VamiReverse Trust Center

Sicherheit, Compliance und Souveränität — transparent gemacht.

VamiReverse ist die KI-gestützte Multi-Agenten-Plattform der VamiSec für Reverse Engineering und Malware-Analyse — für Analysten, die Android-Apps sowie Windows- und Linux-Programme untersuchen; derzeit in der Beta-Phase. Dieses Trust Center zeigt, wie wir Daten schützen, wo wir hosten und wie wir sicher entwickeln.

ISO/IEC 27001:2022 zertifiziert ISMS der VamiSec GmbH · Proks Certification GmbH (DAkkS-akkreditiert) · Zertifikat-Nr. DE-IS-20250191 · gültig bis 18.09.2028 Zertifikat herunterladen (PDF) ⤓

Dokumente ansehen security@vamisec.com

BetreiberVamiSec GmbH · Bonn, Deutschland

HostingT Cloud Public · Deutschland

Sicherheitsvorfall meldensecurity@vamisec.com

Stand13. Oktober 2026

StatusBeta

01 — Compliance & Zertifizierungen

Auf zertifizierten Grundlagen gebaut.

VamiReverse wird von der VamiSec GmbH betrieben, deren Informationssicherheits-Managementsystem nach ISO/IEC 27001 durch eine DAkkS-akkreditierte Stelle zertifiziert ist. Wir kennzeichnen transparent, was zertifiziert, was in Vorbereitung und was Nachweis der Hosting-Plattform ist.

ISO/IEC 27001

ISMS der VamiSec GmbH — zertifiziert durch die DAkkS-akkreditierte Proks Certification GmbH, gültig bis 09/2028.

Zertifiziert

ISO/IEC 42001

AI-Management-System der VamiSec im Aufbau — Zertifizierung nach ISO/IEC 42001 in Vorbereitung.

In Vorbereitung

DSGVO / GDPR

Auftragsverarbeitungsvertrag nach Art. 28 DSGVO auf Anfrage (privacy@vamisec.com), Subprozessoren offengelegt.

AVV auf Anfrage

BSI C5 · ISO 27001 · TISAX

Testat, Label & Zertifikate der Betriebsplattform T Cloud Public (Deutsche Telekom).

Hosting-Plattform

ISO 14001

Umweltmanagementsystem der VamiSec GmbH nach ISO 14001:2026 aufgebaut — Zertifizierung in Vorbereitung.

In Vorbereitung

EcoVadis

Nachhaltigkeitsrating der VamiSec GmbH — Committed-Badge, verliehen im Oktober 2026.

Committed-Badge

02 — Hosting & Digitale Souveränität

Souverän gehostet in Deutschland — unter europäischem Recht.

Für den SaaS-Betrieb setzt VamiReverse auf T Cloud Public (ehemals Open Telekom Cloud) der Deutschen Telekom — eine souveräne europäische Cloud, ausschließlich in deutschen Rechenzentren. Plattformdaten und Logs unterliegen europäischem Recht; Vertragspartner, anwendbares Recht und Gerichtsstand: Deutschland. Wo die KI-Funktionen verarbeitet werden, hängt vom gewählten Sprachmodell ab; die Anmeldung erfolgt per Single Sign-on über Microsoft Entra ID.

Ausschließlich deutsche RechenzentrenTwin-Core-Region Biere/Magdeburg (Sachsen-Anhalt) — Hosting ausschließlich in Deutschland, innerhalb des EU-Rechtsrahmens.

Sprachmodell nach WahlFür die KI-Funktionen sieht VamiReverse die Wahl zwischen dem lokalen Qwen3.8 und einem Public-LLM wie Claude (Anthropic) oder OpenAI vor; ein Public-LLM verarbeitet Anfragen in den USA. Welche Modelle in Ihrer Bereitstellung aktiv sind, teilen wir Ihnen vorab mit.

Lokales LLM in Sankt AugustinQwen3.8 betreibt die VamiSec in ihrem Rechenzentrum in Sankt Augustin — Anfragen an dieses Modell bleiben in Deutschland, ohne externen KI-Anbieter.

On-Prem auf Ihrem Kubernetes-ClusterAlternativ zum SaaS-Betrieb: Betrieb von VamiReverse auf dem Kubernetes-Cluster Ihres Unternehmens — auf Anfrage.

T Cloud PublicDeutsche Telekom · souveräne Cloud

BSI C5 Typ II (ISAE 3000)
ISO/IEC 27001, 27017, 27018, 27701
SOC 1/2/3, TISAX AL 3
ISO 22301 (BCM), ISO 27001-Rechenzentren

Von unabhängigen Prüfern erteilte Zertifikate, Testate und Labels der Hosting-Plattform (Deutsche Telekom) — nicht der VamiSec GmbH. Quelle: Zertifikate und Testate der T Cloud Public.

