PrüfbarPrüfbares Vertrauen, nicht nur Worte.
Trustvice stellt signierte Fakten aus, auf die sich andere verlassen. Hier steht, wie das funktioniert, was wir wie schützen, wo Ihre Daten liegen und wozu wir uns verpflichten. Jede Aussage verlinkt das Dokument, das sie bindet.
Betrieben von Avonao, Inc., DelawareRechtstexte zuletzt geändert 6. November 2026
So entsteht ein Beleg.
Jeder Aufruf folgt demselben Weg. Die Zugangsdaten werden an der Eingangstür geprüft, die Arbeit wird in der eigenen Region des Workspace erledigt und gespeichert, und Trustvice signiert den Beleg mit einem AWS-KMS-Schlüssel, der in dieser Region liegt.
- Zugang prüfen
Die Eingangstür löst die Zugangsdaten auf genau einen Workspace auf, bevor Suite-Code läuft. Geheimnisse werden als SHA-256-Hashes gespeichert und in konstanter Zeit verglichen.
- Weitergabe
Workspace und Rechte gehen in Headern an den Regionaldienst, signiert von unseren eigenen Diensten. Ohne gültige Signatur lehnt der Dienst die Anfrage ab.
- Beobachten/Erfassen
Der regionale Dienst erledigt die Arbeit, um die die Suite gebeten wurde, und erfasst die Fakten, die der Beleg abdecken wird.
- Siegeln
Trustvice signiert den Beleg über den Hash des Artefakts mit seinem Ed25519-Schlüssel in AWS KMS, in der Datenregion des Belegs; der private Schlüssel verlässt KMS nie. Solange die Signatur nicht vorliegt, zeigt das Artefakt „Beleg ausstehend“, nie einen unsignierten Beleg.
- Überall prüfen
Der Beleg trägt seine Key-ID in den signierten Bytes. Wer Beleg und öffentlichen Schlüssel hat, prüft ohne uns, solange der Schlüssel publiziert bleibt.
Was ein Beleg beweist, und was er nicht beweist.
Ein Beleg ist eine präzise, enge Aussage. Lesen Sie beide Spalten, bevor Sie sich darauf stützen oder andere darum bitten.
Gültige Signatur beweist
- Herkunft: Ein Signaturschlüssel von Trustvice hat genau diese Bytes signiert.
- Integrität: Nichts im Umschlag hat sich seither geändert, keine Ziffer.
- Eine signierte Zeit: Die Uhr von Trustvice zeigte beim Signieren issuedAt.
Er beweist nicht
- Dass eine von Ihnen gemeldete Tatsache wahr ist. Manche Suiten signieren Fakten, die der Aufrufer liefert, andere das, was wir beobachtet haben; die Seite jeder Suite sagt, welches.
- Wer den Inhalt verfasst oder freigegeben hat. Der Beleg nennt einen Workspace, keine Person.
- Die wahre Zeit eines Ereignisses. Es gibt keinen externen Zeitstempeldienst.
- Dass nichts geschah, wo kein Beleg existiert.
- Dass wir über unser Wort hinaus neutral sind. Trustvice signiert mit eigenen Schlüsseln und führt eine eigene Write-once-Kopie; niemand außerhalb prüft den Inhalt eines Belegs.
Wofür Sie uns weiter vertrauen
Prüfung ist unabhängig. Vertrauen nur noch für eine kurze, benannte Liste.
| Vertrauen in | Warum | Falls falsch |
|---|---|---|
| Der öffentliche Prüfschlüssel stammt von uns | Eine Signatur zeigt, wer einen Key hält, nicht wem er gehört. | Ein untergeschobener Key macht Fälschungen gültig. Key-ID separat fixieren. |
| Die Signaturschlüssel von Trustvice werden nur von seinem Beleg-Dienst verwendet | Der Dienst signiert, was sein Code signieren will. | Ein missbrauchter Key könnte nie Geschehenes signieren. |
| Wir beobachten bei den beobachteten Funktionen ehrlich | Diese Belege sagen: Trustvice sah dies. | Ein kompromittiertes Trustvice könnte Falsches signieren. |
| Unsere Uhr | issuedAt: unsere Serverzeit beim Signieren. | Geht die Uhr falsch, ist issuedAt falsch. |
Signaturschlüssel und wo sie liegen
Jeder Beleg wird mit Ed25519 von einem AWS-KMS-Schlüssel signiert, den Trustvice in der Datenregion des Belegs hält, ein Schlüssel pro Region. Trustvice veröffentlicht die öffentlichen Hälften als eigenes Key-Set.
