen wir Kunden vorab mit.

Die T Cloud Public verarbeitet die Plattformdaten ausschließlich in Deutschland. Vamiset nutzt heute keine KI-Funktion und bindet daher keine KI-Anbieter als Subprozessoren ein.

Subprozessor Zweck Region
Telekom Deutschland GmbH
T Cloud Public		 Cloud-Hosting & Infrastruktur der Plattform — Rechenzentren Biere/Magdeburg, nur im SaaS-Betrieb DE

Die jeweils aktuelle Subprozessorenliste und Benachrichtigungen über Änderungen erhalten Sie über privacy@vamisec.com.

06 — Dokumente & Nachweise

Alles, was Sie für Ihre Prüfung brauchen.

Öffentliche Dokumente stehen direkt bereit. Vertrauliche Nachweise geben wir nach kurzer Anfrage bzw. unter NDA frei.

Öffentlich

ISO/IEC 27001-Zertifikat

Zertifikat des VamiSec-ISMS (Nr. DE-IS-20250191, ISO/IEC 27001:2022, gültig bis 18.09.2028), ausgestellt von der DAkkS-akkreditierten Proks Certification GmbH.

Ansehen →
Öffentlich

Informationssicherheits-Leitlinie

Übergeordnete Leitlinie zur Informationssicherheit mit strategischer Ausrichtung.

Ansehen →
Öffentlich

KI-Leitlinie

Übergeordnete Leitlinie der VamiSec GmbH zum verantwortungsvollen Einsatz von KI — Grundlage des AI-Management-Systems, das wir nach ISO/IEC 42001 aufbauen (Zertifizierung in Vorbereitung), mit Bezug zu EU AI Act und DSGVO (Englisch).

Ansehen →
Auf Anfrage

Produktspezifischer AVV / DPA

Produktspezifischer Auftragsverarbeitungsvertrag nach Art. 28 DSGVO für Vamiset, einschließlich der Lösch- und Aufbewahrungsfristen — auf Anfrage zur Unterzeichnung.

Anfordern →
Auf Anfrage

Statement of Applicability (ISO/IEC 27001)

Erklärung zur Anwendbarkeit der Annex-A-Controls im ISMS der VamiSec GmbH.

Anfordern →
Auf Anfrage

Sicherheits-Whitepaper & Architektur

Technische Übersicht zu Architektur, Zugriffsschutz und Datenfluss von Vamiset.

Anfordern →
Unter NDA

CAIQ / Security Questionnaire

Ausgefülltes Assessment für Ihren Vendor-Risk-Prozess — VamiSec beantwortet gängige Fragebögen.

Anfordern →
Öffentlich

Schwachstellen melden (Responsible Disclosure)

Sicherheitslücken melden Sie vertraulich an security@vamisec.com — maschinenlesbar auch über /.well-known/security.txt (RFC 9116).

Melden →
Öffentlich

Umwelt- & Nachhaltigkeitsleitlinien

Umweltleitlinie nach ISO 14001 sowie Nachhaltigkeits- & ESG-Leitlinie der VamiSec GmbH (Englisch).

Umweltleitlinie (PDF) ↗ Nachhaltigkeits- & ESG-Leitlinie (PDF) ↗
07 — Umweltmanagement & Nachhaltigkeit

Verantwortung über die Informationssicherheit hinaus.

Die VamiSec GmbH, Betreiberin von Vamiset, betreibt ein dokumentiertes Umweltmanagementsystem (UMS/EMS) nach ISO 14001:2026. Es ist mit dem nach ISO/IEC 27001 zertifizierten ISMS zu einem integrierten Managementsystem verzahnt; unser Nachhaltigkeitsengagement lassen wir zusätzlich extern durch EcoVadis bewerten.

Umweltmanagementsystem nach ISO 14001:2026Umweltleitlinie, Umweltaspekte- und Rechtsregister, messbare Umweltziele mit Kennzahlen und klar zugewiesene EMS-Verantwortung.
Integriert mit dem ISMSDas EMS nutzt die Prozesse des nach ISO/IEC 27001 zertifizierten ISMS – vom Änderungs- und Korrekturmaßnahmenmanagement bis zum gemeinsamen Management-Review.
Zertifizierung in VorbereitungDie Zertifizierung nach ISO 14001 durch eine DAkkS-akkreditierte Stelle ist in Vorbereitung; das Audit ist für 2027 geplant.

Im EcoVadis-Nachhaltigkeitsrating hat die VamiSec GmbH im Oktober 2026 das Committed-Badge erhalten – eine Anerkennung für kontinuierliche Verbesserung im Bereich Nachhaltigkeit.

Rating und Umweltmanagementsystem beziehen sich auf die VamiSec GmbH als Unternehmen, die Vamiset entwickelt und betreibt.