03 — Security Controls

Wie wir schützen — nach Domänen.

Konkrete Kontrollen statt Marketing — Stand der aktuellen Beta-Phase von VamiReverse. Weitere Details erhalten Sie auf Anfrage an security@vamisec.com.

Datensicherheit

Datenhaltung im SaaS-Betrieb ausschließlich in deutschen Rechenzentren
Aufbewahrung, Löschung und Verschlüsselung regelt der AVV, den wir auf Anfrage bereitstellen
Personenbezogene Daten in Ihren Artefakten verarbeiten wir als Auftragsverarbeiter nach Art. 28 DSGVO
Kein Training mit Kundendaten — weder für eigene noch für externe KI-Modelle

Anwendungssicherheit

Secure SDLC von den Anforderungen bis zum Betrieb (Details unten)
Threat Modeling nach STRIDE und — für die KI-Agenten — MAESTRO
Code-Review und automatisierte Tests, bevor Änderungen übernommen werden

Zugriff & Identität

Anmeldung per Single Sign-on über Microsoft Entra ID
Anmeldemodell, Multi-Faktor-Authentifizierung und Rechtevergabe: Details auf Anfrage

Infrastruktur

Souveränes Hosting auf T Cloud Public (DE)
Nachweise der Plattform: BSI-C5-Testat, ISO/IEC 27001-Zertifikat und TISAX-Label (AL 3) der Deutschen Telekom
On-Prem-Betrieb auf dem Kubernetes-Cluster Ihres Unternehmens: auf Anfrage

Lokale Analyse-Werkzeuge

Statische Analyse mit selbst betriebenen Open-Source-Werkzeugen wie Ghidra, ILSpy, jadx, capa, Detect It Easy und YARA
Wissensbasen wie MITRE ATT&CK und CWE liegen als lokale Kopien vor
Für die Analyse übermitteln wir Ihre Artefakte nicht an die Herausgeber dieser Werkzeuge und Wissensbasen; zu optionalen Threat-Intelligence-Abgleichen informieren wir auf Anfrage

Incident Management

Definierter Incident-Response-Prozess
Kundenbenachrichtigung mit dem Ziel eines Reportings binnen 24 Stunden
Responsible Disclosure über bugbounty.vamisec.com · security.txt

KI-Governance & Human-in-the-Loop

KI-Ergebnisse sind Arbeitshypothesen und vor der Verwendung durch eine fachkundige Person zu prüfen
Die KI arbeitet Ihren Analysten zu, statt sie zu ersetzen
KI-Leitlinie der VamiSec; AI-Management-System nach ISO/IEC 42001 im Aufbau

Organisation & Governance

ISO/IEC 27001-zertifiziertes ISMS (DAkkS)
Security-Awareness-Schulungen für alle Mitarbeitenden
Lieferanten- und Risikomanagement-Prozesse

Business Continuity

Hosting-Plattform mit ISO 22301-Zertifikat (BCM) der Deutschen Telekom
Datensicherung und Wiederherstellung: Details regelt der AVV (auf Anfrage)
Betrieb auf der T Cloud Public in deutschen Rechenzentren

04 — Secure Software Development Lifecycle

Wir entwickeln so sicher, wie wir prüfen.

Security ist bei VamiReverse Teil des Entwicklungsprozesses — von den Anforderungen bis zur Bereitstellung.

Security Requirements Engineering

Sicherheits- und Datenschutzanforderungen fließen in die Planung neuer Funktionen ein.

Threat Modeling

Bedrohungsmodellierung nach STRIDE und — für KI-/Agenten-Komponenten — MAESTRO.

Code-Review

Änderungen werden vor der Übernahme per Review geprüft — mit Blick auf Sicherheit und Datenschutz.

Automatisierte Tests

Die automatisierte Test-Suite läuft bei jedem Pull Request in der CI.

Bereitstellung

Im SaaS-Betrieb auf T Cloud Public in Deutschland; Betrieb auf dem Kubernetes-Cluster Ihres Unternehmens auf Anfrage.

Responsible Disclosure

Schwachstellenmeldungen nehmen wir über bugbounty.vamisec.com und security@vamisec.com entgegen; die Kontaktdaten stehen maschinenlesbar in der security.txt nach RFC 9116.

05 — Subprozessoren

Offengelegt — wer welche Daten verarbeitet.