Verwahrung
- Trustvice stellt seine Belege selbst aus, signiert und speichert sie. Der private Schlüssel verlässt KMS nie, und der Worker hält nur eine Zugangsberechtigung, die ausschließlich signieren darf.
- Keine API-Route liefert privates Schlüsselmaterial; öffentliche nur öffentliche Felder.
- Ist KMS nicht verfügbar, wartet der Beleg als „Beleg ausstehend“ und wird alle fünf Minuten erneut versucht. Ein unsignierter Beleg wird nie angezeigt, und es gibt keinen Fallback auf einen lokalen Schlüssel.
Benannte Grenzen
- Rotation ist eine manuelle Zeremonie ohne Zeitplan. Ausgemusterte Keys bleiben publiziert, alte Belege also prüfbar.
- Jede Stunde schreibt Trustvice die signierten Beleg-Hashes der abgeschlossenen Stunden, mit einer vom KMS-Schlüssel der Region signierten Merkle-Root, als ein Objekt in einen Amazon-S3-Object-Lock-Bucket im COMPLIANCE-Modus, in derselben Region. Niemand, auch nicht der AWS-Root-Nutzer, kann es vor seinem Sperrdatum ändern oder löschen. Es ist Trustvices eigener Bucket mit eigenem Schlüssel: Es schränkt ein, was Trustvice unbemerkt tun könnte, ist aber kein unabhängiger Zeuge.
- Ein Signatur-Key verhindert nicht, dass wer den Signaturdienst betreiben kann, ihn signieren lässt – daher trennen wir beobachtete und gemeldete Fakten.
Publizierte Key-Adressen
| Adresse | Inhalt |
|---|---|
https://trustvice.com/.well-known/receipt-keys.json | JWK-Set von Trustvice: https://trustvice.com/.well-known/receipt-keys.json |
https://api.trustvice.com/v1/receipts/keys | Derselbe Schlüsselsatz über die API: https://api.trustvice.com/v1/receipts/keys |
curl -sSL https://trustvice.com/.well-known/receipt-keys.json
// kid = RFC-7638-Thumbprint des Schlüssels
const raw = Uint8Array.from(atob(x.replace(/-/g, "+").replace(/_/g, "/")
.padEnd(Math.ceil(x.length / 4) * 4, "=")), (c) => c.charCodeAt(0));
const digest = new Uint8Array(await crypto.subtle.digest("SHA-256", raw)).slice(0, 16);
const kid = btoa(String.fromCharCode(...digest))
.replace(/\+/g, "-").replace(/\//g, "_").replace(/=+$/, "");Am sichersten: Laden Sie den Key einmal, legen Sie kid und x im eigenen Repository ab und prüfen Sie gegen diese Kopie. /legal/verification
Zugriffskontrolle und Isolation
Jede Anfrage trägt Zugangsdaten, die das Gateway auf genau einen Workspace auflöst, bevor eine Suite läuft. Im Folgenden steht, wie Zugangsdaten und Mandantentrennung heute gehandhabt werden.
Gehashte Zugänge
API-Keys, persönliche Zugriffstoken und Session-Token liegen als SHA-256-Hashes vor, einmal angezeigt, in konstanter Zeit verglichen. Keys laufen nach 30 Tagen, 90 Tagen, einem Jahr oder nie ab und rotieren mit 0 bis 60 Minuten Karenz.
Anmeldung und Sessions
Anmeldung nur über Ihre Avonao ID; Trustvice speichert keine Passwörter, Passkeys oder Authenticator-Secrets. Sessions sind HttpOnly, Secure und SameSite=Lax, 12 Stunden gültig, nach 30 Minuten Inaktivität beendet.
