VamiRedteam Trust Center

Sicherheit, Compliance und Souveränität — transparent gemacht.

VamiRedteam ist eine autonome, agentische Pentesting-Plattform — betrieben nach denselben Maßstäben, die wir bei unseren Kunden prüfen. Dieses Trust Center zeigt, wie wir Daten schützen, wo wir hosten und wie wir sicher entwickeln.

ISO/IEC 27001:2022 zertifiziert ISMS der VamiSec GmbH · Proks Certification GmbH (DAkkS-akkreditiert) · Zertifikat-Nr. DE-IS-20250191 · gültig bis 18.09.2028 Zertifikat herunterladen (PDF) ⤓

Dokumente ansehen security@vamisec.com

BetreiberVamiSec GmbH · Bonn, Deutschland

HostingT Cloud Public · Deutschland

Sicherheitsvorfall meldensecurity@vamisec.com

Statusstatus.vamiredteam.com

Stand13. Oktober 2026

01 — Compliance & Zertifizierungen

Auf zertifizierten Grundlagen gebaut.

VamiRedteam wird von der VamiSec GmbH betrieben, deren Informationssicherheits-Managementsystem nach ISO/IEC 27001 durch eine DAkkS-akkreditierte Stelle zertifiziert ist. Die Betriebsplattform T Cloud Public bringt eigene Testate und Zertifikate mit. Wir kennzeichnen transparent, was zertifiziert, was in Vorbereitung und was Plattform-Nachweis ist.

ISO/IEC 27001

ISMS der VamiSec GmbH — zertifiziert durch die DAkkS-akkreditierte Proks Certification GmbH, gültig bis 09/2028.

Zertifiziert

ISO/IEC 42001

AI-Management-System der VamiSec im Aufbau — Zertifizierung nach ISO/IEC 42001 in Vorbereitung.

In Vorbereitung

DSGVO / GDPR

DSGVO-konforme Verarbeitung, AVV verfügbar, Datenresidenz EU.

Konform

BSI C5 · ISO 27001 · TISAX

Testat, Label & Zertifikate der Betriebsplattform T Cloud Public (Deutsche Telekom).

Hosting-Plattform

ISO 14001

Umweltmanagementsystem der VamiSec GmbH nach ISO 14001:2026 aufgebaut — Zertifizierung in Vorbereitung.

In Vorbereitung

EcoVadis

Nachhaltigkeitsrating der VamiSec GmbH — Committed-Badge, verliehen im Oktober 2026.

Committed-Badge

02 — Hosting & Digitale Souveränität

Souverän gehostet in Deutschland — unter europäischem Recht.

VamiRedteam läuft auf T Cloud Public (ehemals Open Telekom Cloud) der Deutschen Telekom — einer souveränen europäischen Cloud, ausschließlich in deutschen Rechenzentren. Daten, Modellparameter und Logs der Plattform unterliegen europäischem Recht; Vertragspartner, anwendbares Recht und Gerichtsstand: Deutschland. Identitäts- und Terminmetadaten werden über Microsoft (EU-Region) verarbeitet.

Ausschließlich deutsche RechenzentrenTwin-Core-Region Biere/Magdeburg (Sachsen-Anhalt) — Hosting ausschließlich in Deutschland, innerhalb des EU-Rechtsrahmens.

Secrets in HashiCorp VaultZugangsdaten und API-Schlüssel liegen in Vault (KV v2), nie im Code — mit AppRole-/Kubernetes-Authentifizierung für Dienste.

MandantentrennungJede Organisation erhält isolierte Sandboxes auf eigenem Netzwerk — Pentest-Umgebungen laufen strikt getrennt.

Souveräne KI-InferenzDie LLM-Anbindung ist konfigurierbar — auf Wunsch mit in Europa gehosteten oder self-hosted Modellen, damit Prompts und Findings die Vertrauenszone nicht verlassen. Kundendaten werden nicht zum Training von KI-Modellen verwendet.

T Cloud PublicDeutsche Telekom · souveräne Cloud

BSI C5 Typ II (ISAE 3000)
ISO/IEC 27001, 27017, 27018, 27701
SOC 1/2/3, TISAX AL 3
ISO 22301 (BCM), ISO 27001-Rechenzentren

Von unabhängigen Prüfern erteilte Zertifikate, Testate und Labels der Hosting-Plattform (Deutsche Telekom) — nicht der VamiSec GmbH. Quelle: Zertifikate und Testate der T Cloud Public.

03 — Security Controls

Wie wir schützen — nach Domänen.

