Zum Inhalt springen
VamiAppSec Trust Center

Sicherheit, Compliance und Souveränität — transparent gemacht.

VamiAppSec ist die LLM-gestützte Application-Security-Plattform der VamiSec GmbH für den Secure SDLC — SAST, SCA, SBOM, Secrets-, IaC- und Container-Scanning sowie KI-DAST mit dem integrierten VamiDAST. Dieses Trust Center zeigt, wie wir Daten schützen, wo wir hosten und wie wir sicher entwickeln.

Proks Certification – ISO/IEC 27001 Certified
ISO/IEC 27001:2022 zertifiziert ISMS der VamiSec GmbH · Proks Certification GmbH (DAkkS-akkreditiert) · Zertifikat-Nr. DE-IS-20250191 · gültig bis 18.09.2028 Zertifikat herunterladen (PDF) ⤓
Dokumente ansehen security@vamisec.com
BetreiberVamiSec GmbH · Bonn, Deutschland
HostingT Cloud Public · Deutschland · oder On-Prem
Sicherheitsvorfall meldensecurity@vamisec.com
Stand13. Oktober 2026
StatusLive
01 — Compliance & Zertifizierungen

Auf zertifizierten Grundlagen gebaut.

VamiAppSec wird von der VamiSec GmbH betrieben, deren Informationssicherheits-Managementsystem nach ISO/IEC 27001 durch eine DAkkS-akkreditierte Stelle zertifiziert ist. Wir kennzeichnen transparent, was zertifiziert, was in Vorbereitung und was Nachweis der Hosting-Plattform ist.

ISO/IEC 27001

ISMS der VamiSec GmbH — zertifiziert durch die DAkkS-akkreditierte Proks Certification GmbH, gültig bis 09/2028.

Zertifiziert

ISO/IEC 42001

AI-Management-System der VamiSec aufgebaut — Zertifizierung nach ISO/IEC 42001 in Vorbereitung.

In Vorbereitung

DSGVO / GDPR

Produktspezifischer Auftragsverarbeitungsvertrag (AVV) nach Art. 28 DSGVO auf Anfrage (privacy@vamisec.com), Subprozessoren offengelegt.

AVV auf Anfrage

BSI C5 · ISO 27001 · TISAX

Testat, Label & Zertifikate der Betriebsplattform T Cloud Public — Nachweise der Deutschen Telekom, nicht der VamiSec GmbH; relevant im SaaS-Betrieb.

Hosting-Plattform

ISO 14001

Umweltmanagementsystem der VamiSec GmbH nach ISO 14001:2026 aufgebaut — Zertifizierung in Vorbereitung.

In Vorbereitung

EcoVadis

Nachhaltigkeitsrating der VamiSec GmbH — Committed-Badge, verliehen im Oktober 2026.

Committed-Badge
02 — Hosting & Digitale Souveränität

Souverän gehostet in Deutschland — unter europäischem Recht.

VamiAppSec läuft im SaaS-Betrieb auf T Cloud Public (ehemals Open Telekom Cloud) der Deutschen Telekom — einer souveränen europäischen Cloud, ausschließlich in deutschen Rechenzentren. Plattformdaten und Logs unterliegen europäischem Recht; Vertragspartner ist die VamiSec GmbH mit Sitz in Bonn. VamiAppSec ist LLM-agnostisch — das Sprachmodell für die KI-Funktionen wählen Sie selbst: das lokale Qwen3.8 im VamiSec-Rechenzentrum Sankt Augustin (dann bleibt auch die KI-Verarbeitung in Deutschland), Anthropic Claude oder OpenAI mit Verarbeitung in den USA oder Ihr eigenes LLM (BYOLLM).