Scopes und Rollen
Lese-, Schreib- und Verwaltungs-Scopes, auf benannte Suiten eingegrenzt, wenn Sie möchten. Prüfungen schlagen geschlossen fehl.
Mandanten
Das Gateway, nicht der Aufrufer, bestimmt den Workspace. Jedes Lesen und Schreiben trägt die Workspace-ID; ein Body mit anderem Workspace wird abgelehnt. Die Trennung ist logisch, in einer Regional-DB.
Rate-Limits, Missbrauch
600 Anfragen pro Minute je IP und 1.200 je Konto am Gateway.
Benannte Grenze: IP-Allowlists öffnen sich, wenn sie unlesbar sind, damit ein DB-Fehler Kunden nicht aussperrt.
Schutz der Daten
Der Dienst soll so wenig wie möglich halten.
Append-only-Belege
Jeder Beleg wird neben dem Artefakt gespeichert, zu dem er gehört, solange die Frist Ihres Tarifs läuft. Eine Kopie, die nur Hashes enthält, kommt in einen Write-once-Object-Lock-Bucket in derselben Region. Nur auditierte Routen schwärzen oder löschen, jede mit Audit-Ereignis.
Lesbare Felder sind lesbar
Lesbare Felder wie URLs und Labels stehen im Klartext im Beleg. Nichts eintragen, was der Leser nicht sehen soll.
Datenregionen
Belege und Kontingentzähler liegen in der Region, die beim Anlegen des Workspace gewählt wurde. Jeder Beleg wird mit dem eigenen AWS-KMS-Schlüssel dieser Region signiert, sein Hash liegt im Object-Lock-Bucket dieser Region. Dashboard, Website, Anmeldung, Abrechnung und Kontodaten werden in jedem Fall aus den USA (US West) ausgeliefert.
| Region | Code | Gekoppelte AWS-Region | Speicher |
|---|---|---|---|
| USA Ost | enam | us-east-1 | Standorthinweis |
| USA West | wnam | us-west-2 | Standorthinweis |
| Europa Mitte | weur-1 | eu-central-1 | EU-Jurisdiktion (erzwungen) |
| Europa West | weur-2 | eu-west-1 | EU-Jurisdiktion (erzwungen) |
| Europa Nord | neur | eu-north-1 | EU-Jurisdiktion (erzwungen) |
| Asia-Pacific | apac | ap-southeast-1 | Standorthinweis |
| Oceania | oc | ap-southeast-2 | Standorthinweis |
Die Region legt fest, wo Daten gespeichert und verarbeitet werden. Ein Workspace zieht nie um; ist eine Region nicht erreichbar, scheitert der Aufruf, statt auszuweichen.
Verschlüsselt
Daten gehen per TLS zwischen Ihnen und dem Dienst und liegen bei unserem Infrastrukturanbieter Cloudflare, nach dessen Sicherheitsbedingungen. Belege sind signiert, also erkennt jeder Prüfer jede Änderung an gespeicherten Beweisen.
Löschen und Entfernen
Die Kontolöschung wird nach einer Karenzzeit von 30 Tagen wirksam, in der Sie exportieren und wiederherstellen können. Belege entfernt der Löschjob nicht; sie laufen mit der Frist des Tarifs ab, oder Sie löschen sie, oder Sie bitten uns darum. Der Hash eines gelöschten Belegs bleibt bis zu seinem Sperrdatum in der Write-once-Kopie. Ein Beleg, den Sie bereits weitergegeben haben, bleibt für den Empfänger prüfbar, was wir auch tun.
Aufbewahrung
- Belege
- Die Frist des Tarifs: Free 7 Tage, Starter 90, Pro 90, Pro+ 90, Team 180, Scale 365, Enterprise individuell. Die Write-once-Kopie des Hashes bleibt 12 Stunden länger gesperrt; ein Tarif ohne automatische Löschung wird 7 Jahre gesperrt.
- Konto- und Anmeldedaten
- Bis zur Löschung des Kontos, danach Entfernung nach 30 Tagen Karenzzeit.