Konkrete Kontrollen statt Marketing. Diese Maßnahmen sind Teil unseres Sicherheitskonzepts und orientieren sich am ISMS der VamiSec.

Datensicherheit

Verschlüsselung at rest (AES-256) und in transit (TLS 1.2+)
Datenresidenz EU; Löschung binnen 30 Tagen nach Vertragsende (AVV)
Datenminimierung — nur scope-relevante Artefakte
Kein Training mit Kundendaten — weder für eigene noch für externe KI-Modelle

Anwendungssicherheit

Secure SDLC nach Stand der Technik (Details unten)
SAST, DAST, SCA & Dependency Scanning in der Pipeline
Penetrationstests: extern mindestens jährlich, ergänzt um kontinuierliche agentische Tests

Zugriff & Identität

SSO & MFA via Microsoft Entra External ID (OIDC)
Least Privilege & rollenbasierte Zugriffskontrolle
httpOnly-Session-Cookies, kurze Token-Laufzeiten

Infrastruktur

Souveränes Hosting auf T Cloud Public (DE)
Isolierte Per-Tenant-Sandboxes, containerisiert
Secrets-Management mit HashiCorp Vault

Logging, Monitoring & SOC

Zentrales Logging & Monitoring, SIEM-Auswertung
SOC-gestützte Überwachung sicherheitsrelevanter Ereignisse
Hash-chained Audit-Log für jede Agenten-Aktion

Incident Management

Definierter Incident-Response-Prozess
Kundenbenachrichtigung mit dem Ziel eines Reportings binnen 24 Stunden
Responsible Disclosure an security@vamisec.com · security.txt

Authorization Cage

Whitelist-only Scope, signierte Authorization Letters
Hard-Stops bei Out-of-Scope-Zielen
Jede Write-Operation governed, scoped und geloggt

Organisation & Governance

ISO/IEC 27001-zertifiziertes ISMS (DAkkS)
Security-Awareness-Schulungen für alle Mitarbeitenden
Lieferanten- und Risikomanagement-Prozesse

Business Continuity & Backups

Regelmäßige, verschlüsselte Backups der Plattformdaten
Wiederherstellung wird regelmäßig getestet
Betrieb auf T Cloud Public in Deutschland

04 — Secure Software Development Lifecycle

Wir entwickeln so sicher, wie wir prüfen.

Security ist bei VamiRedteam kein nachgelagerter Schritt, sondern in jeder Phase der Entwicklung verankert — nach Stand der Technik, von den Anforderungen bis zum Betrieb.

Security Requirements Engineering

Sicherheits- und Datenschutzanforderungen werden vor der ersten Zeile Code definiert.

Threat Modeling

Bedrohungsmodellierung nach STRIDE und — für KI-/Agenten-Komponenten — MAESTRO.

SAST

Statische Code-Analyse automatisiert in der CI/CD-Pipeline.

SCA & Dependency Scanning

Software-Composition-Analysis und kontinuierliche Prüfung der Abhängigkeiten.

DAST

Dynamische Sicherheitstests gegen die laufende Anwendung.

Penetrationstests

Regelmäßige manuelle und agentische Pentests vor Releases.

05 — Plattform in Aktion

Transparenz — sichtbar, nicht nur behauptet.

So arbeitet VamiRedteam: jede Agenten-Aktion sichtbar, jeder Fund im Graph, jedes Ereignis protokolliert.

VamiRedteam Live-Konsole — **Live-Konsole.** Drei spezialisierte Agenten arbeiten parallel; rechts pausiert der Crawler ehrlich statt Erfolg zu erfinden, der Pentester fragt den Operator.

VamiRedteam Event-Stream — **Event-Stream.** Jeder Tool-Call und jedes Ergebnis — lückenlos protokolliert, nachvollziehbar für jedes Audit.

**Vami Logic Graph.** Die Angriffsfläche als verlinkte Hierarchie — Domain, Hosts, Ports, Services, Verzeichnisse.

// Screenshots aus einem realen Testlauf der Plattform — Zieldaten anonymisiert (RFC 5737 / 2606).

06 — Subprozessoren

Offen gelegt — wer welche Daten verarbeitet.

Wir setzen eine bewusst schlanke Zahl sorgfältig ausgewählter Subprozessoren ein. Alle verarbeiten Daten innerhalb der EU bzw. unter EU-Recht. Änderungen kündigen wir Vertragskunden mindestens 30 Tage vorab an.

