Sicherheit, Compliance und Souveränität — transparent gemacht.
VamiRedteam ist eine autonome, agentische Pentesting-Plattform — betrieben nach denselben Maßstäben, die wir bei unseren Kunden prüfen. Dieses Trust Center zeigt, wie wir Daten schützen, wo wir hosten und wie wir sicher entwickeln.
Auf zertifizierten Grundlagen gebaut.
VamiRedteam wird von der VamiSec GmbH betrieben, deren Informationssicherheits-Managementsystem nach ISO/IEC 27001 durch eine DAkkS-akkreditierte Stelle zertifiziert ist. Die Betriebsplattform T Cloud Public bringt eigene, testierte Zertifizierungen mit. Wir kennzeichnen transparent, was zertifiziert, was ausgerichtet und was Plattform-Testat ist.
ISO/IEC 27001
ISMS der VamiSec GmbH, zertifiziert durch DAkkS-akkreditierte Stelle.
ZertifiziertISO/IEC 42001
AI-Management-System der VamiSec im Aufbau — Zertifizierung nach ISO/IEC 42001 in Vorbereitung.
In VorbereitungDSGVO / GDPR
DSGVO-konforme Verarbeitung, AVV verfügbar, Datenresidenz EU.
KonformBSI C5 · ISO 27001 · TISAX
Testate & Zertifikate der Betriebsplattform T Cloud Public (Deutsche Telekom).
Hosting-PlattformSouverän gehostet in Europa — kein Zugriff nach Drittstaatenrecht.
VamiRedteam läuft auf T Cloud Public (ehemals Open Telekom Cloud) der Deutschen Telekom — einer souveränen europäischen Cloud mit Rechenzentren in Deutschland und den Niederlanden. Daten, Modellparameter und Logs der Plattform unterliegen europäischem Recht und deutscher Jurisdiktion. Identitäts- und Terminmetadaten werden über Microsoft (EU-Region) verarbeitet.
T Cloud PublicDeutsche Telekom · souveräne Cloud
- BSI C5 Typ II (ISAE 3000)
- ISO/IEC 27001, 27017, 27018, 27701
- SOC 1/2/3, TISAX Level 3
- ISO 22301 (BCM), ISO 27001-Rechenzentren
Von unabhängigen Prüfern erteilte Zertifikate und Testate der Hosting-Plattform (Deutsche Telekom). Quelle: t-cloud-public.com/certifications.
Wie wir schützen — nach Domänen.
Konkrete Kontrollen statt Marketing. Diese Maßnahmen sind Teil unseres Sicherheitskonzepts und orientieren sich am ISMS der VamiSec.
Datensicherheit
- Verschlüsselung at rest (AES-256) und in transit (TLS 1.2+)
- Datenresidenz EU, Löschkonzept nach Vertragsende
- Datenminimierung — nur scope-relevante Artefakte
Anwendungssicherheit
- Secure SDLC nach Stand der Technik (Details unten)
- SAST, DAST, SCA & Dependency Scanning in der Pipeline
- Regelmäßige Penetrationstests
Zugriff & Identität
- SSO & MFA via Microsoft Entra External ID (OIDC)
- Least Privilege & rollenbasierte Zugriffskontrolle
- httpOnly-Session-Cookies, kurze Token-Laufzeiten
Infrastruktur
- Souveränes Hosting auf T Cloud Public (DE/NL)
- Isolierte Per-Tenant-Sandboxes, containerisiert
- Secrets-Management mit HashiCorp Vault
Logging, Monitoring & SOC
- Zentrales Logging & Monitoring, SIEM-Auswertung
- SOC-gestützte Überwachung sicherheitsrelevanter Ereignisse
- Hash-chained Audit-Log für jede Agenten-Aktion
Incident Management
- Definierter Incident-Response-Prozess
- Kundenbenachrichtigung mit dem Ziel eines Reportings binnen 24 Stunden
- Responsible Disclosure über bugbounty.vamisec.com
Authorization Cage
- Whitelist-only Scope, signierte Authorization Letters
- Hard-Stops bei Out-of-Scope-Zielen
- Jede Write-Operation governed, scoped und geloggt
Organisation & Governance
- ISO/IEC 27001-zertifiziertes ISMS (DAkkS)
- Security-Awareness-Schulungen für alle Mitarbeitenden
- Lieferanten- und Risikomanagement-Prozesse
Wir entwickeln so sicher, wie wir prüfen.
Security ist bei VamiRedteam kein nachgelagerter Schritt, sondern in jeder Phase der Entwicklung verankert — nach Stand der Technik, von den Anforderungen bis zum Betrieb.
