VamiThreat Trust Center

Sicherheit, Compliance und Souveränität — transparent gemacht.

VamiThreat ist die KI-gestützte Threat-Modeling-Plattform der VamiSec GmbH: Aus Architekturbeschreibungen, Dokumenten und Diagrammen entstehen ein Datenflussdiagramm, ein Bedrohungsmodell nach STRIDE und MAESTRO sowie Angriffspfade und Maßnahmen. Dieses Trust Center zeigt, wie wir Daten schützen, wo wir hosten und wie wir sicher entwickeln.

ISMS nach ISO/IEC 27001:2022 zertifiziert ISMS der VamiSec GmbH · Proks Certification GmbH (DAkkS-akkreditiert) · Zertifikat-Nr. DE-IS-20250191 · gültig bis 18.09.2028 Zertifikat herunterladen (PDF) ⤓

Dokumente ansehen security@vamisec.com

BetreiberVamiSec GmbH · Bonn, Deutschland

HostingT Cloud Public · Deutschland

Sicherheitsvorfall meldensecurity@vamisec.com

Stand13. Oktober 2026

StatusBeta · Zugang auf Anfrage

01 — Compliance & Zertifizierungen

Auf zertifizierten Grundlagen gebaut.

VamiThreat wird von der VamiSec GmbH betrieben, deren Informationssicherheits-Managementsystem nach ISO/IEC 27001 durch eine DAkkS-akkreditierte Stelle zertifiziert ist. Wir kennzeichnen transparent, was zertifiziert, was in Vorbereitung und was Nachweis der Hosting-Plattform ist.

ISO/IEC 27001

ISMS der VamiSec GmbH — zertifiziert durch die DAkkS-akkreditierte Proks Certification GmbH, gültig bis 09/2028.

Zertifiziert

ISO/IEC 42001

AI-Management-System der VamiSec im Aufbau — Zertifizierung nach ISO/IEC 42001 in Vorbereitung.

In Vorbereitung

DSGVO / GDPR

Auftragsverarbeitungsvertrag nach Art. 28 DSGVO auf Anfrage (privacy@vamisec.com), Subprozessoren offengelegt.

AVV auf Anfrage

BSI C5 · ISO 27001 · TISAX

Testat, Label & Zertifikate der Betriebsplattform T Cloud Public (Deutsche Telekom).

Hosting-Plattform

ISO 14001

Umweltmanagementsystem der VamiSec GmbH nach ISO 14001:2026 aufgebaut — Zertifizierung in Vorbereitung.

In Vorbereitung

EcoVadis

Nachhaltigkeitsrating der VamiSec GmbH — Committed-Badge, verliehen im Oktober 2026.

Committed-Badge

02 — Hosting & Digitale Souveränität

Souverän gehostet in Deutschland — unter europäischem Recht.

VamiThreat läuft auf T Cloud Public (ehemals Open Telekom Cloud) der Deutschen Telekom — einer souveränen europäischen Cloud, ausschließlich in deutschen Rechenzentren. Plattformdaten und Logs unterliegen europäischem Recht; Vertragspartner, anwendbares Recht und Gerichtsstand: Deutschland. Die Anmeldung erfolgt per Single Sign-on über Microsoft Entra ID (Region EU); wo die KI-Verarbeitung stattfindet, hängt vom gewählten LLM ab — lokal in Deutschland oder beim Public-Provider in den USA.

Ausschließlich deutsche RechenzentrenTwin-Core-Region Biere/Magdeburg (Sachsen-Anhalt) — Hosting ausschließlich in Deutschland, innerhalb des EU-Rechtsrahmens.

Zugang nur nach AnmeldungDie gesamte Anwendung — Oberfläche und API — liegt hinter einer vorgeschalteten Authentifizierung; ohne Single Sign-on über Microsoft Entra ID ist sie nicht nutzbar.

Verschlüsselte ÜbertragungVamiThreat ist ausschließlich per HTTPS erreichbar; unverschlüsselte HTTP-Aufrufe werden auf HTTPS umgeleitet. Mit aktuellen Browsern kommt TLS 1.3 zum Einsatz.

LLM nach WahlFür die KI-Funktionen ist das Sprachmodell wählbar: ein lokales Qwen3.8 im VamiSec-Rechenzentrum Sankt Augustin — die KI-Verarbeitung bleibt dann in Deutschland — oder ein Public-Provider wie Anthropic oder OpenAI. Kein KI-Training mit Kundendaten.

