# Vanta

> Zieht den Zustand der angebundenen Systeme laufend ab, prüft ihn gegen die Kontrollkataloge von SOC 2, ISO 27001 und weiteren Rahmenwerken und legt die Nachweise so ab, dass ein Prüfer sie ohne Zwischenschritt abnehmen kann.

- Anbieter: Vanta, Inc., San Francisco, Kalifornien, USA
- Kanonische URL: https://www.convios.com/de/werkzeugkasten/vanta
- Sprachfassung: https://www.convios.com/en/toolbox/vanta
- Bereich: Governance & Sicherheit · Cluster: Nachweis-Automatisierung
- Rolle: Fertigprodukt · Herkunft: Etabliert, KI nachgerüstet
- Stand: 2026-09-10 · Geprüft: 2026-09-10 · Autor: Dr. Oliver Gausmann, Convios GmbH
- Werkzeugkasten: https://www.convios.com/de/werkzeugkasten — Markdown: https://www.convios.com/de/werkzeugkasten.md

## Urteil

Verhindert Rückstand: Ein SOC-2-Testat gewinnt keine Ausschreibung. Sein Fehlen verliert sie, weil der Sicherheitsfragebogen des Einkaufs danach fragt, bevor über die Funktion des eigenen Produkts geredet wird. Damit steht Vanta auf der Seite der Werkzeuge, die einen Rückstand abwenden, und der Anbieter selbst ist austauschbar: Drata, Sprinto, Oneleet und Comp AI beantworten dieselbe Frage. Was Vanta von ihnen trennt, ist die Zahl der Prüfer, die den Nachweisstand aus dem Werkzeug ohne Rückfrage abnehmen, und das öffentliche Vertrauensportal, das den eigenen Nachweisstand nach außen zeigt. Zu prüfen sind zwei Dinge, die auf keiner Funktionsliste stehen: der lückenlose Prüfzeitraum, der bei einem Wechsel verloren geht, und der Ort, an dem die abgezogenen Systemzustände liegen.

## Eignung nach Unternehmensgröße

- Solopreneur: nicht geeignet — Wer allein arbeitet, hat weder eine Belegschaft, deren Zugänge und Schulungen überwacht werden müssten, noch die Verhandlungsmacht für einen Tarif ohne veröffentlichten Preis. Ein Testat kann auch dann verlangt werden, doch dann steht die Frage nach einem Prüfer vor der Frage nach einem Werkzeug.
- KMU: geeignet — Hier sitzt der Anwendungsfall. Ein Haus mit zwanzig bis zweihundert Köpfen, das an Konzerne verkauft, bekommt den Sicherheitsfragebogen im ersten Gespräch auf den Tisch und hat niemanden, der die Nachweise von Hand zusammenträgt. Die Preisseite nennt am 10. September 2026 vier Tarife und zu jedem die Aufforderung, ein Angebot anzufordern; einen Betrag nennt sie an keiner Stelle. Anmeldung über den eigenen Verzeichnisdienst und Ereignisprotokolle liegen dabei bereits im untersten Tarif, was in dieser Klasse ungewöhnlich ist.
- Konzern: bedingt geeignet — Die Prüfpunkte des Einkaufs sind zum größeren Teil bedient: Auftragsverarbeitungsvertrag im Volltext öffentlich, dreiundvierzig Unterauftragnehmer mit Zweck einsehbar, ISO 27001:2022 und ISO/IEC 42001:2023 mit benanntem Geltungsbereich, EU-U.S.-Datenschutzrahmen amtlich als aktiv geführt. Zwei Punkte bleiben und gehören auf die Tagesordnung. Ein Speicherort in der Europäischen Union steht nicht zur Wahl, denn der Auftragsverarbeitungsvertrag benennt die Vereinigten Staaten als Ort der Hauptverarbeitung. Der automatische Nutzerabgleich über SCIM und die selbst geschnittenen Rollenrechte kosten ab dem dritten Tarif Aufpreis und liegen erst im vierten im Umfang. Wer Beteiligungen getrennt führen muss, braucht dazu die Arbeitsbereiche, die ebenfalls Aufpreis kosten.