Wir setzen eine bewusst schlanke Zahl sorgfältig ausgewählter Subprozessoren ein und legen für jeden Subprozessor Zweck und Verarbeitungsregion offen. Änderungen teilen wir unseren Kunden vorab mit.

Telekom Deutschland hostet ausschließlich in deutschen Rechenzentren; Betriebs- und Supportleistungen erbringt die Telekom aus EU-Staaten. Microsoft (Entra ID) verarbeitet im Rahmen der EU-Datengrenze; für etwaige Zugriffe aus Drittländern gelten EU-Standardvertragsklauseln (SCC). Anthropic und OpenAI sind nur beteiligt, soweit in Ihrer Bereitstellung ein Public-LLM über VamiSec genutzt wird. Sie verarbeiten die Anfragen dann in den USA (direkte API) auf Grundlage von EU-Standardvertragsklauseln (SCC) und nutzen sie nach ihren Vertragsbedingungen nicht zum Training.

Subprozessor	Zweck	Region
Telekom Deutschland GmbH T Cloud Public	Hosting & Infrastruktur von VamiReverse — nur im SaaS-Betrieb	DE
Microsoft Ireland Operations Limited Microsoft Entra ID	Anmeldung per Single Sign-on — soweit Nutzerkonten im Entra-Mandanten der VamiSec geführt werden	EU
Anthropic Claude (API)	Sprachmodell für die KI-Funktionen — soweit in Ihrer Bereitstellung ein Public-LLM über VamiSec genutzt wird; keine Trainingsnutzung nach den Vertragsbedingungen des Anbieters	USA
OpenAI OpenAI API	Sprachmodell für die KI-Funktionen — soweit in Ihrer Bereitstellung ein Public-LLM über VamiSec genutzt wird; keine Trainingsnutzung nach den Vertragsbedingungen des Anbieters	USA

Kein Subprozessor: Das lokale Sprachmodell Qwen3.8 betreibt die VamiSec selbst in ihrem Rechenzentrum in Sankt Augustin (Deutschland). Auch die Analyse-Werkzeuge wie Ghidra, jadx oder YARA sind selbst betrieben und keine Subprozessoren.

Vollständige, jeweils aktuelle Subprozessorenliste inklusive Kontakt für Änderungsbenachrichtigungen: privacy@vamisec.com.

06 — Dokumente & Nachweise

Die VamiSec GmbH, Betreiberin von VamiReverse, betreibt ein dokumentiertes Umweltmanagementsystem (UMS/EMS) nach ISO 14001:2026. Es ist mit dem nach ISO/IEC 27001 zertifizierten ISMS zu einem integrierten Managementsystem verzahnt; unser Nachhaltigkeitsengagement lassen wir zusätzlich extern durch EcoVadis bewerten.

Umweltmanagementsystem nach ISO 14001:2026Umweltleitlinie, Umweltaspekte- und Rechtsregister, messbare Umweltziele mit Kennzahlen und klar zugewiesene EMS-Verantwortung.

Integriert mit dem ISMSDas EMS nutzt die Prozesse des nach ISO/IEC 27001 zertifizierten ISMS — vom Änderungs- und Korrekturmaßnahmenmanagement bis zum gemeinsamen Management-Review.

Zertifizierung in VorbereitungDie Zertifizierung nach ISO 14001 durch eine DAkkS-akkreditierte Stelle ist in Vorbereitung; das Audit ist für 2027 geplant.

EcoVadis Committed – Sustainability Rating

EcoVadisNachhaltigkeitsrating · Committed-Badge 2026

Im EcoVadis-Nachhaltigkeitsrating hat die VamiSec GmbH im Oktober 2026 das Committed-Badge erhalten — eine Anerkennung für kontinuierliche Verbesserung im Bereich Nachhaltigkeit.

Rating und Umweltmanagementsystem beziehen sich auf die VamiSec GmbH als Unternehmen, die VamiReverse entwickelt und betreibt.

08 — FAQ

Häufige Fragen aus der Due Diligence.

Wo werden unsere Daten gespeichert?

Die Plattformdaten von VamiReverse speichern wir im SaaS-Betrieb ausschließlich in Rechenzentren in Deutschland; Vertragspartner, anwendbares Recht und Gerichtsstand: Deutschland. Bindet eine Funktion externe Dienstleister ein — etwa für Identität oder KI —, legen wir Anbieter, Zweck und Verarbeitungsregion in der Subprozessoren-Tabelle offen.

Ist VamiReverse ISO 27001-zertifiziert?

