Trust Center von 164 Cloud-Unternehmen: Was sie veröffentlichen

Datenstand: 2. Oktober 2026.

131 der 164 Cloud-Unternehmen in der Stichprobe betreiben ein eigenständiges Trust Center, das sind 80 %. Fast keines lässt Besucher den SOC-2-Bericht herunterladen. Von den 114 Trust Centern, die angeben, wie man den Bericht bekommt, bieten 5 einen öffentlichen Download. Die übrigen verlangen ein Formular, einen Login, einen NDA-Klick oder eine E-Mail.

Die Stichprobe besteht aus der Forbes Cloud 100 von 2025, die private Unternehmen auflistet, und den 64 weiteren Unternehmen im BVP Nasdaq Emerging Cloud Index, die börsennotiert sind. Die Cloud 100 von 2026 war am 2. Oktober 2026 noch nicht erschienen. Vanta steht auf der Cloud 100 und ist zugleich eine Plattform, die wir bewerten. Sein Trust Center zählt wie jedes andere.

Wer ein Trust Center betreibt

Ein Trust Center ist eine eigenständige Seite, auf der ein Unternehmen die Frameworks nennt, die es vorweisen kann, und seine Sicherheitsdokumente teilt. 131 Unternehmen haben eines. 25 weitere haben nur eine Sicherheitsseite im Marketing-Stil. 4 stellen alles hinter einen Login, und 4 zeigen unter den üblichen Adressen kein Trust Center.

Private und börsennotierte Unternehmen liegen gleichauf. 81 % der Cloud 100 betreiben ein Trust Center, im börsennotierten Index sind es 78 %.

Den SOC-2-Bericht gibt es fast nur auf Anfrage

Der Bericht nach SOC 2 ist das Dokument, das eine CPA-Firma, also eine zugelassene US-Wirtschaftsprüfungsgesellschaft, nach dem Audit ausstellt. 114 Trust Center geben an, wie man ihn bekommt. 89 nutzen ein Anfrageformular, 7 verlangen einen Login, 7 verweisen auf eine Kontaktaufnahme mit dem Unternehmen und 6 setzen auf einen NDA-Klick. 5 bieten ihn jedem zum Download an, das sind 4 % der 114. Die übrigen 17 Trust Center sagen nicht, wie man an den Bericht kommt.

Andere Dokumente folgen demselben Muster. Ergebnisse von Penetrationstests sind auf 67 Trust Centern zugangsbeschränkt. 5 zeigen eine öffentliche Zusammenfassung, und 1 Unternehmen, HubSpot, veröffentlicht den vollständigen Bericht. Sicherheitsfragebögen wie CAIQ und SIG sind auf 59 zugangsbeschränkt und auf 6 öffentlich. Listen der Unterauftragsverarbeiter sind das offenste Dokument: öffentlich auf 50 Trust Centern, zugangsbeschränkt auf 29.

70 % der Dokumente erfordern eine Anfrage

Vanta und Conveyor versehen jedes Dokument auf einem Trust Center in den Seitendaten mit einer Zugriffsstufe. Für diese beiden Plattformen ist die Zahl deshalb exakt. 40 Unternehmen betreiben ihr Trust Center auf Vanta oder Conveyor. Zusammen listen sie 941 Dokumente, und 660 davon erfordern eine Anfrage oder ein NDA, das sind 70 %. Vanta-Seiten beschränken den Zugang zu 437 von 620 Dokumenten, Conveyor-Seiten zu 223 von 321.

Die 70 % gelten nur für diese 40 Unternehmen. SafeBase-Seiten tragen keine eindeutige Kennzeichnung pro Dokument, deshalb fehlen SafeBase-Trust-Center in dieser Zahl.

SafeBase hostet die meisten Trust Center

SafeBase betreibt 50 der 131 Trust Center, das sind 38 %. SafeBase gehört zu Drata. Vanta hostet 26 (20 %), weitere 26 sind Eigenbau. Conveyor hostet 14 (11 %). Whistic, TrustCloud und die übrigen Plattformen hosten jeweils unter 2 %, und Secureframe hostet 1. Bei 7 Trust Centern ist die Plattform nicht erkennbar.

Sechs der Compliance-Plattformen, die wir bewerten, verkaufen selbst ein Trust Center. Es zählt in unserem Bewertungsschema zum Kriterium Trust Center und Fragebögen. Laut den Einträgen auf AWS Marketplace ist das Trust Center bei Vanta ab dem Tarif Plus enthalten, ab 21.500 USD pro Jahr. Drata führt sein Trust Center als optionales Modul.

SOC 2 und ISO 27001 kommen meist zusammen

82 % der Trust Center nennen beides, SOC 2 und ISO 27001. 11 % nennen nur SOC 2, 4 % nur ISO 27001.