Security Requirements Engineering
Sicherheits- und Datenschutzanforderungen werden vor der ersten Zeile Code definiert.
Threat Modeling
Bedrohungsmodellierung nach STRIDE und — für KI-/Agenten-Komponenten — MAESTRO.
SAST
Statische Code-Analyse automatisiert in der CI/CD-Pipeline.
SCA & Dependency Scanning
Software-Composition-Analysis und kontinuierliche Prüfung der Abhängigkeiten.
DAST
Dynamische Sicherheitstests gegen die laufende Anwendung.
Penetrationstests
Regelmäßige manuelle und agentische Pentests vor Releases.
Transparenz — sichtbar, nicht nur behauptet.
So arbeitet VamiRedteam: jede Agenten-Aktion sichtbar, jeder Fund im Graph, jedes Ereignis protokolliert. Screenshots aus einem echten Projekt — Zieldaten anonymisiert.
// Screenshots aus einem echten Projekt — Zieldaten anonymisiert (RFC 5737 / 2606).
Offen gelegt — wer welche Daten verarbeitet.
Wir setzen eine bewusst schlanke Zahl sorgfältig ausgewählter Subprozessoren ein. Alle verarbeiten Daten innerhalb der EU bzw. unter EU-Recht. Änderungen kündigen wir Vertragskunden vorab an.
| Subprozessor | Zweck | Region |
|---|---|---|
| Deutsche Telekom T Cloud Public |
Cloud-Hosting & Infrastruktur der Plattform | DE / NL |
| Microsoft Entra External ID |
Authentifizierung, SSO & MFA (Identitätsverwaltung) | EU |
| Microsoft Bookings / Outlook |
Terminvereinbarung & geschäftliche Kommunikation | EU |
| LLM-Inferenz konfigurierbar / souverän |
KI-Inferenz für die Agenten — auf Wunsch EU-gehostet oder self-hosted; Findings werden menschlich triagiert | EU / self-hosted |
Vollständige, jeweils aktuelle Subprozessorenliste inklusive Kontakt für Änderungsbenachrichtigungen: privacy@vamisec.com.
Alles, was Sie für Ihre Prüfung brauchen.
Öffentliche Dokumente stehen direkt bereit. Vertrauliche Nachweise geben wir nach kurzer Anfrage bzw. unter NDA frei.
ISO/IEC 27001-Zertifikat
Zertifikat des VamiSec-ISMS, ausgestellt von einer DAkkS-akkreditierten Stelle.
Ansehen →Informationssicherheits-Leitlinie
Übergeordnete Leitlinie zur Informationssicherheit mit strategischer Ausrichtung.
Ansehen →AVV / DPA
Auftragsverarbeitungsvertrag nach Art. 28 DSGVO — auf Anfrage zur Unterzeichnung.
Anfordern →Pentest-Zusammenfassung
Management-Summary des jüngsten externen Penetrationstests der Plattform.
Anfordern →Sicherheits-Whitepaper & Architektur
Technische Übersicht zu Authorization Cage, Mandantentrennung und Datenfluss.
Anfordern →CAIQ / Security Questionnaire
Ausgefülltes Assessment für Ihren Vendor-Risk-Prozess — VamiSec beantwortet gängige Fragebögen.
Anfordern →Was sich zuletzt getan hat.
Wir halten unser Sicherheitsprofil aktuell und dokumentieren wesentliche Änderungen transparent.
Trust Center veröffentlicht
Dieses Trust Center ging live — mit Controls, Subprozessoren, Secure-SDLC-Übersicht und Dokumentenzugang.
24/7 Zero-Day Vulnerability Management
Der L4 Continuous Adversary Mode steht als kontinuierlicher Betrieb bereit — Basis des VamiSec Zero-Day-Monitorings.
Migration auf T Cloud Public
Betrieb auf der souveränen europäischen Cloud der Deutschen Telekom (ehemals Open Telekom Cloud) bestätigt.
Häufige Fragen aus der Due Diligence.
Wo werden unsere Daten gespeichert?
Ist VamiRedteam ISO 27001-zertifiziert?
Wie authentifizieren sich Nutzer?
Wie stellt ihr sicher, dass Pentests im Rahmen bleiben?
Wie werden wir bei einem Sicherheitsvorfall informiert?
Welche KI-Modelle nutzt die Plattform, und sehen diese unsere Daten?
Wie erhalten wir Zugang zu vertraulichen Dokumenten?
Sprechen Sie mit unserem Team.
Wir beantworten Ihre Sicherheits- und Compliance-Fragen und stellen die Nachweise bereit, die Ihr Einkauf braucht.