Methodik
Wir bewerten die acht Faktoren, die den Alltag eines Compliance-Programms bestimmen: von der Frage, wie viele Nachweise automatisch zusammenkommen, bis zur Frage, wie schnell ein unterschriebener Bericht vorliegt. Eine Funktion bringt nur Punkte, wenn sie im Produkt verfügbar ist. Punktzahlen zeigen ihr Datum und ihre Quellen. Anbieter können eine Neubewertung beantragen, und jede Änderung steht im Änderungsprotokoll unten.
Anwendungsbereich
Plattformen für Compliance-Automatisierung, die ein Unternehmen auf SOC 2, ISO 27001, HIPAA, PCI DSS und verwandte Frameworks vorbereiten und es danach konform halten.
Die sieben bisher bewerteten Plattformen stehen im GRC-Software-Ranking, im SOC-2-Software-Ranking und im Compliance-Management-Ranking. Zwei direkte Vergleiche wenden dieses Schema ebenfalls an: Vanta vs. Drata und OneTrust vs. Drata.
Kriterien
Jedes Kriterium reicht von Stufe 0, wenn die Fähigkeit fehlt, bis Stufe 5, der stärksten Form. Die Punkte eines Kriteriums ergeben sich aus der Stufe geteilt durch fünf, multipliziert mit der Gewichtung. Stufe 3 bei einem 20-Punkte-Kriterium ergibt also 12 Punkte.
FC
Framework-Abdeckung
Gewichtung: 15 · Wie viele Frameworks kann ein Kunde direkt nutzen, ohne sie von Hand aufzubauen?
Das zweite Framework kommt meist, weil ein großer Kunde danach fragt. Liefert die Plattform dieses Framework schon mit, nutzt das Team seine vorhandenen Kontrollen weiter und muss keinen neuen Standard von Hand zuordnen.
| Stufe | Beschreibung |
|---|---|
| 5 | Alles aus Stufe 3, dazu drei oder mehr von ISO 42001, NIST CSF, NIST 800-53, FedRAMP oder CMMC. |
| 4 | Alles aus Stufe 3, dazu eines oder zwei von ISO 42001, NIST CSF, NIST 800-53, FedRAMP oder CMMC. |
| 3 | SOC 2, ISO 27001, HIPAA, PCI DSS und DSGVO. |
| 2 | SOC 2, ISO 27001 und eines von HIPAA, PCI DSS oder DSGVO (GDPR). |
| 1 | SOC 2 und ein weiteres Framework. |
| 0 | Nur SOC 2. |
EV
Automatisierte Nachweise
Gewichtung: 20 · Wie viele Nachweise erfasst und prüft die Plattform selbst, und wie viel muss noch jemand von Hand hochladen?
Nachweise kosten ein Compliance-Team die meiste Zeit der Woche. Jedes System, das seine Belege selbst liefert, ist ein Screenshot weniger, dem vor dem Besuch des Auditors noch jemand hinterherlaufen muss. Deshalb bringt dieses Kriterium die meisten Punkte.
| Stufe | Beschreibung |
|---|---|
| 5 | 300 oder mehr veröffentlichte Integrationen, kontinuierliche Kontrolltests und eine öffentliche API oder ein Baukasten für eigene Integrationen. |
| 4 | 200 bis 299 veröffentlichte Integrationen, kontinuierliche Kontrolltests und eine öffentliche API oder ein Baukasten für eigene Integrationen. |
| 3 | 100 bis 199 veröffentlichte Integrationen, mit kontinuierlichen automatisierten Kontrolltests. |
| 2 | 50 bis 99 veröffentlichte Integrationen, mit automatisierten Kontrolltests. |
| 1 | Weniger als 50 veröffentlichte Integrationen. |
| 0 | Keine Integrationen. Nachweise werden von Hand hochgeladen. |
AU
Audit-Anbindung
Gewichtung: 15 · Wenn die Plattform Sie für bereit erklärt: Wie kurz ist dann der Weg zum unterschriebenen Bericht?