Ausschließlich deutsche RechenzentrenTwin-Core-Region Biere/Magdeburg (Sachsen-Anhalt) — Hosting ausschließlich in Deutschland, innerhalb des EU-Rechtsrahmens.
On-Prem auf Ihrem Kubernetes-ClusterAlternativ läuft der gesamte Stack — Scanner, VamiDAST, DefectDojo und LLM — auf Ihrem eigenen Kubernetes-Cluster, ohne proprietäre Cloud-Provider-Dienste und bei Bedarf im Air-Gap; Qwen3.8 nutzt dann Ihre GPUs.
Lokales LLM in Sankt AugustinQwen3.8 ist ein Open-Weight-Modell, das VamiSec auf eigenen GPUs im eigenen Rechenzentrum in Sankt Augustin betreibt — dort läuft nur das LLM, nicht die Plattform. Mit dem lokalen Modell ist keine Drittland-API beteiligt.
Anthropic Claude, OpenAI oder Ihr eigenes LLMWählen Sie Anthropic Claude oder OpenAI über VamiSec, verarbeitet der Anbieter die LLM-Anfragen in den USA (Standardvertragsklauseln). Binden Sie Ihr eigenes LLM oder Ihren eigenen API-Schlüssel an (BYOLLM), besteht das Vertragsverhältnis direkt zwischen Ihnen und dem Anbieter. Kundendaten verwenden wir nicht als Trainingsdaten — unabhängig vom gewählten Modell.
  • BSI C5 Typ II (ISAE 3000)
  • ISO/IEC 27001, 27017, 27018, 27701
  • SOC 1/2/3, TISAX AL 3
  • ISO 22301 (BCM), ISO 27001-Rechenzentren

Von unabhängigen Prüfern erteilte Zertifikate, Testate und Labels der Hosting-Plattform (Deutsche Telekom) — nicht der VamiSec GmbH. Quelle: Zertifikate und Testate der T Cloud Public.

03 — Security Controls

Wie wir schützen — nach Domänen.

Konkrete Kontrollen statt Marketing. Diese Maßnahmen sind Teil unseres Sicherheitskonzepts und orientieren sich am ISMS der VamiSec.

Datensicherheit

  • SaaS-Plattformdaten ausschließlich auf T Cloud Public in Deutschland — verschlüsselt im Ruhezustand (at rest) und bei der Übertragung (TLS)
  • Definierte Lösch- und Aufbewahrungsfristen, geregelt im produktspezifischen AVV — auf Anfrage über privacy@vamisec.com
  • Datenminimierung: VamiDAST übergibt nur 2-KB-Antwort-Snippets an einen Prompt
  • Kein KI-Training mit Kundendaten: keine eigenen Trainings oder Feintunings; über VamiSec angebundene externe Modelle (Anthropic Claude, OpenAI) nur unter Vertragsbedingungen, die eine Trainingsnutzung ausschließen

Anwendungssicherheit

  • Secure SDLC von den Anforderungen bis zum Betrieb (Details unten)
  • Threat Modeling, Code-Review und automatisierte Tests in der CI
  • Penetrationstest der Plattform durchgeführt; Zusammenfassung auf Anfrage

Zugriff & Zugangsdaten

  • Zugangsdaten für authentifizierte DAST-Scans werden nie geloggt oder in einen Prompt gegeben
  • Aktive Tests im Produktivbetrieb nur im Modus Passiv oder Sicher; Aggressiv erst nach ausdrücklicher Nicht-Produktions-Bestätigung
  • Anmeldung an der SaaS-Plattform mit Multi-Faktor-Authentifizierung (MFA)

Infrastruktur

  • Souveränes Hosting auf T Cloud Public (DE)
  • Kubernetes-nativ und ohne proprietäre Cloud-Provider-Dienste lauffähig — Grundlage für On-Prem und Air-Gap
  • LLM-agnostisch: lokales Qwen3.8 auf VamiSec-eigenen GPUs in Sankt Augustin, Anthropic Claude, OpenAI oder Ihr eigenes LLM (BYOLLM)

Logging & Nachvollziehbarkeit

  • Jeder LLM-Aufruf wird mit Modellversion, Prompt und Output protokolliert
  • DefectDojo als führendes System für Befunde — mit Deduplikation, Risikoakzeptanz und vollständigem Audit-Trail
  • Evidenz-Paket pro Release: Gate-Entscheidungen, SBOM (CycloneDX, SPDX), VEX/VDR und SARIF