T Cloud PublicDeutsche Telekom · souveräne Cloud

BSI C5 Typ II (ISAE 3000)
ISO/IEC 27001, 27017, 27018, 27701
SOC 1/2/3, TISAX AL 3
ISO 22301 (BCM), Rechenzentren nach ISO 27001

Von unabhängigen Prüfern erteilte Zertifikate, Testate und Labels der Hosting-Plattform (Deutsche Telekom) — nicht der VamiSec GmbH. Quelle: Zertifikate und Testate der T Cloud Public.

03 — Security Controls

Wie wir schützen — nach Domänen.

Konkrete Kontrollen statt Marketing. Diese Maßnahmen sind Teil unseres Sicherheitskonzepts und orientieren sich am ISMS der VamiSec.

Datensicherheit

Verschlüsselte Übertragung (TLS, HTTPS erzwungen)
Plattformdaten im SaaS-Betrieb ausschließlich in deutschen Rechenzentren; Aufbewahrung und Löschung regelt der AVV
Ihre Eingaben — Beschreibungen, Dokumente, Diagramme — verarbeitet das gewählte LLM, lokal oder beim Public-Provider
Kein Training mit Kundendaten — eigene Modelle trainieren wir damit nicht, externe binden wir nur unter Bedingungen ohne Trainingsnutzung an

Anwendungssicherheit

Secure SDLC von den Anforderungen bis zum Betrieb (Details unten)
Threat Modeling, Code-Review und automatisierte Tests in der CI
Keine Funktion ohne Anmeldung nutzbar: Oberfläche und API erst nach SSO-Login

Zugriff & Identität

Single Sign-on über Microsoft Entra ID (OpenID Connect)
Anmeldung im OAuth-2.0-Authorization-Code-Flow, bevor die Anwendung nutzbar ist
Beta-Zugang nur für Konten aus dem Entra-Mandanten der VamiSec GmbH

Infrastruktur

Souveränes Hosting auf T Cloud Public (DE)
Lokales LLM (Qwen3.8) im VamiSec-Rechenzentrum Sankt Augustin wählbar
On-Prem auf Ihrem eigenen Kubernetes-Cluster möglich (auf Anfrage)

Nachvollziehbare KI-Ergebnisse

Editierbares Datenflussdiagramm (Mermaid) mit Vertrauensgrenzen als prüfbare Modellgrundlage
Je Bedrohung Angriffspfad, Risiko und Maßnahme (Threat · Attack · Risk · Response)
Offengelegte Methodik: STRIDE, MAESTRO, Zuordnung zu MITRE ATT&CK und ATLAS

Incident Management

Definierter Incident-Response-Prozess
Betroffene Kunden informieren wir unverzüglich; Einzelheiten regelt der AVV
Responsible Disclosure über bugbounty.vamisec.com · security.txt

KI-Governance & Human-in-the-Loop

LLM-gestützt, nicht autonom: Die KI reichert an, klassifiziert und schlägt Maßnahmen vor
Geparste Diagramme prüfen und korrigieren Nutzer vor der Verwendung
Public-LLM-Anbieter offengelegt — eingebunden nur unter Bedingungen ohne Trainingsnutzung

Organisation & Governance

Nach ISO/IEC 27001 zertifiziertes ISMS (DAkkS)
Security-Awareness-Schulungen für alle Mitarbeitenden
Lieferanten- und Risikomanagement-Prozesse

Betrieb & Datenschutz

Betrieben von der VamiSec GmbH, deren ISMS — einschließlich der damit verbundenen digitalen Produkte — nach ISO/IEC 27001 zertifiziert ist
AVV nach Art. 28 DSGVO auf Anfrage (privacy@vamisec.com)
Betrieb auf der T Cloud Public — Twin-Core-Region Biere/Magdeburg

04 — Secure Software Development Lifecycle

Wir entwickeln so sicher, wie wir prüfen.

Security ist bei VamiThreat kein nachgelagerter Schritt, sondern in jeder Phase der Entwicklung verankert — nach Stand der Technik, von den Anforderungen bis zum Betrieb.

Security Requirements Engineering

Sicherheits- und Datenschutzanforderungen werden vor der ersten Zeile Code definiert.

Threat Modeling

Bedrohungsmodellierung nach STRIDE und — für KI-/Agenten-Komponenten — MAESTRO.

Code-Review

Änderungen werden vor der Übernahme per Review geprüft — mit Blick auf Sicherheit und Datenschutz.

Automatisierte Tests

Die automatisierte Test-Suite läuft bei jedem Pull Request in der CI.

Sichere Bereitstellung

Betrieb auf T Cloud Public in Deutschland; HTTPS erzwungen, Zugriff nur nach Anmeldung.