- Betriebs-Logs und Zähler für Rate-Limits
- Höchstens 30 Tage.
- Sicherheits-Audit-Log
- So lange der Workspace besteht und danach; die Person wird ersetzt, wo Löschung Pflicht ist.
- Abrechnungsdaten
- Solange Steuerrecht es fordert, bis 7 Jahre.
- Idempotenz-Replay-Cache
- 24 Stunden, mit Status und Beleg-ID, niemals mit dem Body.
DatenschutzDatenregionenAufbewahrung, LöschungSubunternehmer
Verfügbarkeit
Status wird gemessen, nicht von Hand gepflegt. Service-Levels sind für Enterprise Vertragsinhalt; Prüfen geht auch, wenn wir ausfallen.
Öffentlicher Status
- Alle fünf Minuten geprüft: das API-Gateway in jeder der sieben Datenregionen, der MCP-Server, die OAuth-Erkennung und die Beleg-Verifizierung. Die Beleg-Ausstellung (ein von Trustvice ausgestellter und gespeicherter Testbeleg) kommt hinzu, sobald ihr eigener Probe-Workspace eingerichtet ist; bis dahin wird sie nicht gemessen.
- Ein Check, der scheitert oder über 8 Sekunden braucht, gilt als down; über 3 Sekunden als beeinträchtigt. Ein veralteter Monitor zeigt keine Daten, nie Grün.
- Vorfälle erscheinen mit Updates, per E-Mail-Abo, als Atom-Feed und als JSON.
- Die Statusseite ist nicht signiert und kein Service-Level-Agreement.
Enterprise-SLA
Für Enterprise mit unterzeichnetem Bestellformular. Deckt REST API, MCP-Server und Belegausstellung ab. Der Support ist in den Geschäftszeiten besetzt und bestätigt jede Enterprise-Anfrage binnen 1 Stunde in den Geschäftszeiten. Self-Service-Tarife haben keine Verfügbarkeitszusage, keine Gutschriften und keine Support-Reaktionszeit.
| Uptime pro Monat | Dienstgutschrift |
|---|---|
| Unter 99,9 %, mind. 99,0 % | 10 % der Monatsgebühr |
| Unter 99,0 %, mind. 95,0 % | 25 % der Monatsgebühr |
| Unter 95,0 % | 50 % der Monatsgebühr |
| Schweregrad | Bedeutung | Ziel für Bestätigung |
|---|---|---|
| Schweregrad 1 | Abgedeckter Dienst nicht verfügbar oder keine Belege ausstellbar, im Produktivbetrieb. | 1 Stunde in den Geschäftszeiten |
| Schweregrad 2 | Wichtige Funktion gestört oder beeinträchtigt, mit Workaround. | 1 Stunde in den Geschäftszeiten |
| Schweregrad 3 | Kleineres Problem, Frage oder Anliegen. | 1 Stunde in den Geschäftszeiten |
Liegt die Verfügbarkeit drei Monate in Folge oder in vier von zwölf Monaten unter 99,0 %, kann der Kunde die Bestellung mit anteiliger Erstattung kündigen.
Zum Prüfen eines Belegs genügen Beleg und öffentlicher Schlüssel. Das klappt auch, wenn unser Dienst ausfällt.
Incident Response und Offenlegung von Lücken
Wozu wir uns verpflichten, wenn etwas schiefgeht, und wie Sie uns eine Schwachstelle melden, bevor andere sie finden.
Datenschutzverletzungen
Wir informieren den Kontoinhaber per E-Mail unverzüglich und jedenfalls binnen 72 Stunden, nachdem uns eine Verletzung personenbezogener Kundendaten bekannt wird, mit dem bekannten Stand: Art, betroffene Personen und Datensätze, wahrscheinliche Folgen und ergriffene Maßnahmen. Wir ergänzen die Meldung, sobald wir mehr wissen.
Dienststörungen
Störungen erscheinen auf der Statusseite mit Verlauf von Investigating bis Resolved. Bei einem Vorfall mit Schweregrad 1 erhalten Enterprise-Kunden eine Erstmeldung und Updates, wenn sich die Lage ändert.