Bereit zu sein ist die halbe Arbeit. Das Sicherheitsteam eines Kunden verlangt den unterschriebenen Bericht, und auf dem Weg dorthin geht leicht Zeit verloren: eine Prüfungsgesellschaft finden, Prüfungstermine buchen, Nachweise hin und her schicken.
| Stufe | Beschreibung |
|---|---|
| 5 | Die hauseigene oder verbundene Prüfungsgesellschaft des Anbieters liefert das Audit in der Plattform, in einem einzigen Auftrag. |
| 4 | Das Audit lässt sich über Partnerfirmen als Teil des Plattformvertrags kaufen, und die Auditoren arbeiten in der Plattform. |
| 3 | Ein namentlich genanntes Partnernetz und dazu die Prüfung von Nachweisen durch Auditoren in der Plattform. |
| 2 | Ein namentlich genanntes Partnernetz von Prüfungsgesellschaften, oder Auditoren können Nachweise in der Plattform prüfen. |
| 1 | Eine Empfehlungsliste von Prüfungsgesellschaften, ohne Zugang für Auditoren zur Plattform. |
| 0 | Keine Anbindung an Auditoren. Der Kunde sucht und betreut einen Auditor allein. |
PT
Preistransparenz
Gewichtung: 10 · Lassen sich die Kosten vor dem ersten Gespräch mit dem Vertrieb schätzen?
Ein Team sollte vor dem ersten Vertriebsgespräch eine grobe Zahl ins Budget schreiben können. Die meisten Anbieter in diesem Markt machen das schwer. Wer Preise veröffentlicht, bekommt dafür Punkte.
| Stufe | Beschreibung |
|---|---|
| 5 | Preise pro Tarif sind veröffentlicht, dazu der Preis des Audits oder der wichtigsten Zusatzmodule. |
| 4 | Preise pro Tarif sind veröffentlicht, mit dem Leistungsumfang jedes Tarifs. |
| 3 | Für mehr als einen Tarif sind Einstiegspreise veröffentlicht. |
| 2 | Ein einzelner Einstiegspreis ist veröffentlicht. |
| 1 | Tarifnamen und Leistungsumfang sind veröffentlicht, ohne Zahlen. |
| 0 | Auf der Website des Anbieters stehen weder Preise noch Details zu den Tarifen. |
TR
Trust Center und Fragebögen
Gewichtung: 10 · Hilft die Plattform dem Kunden nach der Zertifizierung, das gegenüber den eigenen Käufern zu belegen?
Eine Zertifizierung zahlt sich erst aus, wenn ein Käufer sie sieht. Trust Center und Fragebogen-Tools bringen den Bericht vor das Sicherheitsteam des Kunden und verringern die Zahl der Zeilen, die noch jemand von Hand beantworten muss.
| Stufe | Beschreibung |
|---|---|
| 5 | Beides, mit KI-gestützten Antworten aus den aktuellen Nachweisen und Richtlinien des Kunden. |
| 4 | Beides, mit KI-gestützter Beantwortung von Fragebögen. |
| 3 | Ein Trust Center und Fragebogen-Automatisierung. |
| 2 | Ein Trust Center oder Fragebogen-Automatisierung, nicht beides. |
| 1 | Eine einfache öffentliche Sicherheitsseite oder Fragebögen, die von Hand aus einer Antwortbibliothek beantwortet werden. |
| 0 | Kein Trust Center und keine Werkzeuge für Fragebögen. |
VR
Lieferantenrisikomanagement
Gewichtung: 10 · Kann der Kunde das Risiko seiner Lieferanten in der Plattform bewerten und verfolgen?
Auditoren und Kunden fragen beide nach Ihren Lieferanten. Laufen diese Prüfungen neben Ihren Kontrollen, beantwortet ein einziger Datenbestand beide Fragen.
| Stufe | Beschreibung |
|---|---|
| 5 | Alles aus Stufe 4, dazu kontinuierliche Überwachung des Lieferantenrisikos nach dem Onboarding. |
| 4 | Alles aus Stufe 3, dazu eine automatisierte Prüfung der Sicherheitsdokumente von Lieferanten. |
| 3 | Verzeichnis, Risikoeinstufungen und Fragebögen, die aus der Plattform an Lieferanten gehen. |
| 2 | Verzeichnis plus von Hand eingetragene Risikoeinstufungen. |
| 1 | Nur ein Lieferantenverzeichnis. |
| 0 | Nicht angeboten. |
CF
Anpassbarkeit
Gewichtung: 10 · Kann der Kunde die Plattform an Kontrollen und Frameworks anpassen, die sie nicht mitliefert?