Responsible Disclosure

Sicherheitsmeldungen nehmen wir über security@vamisec.com und unser Bug-Bounty-Programm entgegen — maschinenlesbar per security.txt (RFC 9116).

05 — Subprozessoren

Offengelegt — wer welche Daten verarbeitet.

Wir setzen eine bewusst schlanke Zahl sorgfältig ausgewählter Subprozessoren ein und legen für jeden den Zweck und die Verarbeitungsregion offen. Änderungen teilen wir Kunden vorab mit.

Hosting in Deutschland, Anmeldung über Microsoft Entra ID in der EU. Wählen Sie für die KI-Funktionen ein Public-LLM über VamiSec, verarbeiten Anthropic bzw. OpenAI Ihre Anfragen in den USA (direkte API); Grundlage sind EU-Standardvertragsklauseln (SCC). Hinterlegen Sie einen eigenen API-Schlüssel, besteht das Vertragsverhältnis direkt zwischen Ihnen und dem Anbieter; es gelten dann dessen Bedingungen mit Ihnen, auch zur Trainingsnutzung.

Subprozessor	Zweck	Region
Telekom Deutschland GmbH T Cloud Public	Cloud-Hosting & Infrastruktur von VamiThreat in der Region Biere/Magdeburg — nur im SaaS-Betrieb	DE
Microsoft Microsoft Entra ID	Anmeldung (Single Sign-on) an VamiThreat über den Entra-Mandanten der VamiSec GmbH; Region-Scope des Mandanten EU, Konzernsitz USA — begrenzte Zugriffe aus Drittländern nach dem Microsoft-DPA möglich (SCC)	EU
Anthropic Claude API	KI-Inferenz (Sprachmodell Claude) — nur wenn Sie für die KI-Funktionen ein Public-LLM über VamiSec wählen; keine Trainingsnutzung nach den Vertragsbedingungen des Anbieters	USA
OpenAI OpenAI API	KI-Inferenz (Sprachmodelle von OpenAI) — nur wenn Sie für die KI-Funktionen ein Public-LLM über VamiSec wählen; keine Trainingsnutzung nach den Vertragsbedingungen des Anbieters	USA

Kein Subprozessor: Das lokale Qwen3.8 betreibt die VamiSec GmbH selbst in ihrem Rechenzentrum in Sankt Augustin. Wählen Sie dieses Modell, bleibt die KI-Verarbeitung in Deutschland und ohne Drittanbieter.

Vollständige, jeweils aktuelle Subprozessorenliste inklusive Kontakt für Änderungsbenachrichtigungen: privacy@vamisec.com.

06 — Dokumente & Nachweise

Die VamiSec GmbH, Betreiberin von VamiThreat, betreibt ein dokumentiertes Umweltmanagementsystem (UMS/EMS) nach ISO 14001:2026. Es ist mit dem nach ISO/IEC 27001 zertifizierten ISMS zu einem integrierten Managementsystem verzahnt; unser Nachhaltigkeitsengagement lassen wir zusätzlich extern durch EcoVadis bewerten.

Umweltmanagementsystem nach ISO 14001:2026Umweltleitlinie, Umweltaspekte- und Rechtsregister, messbare Umweltziele mit Kennzahlen und klar zugewiesene EMS-Verantwortung.

Integriert mit dem ISMSDas EMS nutzt die Prozesse des nach ISO/IEC 27001 zertifizierten ISMS – vom Änderungs- und Korrekturmaßnahmenmanagement bis zum gemeinsamen Management-Review.

Zertifizierung in VorbereitungDie Zertifizierung nach ISO 14001 durch eine DAkkS-akkreditierte Stelle ist in Vorbereitung; das Audit ist für 2027 geplant.

EcoVadis Committed – Sustainability Rating

EcoVadisNachhaltigkeitsrating · Committed-Badge 2026

Im EcoVadis-Nachhaltigkeitsrating hat die VamiSec GmbH im Oktober 2026 das Committed-Badge erhalten – eine Anerkennung für kontinuierliche Verbesserung im Bereich Nachhaltigkeit.

Rating und Umweltmanagementsystem beziehen sich auf die VamiSec GmbH als Unternehmen, die VamiThreat entwickelt und betreibt.

08 — FAQ

Häufige Fragen aus der Due Diligence.

Wo werden unsere Daten gespeichert?

Die Plattformdaten von VamiThreat speichern wir im SaaS-Betrieb ausschließlich in Rechenzentren in Deutschland; Vertragspartner, anwendbares Recht und Gerichtsstand: Deutschland. Bindet eine Funktion externe Dienstleister ein — etwa für Identität oder KI —, legen wir Anbieter, Zweck und Verarbeitungsregion in der Subprozessoren-Tabelle offen.