## Tragfähigkeit des Anbieters

Finanziert: Nach eigener Angabe 2018 gegründet, im Juli 2025 eine Runde über 150 Mio. US-Dollar unter Führung von Wellington Management bei einer genannten Bewertung von 4,15 Mrd. US-Dollar. Das Vertragswerk wird gepflegt: Der Hauptvertrag trägt den 21. November 2025 und verweist auf zwei Vorfassungen aus demselben Jahr. Mehr als 16.000 Kunden sind eine Angabe des Unternehmens. Ein Nachweis über Profitabilität und ein belegter Marktstart vor mehr als sieben Jahren liegen nicht vor, weshalb hier die Einordnung „finanziert" steht und nicht „etabliert".

- Rechtsperson und Sitz: Vanta, Inc., 655 Montgomery Street, Suite 1600, San Francisco, CA 94111, USA; eine amtliche Registernummer gibt der Auftragsverarbeitungsvertrag mit „N/A" an (Quelle: https://www.vanta.com/legal/dpa, Stand 2026-09-10)
- Letzte gemeldete Eigenkapitalrunde: 150 Mio. US-Dollar, geführt von Wellington Management, gemeldet am 23. Juli 2025, genannte Bewertung 4,15 Mrd. US-Dollar, dabei über 12.000 Kunden nach eigener Angabe (Quelle: https://www.vanta.com/resources/vanta-announces-series-d, Stand 2025-07-23)
- Pflegestand des Vertragswerks: Hauptvertrag zuletzt geändert am 21. November 2025, mit hinterlegten Vorfassungen vom 8. September 2025 und vom 11. April 2025; das Sicherheitsanhangwerk regelt Löschfristen, Protokollierung und Prüfrechte in eigenen Ziffern (Quelle: https://www.vanta.com/legal/terms, Stand 2025-11-21)
- Kundenzahl nach eigener Angabe: über 16.000 Unternehmen, ausgewiesen im eigenen Vertrauensportal (Quelle: https://trust.vanta.com/, Stand 2026-09-10)
- Dokumentierter Vorfall und Umgang damit: Eine am 22. Mai 2025 ausgelieferte Codeänderung ließ Daten eines Kunden im Konto eines anderen erscheinen. Vanta hat den Fehler am 27. Mai zurückgenommen, die Behebung am 3. Juni abgeschlossen und am 13. Juni 2025 eine Ursachenanalyse veröffentlicht: betroffen waren weniger als vier Prozent der Kunden und weniger als zwanzig Prozent der Anbindungen an Drittsysteme, dabei Angaben über Schulungen, Zugänge, Geräte und Schwachstellen. Kennwörter, Schlüssel, Finanz- und Gesundheitsdaten waren nach dieser Analyse nicht betroffen. (Quelle: https://www.vanta.com/resources/rca-inc-868, Stand 2025-06-13)
- Eingelöste Zusage nach dem Vorfall: Die in der Ursachenanalyse zugesagte Prüfung durch eine dritte Stelle hat stattgefunden: Trail of Bits hat den Quellcode von November bis Dezember 2025 sechs Wochen lang untersucht, gezielt auf mandantenübergreifenden Datenzugriff. Der Bericht liegt im Vertrauensportal und ist nach Zugangsanfrage einsehbar. (Quelle: https://trust.vanta.com/, Stand 2026-09-10)

