Sicherheit, Compliance und Souveränität — transparent gemacht.

Die Plattformdaten von VAMIDAST speichern wir im SaaS-Betrieb ausschließlich in Rechenzentren in Deutschland; ruhende Daten sind verschlüsselt (at rest), Übertragungen laufen über TLS. Vertragspartner, anwendbares Recht und Gerichtsstand: Deutschland. Bindet eine Funktion externe Dienstleister ein — etwa Anthropic oder OpenAI für die KI-Schritte —, legen wir Anbieter, Zweck und Verarbeitungsregion in der Subprozessoren-Tabelle offen. Im On-Prem-Betrieb läuft VAMIDAST auf Ihrem eigenen Kubernetes-Cluster.

VAMIDAST wird von der VamiSec GmbH betrieben, deren ISMS nach ISO/IEC 27001:2022 durch die DAkkS-akkreditierte Proks Certification GmbH zertifiziert ist (Zertifikat DE-IS-20250191, gültig bis 18.09.2028). Der Geltungsbereich lautet laut Zertifikat: „Bereitstellung von Beratungsdienstleistungen im Bereich Informationssicherheit, damit verbundenen digitalen Produkten und unterstützenden Einrichtungen zur Informationsverarbeitung …“. VAMIDAST wird darin nicht namentlich genannt; ein eigenes Produktzertifikat besteht nicht.

Die Anmeldung an VAMIDAST erfolgt mit Multi-Faktor-Authentifizierung (MFA). Für Single Sign-On unterstützt VAMIDAST Ihr eigenes Microsoft-Entra-ID-Verzeichnis (OIDC Authorization Code mit PKCE). Ein Verzeichnis wird erst zugelassen, wenn ein Plattform-Administrator es eingerichtet und Ihr Global Administrator zugestimmt hat; MFA und Identitätsprüfung liegen dann bei Entra. VAMIDAST fordert nur die Anmelde-Berechtigungen openid, profile und email an — keine Microsoft-Graph-Berechtigungen — und speichert keine Microsoft-Token. Rechte vergibt ausschließlich VAMIDAST: Rollen- oder Gruppen-Claims aus Tokens gewähren keine Rechte. Bei SSO ist der Passwort-Login standardmäßig gesperrt; Notfallzugänge (Break-Glass) gibt es nur für Plattform-Administratoren, mit eigener MFA und Audit bei jeder Nutzung. Daneben unterstützt VAMIDAST lokale Konten mit E-Mail und Passwort. Den Zugriff können Sie jederzeit in Entra widerrufen.

Eine deterministische Engine steuert jeden Scan; das Modell berät nur und entscheidet nie, was getestet wird oder was als Nächstes läuft. Im Scan-Ablauf nutzt VAMIDAST KI an genau drei Stellen: Klassifikation der Schwachstellenklasse als letztes Mittel, Fallback-Payloads (nur Erkennungs-Strings), wenn kein Werkzeug passt oder eines versagt, und Triage der Grauzone. Jede Modellausgabe wird vor der Verwendung schema-validiert. An das Modell gehen standardmäßig auf 2.000 Zeichen begrenzte Antwort-Ausschnitte, Parameternamen, Payloads und Befund-Belege — nie ganze Bodys und nie die Test-Zugangsdaten für die Zielanwendung. Antwort-Ausschnitte und Befund-Belege können allerdings personenbezogene Daten oder Geheimnisse der Zielanwendung enthalten. VAMIDAST ist LLM-agnostisch. Für die KI-Schritte wählen Sie das lokale Qwen3.8 im VamiSec-Rechenzentrum Sankt Augustin (bei On-Prem auf Ihren GPUs), Anthropic Claude, OpenAI oder Ihr eigenes LLM (BYOLLM). Mit Qwen3.8 bleiben die Zieldaten in Deutschland bzw. auf Ihrer Infrastruktur; mit Anthropic Claude oder OpenAI gehen die Ausschnitte zur Verarbeitung an den Anbieter in den USA; bei Ihrem eigenen LLM besteht das Vertragsverhältnis direkt zwischen Ihnen und dem Anbieter. Zugangsdaten für ein eigenes LLM werden nie im Klartext gespeichert, nie geloggt und nie zurückgegeben. Optional, vom Nutzer nach dem Scan angestoßen und betreiberseitig abschaltbar, kann das Modell zudem Begleittexte zur Behebung schreiben. Dabei kann es keine Befunde anlegen und keine Bewertung ändern; Cookies, Bearer-Tokens und JWTs, Schlüsselmaterial sowie URL-Query-Werte werden vorher entfernt, und KI-Texte sind im PDF-Bericht gekennzeichnet. Ohne LLM läuft der Scan weiter; nur Fallback-Payloads und Triage-Assistenz entfallen.