Subprozessor	Zweck	Region
Deutsche Telekom T Cloud Public	Cloud-Hosting & Infrastruktur der Plattform	DE
Microsoft Entra External ID	Authentifizierung, SSO & MFA (Identitätsverwaltung)	EU
Microsoft Bookings / Outlook	Terminvereinbarung & geschäftliche Kommunikation	EU
Drittanbieter-LLMs konfigurierbar / souverän	KI-Inferenz für die Agenten — auf Wunsch EU-gehostet oder self-hosted; Findings werden menschlich triagiert	EU / self-hosted

Vollständige, jeweils aktuelle Subprozessorenliste inklusive Kontakt für Änderungsbenachrichtigungen: privacy@vamisec.com.

07 — Dokumente & Nachweise

Die VamiSec GmbH, Betreiberin von VamiRedteam, betreibt ein dokumentiertes Umweltmanagementsystem (UMS/EMS) nach ISO 14001:2026. Es ist mit dem nach ISO/IEC 27001 zertifizierten ISMS zu einem integrierten Managementsystem verzahnt; unser Nachhaltigkeitsengagement lassen wir zusätzlich extern durch EcoVadis bewerten.

Umweltmanagementsystem nach ISO 14001:2026Umweltleitlinie, Umweltaspekte- und Rechtsregister, messbare Umweltziele mit Kennzahlen und klar zugewiesene EMS-Verantwortung.

Integriert mit dem ISMSDas EMS nutzt die Prozesse des nach ISO/IEC 27001 zertifizierten ISMS – vom Änderungs- und Korrekturmaßnahmenmanagement bis zum gemeinsamen Management-Review.

Zertifizierung in VorbereitungDie Zertifizierung nach ISO 14001 durch eine DAkkS-akkreditierte Stelle ist in Vorbereitung; das Audit ist für 2027 geplant.

EcoVadis Committed – Sustainability Rating

EcoVadisNachhaltigkeitsrating · Committed-Badge 2026

Im EcoVadis-Nachhaltigkeitsrating hat die VamiSec GmbH im Oktober 2026 das Committed-Badge erhalten – eine Anerkennung für kontinuierliche Verbesserung im Bereich Nachhaltigkeit.

Rating und Umweltmanagementsystem beziehen sich auf die VamiSec GmbH als Unternehmen, die VamiRedteam entwickelt und betreibt.

09 — Trust Updates

Was sich zuletzt getan hat.

Wir halten unser Sicherheitsprofil aktuell und dokumentieren wesentliche Änderungen transparent.

2026-10-13

Meldeweg vereinheitlicht

Sicherheitslücken melden Sie einheitlich an security@vamisec.com; Security Controls, FAQ, Dokumentenkarte und security.txt (RFC 9116) verweisen auf diese Adresse.

2026-10-12

Umweltmanagement & EcoVadis

Neuer Abschnitt Umweltmanagement: Umweltmanagementsystem der VamiSec GmbH nach ISO 14001:2026 (Zertifizierung in Vorbereitung) und EcoVadis-Committed-Badge (Oktober 2026) ergänzt.

2026-10-04

Hosting ausschließlich in Deutschland

Klargestellt: Die Plattform läuft auf T Cloud Public ausschließlich in deutschen Rechenzentren (Biere/Magdeburg); die zuvor genannte zweite Region in den Niederlanden entfällt.

2026-10-04

Kein Training mit Kundendaten

Ausdrücklich festgehalten: Kundendaten werden nicht als Trainingsdaten verwendet — weder für eigene noch für externe KI-Modelle.

2026-08-30

Statusseite & Zertifikats-Details

Live-Statusseite verlinkt; ISO-Scope mit Zertifikatsnummer und Laufzeit zitiert, Löschfristen (30/90 Tage) konkretisiert.

2026-08-29

security.txt & Präzisierungen

security.txt nach RFC 9116 veröffentlicht; Nachweis-Terminologie und Rechtsaussagen präzisiert; Business-Continuity-Kachel, Verfügbarkeits-/Lösch-FAQ und VDP-Karte ergänzt.

2026-08-28

Trust Center veröffentlicht

Dieses Trust Center ging live — mit Controls, Subprozessoren, Secure-SDLC-Übersicht und Dokumentenzugang.

2026-08

24/7 Zero-Day Vulnerability Management

Der L4 Continuous Adversary Mode steht als kontinuierlicher Betrieb bereit — Basis des VamiSec Zero-Day-Monitorings.

2026

Migration auf T Cloud Public

Betrieb auf der souveränen europäischen Cloud der Deutschen Telekom (ehemals Open Telekom Cloud) bestätigt.