Im Median nennt ein Trust Center 7 Frameworks. HIPAA steht auf 44 %, PCI DSS auf 43 %. CSA STAR und ISO 27701 erscheinen jeweils auf 34 %, SOC 3 auf 31 %. FedRAMP in einer beliebigen Stufe steht auf 27 %, TISAX auf 19 % und C5 auf 15 %.

ISO 42001 steht schon auf 31 % der Trust Center

ISO 42001, der Standard für KI-Managementsysteme, steht auf 40 der 131 Trust Center. Private Unternehmen liegen vorn: 35 % der Trust Center aus der Cloud 100 nennen ihn, im börsennotierten Index sind es 24 %. 56 % der Trust Center haben einen Abschnitt zu KI.

So entstehen die Zahlen

Die Stichprobe stammt aus den Listendaten von Forbes und der Indexseite von BVP, Stand 2. Oktober 2026. Als Trust Center eines Unternehmens gilt die Seite unter einer Trust-Subdomain, /trust oder /security, oder der erste Treffer einer Suche, wenn keine dieser Adressen antwortet. Die Plattform ergibt sich aus den Aufrufen, die die Seite an ihren Host sendet, und aus einer „Powered by“-Zeile, wenn die Aufrufe sie nicht zeigen.

Die Zahlen bilden ab, was ein Trust Center Besuchern ohne Login, Formular oder NDA zeigt.

Grenzen

• Alle Zahlen haben den Stand 2. Oktober 2026. Trust Center ändern sich.
• Die Framework-Zahlen entsprechen den Angaben des jeweiligen Trust Centers.
• „Keine Seite“ heißt: keine Seite unter den üblichen Adressen und keine in einer Suche. Das beweist nicht, dass ein Unternehmen kein Trust Center hat.
• Die Zugangsbeschränkung pro Dokument ist nur für Vanta und Conveyor exakt. Der SOC-2-Zugang auf SafeBase-Trust-Centern stammt aus der sichtbaren Seite.
• Drei KI-Labore aus der Cloud 100 zählen in jeder Zahl auf dieser Seite mit und fehlen in der Tabelle und in der CSV-Datei.

Was das für Käufer bedeutet

Rechnen Sie damit, den SOC-2-Bericht anfordern zu müssen. 109 der 114 Trust Center mit Angaben zum Zugang stellen ihn hinter ein Formular, einen Login, einen NDA-Klick oder eine E-Mail. Die Frameworks auf einem Trust Center sind eine Selbstauskunft des Unternehmens. Der Bericht zeigt, was der Auditor geprüft hat.

Auch Ergebnisse von Penetrationstests und Sicherheitsfragebögen müssen Sie wahrscheinlich anfordern. Listen der Unterauftragsverarbeiter finden Sie am ehesten frei zugänglich.

Vanta, Drata und Secureframe hosten Trust Center für andere Unternehmen. Alle drei bewerten wir auch als Compliance-Plattformen, im Ranking für SOC-2-Software und im Ranking für Compliance-Management-Software.

Was das für Unternehmen bedeutet, die eines aufbauen

Ein Anfrageformular für den SOC-2-Bericht ist die übliche Wahl: 89 der 114 nutzen eines. Mit einem öffentlichen Download stünden Sie in einer Reihe mit 5 Unternehmen aus dieser Stichprobe.

82 % der Trust Center führen SOC 2 und ISO 27001 nebeneinander. Falls Ihre Käufer nach KI fragen: 56 % der Trust Center haben bereits einen KI-Abschnitt, und 31 % nennen ISO 42001.

Selbst gebaute Seiten sind so häufig wie Vanta-Seiten, jeweils 26. SafeBase hostet knapp 2 von 5.

C5, TISAX und Unterauftragnehmer nach Plattform

C5 oder TISAX stehen auf 34 der 131 Trust Center (26 %). Der Anteil hängt stark von der Plattform ab. Auf SafeBase nennen 11 von 50 Trust Centern C5, auf Vanta 1 von 26. TISAX steht auf 6 von 14 Conveyor-Seiten und auf 2 von 26 Vanta-Seiten.

Für die Prüfung eines Auftragsverarbeitungsvertrags nach Art. 28 DSGVO zählt die Liste der Unterauftragnehmer. 50 der 131 Trust Center zeigen sie öffentlich, 30 nur auf Anfrage oder nach Login, 39 zeigen keine. Auf SafeBase gibt es die Liste bei 26 von 50 Seiten nur auf Anfrage. Auf Vanta ist sie bei 19 von 26 öffentlich.

ISO 27701 verteilt sich gleichmäßiger: 34 % der SafeBase-Seiten, 31 % der Vanta-Seiten und der selbst gebauten Seiten, 36 % der Conveyor-Seiten.

Die Daten

Diagramme und Tabelle unten stammen aus derselben Erhebung. Die CSV-Datei enthält zusätzlich Spalten zu Listen der Unterauftragsverarbeiter, Ergebnissen von Penetrationstests, Fragebögen, zum KI-Abschnitt und zu den Dokumentzahlen bei Vanta und Conveyor.