Trust Center: Sicherheitsnachweise im Self-Service

Ein Trust Center ist ein zentrales, in der Regel öffentlich erreichbares Portal, über das ein Anbieter seine Sicherheits- und Compliance-Nachweise strukturiert im Self-Service bereitstellt – von Zertifikaten über Auditberichte bis zu Richtlinien-Auszügen. Anders als eine Marketing-Seite richtet es sich an prüfende Dritte: an Kunden, die als Verantwortliche nach Art. 28 Abs. 3 lit. h DSGVO Nachweise und Überprüfungen verlangen können, und an Einkaufs- und Security-Teams, die ihre direkten Lieferanten nach NIS2 (Art. 21 Abs. 2 lit. d der Richtlinie (EU) 2022/2555) bewerten müssen. Ein etabliertes Referenzmodell ist das Microsoft Service Trust Portal, das Auditberichte externer Prüfer, Pentest-Attestierungen und Whitepaper bündelt – teils frei zugänglich, teils erst nach Anmeldung und Annahme einer Vertraulichkeitsvereinbarung.

Den Kern bilden Nachweise unabhängiger Dritter: das ISO/IEC-27001-Zertifikat, SOC-2-Berichte, der als Kurzfassung frei verteilbare SOC-3-Bericht sowie im deutschen Cloud-Umfeld das C5-Testat nach ISAE 3000 – mit C5:2026 hat das BSI im April 2026 eine aktualisierte Katalogfassung mit 168 Kriterien in 17 Themengebieten veröffentlicht. Dazu kommen eine gepflegte Subprozessor-Liste, Zusammenfassungen aktueller Penetrationstests (Management Summary oder Attestierung statt Vollbericht), der Verfügbarkeits-Status bzw. ein Link auf die Status-Page sowie Auszüge zentraler Richtlinien wie der Informationssicherheits-Leitlinie. Ein Eintrag im öffentlichen CSA-STAR-Register ergänzt das um eine standardisierte Selbstauskunft (CAIQ, Level 1) oder einen auditierten Level-2-Nachweis (STAR Certification bzw. Attestation).

Für die Subprozessor-Liste setzt Art. 28 Abs. 2 DSGVO den Rahmen: Weitere Auftragsverarbeiter dürfen nur mit gesonderter oder allgemeiner schriftlicher Genehmigung des Verantwortlichen hinzugezogen werden; bei allgemeiner Genehmigung muss der Auftragsverarbeiter über jede beabsichtigte Hinzuziehung oder Ersetzung informieren, damit der Verantwortliche Einspruch erheben kann. Nach Abs. 4 sind dieselben Datenschutzpflichten vertraglich an jeden weiteren Auftragsverarbeiter weiterzugeben. Eine belastbare Trust-Center-Liste nennt daher pro Subprozessor die erbrachte Leistung, den Verarbeitungsstandort und das Datum der letzten Änderung – und bietet ein Benachrichtigungs-Abo an, mit dem sich die Informationspflicht gegenüber Kunden nachweisbar erfüllen lässt. Die Angaben müssen exakt mit den Auftragsverarbeitungsverträgen übereinstimmen.

Nicht jedes Dokument gehört in die Öffentlichkeit: SOC-2-Berichte sind als Restricted-Use-Berichte nur für einen definierten Empfängerkreis bestimmt, und vollständige Pentest-Berichte oder das Statement of Applicability geben Angreifern unnötig Einblick. Bewährt hat sich ein Stufenmodell: Frei zugänglich sind Zertifikate, SOC 3, Richtlinien-Auszüge und der Verfügbarkeits-Status; nach E-Mail-Verifikation folgen etwa AVV-Muster und Detailangaben zu Subprozessoren; hinter einer Vertraulichkeitsvereinbarung liegen SOC-2- und Pentest-Berichte sowie Architektur-Dokumentation. Trust-Center-Plattformen bilden das mit Click-through-NDAs und protokollierter Annahme ab – Microsoft etwa verlangt für seine Compliance-Materialien die Anmeldung mit Organisationskonto und die Annahme eines eigenen „Non-Disclosure Agreement for Compliance Materials“. Zugriffe sollten personenbezogen, befristet und protokolliert sein.

Der Nutzen entsteht im Beschaffungs- und Vertriebsprozess: Interessenten finden Standardnachweise im Self-Service, statt sie einzeln anzufragen, und Security-Reviews starten mit vollständiger Dokumentenlage statt mit einer Rückfragenschleife – das verkürzt Prüf- und damit Sales-Zyklen. Ein erheblicher Teil individueller Sicherheitsfragebögen lässt sich durch bereitgestellte Nachweise und standardisierte Selbstauskünfte vorwegnehmen; die Cloud Security Alliance nennt als ausdrücklichen Zweck des STAR-Registers, die Last mehrfacher Anbieter-Questionnaires zu reduzieren. Zugleich ist das Portal ein Reifesignal: Abgelaufene Zertifikate oder eine ungepflegte Subprozessor-Liste erzeugen dort mehr Rückfragen als Vertrauen.

Ein Trust Center ist kein einmaliges Projekt, sondern ein gepflegter Prozess mit klarem Owner – üblicherweise im GRC- oder Security-Team. Definierte Auslöser halten die Inhalte aktuell: Rezertifizierungen und Ablaufdaten von Zertifikaten, neue Auditberichte, abgeschlossene Penetrationstests und jede Subprozessor-Änderung rechtzeitig vor deren Wirksamwerden, damit Einspruchsfristen laufen können; Versionierung und Freigaben folgen der Dokumentenlenkung des ISMS. Für die Verzahnung mit Security Questionnaires dient dieselbe kuratierte Wissensbasis als Single Source of Truth: Standardkataloge wie der CAIQ strukturieren die Antworten, und wo Kunden dennoch Individualfragebögen senden, verweisen die Antworten auf die im Trust Center hinterlegten Nachweise, statt Inhalte erneut einzeln freizugeben.