10 — FAQ

Häufige Fragen aus der Due Diligence.

Wo werden unsere Daten gespeichert?

Ausschließlich in deutschen Rechenzentren der T Cloud Public (Deutsche Telekom) in Biere/Magdeburg. Die Plattformdaten unterliegen europäischem Recht — Vertragspartner, anwendbares Recht und Gerichtsstand: Deutschland; Identitäts- und Terminmetadaten verarbeiten wir über Microsoft in der EU-Region.

Ist VamiRedteam ISO 27001-zertifiziert?

VamiRedteam wird von der VamiSec GmbH betrieben, deren ISMS nach ISO/IEC 27001 durch eine DAkkS-akkreditierte Stelle zertifiziert ist. Der Betrieb von VamiRedteam folgt den Prozessen dieses Managementsystems. Der zertifizierte Geltungsbereich umfasst neben den Beratungsdienstleistungen ausdrücklich die damit verbundenen digitalen Produkte und unterstützenden Einrichtungen zur Informationsverarbeitung (Zertifikat DE-IS-20250191, ISO/IEC 27001:2022, gültig bis 18.09.2028). Die Hosting-Plattform T Cloud Public bringt zusätzlich ein BSI-C5-Testat, ISO-27001-Zertifikate, ein TISAX-Label (AL 3) und SOC-1/2/3-Berichte mit.

Wie authentifizieren sich Nutzer?

Über Single Sign-On mit erzwungener Multi-Faktor-Authentifizierung via Microsoft Entra External ID (OIDC). Sessions laufen über httpOnly-Cookies mit kurzer Laufzeit; der Zugriff folgt dem Least-Privilege-Prinzip.

Wie stellen Sie sicher, dass Pentests im Rahmen bleiben?

Durch den Authorization Cage: Der Scope ist whitelist-only, jede Beauftragung durch signierte Authorization Letters gedeckt, Ziele außerhalb des Scopes werden hart gestoppt, und jede aktive Operation wird in einem hash-chained Audit-Log protokolliert.

Wie werden wir bei einem Sicherheitsvorfall informiert?

Wir folgen einem definierten Incident-Response-Prozess und benachrichtigen betroffene Kunden zeitnah — mit dem Ziel eines ersten Reportings binnen 24 Stunden. Sicherheitslücken melden Sie vertraulich an security@vamisec.com — maschinenlesbar auch über /.well-known/security.txt (RFC 9116).

Welche KI-Modelle nutzt die Plattform, und werden unsere Daten zum Training verwendet?

Die LLM-Anbindung ist konfigurierbar. Auf Wunsch setzen wir in Europa gehostete oder self-hosted Modelle ein, sodass Prompts und Findings die europäische Vertrauenszone nicht verlassen. Ihre Daten werden nicht zum Training von KI-Modellen verwendet: Scope-Daten, Prompts, Findings und Berichte nutzen wir weder zum Training noch zum Fine-Tuning eigener Modelle, und externe Modelle binden wir nur unter Vertragsbedingungen an, die eine Trainingsnutzung durch den Anbieter ausschließen. Ergebnisse werden vor dem Reporting menschlich triagiert.

Wie erhalten wir Zugang zu vertraulichen Dokumenten?

Öffentliche Dokumente stehen direkt bereit. Für Pentest-Zusammenfassungen, Architektur-Whitepaper oder ausgefüllte Fragebögen genügt eine kurze Anfrage an security@vamisec.com; NDA-pflichtige Nachweise geben wir nach Unterzeichnung frei.

Welche Verfügbarkeit gilt für die Plattform?

Wir überwachen die Plattform kontinuierlich (zentrales Monitoring, SOC-gestützt) und kündigen geplante Wartungen vorab an. Vertragliche Verfügbarkeitszusagen (SLA) vereinbaren wir im Rahmen des Vertrags — sprechen Sie uns an. Den aktuellen Betriebsstatus prüfen Sie live unter status.vamiredteam.com.

Was passiert mit unseren Daten nach Vertragsende?

Produktivdaten werden binnen 30 Tagen nach Vertragsende gelöscht; Backups rotieren binnen weiterer 90 Tage automatisch aus (Fristen wie im AVV vereinbart). Vor der Löschung können Sie Ihre Berichte und Daten exportieren.

Noch Fragen?

Sprechen Sie mit unserem Team.

Wir beantworten Ihre Sicherheits- und Compliance-Fragen und stellen die Nachweise bereit, die Ihr Einkauf braucht.

Demo buchen security@vamisec.com