Wir folgen einem definierten Incident-Response-Prozess als Teil unseres ISO/IEC 27001-zertifizierten ISMS und benachrichtigen betroffene Kunden; Einzelheiten regelt der AVV. Sicherheitslücken melden Sie vertraulich an security@vamisec.com — maschinenlesbar nach RFC 9116 unter /.well-known/security.txt.

Nein. Kundendaten verwenden wir nicht als Trainingsdaten: Wir trainieren und feintunen keine KI-Modelle damit, und externe KI-Modelle binden wir nur unter Vertragsbedingungen an, die eine Trainingsnutzung ausschließen. Ob und welche externen KI-Anbieter VAMIDAST einbindet, legen wir in der Subprozessoren-Tabelle offen. Nutzen Sie Ihr eigenes LLM (BYOLLM), gelten für dieses Modell die Bedingungen Ihres Vertrags mit dem Anbieter.

Öffentliche Dokumente stehen direkt bereit. Für das Statement of Applicability, das Sicherheits-Whitepaper oder ausgefüllte Fragebögen genügt eine kurze Anfrage an security@vamisec.com; NDA-pflichtige Nachweise geben wir nach Unterzeichnung frei.

VAMIDAST ist auf sichere Scans ausgelegt. Eine Sicherheitssperre stuft jede aktive Anfrage — auch Baselines — als lesend oder zustandsändernd ein und blockiert sie im Zweifel (fail closed). Es gibt drei Modi: Passiv (nur Crawlen und Lesen), Sicher (Standard; zustandsändernde Endpunkte nur per Vorbedingungsverletzung, kein DELETE, PUT oder PATCH) und Aggressiv — nur nach ausdrücklicher Bestätigung einer Nicht-Produktionsumgebung; eine Umgebungsangabe „prod“, eine vertippte oder eine leere Angabe fällt auf Sicher zurück. Produktivsysteme werden nur im Modus Passiv oder Sicher und nur mit Autorisierung gescannt. Die Sperrliste (etwa Logout, Setup, DB-Reset) gilt in jedem Modus, destruktive Parameter wie Passwort, Rolle oder Löschfelder werden nie direkt gefuzzt, und Ratenbegrenzung, Timeouts sowie ein Anfrage-Budget je Endpunkt sind konfigurierbar. Die Freigabe von Full Testing für einen Scan wird mit dem Namen der anfordernden Person im Audit-Log festgehalten.

In VamiAppSec auf drei Wegen: als feste Stufe Ihrer CI/CD-Pipeline (GitLab, GitHub, Azure DevOps) — jeder auf Staging ausgerollte Build wird gescannt, bestätigte Befunde ab einer Schweregrad-Schwelle können das Gate stoppen; on demand per CLI gegen jedes autorisierte Ziel, mit denselben Modi und Schutzmechanismen; und gegen Produktivsysteme kontinuierlich oder zeitgesteuert — dort nur im Modus Passiv oder Sicher und nur mit Autorisierung. VAMIDAST lässt sich eigenständig mit eigenem Dashboard, REST-API und Berichten (PDF, SARIF 2.1.0, CSV) nutzen oder voll in VamiAppSec integrieren; dort landen die Befunde im selben Backlog wie SAST, SCA, SBOM und Secrets.

Ja. Für VAMIDAST gibt es einen produktspezifischen Auftragsverarbeitungsvertrag (AVV) nach Art. 28 DSGVO; Sie erhalten ihn auf Anfrage über privacy@vamisec.com. Die Lösch- und Aufbewahrungsfristen für Ihre Daten sind definiert und im AVV geregelt. Ruhende Daten sind verschlüsselt (at rest), Übertragungen laufen über TLS.