## Ausstiegskosten

Hoch: Die Daten kommen heraus. Richtlinien, Kontrollen und gesammelte Nachweise lassen sich über die Schnittstelle abrufen, und für Prüfer gibt es eine eigene Schnittstelle bereits im untersten Tarif. Was der Export nicht mitnimmt, ist der Grund, aus dem das Werkzeug gekauft wurde. Ein Testat nach SOC 2 Typ 2 bescheinigt die Wirksamkeit von Kontrollen über einen Zeitraum, üblicherweise sechs bis zwölf Monate. Diese Kette entsteht durch die laufende Überwachung im Werkzeug, und sie beginnt beim neuen Anbieter von vorn. Wer mitten im Prüfzeitraum wechselt, erklärt dem Prüfer eine Lücke in genau dem Nachweis, den er vorlegen will. Dazu kommt der Anschluss: Der Zustand wird aus den eigenen Systemen abgezogen, und jede dieser Anbindungen wird beim neuen Anbieter neu eingerichtet und neu freigegeben. Der günstige Zeitpunkt für einen Wechsel liegt daher unmittelbar nach einem abgeschlossenen Prüfzeitraum, und es gibt im Jahr nur einen.

## Regulatorik und Daten

| Punkt | Befund | Belegstand | Stand |
|---|---|---|---|
| Auftragsverarbeitung | im Volltext öffentlich, wirksam aber erst nach gesonderter Zeichnung — Der Vertrag steht ohne Anmeldung auf der Website und ergänzt den Hauptvertrag; Vanta tritt darin als Auftragsverarbeiter auf, der Kunde je nach Lage als Verantwortlicher oder als Auftragsverarbeiter. Anders als bei Anbietern, die ihren Auftragsverarbeitungsvertrag zum automatischen Bestandteil des Hauptvertrags erklären, muss dieser hier gezeichnet werden: Die Anleitung im ersten Absatz führt über ein Formular des Dienstleisters Ironclad, das der Zeichnungsberechtigte des Kunden ausfüllt, worauf beide Seiten eine unterschriebene Fassung erhalten. Gelesen ist er damit noch nicht geschlossen. Eine Beschaffung sollte hier nachfragen, weil die Prüfung des Textes und sein Abschluss auseinanderfallen. | teilweise belegt | 2026-09-10 |
| Speicherort | Vereinigte Staaten als Ort der Hauptverarbeitung, keine Wahl einer EU-Region — Der Auftragsverarbeitungsvertrag hält in Ziffer 6.1 fest, die Hauptverarbeitung finde in den Vereinigten Staaten statt und die Übermittlung dorthin sei für die Leistung erforderlich. Das Sicherheitsanhangwerk nennt Amazon Web Services als Betreiber der Rechenzentren, ohne eine Region zu benennen. Die Unterauftragnehmer-Liste im Vertrauensportal führt für Amazon Web Services und für MongoDB „US, EU or AUS" und für Cloudflare „US, EU", was beschreibt, wo diese Anbieter liegen können. Eine kundenseitige Wahl der Region findet sich in keinem der öffentlichen Dokumente, und die Suche nach einer Zusage zur Datenhaltung in der Europäischen Union bleibt über das gesamte Seitenverzeichnis von 3.203 Adressen ohne Treffer. Für die Akte gilt daher der Vertragstext: Vereinigte Staaten. | teilweise belegt | 2026-09-10 |
| Subunternehmer | 43 Empfänger öffentlich mit Zweck, das Land fehlt bei der Mehrheit — Die Liste im Vertrauensportal ist ohne Anmeldung und ohne Zugangsanfrage einsehbar und ordnet jeden Empfänger einer Gruppe zu: Kernprodukt, Vanta AI, Auswertung, Unterstützung und Kontoführung. Bemerkenswert ist die Offenheit bei den KI-Diensten. Zwölf Empfänger stehen dort namentlich, darunter OpenAI, Anthropic, Google, Microsoft, Cohere, Langchain mit dem Produkt Langsmith, Browserbase, e2b und Lakera. Ebenso bemerkenswert ist die Lücke: Ein Verarbeitungsland tragen nur drei Einträge, nämlich Amazon Web Services, MongoDB und Cloudflare. Bei allen zwölf KI-Diensten bleibt das Feld leer. Dazu tritt ein Widerspruch im Auftragsverarbeitungsvertrag selbst, der die Liste in Ziffer 4.2 unter trust.vanta.com und in Anhang B unter www.vanta.com nennt; beide Adressen antworten, führen aber zu zwei getrennten Darstellungen. | teilweise belegt | 2026-09-10 |
| Drittlandübermittlung | EU-U.S.-Datenschutzrahmen amtlich aktiv, dazu Standardvertragsklauseln im Vertrag — Beides ist belegt und liegt übereinander. Die vom US-Handelsministerium geführte Teilnehmerliste weist Vanta am 10. September 2026 im EU-U.S.-Datenschutzrahmen, im Schweizer Rahmen und in der britischen Erweiterung jeweils als aktiv aus, und zwar für Personaldaten und für sonstige Daten. Unabhängig davon führt der Auftragsverarbeitungsvertrag in Ziffer 6 die Standardvertragsklauseln der Europäischen Kommission nach Modul 2 und Modul 3 mit, mit irischem Recht und irischem Gerichtsstand, und in Anhang D die britische Übermittlungsvereinbarung. Die Datenschutzerklärung nennt zusätzlich den irischen Datenschutzbeauftragten als federführende Aufsicht in der Europäischen Union. Ein Impressum oder eine namentlich benannte europäische Niederlassung findet sich im Seitenverzeichnis dagegen nicht. | belegt | 2026-09-10 |