Incident Management

  • Definierter Incident-Response-Prozess
  • Benachrichtigung betroffener Kunden — Details regelt der AVV
  • Responsible Disclosure über security@vamisec.com · security.txt

KI-Governance & Human-in-the-Loop

  • LLM-gestützt, nicht agentisch: Das Modell reichert an, triagiert und schlägt Fixes vor — es handelt nicht autonom
  • VamiDAST: deterministische Engine, KI nur an genau drei begrenzten Stellen, jede KI-Ausgabe schema-validiert
  • Der Mensch entscheidet: VEX-Entwürfe prüft Ihr PSIRT, CRA-Meldungen bleiben Entwürfe ohne automatische Einreichung

Organisation & Governance

  • Nach ISO/IEC 27001 zertifiziertes ISMS (DAkkS)
  • Security-Awareness-Schulungen für alle Mitarbeitenden
  • Lieferanten- und Risikomanagement-Prozesse

Betrieb & Kontinuität

  • Betrieb wahlweise als SaaS oder On-Prem — bei Bedarf im Air-Gap
  • Regelungen zu Backup und Wiederherstellung auf Anfrage (security@vamisec.com)
  • Betrieb auf der T Cloud Public — Twin-Core-Region Biere/Magdeburg
04 — Secure Software Development Lifecycle

Wir entwickeln so sicher, wie wir prüfen.

Security ist bei VamiAppSec kein nachgelagerter Schritt, sondern in jeder Phase der Entwicklung verankert — nach Stand der Technik, von den Anforderungen bis zum Betrieb.

01

Security Requirements Engineering

Sicherheits- und Datenschutz­anforderungen werden vor der ersten Zeile Code definiert.

02

Threat Modeling

Bedrohungs­modellierung der Plattform nach STRIDE pro Element.

03

Code-Review

Änderungen werden vor der Übernahme per Review geprüft — mit Blick auf Sicherheit und Datenschutz.

04

Automatisierte Tests

Die automatisierte Test-Suite läuft bei jedem Pull Request in der CI.

05

Sichere Bereitstellung

Container, Kubernetes-nativ — als SaaS auf T Cloud Public oder On-Prem auf Ihrem Cluster.

06

Penetrations­tests

Die Plattform wurde einem Penetrationstest unterzogen; eine Zusammenfassung erhalten Sie auf Anfrage.

05 — Subprozessoren

Offengelegt — wer welche Daten verarbeitet.

Wir setzen bewusst nur wenige, sorgfältig ausgewählte Subprozessoren ein und legen für jeden davon Zweck und Verarbeitungsregion offen. Änderungen teilen wir Kunden vorab mit.

Die Telekom Deutschland GmbH verarbeitet Plattformdaten nur im SaaS-Betrieb und ausschließlich in Deutschland. Anthropic und OpenAI sind nur beteiligt, wenn Sie für KI-Funktionen ein Public-LLM über VamiSec wählen: Die Verarbeitung erfolgt dann in den USA (direkte API) auf Grundlage der EU-Standardvertragsklauseln (SCC); eine Trainingsnutzung ist nach den Vertragsbedingungen der Anbieter ausgeschlossen.

Subprozessor Zweck Region
Telekom Deutschland GmbH
T Cloud Public		 Hosting & Infrastruktur der SaaS-Plattform in der Region eu-de (Biere/Magdeburg) — nur im SaaS-Betrieb DE
Anthropic
Claude API (Public-LLM)		 KI-Funktionen (Anreicherung, Triage, Fix-Vorschläge, VamiDAST-KI-Schritte) — nur wenn Sie Anthropic als Public-LLM über VamiSec wählen; keine Trainingsnutzung nach den Vertragsbedingungen des Anbieters USA
OpenAI
OpenAI API (Public-LLM)		 KI-Funktionen (Anreicherung, Triage, Fix-Vorschläge, VamiDAST-KI-Schritte) — nur wenn Sie OpenAI als Public-LLM über VamiSec wählen; keine Trainingsnutzung nach den Vertragsbedingungen des Anbieters USA

Kein Subprozessor: Das lokale Qwen3.8 betreibt die VamiSec GmbH selbst auf eigenen GPUs in ihrem Rechenzentrum in Sankt Augustin. Binden Sie Ihr eigenes LLM oder Ihren eigenen API-Schlüssel an (BYOLLM), besteht das Vertragsverhältnis direkt zwischen Ihnen und dem Anbieter. On-Prem läuft der gesamte Stack einschließlich LLM auf Ihrem Kubernetes-Cluster — dann ist auch die Telekom nicht beteiligt.