Responsible Disclosure
Melden Sie über das Formular, mit Kontaktdaten oder anonym, oder per E-Mail. Forschung in gutem Glauben nach der Richtlinie ist erlaubt, und wir gehen deshalb nicht gegen Sie vor.
| Schritt | Ziel |
|---|---|
| Bestätigung Ihrer Meldung | Innerhalb von 3 Werktagen |
| Erstbewertung und Schweregrad | Innerhalb von 10 Werktagen |
| Updates, solange es offen ist | Mindestens alle 14 Tage |
| Fix für kritische und hohe Schwere | Angestrebt: 30 Tage |
| Fix für geringere Schwere | Angestrebt: 90 Tage |
Ziele, keine Garantien. Wir bitten um 90 Tage vor einer Veröffentlichung. Kein Bug-Bounty mit Geld; auf Wunsch nennen wir Forschende namentlich.
Compliance-Stand
Was es heute gibt und was auf Anfrage verfügbar ist. Ist eine Zeile für Ihre Prüfung wichtig, gilt der verlinkte Text verbindlich.
| Punkt | Stand | Details |
|---|---|---|
| AVV (Auftragsverarbeitung) | Vorhanden | Teil der AGB. Gilt automatisch mit deren Annahme; eine Gegenzeichnung ist nicht nötig. |
| Internationale Transfers | Vorhanden | EU-Standardvertragsklauseln (2021/914, Module Zwei und Drei), das UK Addendum und die Schweizer Anpassung, eingebunden in den AVV. |
| Vertreter nach Artikel 27 | Vorhanden | Benannte Vertreter in der Europäischen Union und im Vereinigten Königreich, genannt in Datenschutzerklärung und Impressum. |
| Subunternehmer-Wechsel | Vorhanden | Mindestens 30 Tage vorab per E-Mail und auf der Liste, mit Widerspruchs- und Kündigungsrecht samt Erstattung. |
| Betroffenenrechte-Anfragen | Vorhanden | Eingang binnen 10 Tagen bestätigt; Antwort binnen eines Monats nach DSGVO und UK GDPR oder 45 Tagen nach US-Bundesstaatsrecht. |
| Security-Paket | Vorhanden | Ein Whitepaper zu Architektur und Sicherheit und ein vorausgefüllter Sicherheitsfragebogen, online oder zum Download. |
| Sicherheitsfragebogen | Auf Anfrage | Schriftliche Antworten auf einen angemessenen Fragebogen in 30 Tagen, AVV §9. |
| Kundenaudit | Auf Anfrage | Wo Unterlagen nicht reichen: einmal jährlich, mit 30 Tagen Vorlauf, durch einen unabhängigen, schweigepflichtigen Prüfer, auf Kundenkosten. |
| Subunternehmer-Compliance-Berichte | Auf Anfrage | Öffentliche Compliance-Berichte unserer Anbieter, soweit wir sie teilen dürfen. |
| Bug-Bounty | Kein Angebot | Keine Geldprämien. Forschende werden auf Wunsch genannt. |
Rechtsdokumente
Jedes Dokument, das den Dienst regelt, mit Datum der aktuellen Fassung. Wesentliche Änderungen an AGB, Datenschutzerklärung, AVV und Nutzungsrichtlinie kündigen wir Kontoinhabern mindestens 30 Tage vorher an.