| Training mit Kundendaten | Training auf Kundeninhalten im Vertrag ausgeschlossen, auch für Dritte — Die Zusage steht im Hauptvertrag und nicht auf einer Dokumentationsseite, was den Unterschied macht. Ziffer 4.6.1 sagt, Vanta werde Kundeninhalte nicht zum Training von Modellen verwenden und dies auch keinem Dritten erlauben. Das ist die Erstreckung, auf die es ankommt, denn die Unterauftragnehmer-Liste nennt zwölf KI-Dienste namentlich. Ausgenommen von der Zusage sind zwei Klassen, und zwar ausdrücklich: die Rückmeldung des Nutzers zu einem Vorschlag und die Nutzungsdaten. Beide darf Vanta zur Verbesserung der eigenen KI-Funktionen verwenden. Dieselbe Ziffer hält fest, dass die KI-Funktionen freiwillig sind, dass vor der ersten Nutzung im Produkt darauf hingewiesen wird und dass eine Verwaltung sie für alle Berechtigten des Hauses abschalten kann. | belegt | 2025-11-21 |
| Aufbewahrung und Löschung | 30 Tage auf Verlangen, 365 Tage ohne Verlangen, Sicherungskopien ausgenommen — Die Fristen stehen beziffert in Ziffer 9 des Sicherheitsanhangwerks. Auf Verlangen löscht Vanta die Kundeninhalte binnen dreißig Tagen; ohne Verlangen wird die Instanz des Kunden binnen dreihundertfünfundsechzig Tagen nach dem Ende des Abonnements entfernt. Wer nichts tut, hinterlässt seine Nachweise über Schulungen, Zugänge und Geräte also ein Jahr lang bei einem Anbieter, mit dem kein Vertrag mehr besteht. Der Passus danach nimmt Sicherungs- und Archivkopien ausdrücklich aus, soweit eine Aufbewahrung gesetzlich verlangt ist; solche Bestände sollen von der weiteren Verarbeitung getrennt und im gewöhnlichen Lauf gelöscht werden. Eine schriftliche Bestätigung der Vernichtung gibt es auf Verlangen. Für die Akte des Datenschutzbeauftragten heißt das: Die Kündigung allein reicht nicht, das Löschverlangen gehört daneben. | teilweise belegt | 2026-09-10 |
| Zertifikate | sechs Nachweise mit Norm-Fassung und Geltungsbereich, Urkunden nach Zugangsanfrage — Hier liegt der dichteste Belegstand im ganzen Katalog, und das gehört zum Geschäftsmodell: Ein Anbieter, der Nachweisführung verkauft, führt sein eigenes Portal als Schaufenster. Genannt sind ISO 27001:2022, ISO/IEC 27701:2019, ISO/IEC 27017:2015, ISO/IEC 27018:2019, ISO/IEC 42001:2023, ein Testat nach SOC 2 Typ 2 über Sicherheit, Verfügbarkeit, Vertraulichkeit und Verarbeitungsintegrität sowie eine Freigabe nach FedRAMP 20x der Stufe Low. Die Geltungsbereiche stehen dabei: Die ISO-27001-Zertifizierung deckt die Plattform samt der zusätzlichen Kontrollsätze der drei Begleitnormen ab. Daneben liegen im Portal die Zusammenfassung eines Eindringtests von Doyensec aus dem Oktober 2025 und eine Datenschutz-Folgenabschätzung. Die Urkunden selbst stehen hinter einer Zugangsanfrage, was die Prüfung im Einkauf um einen Schritt verlängert und die Aussage nicht schwächt. | belegt | 2026-09-10 |
| EU-KI-Verordnung, Artikel 50 | ISO/IEC 42001:2023 in der Rolle als KI-Anbieter, Kennzeichnungspflicht im Vertrag verankert — Vanta ordnet die eigene Pflichtenlage ausdrücklich ein, und zwar an zwei Stellen. Der Geltungsbereich der Zertifizierung nach ISO/IEC 42001:2023 nennt das KI-Managementsystem hinter der Plattform und die Rolle „AI producer and AI product / service provider", womit die eigene Anbieterrolle festgelegt und nicht offengelassen ist. Der Hauptvertrag geht in Ziffer 4.6.2 einen Schritt weiter und untersagt dem Kunden, Ausgaben der KI-Funktionen als von Menschen erzeugt darzustellen. Damit gibt der Anbieter dem Betreiber genau die Grundlage, die dieser für die Kennzeichnung nach Artikel 50 der Verordnung braucht. Zu beachten bleibt, dass die Einordnung des eigenen Einsatzes beim Betreiber liegt, denn die KI-Funktionen erzeugen Richtlinientexte und Fragebogenantworten, die anschließend nach außen gehen. | belegt | 2026-09-10 |
| Protokollierung | Ereignisprotokolle in allen vier Tarifen, Reichweite und Frist öffentlich offen — Hier lohnt es, zwei Dinge zu trennen, die leicht ineinanderlaufen. Ausführlich dokumentiert ist die Protokollierung, die Vanta für sich selbst betreibt: Ziffer 20 des Sicherheitsanhangwerks sagt, dass Prüfsätze für alle Systeme geführt werden und dass privilegierte Handlungen namentlich einer Person zugeordnet werden, Ziffer 15 nennt für die Protokolle des Einbruchserkennungssystems eine Aufbewahrung von mindestens einem Jahr. Das ist die eigene Verantwortlichkeit des Anbieters. Was der Kunde im Produkt bekommt, steht getrennt davon und dünner: Die Preisseite führt am 10. September 2026 Ereignisprotokolle als in allen vier Tarifen enthalten, was einen üblichen Streitpunkt entschärft. Welche Ereignisse erfasst sind, wie lange sie im Werkzeug liegen und ob sie sich in ein eigenes Auswertungssystem ausleiten lassen, sagen die öffentlichen Unterlagen nicht. Wer Nachweispflichten planen muss, klärt das vor der Zeichnung. | teilweise belegt | 2026-09-10 |

