Sicherheit bei True Aim

Zuletzt aktualisiert: 2026-10-31

Schwachstelle melden: security@trueaim.ai. Wir bestätigen Meldungen innerhalb von 5 Werktagen. Siehe Responsible Disclosure.

Die True Aim AG betreibt eine Plattform zur Schadenbearbeitung für Versicherer, Makler und jede Organisation in der Versicherungs-Wertschöpfungskette, die Schäden bearbeitet oder verarbeitet. Sicherheit ist eine Kernanforderung unseres Dienstes, und unsere Kunden vertrauen uns personenbezogene Daten ihrer Versicherungsnehmer an. Diese Seite beschreibt unser Sicherheitsprogramm im Überblick. Vollständige prüfungsfähige Nachweise (SOC-2-Type-II-Bericht nach Ausstellung, ISO-27001-Zertifikat, Liste der Unterauftragsverarbeiter, Auftragsverarbeitungsvertrag) erhalten Sie über security@trueaim.ai. Diese sind unter Vertraulichkeitsvereinbarung (NDA) erhältlich.

Compliance-Rahmenwerke

ISO/IEC 27001:2022: zertifiziert durch A-LIGN, Zertifikat ISMS-TR-090426, ausgestellt am 4. September 2026, gültig bis 4. September 2029.
SOC 2 Type II: auditiert für den Prüfzeitraum vom 1. Mai bis 31. Juli 2026; der Abschlussbericht wurde ausgestellt.
Schweizer DSG und DSGVO: als Auftragsverarbeiter für Kundendaten daran ausgerichtet.
EU AI Act: technische Dokumentation (AI Technical File) für den Automated Coverage Check wird geführt; der aktuelle Stand der Vorbereitung ist dokumentiert und wird nachverfolgt.

Wo Daten verarbeitet werden

Kundendaten im Ruhezustand werden auf Microsoft Azure in der Region Switzerland North gespeichert. Hosting und KI-Inferenz bleiben in der Schweiz, im EWR oder im Vereinigten Königreich; Ausnahmen sind in der Liste der Unterauftragsverarbeiter aufgeführt, Anhang 2 unseres Auftragsverarbeitungsvertrags.

Unterauftragsverarbeiter

Wir nutzen eine begrenzte Auswahl von Microsoft-Azure-Diensten für Hosting, KI-Inferenz und Betriebstelemetrie sowie Google Cloud (Gemini-Modelle für KI-Inferenz in der EU), Google Workspace (für geschäftliche E-Mail), Slack (für die interne Teamkommunikation) und Sentry (ausschließlich technische Fehlerprotokolle). Die aktuelle Liste bildet Anhang 2 unseres Auftragsverarbeitungsvertrags und ist auf Anfrage erhältlich. Über Änderungen informieren wir Kunden im Voraus. Rein interne Werkzeuge (Quellcodeverwaltung, CI/CD, CRM), die keine Produktionsdaten von Mandanten verarbeiten, sind keine Unterauftragsverarbeiter für Kunden und nicht aufgeführt.

Verschlüsselung

Alle Daten werden bei der Übertragung (TLS 1.2 oder höher) und im Ruhezustand (AES-256 über die Azure-Plattformverschlüsselung) verschlüsselt. Anwendungsgeheimnisse werden in Azure Key Vault gespeichert, mit aktiviertem Soft-Delete und Purge-Schutz.

Zugriffskontrolle

Der Zugriff auf Kundendaten ist auf befugtes Personal von True Aim beschränkt, nach dem Prinzip der geringsten Rechte und dem Need-to-know-Prinzip, durchgesetzt über rollenbasierte Zugriffskontrollen und Azure Managed Identities. Multi-Faktor-Authentifizierung ist für alle Mitarbeiterkonten verpflichtend.

Monitoring und Incident Response

Wir betreiben kontinuierliches Logging, Alarmierung und Monitoring der Produktionsumgebung über Microsoft Defender for Cloud und Azure Monitor. Wir unterhalten ein dokumentiertes Verfahren für die Reaktion auf Sicherheitsvorfälle. Kunden werden über bestätigte Sicherheitsvorfälle, die ihre Daten betreffen, unverzüglich und gemäß unserem Auftragsverarbeitungsvertrag informiert.

Schwachstellenmanagement

Wir überwachen unsere Softwareabhängigkeiten und unsere Infrastruktur durch automatisiertes Scannen und Microsoft Defender auf bekannte Schwachstellen. Befunde werden anhand dokumentierter Schweregrad-SLAs priorisiert. Wir beauftragen regelmäßig externe Penetrationstester.

Personalsicherheit

Alle Mitarbeitenden durchlaufen eine Hintergrundprüfung, akzeptieren Vertraulichkeitspflichten und absolvieren Schulungen zu Sicherheits- und Datenschutzbewusstsein.

Geschäftskontinuität

Kundendaten werden nach einem festen Zeitplan gesichert, mit dokumentierten Wiederherstellungsverfahren. Unsere Verfahren zur Notfallwiederherstellung testen wir regelmäßig.

Responsible Disclosure

Wenn Sie glauben, eine Sicherheitsschwachstelle in unserem Dienst oder auf dieser Website gefunden zu haben, melden Sie sie bitte an security@trueaim.ai. Wir verpflichten uns, Ihre Meldung innerhalb von 5 Werktagen zu bestätigen und mit Ihnen in gutem Glauben zusammenzuarbeiten, um bestätigte Probleme zu untersuchen und zu beheben. Wir werden keine rechtlichen Schritte gegen Forschende einleiten, die diesem Offenlegungsprozess folgen, in gutem Glauben handeln und nicht über das zum Nachweis einer Schwachstelle Notwendige hinaus auf Daten zugreifen, sie verändern oder löschen. Siehe auch unseren Kanal Ethik & Meldungen für Fehlverhalten ohne Sicherheitsbezug.

Kontakt

Für sicherheitsbezogene Fragen: security@trueaim.ai. Für Anfragen zum Datenschutz: privacy@trueaim.ai.