| Dokument | Was es regelt | Geändert |
|---|---|---|
| Nutzungsbedingungen | Der Vertrag für Website, API, MCP-Server und Dashboard: Konten, Gebühren, Daten, Haftung und anwendbares Recht. | |
| Datenschutz | Welche personenbezogenen Daten wir warum verarbeiten, wer sie erhält, wie lange und wie Sie Ihre Rechte nutzen. | |
| AVV (Auftragsverarbeitung) | Bedingungen als Auftragsverarbeiter: Unterauftragnehmer, Sicherheit, Meldung von Pannen, Audits, Übermittlungen. | |
| Subunternehmer | Jeder Anbieter, der personenbezogene Daten verarbeitet: was er tut, wo, und wie Wechsel bekannt werden. | |
| Cookie-Regeln | Cookies und Browserspeicher auf unseren Sites, wozu sie dienen, wie lange sie bleiben und wie Sie Ihre Wahl ändern. | |
| Nutzungsrichtlinie | Was mit dem Dienst verboten ist, wie wir das durchsetzen und wie Sie Missbrauch melden. | |
| Enterprise-SLA | Verfügbarkeitszusage, Gutschriften, Reaktionsziele bei Vorfällen und Rechte bei Dauerausfall für Enterprise-Tarife. | |
| Offenlegungsrichtlinie | Wie Sie eine Sicherheitslücke melden, was im Umfang ist, Safe Harbor und unsere Reaktionsziele. | |
| Gesetz über digitale Dienste | Kontaktstellen für EU-Behörden und Nutzer, unser gesetzlicher Vertreter in der EU, Meldungen rechtswidriger Inhalte und Begründungen. | |
| EU-Datengesetz | Wechsel zu einem anderen Anbieter, Export Ihrer Daten, die verwendeten Formate und wo jeder Dienst läuft. | |
| EU-KI-Verordnung | Welcher Teil von Trustvice ein KI-System ist, wie Nummer Eins die Transparenzpflichten erfüllt, und die Vereinbarung nach Art. 25 Abs. 4 für Hochrisiko-KI-Systeme. | |
| Widerrufsrecht | Für Verbraucher in der EU und im Vereinigten Königreich: Widerruf eines kostenpflichtigen Tarifs binnen 14 Tagen, was Sie zurückerhalten, und das Muster-Widerrufsformular. | |
| Erklärung zur Belegpraxis | Was ein Beleg bestätigt, wie er erstellt, signiert und datiert wird, und was er nicht beweist. | |
| Bedingungen für Prüfende | Worauf sich jeder verlassen kann, der einen Beleg prüft, worauf nicht, und wofür wir einstehen. | |
| Schlüsselverwaltung | Ein AWS-KMS-Signaturschlüssel pro Region, von Trustvice gehalten, und das veröffentlichte Key-Set. | |
| Belege prüfen | Wie Sie einen Beleg selbst prüfen, offline, mit unseren Bibliotheken oder eigenem Code. | |
| Formatversionen und langfristige Prüfbarkeit | Wie das Belegformat versioniert wird und warum alte Belege prüfbar bleiben. | |
| Stand Post-Quanten-Kryptografie | Das heutige Signaturverfahren, das Quantenrisiko und wie Belege für einen Algorithmuswechsel gebaut sind. | |
| Fortbestand | Was prüfbar bleibt und wie Sie Ihre Belege sichern, falls Trustvice den Betrieb einstellt. | |
| Impressum · Impressum | Wer Trustvice herausgibt, wo das Unternehmen eingetragen ist und seine Vertreter in EU und UK. Auch auf Deutsch. |
Sicherheitsunterlagen anfordern.
Sie prüfen einen Anbieter? Sagen Sie uns, was Sie brauchen. Wir beantworten Fragebögen schriftlich und führen Enterprise-Käufer durch die Architektur.
Sicherheitsfragebogen senden
Schriftliche Antworten binnen 30 Tagen, wie im AVV festgelegt. Senden an privacy@trustvice.com.
Mail an privacy@trustvice.com →EnterpriseSecurity-Review mit Vertrieb
Für eine Enterprise-Evaluierung: SLA, Datenresidenz, individuelle Aufbewahrung und Einkaufsunterlagen.
Zum Vertrieb →SicherheitMit dem Security-Team reden
Fragen zu Sicherheitsmodell, Signaturschlüsseln oder einem Fund. Schwachstellen bitte über das Meldeformular.
Zum Security-Team →DatenDatenschutz und Datenfragen
Betroffenenanfragen, Widersprüche gegen Unterauftragnehmer und Fragen zum AVV.
Zum Datenschutz →Wird Trustvice gegen Ihre Systeme genutzt? Missbrauch melden →