Fragen zu Subprozessoren: privacy@vamisec.com. Maschinenlesbar steht die Liste unter /subprocessors.json.

06 — Dokumente & Nachweise

Alles, was Sie für Ihre Prüfung brauchen.

Öffentliche Dokumente stehen direkt bereit. Vertrauliche Nachweise geben wir nach kurzer Anfrage bzw. unter NDA frei.

Öffentlich

ISO/IEC 27001-Zertifikat

Zertifikat des VamiSec-ISMS (Nr. DE-IS-20250191, ISO/IEC 27001:2022, gültig bis 18.09.2028), ausgestellt von der DAkkS-akkreditierten Proks Certification GmbH.

Ansehen →
Öffentlich

Informationssicherheits-Leitlinie

Übergeordnete Leitlinie zur Informationssicherheit mit strategischer Ausrichtung (Englisch).

Ansehen →
Öffentlich

KI-Leitlinie

Übergeordnete Leitlinie der VamiSec GmbH zum verantwortungsvollen Einsatz von KI — Grundlage unseres AI-Management-Systems nach ISO/IEC 42001, mit Bezug zu EU AI Act und DSGVO (Englisch).

Ansehen →
Auf Anfrage

AVV / DPA

Produktspezifischer Auftragsverarbeitungsvertrag nach Art. 28 DSGVO für VamiAppSec, inklusive der Lösch- und Aufbewahrungsfristen — auf Anfrage zur Unterzeichnung.

Anfordern →
Auf Anfrage

Pentest-Zusammenfassung

Zusammenfassung des Penetrationstests der Plattform.

Anfordern →
Auf Anfrage

Sicherheits-Whitepaper & Architektur

Technische Übersicht zu Architektur, Zugriffsschutz und Datenfluss von VamiAppSec.

Anfordern →
Unter NDA

CAIQ / Security Questionnaire

CAIQ und gängige Security-Fragebögen für Ihren Vendor-Risk-Prozess — VamiSec beantwortet sie unter NDA.

Anfordern →
Öffentlich

Schwachstellen melden (Responsible Disclosure)

Sicherheitslücken melden Sie vertraulich an security@vamisec.com — maschinenlesbar auch über /.well-known/security.txt (RFC 9116).

Melden →
Öffentlich

Umwelt- & Nachhaltigkeitsleitlinien

Umweltleitlinie nach ISO 14001 sowie Nachhaltigkeits- & ESG-Leitlinie der VamiSec GmbH (Englisch).

Umweltleitlinie (PDF) ↗ Nachhaltigkeits- & ESG-Leitlinie (PDF) ↗
07 — Umweltmanagement & Nachhaltigkeit

Verantwortung über die Informationssicherheit hinaus.

Die VamiSec GmbH, Betreiberin von VamiAppSec, betreibt ein dokumentiertes Umweltmanagementsystem (UMS/EMS) nach ISO 14001:2026. Es ist mit dem nach ISO/IEC 27001 zertifizierten ISMS zu einem integrierten Managementsystem verzahnt; unser Nachhaltigkeitsengagement lassen wir zusätzlich extern durch EcoVadis bewerten.

Umweltmanagementsystem nach ISO 14001:2026Umweltleitlinie, Umweltaspekte- und Rechtsregister, messbare Umweltziele mit Kennzahlen und klar zugewiesene EMS-Verantwortung.
Integriert mit dem ISMSDas EMS nutzt die Prozesse des nach ISO/IEC 27001 zertifizierten ISMS — vom Änderungs- und Korrekturmaßnahmenmanagement bis zum gemeinsamen Management-Review.
Zertifizierung in VorbereitungDie Zertifizierung nach ISO 14001 durch eine DAkkS-akkreditierte Stelle ist in Vorbereitung; das Audit ist für 2027 geplant.

