LieferantenprüfungWas eine Sicherheitsprüfung fragt, in zwei Dateien.
Ein Architektur- und Sicherheits-Whitepaper und ein vorausgefüllter Sicherheitsfragebogen, geschrieben nach dem Dienst, wie er heute läuft. Jede Antwort verweist auf das Dokument oder den Quellcode dahinter, und was wir nicht belegen können, steht dort als nicht behauptet.
Stand vom 8. November 2026Beide Dateien sind auf Englisch.
Die beiden Dateien
Nutzen Sie sie unverändert, oder übernehmen Sie die Antworten in Ihre eigene Vorlage für die Lieferantenprüfung.
Architektur- und Sicherheits-Whitepaper
Wie eine Anfrage von Ihrem System über unsere Eingangstür zum Regionaldienst und dessen Datenbank gelangt, wie Belege mit den eigenen KMS-Schlüsseln von Trustvice signiert und in einer Write-once-Kopie aufbewahrt werden, wo Daten liegen, wer worauf zugreifen darf und wie wir mit Vorfällen, Schwachstellen und Wiederherstellung umgehen. Ein Anhang listet die Belege für jede Aussage.
trustvice-security-whitepaper.md · Markdown, Englisch.md herunterladenVorausgefüllter Sicherheitsfragebogen
79 Fragen im Stil der gängigen kompakten Fragebögen, nach Bereichen gruppiert, jede mit Antwort, kurzer Erläuterung und Link zum Nachweis.
trustvice-security-questionnaire.csv · CSV, Englisch.csv herunterladenWhitepaper und Fragebogen gibt es nur auf Englisch. Wo sie von einem Rechtsdokument abweichen, gilt das Rechtsdokument.
Was das Whitepaper abdeckt
Es beschreibt den Dienst, wie er gebaut ist, keine Roadmap. Wo ein Schutz nur teilweise greift, steht das dort.
- Datenfluss: Website, API-Eingang, die sieben regionalen Dienste und ihre Datenbanken, der MCP-Server und Webhooks
- Wer die Ed25519-Signaturschlüssel hält (Trustvice, in AWS KMS), wie ihre öffentlichen Hälften veröffentlicht werden und was geschieht, wenn KMS nicht verfügbar ist
- Datenregionen und Datenresidenz: was regional ist, was aus den USA bedient wird und warum Aufrufe nie auf eine andere Region ausweichen
- Subunternehmer und wie Änderungen angekündigt werden
- Verschlüsselung bei der Übertragung und im Ruhezustand, beim Anbieter und in der Anwendung
- Zugriffskontrolle: API-Schlüssel, Scopes und Rollen, OAuth für MCP, Anmeldung und Sitzungen sowie Zugriff durch unser eigenes Personal
- Protokollierung und das Sicherheits-Audit-Log
- Verfügbarkeit, Statusseite, Umgang mit Vorfällen und Meldung von Datenschutzverletzungen
- Meldung von Schwachstellen und Reaktionsziele
- Sicherung und Wiederherstellung
- Was wir nicht behaupten
- Ein Anhang, der jede Aussage mit dem Dokument und der Quelldatei dahinter verbindet
So lesen Sie die Antworten
Die Antwortspalte kennt vier Werte. Sie bleiben in der Datei auf Englisch, damit sie für alle gleich sortieren und filtern.
- Yes
- Heute vorhanden, wie in der Erläuterung und im verlinkten Dokument beschrieben.
- Partial
- Vorhanden mit einer genannten Grenze oder nur für manche Tarife. Die Erläuterung sagt, welche.
- No
- Heute nicht Teil des Dienstes.
- Not claimed
- Hierzu treffen wir keine Aussage.
Die Dokumente, die diese Antworten binden
Das Paket fasst zusammen. Verbindlich ist der Text dieser Dokumente.
AVV (Auftragsverarbeitung)
Bedingungen der Auftragsverarbeitung, Sicherheitsmaßnahmen, Meldung von Datenschutzverletzungen binnen 72 Stunden, Audits und internationale Übermittlungen.
AVV lesen →Subunternehmer
Jeder Anbieter, der personenbezogene Daten verarbeitet, was er tut und wo, mit 30 Tagen Vorankündigung bei Änderungen.
Zur Liste →Sicherheitsmodell
Das Bedrohungsmodell: was ein Beleg beweist, wofür Sie uns vertrauen und die genannten Grenzen.
Sicherheitsmodell lesen →Trust Center
Signatur, Datenresidenz, Verfügbarkeit, Compliance-Stand und jedes Rechtsdokument mit Datum.
Zum Trust Center →Offenlegungsrichtlinie
Wie Sie eine Schwachstelle melden, Safe Harbor und unsere Reaktionsziele.
Richtlinie lesen →Datenregionen
Die sieben Regionen und was Regionen überquert.
Zu den Regionen →
Fragen, die das Paket nicht beantwortet
Senden Sie uns Ihren eigenen Fragebogen, und wir beantworten ihn schriftlich binnen 30 Tagen, wie im AVV festgelegt. Enterprise-Kunden können die Architektur auch mit uns durchgehen.