## Kosten

- Einstieg: Die Preisseite führt am 10. September 2026 vier Tarife mit den Namen Essentials, Plus, Professional und Enterprise und zu jedem die Aufforderung, eine Vorführung zu buchen und dabei ein auf das Haus zugeschnittenes Angebot zu erhalten. Einen Betrag nennt sie an keiner Stelle, auch keinen Einstiegspreis und keine Mindestabnahme. Bei einem Anbieter, dessen Produkt die Offenlegung des eigenen Zustands ist, fällt das auf. (Stand 2026-09-10)
- Teuer wird es: Zwei Schwellen liegen im Weg, und sie treffen unterschiedliche Häuser. Die erste ist die Fragebogen-Automatisierung, die im zweiten Tarif fünfundzwanzig Fragebögen im Jahr abdeckt und im dritten hundertvierundvierzig. Wer im Vertrieb an Konzerne verkauft, zählt hier nach und landet leicht am oberen Ende. Die zweite Schwelle betrifft die Nutzerverwaltung: Der automatische Abgleich über SCIM und selbst geschnittene Rollenrechte kosten im dritten Tarif Aufpreis und liegen erst im vierten im Umfang, und getrennte Arbeitsbereiche für mehrere Gesellschaften kosten in beiden Aufpreis. Anmeldung über den eigenen Verzeichnisdienst, vorgefertigte Rollenrechte und Ereignisprotokolle liegen dagegen in allen vier Tarifen, was den in dieser Klasse üblichen Konzern-Einwand hier entfallen lässt. Beträge lassen sich zu keiner der Schwellen nennen, weil der Anbieter keine veröffentlicht.