Im EcoVadis-Nachhaltigkeitsrating hat die VamiSec GmbH im Oktober 2026 das Committed-Badge erhalten — eine Anerkennung für kontinuierliche Verbesserung im Bereich Nachhaltigkeit.

Rating und Umweltmanagementsystem beziehen sich auf die VamiSec GmbH als Unternehmen, die VamiAppSec entwickelt und betreibt.

08 — FAQ

Häufige Fragen aus der Due Diligence.

Wo werden unsere Daten gespeichert?
Die Plattformdaten von VamiAppSec speichern wir im SaaS-Betrieb ausschließlich in Rechenzentren in Deutschland (T Cloud Public, Biere/Magdeburg); On-Prem bleiben sie in Ihrer eigenen Umgebung. Mit dem lokalen Qwen3.8 bleibt auch die KI-Verarbeitung in Deutschland. Wählen Sie für die KI-Funktionen Anthropic Claude oder OpenAI über VamiSec, werden die LLM-Anfragen in den USA verarbeitet; Anbieter, Zweck und Region legen wir in der Subprozessoren-Tabelle offen. Mit Ihrem eigenen LLM (BYOLLM) bestimmen Sie Anbieter und Verarbeitungsort selbst.
Ist VamiAppSec ISO-27001-zertifiziert?
VamiAppSec wird von der VamiSec GmbH betrieben, deren ISMS nach ISO/IEC 27001 durch eine DAkkS-akkreditierte Stelle zertifiziert ist. Das Produkt VamiAppSec trägt kein eigenes Zertifikat. Der Geltungsbereich lautet laut Zertifikat: „Bereitstellung von Beratungsdienstleistungen im Bereich Informationssicherheit, damit verbundenen digitalen Produkten und unterstützenden Einrichtungen zur Informationsverarbeitung für die Verarbeitung von Kundendaten, IT-Infrastruktur und Cloud-Speicher.“ (Zertifikat DE-IS-20250191, ISO/IEC 27001:2022, gültig bis 18.09.2028).
Welche Daten verarbeitet VamiAppSec?
Quellcode Ihrer Repositories samt Abhängigkeiten, IaC- und Container-Konfigurationen; daraus normalisierte Befunde (CWE, CVSS, OWASP-Anforderung, Datei, Zeile), gefundene Secrets mit Rotationsempfehlung sowie SBOMs (CycloneDX, SPDX) und VEX/VDR pro Release. Für VamiDAST kommen Endpunkte, Parameter sowie Anfragen und Antworten der laufenden Web-App oder API hinzu, für Pipeline-Gates und Ticket-Sync Integrationsdaten Ihrer CI/CD- und Ticketsysteme. Für authentifizierte Scans verarbeitet VamiDAST Zugangsdaten (Formular-Logins, JWT, Cookies, API-Keys); sie werden nie geloggt oder in einen Prompt gegeben. Jeder LLM-Aufruf wird mit Modellversion, Prompt und Output protokolliert.
Welche KI-Modelle nutzt VamiAppSec, und was sehen sie von unserem Code?
VamiAppSec ist LLM-agnostisch — Sie wählen das Modell: das lokale Qwen3.8, das VamiSec auf eigenen GPUs in Sankt Augustin betreibt (On-Prem auf Ihren GPUs), Anthropic Claude oder OpenAI mit Verarbeitung in den USA oder Ihr eigenes LLM (BYOLLM). Das gewählte Modell verarbeitet den Kontext der Befunde und — für das semantische SAST-Review — Quellcode; VamiDAST übergibt nur 2-KB-Antwort-Snippets an einen Prompt, Zugangsdaten nie. VamiAppSec ist LLM-gestützt, nicht agentisch: Das Modell reichert an, triagiert und schlägt Fixes vor, ohne autonom zu handeln. Triage-Entscheidungen, False Positives und Fix-Ergebnisse fließen als Kontext in künftige Läufe ein — das ist kein Modelltraining. Jeder Aufruf wird mit Modellversion, Prompt und Output protokolliert, und Kundendaten verwenden wir nicht als Trainingsdaten.