Ist VamiThreat nach ISO 27001 zertifiziert?

VamiThreat wird von der VamiSec GmbH betrieben, deren ISMS nach ISO/IEC 27001 durch eine DAkkS-akkreditierte Stelle zertifiziert ist; ein produktbezogenes Zertifikat für VamiThreat gibt es nicht. Der Geltungsbereich lautet laut Zertifikat „Bereitstellung von Beratungsdienstleistungen im Bereich Informationssicherheit, damit verbundenen digitalen Produkten und unterstützenden Einrichtungen zur Informationsverarbeitung …“ (Zertifikat DE-IS-20250191, ISO/IEC 27001:2022, gültig bis 18.09.2028).

Wie authentifizieren sich Nutzer?

Über Single Sign-on mit Microsoft Entra ID (OpenID Connect, OAuth-2.0-Authorization-Code-Flow). Die gesamte Anwendung — Oberfläche und API — liegt hinter einer vorgeschalteten Authentifizierung und ist ohne Anmeldung nicht nutzbar. In der Beta-Phase melden sich Nutzer mit Konten aus dem Entra-Mandanten der VamiSec GmbH an; Zugang zur Beta erhalten Sie auf Anfrage.

Welche KI-Modelle nutzt VamiThreat, und sehen diese unsere Daten?

VamiThreat ist LLM-gestützt, handelt aber nicht autonom: Das Sprachmodell reichert Ihre Architekturangaben an, klassifiziert Bedrohungen und schlägt Maßnahmen vor. Dafür verarbeitet es Ihre Eingaben — Beschreibungen, hochgeladene Dokumente (Word, Text, PDF) und Diagrammbilder. Das Modell ist wählbar: ein lokales Qwen3.8 im VamiSec-Rechenzentrum Sankt Augustin — dann bleibt die KI-Verarbeitung in Deutschland — oder ein Public-Provider wie Anthropic oder OpenAI mit Verarbeitung in den USA auf Grundlage von EU-Standardvertragsklauseln. Kundendaten verwenden wir nicht als Trainingsdaten: Wir trainieren und feintunen keine KI-Modelle damit, und externe KI-Modelle binden wir nur unter Vertragsbedingungen an, die eine Trainingsnutzung ausschließen. Geparste Diagramme prüfen und korrigieren Sie vor der Verwendung.

Wie werden wir bei einem Sicherheitsvorfall informiert?

Wir folgen einem definierten Incident-Response-Prozess und benachrichtigen betroffene Kunden unverzüglich; Einzelheiten regelt der AVV. Sicherheitsforschende erreichen uns über bugbounty.vamisec.com — maschinenlesbar nach RFC 9116 unter /.well-known/security.txt.

Werden unsere Daten zum Training von KI-Modellen verwendet?

Nein. Kundendaten verwenden wir nicht als Trainingsdaten: Wir trainieren und feintunen keine KI-Modelle damit, und externe KI-Modelle binden wir nur unter Vertragsbedingungen an, die eine Trainingsnutzung ausschließen. Ob und welche externen KI-Anbieter VamiThreat einbindet, legen wir in der Subprozessoren-Tabelle offen.

Wie erhalten wir Zugang zu vertraulichen Dokumenten?

Öffentliche Dokumente stehen direkt bereit. Für das Statement of Applicability, Architektur-Whitepaper oder ausgefüllte Fragebögen genügt eine kurze Anfrage an security@vamisec.com; NDA-pflichtige Nachweise geben wir nach Unterzeichnung frei.

Ist VamiThreat allgemein verfügbar?

VamiThreat befindet sich derzeit in der Beta-Phase. Zugang zur Beta erhalten Sie auf Anfrage — am einfachsten über eine Demo-Buchung.

Können wir VamiThreat in unserer eigenen Umgebung betreiben?

Ja, auf Anfrage. Neben dem SaaS-Betrieb auf T Cloud Public ist ein On-Prem-Betrieb auf Ihrem eigenen Kubernetes-Cluster möglich; die Telekom Deutschland GmbH ist dann nicht als Subprozessor beteiligt. Ein lokales Sprachmodell läuft in diesem Fall auf Ihrer eigenen GPU-Infrastruktur.

Noch Fragen?

Sprechen Sie mit unserem Team.

Wir beantworten Ihre Sicherheits- und Compliance-Fragen und stellen die Nachweise bereit, die Ihr Einkauf braucht.

Demo buchen security@vamisec.com