## Drei Wege im Vergleich

### Die Risiko-Suite, an der der Betrieb schon hängt

Archer und ServiceNow bedienen dieselbe Pflicht aus der anderen Richtung. Bei Archer stehen Compliance-Verwaltung, IT- und Sicherheitsrisiko, Revisionsverwaltung, Drittparteien und seit kurzem KI-Governance in einem Haus, und ein Preis steht dort so wenig öffentlich wie bei Vanta. Konzerne bleiben dabei, weil das Risikoregister an den Betriebsprozessen und an der Konfigurationsdatenbank hängt und weil ein Register weniger zu prüfen ist als zwei. Wer die Nachweisführung für Zertifizierungen aus dieser Klammer herauszieht, führt die Kontrollen künftig an zwei Orten und muss erklären, welcher der beiden im Zweifel gilt. Was diese Suiten nicht mitbringen, ist der laufende Abzug aus den Entwicklungs- und Cloud-Systemen, für den Vanta gekauft wird.

### Prüfagenten, quelloffen nachlesbar

Die junge Klasse verspricht, den Weg zum Testat von Monaten auf Tage zu verkürzen, und arbeitet dafür mit Prüfagenten. Comp AI, angeboten von Bubba AI, Inc., legt dabei den ganzen Bestand offen: jeder Agent, jede Anbindung und jede Prüfung liegen nach eigener Darstellung quelloffen auf GitHub, genannt sind SOC 2, ISO 27001, HIPAA, die Datenschutz-Grundverordnung und FedRAMP. Oneleet setzt daneben auf eine engere Verzahnung von Werkzeug und Prüfung und führt SOC 2, HIPAA, ISO 27001, PCI DSS, DORA und NIST 800-171. Ein Preisunterschied lässt sich in keine Richtung beziffern, denn am 10. September 2026 nennt auch Oneleet keinen Betrag und begründet das mit der Abhängigkeit vom Bedarf des Kunden. Aufgeben muss man zwei Dinge, die im Einkauf gefragt werden: die Zahl der Prüfer, die den Nachweisstand ohne Rückfrage annehmen, und die Tiefe des eigenen Nachweisstands des Anbieters, wie Vanta ihn mit sechs benannten Normen und einem öffentlichen Portal vorlegt.

### n8n zieht ab, GitHub versioniert, Linear führt die Fristen

Die Technik dahinter ist überschaubar, und das ist die Falle. Mit n8n aus diesem Katalog wird der Zustand täglich aus GitHub, dem Verzeichnisdienst, der Cloud-Verwaltung und Personio abgezogen; GitHub oder GitLab halten Richtlinien und Nachweise versioniert; Linear führt Maßnahmen mit Verantwortlichem und Frist; GitBook veröffentlicht die Richtlinien für die Belegschaft; Credo AI aus diesem Katalog trägt das Modellregister für ISO/IEC 42001, Nudge Security das Inventar der tatsächlich genutzten Dienste. Angesetzt mit fünfzehn Personentagen zu 1.200 Euro Tagessatz kostet der Aufbau rund 18.000 Euro, dazu etwa 500 Euro Infrastruktur im Jahr. Gescheitert wird an drei anderen Stellen. Erstens am Prüfer. Er kauft keine Software, er nimmt einen Prüfpfad ab und muss nachvollziehen können, dass ein Nachweis am Stichtag genau so aussah, und eine selbstgebaute Kette ohne Unveränderbarkeit gibt ihm das nicht. Zweitens an der Pflege: Der Anhang A der ISO 27001 wurde 2022 neu geschnitten, und wer den Katalog selbst führt, zieht jede Normfassung von Hand nach. Drittens am Weggang des Erbauers, denn die Nachweiskette läuft weiter, während niemand mehr weiß, warum eine Abfrage so und nicht anders gebaut war. Für ein Haus, das ein Testat nur einmal braucht, ist der Eigenbau tragbar. Für eines, das es jedes Jahr vorlegt, ist er es ab dem zweiten Jahr nicht mehr.