Bei keinem Unternehmen passen die Kontrollen genau zu einem Framework. Individuelle Kontrollen, individuelle Frameworks und Kontrolltests, die für mehrere Frameworks zählen, entscheiden, wie viel vom echten Programm in die Plattform passt.
| Stufe | Beschreibung |
|---|---|
| 5 | Individuelle Frameworks, individuelle automatisierte Kontrolltests und eine Zuordnung der Kontrollen über Frameworks hinweg, sodass ein Kontrolltest mehrere erfüllt. |
| 4 | Individuelle Frameworks, dazu individuelle automatisierte Kontrolltests. |
| 3 | Individuelle Frameworks lassen sich aufbauen. |
| 2 | Individuelle Kontrollen und individuelle Richtlinien. |
| 1 | Individuelle Kontrollen lassen sich zu mitgelieferten Frameworks hinzufügen. |
| 0 | Keine individuellen Kontrollen oder Frameworks. |
US
Nutzerzufriedenheit
Gewichtung: 10 · Was berichten verifizierte Nutzerinnen und Nutzer, gewichtet nach ihrer Zahl?
Verifizierte Rezensionen zeigen, wie sich eine Plattform nach der Vertragsunterschrift bewährt. Die Menge zählt so viel wie der Durchschnitt: Eine 4,8 aus 30 Rezensionen bringt weniger Punkte als eine 4,6 aus 900.
| Stufe | Beschreibung |
|---|---|
| 5 | Durchschnitt 4,5 oder höher bei 200 oder mehr Rezensionen. |
| 4 | Durchschnitt 4,5 oder höher bei 25 bis 199 Rezensionen. |
| 3 | Durchschnitt 4,0 bis 4,4 bei 25 oder mehr Rezensionen. |
| 2 | Durchschnitt 3,5 bis 3,9 oder weniger als 25 Rezensionen, unabhängig vom Durchschnitt. |
| 1 | Durchschnitt unter 3,5. |
| 0 | Kein verifiziertes Rezensionsprofil auf einer unabhängigen Plattform. |
Punktebereiche
Die acht Kriterien ergeben zusammen 100 Punkte. Die Gesamtpunktzahl ordnet jede Plattform einem von fünf Bereichen zu.
| Bereich | Spanne | Bedeutung | Heutige Plattformen |
|---|---|---|---|
| Mangelhaft | 0 bis 34 | Ein gewichteter Durchschnitt unter 1,75 über die acht Kriterien; Stufe 0 bei Automatisierte Nachweise bedeutet: „Keine Integrationen. Nachweise werden von Hand hochgeladen“. | Noch keine bewertet |
| Eingeschränkt | 35 bis 54 | Ein gewichteter Durchschnitt von 1,75 bis 2,75 über die acht Kriterien; Stufe 1 bei Automatisierte Nachweise bedeutet: „Weniger als 50 veröffentlichte Integrationen“. | Thoropass (52) |
| Solide | 55 bis 69 | Ein gewichteter Durchschnitt von 2,75 bis 3,5 über die acht Kriterien; Stufe 2 bei Automatisierte Nachweise bedeutet: „50 bis 99 veröffentlichte Integrationen, mit automatisierten Kontrolltests“. | OneTrust (64) |
| Stark | 70 bis 84 | Ein gewichteter Durchschnitt von 3,5 bis 4,25 über die acht Kriterien; Stufe 3 bei Automatisierte Nachweise bedeutet: „100 bis 199 veröffentlichte Integrationen, mit kontinuierlichen automatisierten Kontrolltests“. | Sprinto (84), Vanta (82), Drata (76), Secureframe (75), Scrut (72) |
| Herausragend | 85 bis 100 | Ein gewichteter Durchschnitt von 4,25 oder höher über die acht Kriterien; Stufe 4 bei Automatisierte Nachweise bedeutet: „200 bis 299 veröffentlichte Integrationen, kontinuierliche Kontrolltests und eine öffentliche API oder ein Baukasten für eigene Integrationen“. | Noch keine bewertet |
Preistransparenz-Stufen
Jede Plattform wird zusätzlich einer von drei Stufen für die Veröffentlichung ihrer Preise zugeordnet. Die Stufe ist unabhängig von der Punktzahl.