Wie werden wir bei einem Sicherheitsvorfall informiert?
Wir folgen einem definierten Incident-Response-Prozess und benachrichtigen betroffene Kunden zeitnah; die Einzelheiten regelt der AVV. Sicherheitsforschende melden Schwachstellen an security@vamisec.com — maschinenlesbar nach RFC 9116 unter /.well-known/security.txt.
Werden unsere Daten zum Training von KI-Modellen verwendet?
Nein. Kundendaten verwenden wir nicht als Trainingsdaten: Wir trainieren und feintunen keine KI-Modelle damit, und externe KI-Modelle, die wir über VamiSec anbinden (Anthropic Claude, OpenAI), nutzen wir nur unter Vertragsbedingungen, die eine Trainingsnutzung ausschließen; diese Anbieter legen wir in der Subprozessoren-Tabelle offen. Binden Sie Ihr eigenes LLM an (BYOLLM), gelten die Bedingungen Ihres Vertrags mit dem Anbieter.
Wie erhalten wir Zugang zu vertraulichen Dokumenten?
Öffentliche Dokumente stehen direkt bereit. Für Pentest-Zusammenfassungen, Architektur-Whitepaper oder ausgefüllte Fragebögen genügt eine kurze Anfrage an security@vamisec.com; NDA-pflichtige Nachweise geben wir nach Unterzeichnung frei.
Kann VamiDAST unsere Produktivumgebung beeinträchtigen?
VamiDAST kennt drei Modi: Passiv (keine zustandsändernden Anfragen), Sicher (Standard) und Aggressiv. Eine Sicherheitssperre stuft jede aktive Anfrage ein und blockiert im Zweifel. Im Produktivbetrieb sind nur Passiv und Sicher vorgesehen; Aggressiv lässt sich erst nach der ausdrücklichen Bestätigung nutzen, dass es sich nicht um eine Produktionsumgebung handelt. Gesteuert wird alles von einer deterministischen Engine — „Das Modell berät — es steuert nie.“
Können wir VamiAppSec vollständig in unserer eigenen Umgebung betreiben?
Ja. Neben dem SaaS-Betrieb auf T Cloud Public läuft der gesamte Stack — Scanner, VamiDAST, DefectDojo und LLM — auf Ihrem eigenen Kubernetes-Cluster. VamiAppSec ist Kubernetes-nativ und nutzt keine proprietären Cloud-Provider-Dienste; bei Bedarf ist ein Air-Gap-Betrieb möglich, und Qwen3.8 läuft dann auf Ihren eigenen GPUs.
Macht VamiAppSec unser Produkt CRA-, MDR- oder IEC-62443-konform?
Nein. VamiAppSec zertifiziert Ihr Produkt nicht — das tun Ihre Benannte Stelle, Ihr Technischer Dienst oder Ihr Auditor. VamiAppSec liefert maschinell erzeugte Evidenz pro Release, etwa für Regelwerke wie den CRA, die MDR oder IEC 62443: SBOM, VEX/VDR, Gate-Entscheidungen und Audit-Exporte. CRA-Meldungen nach Art. 14 bereitet VamiAppSec nur als vorbefüllte Entwürfe zur Einreichung über die ENISA Single Reporting Platform vor.
Wie sind Anmeldung, Verschlüsselung und Löschfristen geregelt?
Im SaaS-Betrieb melden Sie sich mit Multi-Faktor-Authentifizierung (MFA) an. Ihre Daten sind im Ruhezustand (at rest) und bei der Übertragung (TLS) verschlüsselt. Lösch- und Aufbewahrungsfristen sind definiert und im produktspezifischen Auftragsverarbeitungsvertrag (AVV) nach Art. 28 DSGVO geregelt, den Sie über privacy@vamisec.com anfordern.
Noch Fragen?

Sprechen Sie mit unserem Team.

Wir beantworten Ihre Sicherheits- und Compliance-Fragen und stellen die Nachweise bereit, die Ihr Einkauf braucht.

Demo buchen security@vamisec.com