Empfehlung nach Größe:

- Solopreneur: Lassen, solange kein Kunde ein Testat verlangt; dann zuerst einen Prüfer suchen, nicht ein Werkzeug.
- KMU: Kaufen, die Zahl der Fragebögen im Jahr aber vorher zählen und in dasselbe Angebot verhandeln.
- Konzern: Vor der Zeichnung zwei Punkte klären: die Ausleitung der Protokolle und die Verortung der abgezogenen Systemzustände.

## Einordnung

- Setzt Methode um: [Regulatorik-Dichte-Test](https://www.convios.com/de/methodik/regulatorik-dichte-test) — Der Test trennt eine Vorschrift, die alle gleichermaßen trifft, von einer, die das eigene Haus besonders trifft, und ein Testat nach SOC 2 fällt beim Durchspielen zuverlässig in die erste Gruppe.
- Setzt Methode um: [„Kontext: Graben oder Mauer?“-Test](https://www.convios.com/de/methodik/kontext-graben-oder-mauer) — Gekaufte Nachweisführung bleibt käuflich, und die Frage, ob eine Fähigkeit mit der Nutzung wächst, entscheidet hier über das Urteil zwischen Vorsprung und abgewendetem Rückstand.
- Setzt Methode um: [Need-to-believes minimieren](https://www.convios.com/de/methodik/need-to-believes) — Das Produkt ist die Verringerung der Annahmen, die ein Käufer über die eigene Sicherheit auf gut Glück akzeptieren muss, und genau dafür zählt die Methode die offenen Punkte im Angebot durch.
- Setzt Methode um: [Operating-Model-Raster (Standardisierung und Integration)](https://www.convios.com/de/methodik/operating-model-raster) — Wer mehrere Gesellschaften oder Beteiligungen unter einem Dach führt, muss vor der Zeichnung wissen, wie viel Prozessgleichheit gewollt ist, denn getrennte Arbeitsbereiche kosten hier in zwei von vier Tarifen Aufpreis.
- Alternative: [Credo AI](https://www.convios.com/de/werkzeugkasten/credo-ai)
- Alternative: [Nudge Security](https://www.convios.com/de/werkzeugkasten/nudge-security)
- Verdrängt: Die Tabelle, in der ein Berater die Nachweise vier Wochen vor dem Audit von Hand zusammenträgt, Der Ordner mit Bildschirmfotos, die belegen sollen, dass eine Einstellung im Frühjahr richtig stand, Die Woche, die ein Vertrieb mit dem Sicherheitsfragebogen eines Konzerneinkaufs verbringt