| Stufe | Definition | Heutige Plattformen |
|---|---|---|
| Preis auf der Website | Der Anbieter nennt auf seiner Website einen Dollarpreis. | Secureframe |
| Nur Marketplace-Preis | Der Anbieter nennt auf seiner Website keinen Dollarpreis, ist aber auf einem Marketplace gelistet. | Sprinto, Vanta, Drata, Scrut, Thoropass |
| Nur auf Anfrage | Kein öffentlicher Preis. Kontaktieren Sie den Anbieter für ein Angebot. | OneTrust |
Änderungsprotokoll
v0.9 · 2026-10-11
Sechs Gesamtpunktzahlen ändern sich. Vanta steigt von 80 auf 82 Punkte: Lieferantenrisikomanagement von 4 auf 5 (vanta.com/products/third-party-risk-management, ein TPRM Agent überwacht Lieferanten laufend, als Add-on erhältlich). Die Anpassbarkeit bleibt bei 4, weil vanta.com/products/custom-frameworks eine Kontrolle mehreren Frameworks zuordnet, ohne zu sagen, dass ein Test mehrere erfüllt. Sprinto steigt von 82 auf 84 Punkte: Lieferantenrisikomanagement von 4 auf 5 (sprinto.com/pricing, Enterprise TPRM mit laufender Überwachung des Lieferantenrisikos und Warnungen bei Datenpannen). Secureframe steigt von 73 auf 75 Punkte: Lieferantenrisikomanagement von 1 auf 2 (secureframe.com/features/vendor-risk-management, Lieferantenprofile, Risikobewertungen und individuelle Risikowerte). Scrut steigt von 67 auf 72 Punkte und damit in die Stufe Stark: Audit-Anbindung von 2 auf 3 (scrut.io/post/human-element-compliance-scrut-automation, ein Partnernetzwerk von Auditoren mit namentlich genannten Audit-Partnern), Lieferantenrisikomanagement von 3 auf 5 (scrut.io/platform/vendor-risk-management, automatische Bewertung von Dokumenten und Überwachung von Daten zu Datenpannen) und Anpassbarkeit von 5 auf 4 (scrut.io nennt individuelle Frameworks, Kontrollen und Tests; die Zuordnung über Frameworks hinweg gilt für Kontrollen, derselbe Maßstab, der Vanta bei 4 hält). OneTrust steigt von 60 auf 64 Punkte: Automatisierte Nachweise von 4 auf 5 (onetrust.com/solutions/tech-risk-and-compliance, 500+ vorgefertigte Systemverbindungen). Thoropass steigt von 49 auf 52 Punkte: Framework-Abdeckung von 4 auf 5 (thoropass.com/platform/compliance-ai, Unterstützung von ISO 42001). Die Ränge bleiben unverändert: Sprinto, Vanta, Drata, Secureframe, Scrut, OneTrust, Thoropass. Eine Funktion zählt, wenn der Anbieter sie in irgendeinem Tarif oder Add-on nennt. Die Automatisierten Nachweise werden nach der größten Zahl an Integrationen gewertet, die ein Anbieter für das bewertete Produkt nennt, wobei „hundreds“ mit 200 zählt.
v0.9 · 2026-10-06
OneTrust aufgenommen und mit 60 Punkten bewertet. Framework-Abdeckung 4, Automatisierte Nachweise 4, Audit-Anbindung 2, Preistransparenz 1, Trust Center und Fragebögen 0, Lieferantenrisikomanagement 5, Anpassbarkeit 3 und Nutzerzufriedenheit 4. OneTrust steht auf Rang 6. Thoropass bleibt bei 49 Punkten und rutscht auf Rang 7.
v0.9 · 2026-10-04
Vanta neu bewertet: von 75 auf 80 Punkte. Audit-Anbindung von 2 auf 3, Anpassbarkeit von 3 auf 4.
v0.9 · 2026-10-04
Drata neu bewertet: von 73 auf 76 Punkte. Audit-Anbindung von 2 auf 3. Drata steht jetzt allein auf Rang 3. Secureframe bleibt bei 73 Punkten und steht auf Rang 4.
v0.9 · 2026-10-04
Scrut neu bewertet: von 63 auf 67 Punkte. Lieferantenrisikomanagement von 1 auf 3.
v0.9 · 2026-10-04
Thoropass neu bewertet: von 47 auf 49 Punkte. Trust Center und Fragebögen von 0 auf 4, Preistransparenz von 3 auf 0. Bei der Preistransparenz zählen nur Preise und Tarifdetails, die auf der Website des Anbieters stehen. Marketplace-Einträge und Preisseiten von Bewertungsportalen zählen nicht.
v0.9 · 2026-09-23
Erste Version. Acht Kriterien mit zusammen 100 Punkten.