08 — FAQ

Häufige Fragen aus der Due Diligence.

Wo werden unsere Daten gespeichert?
Die Plattformdaten von Vamiset speichern wir im SaaS-Betrieb ausschließlich in Rechenzentren in Deutschland; Vertragspartner, anwendbares Recht und Gerichtsstand: Deutschland. Eingesetzte Subprozessoren legen wir mit Zweck und Verarbeitungsregion in der Subprozessoren-Tabelle offen.
Ist Vamiset ISO 27001-zertifiziert?
Zertifiziert ist das Informationssicherheits-Managementsystem der VamiSec GmbH, die Vamiset betreibt — nicht Vamiset als einzelnes Produkt. Das ISMS ist nach ISO/IEC 27001:2022 durch die DAkkS-akkreditierte Proks Certification GmbH zertifiziert (Zertifikat DE-IS-20250191, gültig bis 18.09.2028). Der Geltungsbereich lautet laut Zertifikat: „Bereitstellung von Beratungsdienstleistungen im Bereich Informationssicherheit, damit verbundenen digitalen Produkten und unterstützenden Einrichtungen zur Informationsverarbeitung …“.
Welche Zugriffe erhält Vamiset auf unsere Systeme?
Ausschließlich lesende Zugriffe auf die angebundenen Systeme. Cloud-Accounts (AWS, Azure, GCP), Code-Repositories (GitHub, GitLab) und das HR-System BambooHR bindet Vamiset mit Read-only-Zugängen an; Schreibzugriff auf diese Systeme hat Vamiset nicht. Die externe Angriffsfläche scannt Vamiset mit einem eigenen Website-Scanner.
Nutzt Vamiset KI, und sehen KI-Anbieter unsere Daten?
Nein. Vamiset ist heute ein klassisches Security-Tool ohne KI-Funktion; deshalb ist kein KI-Anbieter als Subprozessor eingebunden. Kämen künftig KI-Funktionen hinzu, legen wir eingesetzte KI-Anbieter vorab in der Subprozessoren-Tabelle offen. Kundendaten verwenden wir nicht als Trainingsdaten.
Wie werden wir bei einem Sicherheitsvorfall informiert?
Wir folgen einem definierten Incident-Response-Prozess und benachrichtigen betroffene Kunden zeitnah — mit dem Ziel eines ersten Reportings binnen 24 Stunden. Sicherheitsforschende erreichen uns über security@vamisec.com — maschinenlesbar nach RFC 9116 unter /.well-known/security.txt.
Werden unsere Daten zum Training von KI-Modellen verwendet?
Nein. Kundendaten verwenden wir nicht als Trainingsdaten: Wir trainieren und feintunen keine KI-Modelle damit, und externe KI-Modelle binden wir nur unter Vertragsbedingungen an, die eine Trainingsnutzung ausschließen. Ob und welche externen KI-Anbieter Vamiset einbindet, legen wir in der Subprozessoren-Tabelle offen.
Wie erhalten wir Zugang zu vertraulichen Dokumenten?
Öffentliche Dokumente stehen direkt bereit. Für das Statement of Applicability, Architektur-Whitepaper oder ausgefüllte Fragebögen genügt eine kurze Anfrage an security@vamisec.com; NDA-pflichtige Nachweise geben wir nach Unterzeichnung frei.
Welche personenbezogenen Daten verarbeitet Vamiset?
Über die BambooHR-Integration verarbeitet Vamiset Beschäftigtendaten aus Ihrem HR-System — also personenbezogene Daten. Angaben zu den abgerufenen Feldern erhalten Sie auf Anfrage. Für die verarbeiteten Daten gelten definierte Lösch- und Aufbewahrungsfristen; sie sind im produktspezifischen Auftragsverarbeitungsvertrag (AVV) nach Art. 28 DSGVO geregelt, den wir auf Anfrage bereitstellen: privacy@vamisec.com.
Wie authentifizieren sich Nutzer, und wie sind hinterlegte Zugangsdaten geschützt?
Die Anmeldung an Vamiset ist mit Multi-Faktor-Authentifizierung (MFA) abgesichert. Ruhende Daten speichert Vamiset verschlüsselt (at rest), Übertragungen sind per TLS verschlüsselt. Weitere technische Details — etwa zum Rollenmodell und zum Schutz der hinterlegten Read-only-Zugangsdaten (Secrets-Management) — beschreiben wir Ihnen auf Anfrage: security@vamisec.com. Lösch- und Aufbewahrungsfristen regelt der produktspezifische AVV.
Noch Fragen?

Sprechen Sie mit unserem Team.

Wir beantworten Ihre Sicherheits- und Compliance-Fragen und stellen die Nachweise bereit, die Ihr Einkauf braucht.

Termin buchen security@vamisec.com