## Belege

- Rolle als Auftragsverarbeiter, Zeichnung des Auftragsverarbeitungsvertrags über ein Formular des Dienstleisters Ironclad, Vereinigte Staaten als Ort der Hauptverarbeitung, Standardvertragsklauseln nach Modul 2 und 3 mit irischem Recht, britische Übermittlungsvereinbarung als Anhang D, Sitz und die Angabe „N/A" zur Registernummer — https://www.vanta.com/legal/dpa (Stand 2026-09-10)
- Ausschluss des Trainings auf Kundeninhalten samt Erstreckung auf Dritte, Ausnahme für Rückmeldungen und Nutzungsdaten, Abschaltbarkeit der KI-Funktionen durch die Verwaltung, Verbot der Darstellung von KI-Ausgaben als menschlich erzeugt, Stand des Hauptvertrags vom 21. November 2025 — https://www.vanta.com/legal/terms (Stand 2025-11-21)
- Löschung binnen dreißig Tagen auf Verlangen und binnen dreihundertfünfundsechzig Tagen ohne Verlangen, Ausnahme für Sicherungs- und Archivkopien, Amazon Web Services als Betreiber der Rechenzentren ohne Angabe einer Region, Aufbewahrung der Protokolle des Einbruchserkennungssystems von mindestens einem Jahr, namentliche Zuordnung privilegierter Handlungen — https://www.vanta.com/legal/information-security-addendum (Stand 2026-09-10)
- Dreiundvierzig Unterauftragnehmer mit Zweck und Gruppe, darunter zwölf namentlich genannte KI-Dienste, sowie das Fehlen einer Landesangabe bei allen Einträgen außer Amazon Web Services, MongoDB und Cloudflare — https://trust.vanta.com/subprocessors (Stand 2026-09-10)
- ISO 27001:2022, ISO/IEC 27701:2019, ISO/IEC 27017:2015, ISO/IEC 27018:2019, ISO/IEC 42001:2023 mit dem Geltungsbereich in der Rolle als KI-Anbieter, Testat nach SOC 2 Typ 2, Freigabe nach FedRAMP 20x der Stufe Low, Eindringtest von Doyensec aus dem Oktober 2025, Prüfung des Quellcodes durch Trail of Bits von November bis Dezember 2025 auf mandantenübergreifenden Zugriff, Kundenzahl über 16.000 — https://trust.vanta.com/ (Stand 2026-09-10)
- Vier Tarife ohne veröffentlichten Betrag, Anmeldung über den eigenen Verzeichnisdienst, vorgefertigte Rollenrechte und Ereignisprotokolle in allen vier Tarifen, SCIM und selbst geschnittene Rollenrechte als Aufpreis im dritten und im Umfang erst im vierten Tarif, getrennte Arbeitsbereiche als Aufpreis in zwei Tarifen, Fragebogen-Automatisierung mit fünfundzwanzig beziehungsweise hundertvierundvierzig Fragebögen im Jahr — https://www.vanta.com/pricing (Stand 2026-09-10)
- Aktive Teilnahme am EU-U.S.-Datenschutzrahmen, am Schweizer Rahmen und an der britischen Erweiterung, jeweils für Personaldaten und sonstige Daten, geführt in der amtlichen Liste des US-Handelsministeriums — https://www.dataprivacyframework.gov/list (Stand 2026-09-10)
- Zeitleiste, Umfang und Ursache des mandantenübergreifenden Datenzugriffs vom Mai 2025 samt der zugesagten Abhilfemaßnahmen — https://www.vanta.com/resources/rca-inc-868 (Stand 2025-06-13)
- Eigenkapitalrunde über 150 Mio. US-Dollar unter Führung von Wellington Management bei einer genannten Bewertung von 4,15 Mrd. US-Dollar sowie Gründungsjahr und Kundenzahl nach eigener Angabe — https://www.vanta.com/resources/vanta-announces-series-d (Stand 2025-07-23)
- Irischer Datenschutzbeauftragter als federführende Aufsicht in der Europäischen Union und Teilnahme am Datenschutzrahmen nach eigener Darstellung — https://www.vanta.com/legal/privacy (Stand 2026-09-10)
- Anwendungsbereiche des etablierten Gegenstücks von Compliance-Verwaltung bis KI-Governance und das Fehlen eines öffentlichen Preises — https://www.archerirm.com/ (Stand 2026-09-10)
- Quelloffenheit von Agenten, Anbindungen und Prüfungen beim KI-nativen Gegenstück, der Anbieter Bubba AI, Inc. sowie die genannten Rahmenwerke — https://www.trycomp.ai/ (Stand 2026-09-10)
- Fehlender Preis beim zweiten KI-nativen Gegenstück samt Begründung und die dort geführten Rahmenwerke — https://www.oneleet.com/pricing (Stand 2026-09-10)