Die Zertifizierung nach ISO/IEC 27001 gilt für das Informationssicherheits-Managementsystem (ISMS) der VamiSec GmbH, die VamiReverse entwickelt und betreibt — ISO/IEC 27001 zertifiziert Managementsysteme, keine einzelnen Produkte. Zertifiziert hat die DAkkS-akkreditierte Proks Certification GmbH (Zertifikat DE-IS-20250191, ISO/IEC 27001:2022, gültig bis 18.09.2028). Der Geltungsbereich laut Zertifikat: „Bereitstellung von Beratungsdienstleistungen im Bereich Informationssicherheit, damit verbundenen digitalen Produkten und unterstützenden Einrichtungen zur Informationsverarbeitung …“ — einzelne Produkte nennt das Zertifikat nicht namentlich.

Wie authentifizieren sich Nutzer?

Die Anmeldung an VamiReverse erfolgt per Single Sign-on über Microsoft Entra ID. Details zum Anmeldemodell, zur Multi-Faktor-Authentifizierung und zur Rechtevergabe erhalten Sie auf Anfrage an security@vamisec.com.

Welche KI-Modelle nutzt VamiReverse, und sehen diese unsere Daten?

Für die KI-Funktionen — etwa das Benennen von Variablen im dekompilierten Code oder das Aufstellen von Hypothesen zu Verhalten und Schwachstellen — sieht VamiReverse die Wahl des Sprachmodells vor: das lokale Qwen3.8 im Rechenzentrum der VamiSec in Sankt Augustin oder ein Public-LLM wie Claude (Anthropic) oder OpenAI. Welche Modelle in Ihrer Bereitstellung aktiv sind, teilen wir Ihnen vorab mit. Das lokale Modell betreibt die VamiSec selbst; Anfragen daran bleiben in Deutschland. Bei einem Public-LLM verarbeitet der Anbieter die Anfragen in den USA auf Grundlage von EU-Standardvertragsklauseln und nutzt sie nach seinen Vertragsbedingungen nicht zum Training. Die statische Analyse selbst läuft mit selbst betriebenen Werkzeugen wie Ghidra, jadx oder YARA; KI-Ergebnisse sind Arbeitshypothesen, die Ihre Analysten prüfen.

Wie werden wir bei einem Sicherheitsvorfall informiert?

Wir folgen einem definierten Incident-Response-Prozess und benachrichtigen betroffene Kunden zeitnah — mit dem Ziel eines ersten Reportings binnen 24 Stunden. Sicherheitsforschende erreichen uns über security@vamisec.com und bugbounty.vamisec.com; die Kontaktdaten stehen maschinenlesbar nach RFC 9116 unter /.well-known/security.txt.

Werden unsere Daten zum Training von KI-Modellen verwendet?

Nein. Kundendaten verwenden wir nicht als Trainingsdaten: Wir trainieren und feintunen keine KI-Modelle damit, und externe KI-Modelle binden wir nur unter Vertragsbedingungen an, die eine Trainingsnutzung ausschließen. Ob und welche externen KI-Anbieter VamiReverse einbindet, legen wir in der Subprozessoren-Tabelle offen.

Wie erhalten wir Zugang zu vertraulichen Dokumenten?

Öffentliche Dokumente stehen direkt bereit. Für das Statement of Applicability, das Sicherheits-Whitepaper oder ausgefüllte Fragebögen genügt eine kurze Anfrage an security@vamisec.com; NDA-pflichtige Nachweise geben wir nach Unterzeichnung frei.

Welche Daten verarbeitet VamiReverse?

VamiReverse verarbeitet die Artefakte, die Sie hochladen — Android-Apps (APK) sowie Windows- und Linux-Programme (PE/ELF) — und die daraus abgeleiteten Analysedaten: dekompilierten Code, Zeichenketten und Metadaten, IOCs, Erkennungsregeln (YARA, Sigma, Suricata), MITRE-ATT&CK-Zuordnungen und Analyseberichte. Artefakte können personenbezogene Daten enthalten; dafür bleiben Sie Verantwortlicher, wir verarbeiten sie im Auftrag nach Art. 28 DSGVO. Für die Anmeldung verarbeiten wir zudem Kontodaten Ihrer Nutzer aus Microsoft Entra ID, etwa Name und geschäftliche E-Mail-Adresse. Aufbewahrung und Löschung regelt der AVV, den wir auf Anfrage bereitstellen (privacy@vamisec.com).

Noch Fragen?

Sprechen Sie mit unserem Team.

Wir beantworten Ihre Sicherheits- und Compliance-Fragen und stellen die Nachweise bereit, die Ihr Einkauf braucht.

Demo buchen security@vamisec.com