Ihr ISMS gehört in europäische Hände.
Varmo speichert Ihre ISMS-Daten in einem Rechenzentrum in der Schweiz, inklusive Backups – bei einem Schweizer Anbieter ohne US-Mutterkonzern. Datenbank, Anmeldung und Virenprüfung betreiben wir selbst. So wissen Sie jederzeit, wo Ihre sensibelsten Informationen liegen und wer darauf zugreifen kann.
Ein ISMS ist die Landkarte Ihrer Schwachstellen.
In kaum einem anderen System steht so genau, wo eine Organisation verwundbar ist. Genau deshalb sollte klar sein, wer auf diese Daten zugreifen kann.
Risiken und Schwachstellen
Welche Systeme kritisch sind, welche Lücken noch offen sind und welche Risiken Sie bewusst tragen.
Sicherheitsvorfälle
Was passiert ist, welche Daten betroffen waren und wie Sie reagiert haben – oft bevor es öffentlich ist.
Lieferanten und Abhängigkeiten
Auf welche Dienstleister Sie angewiesen sind und wie Ihre Systeme zusammenhängen.
Nachweise und Richtlinien
Interne Vorgaben, Prüfberichte und Dokumente, die nicht für fremde Augen bestimmt sind.
Was der US CLOUD Act bedeutet.
Der CLOUD Act ist ein US-Gesetz aus dem Jahr 2018. Er verpflichtet Anbieter, die US-Recht unterstehen, auf Anordnung von US-Behörden Daten herauszugeben, die sie besitzen oder kontrollieren – unabhängig davon, ob diese Daten in den USA oder in einem anderen Land gespeichert sind (18 U.S.C. § 2713).
Ein Rechenzentrum in Frankfurt oder Zürich allein beantwortet die Frage also nicht. Entscheidend ist auch, wer den Anbieter kontrolliert. Gehört er zu einem Konzern mit Sitz in den USA, kann eine solche Anordnung auch Daten in Europa erfassen – und steht dann womöglich im Widerspruch zum Schweizer Datenschutzgesetz oder zur DSGVO.
Für ein ISMS ist das mehr als eine juristische Feinheit: Behörden, Banken, Spitäler und viele KMU müssen in ihrer Lieferantenbewertung darlegen, wer Zugriff auf ihre Daten erhalten könnte.
Quelle: 18 U.S.C. § 2713 (Cornell Law School). Keine Rechtsberatung.
So hält Varmo Ihre Daten in der Schweiz.
Keine Versprechen, sondern eine Architektur, die Sie nachprüfen können.
- Rechenzentrum in der SchweizInhalte, Konten, hochgeladene Dateien, Protokolle und Backups liegen ausschliesslich in einem Rechenzentrum in der Schweiz.
- Anbieter ohne US-MutterkonzernUnser Hosting-Anbieter ist ein Schweizer Unternehmen, dessen Stimmenmehrheit bei einer Stiftung liegt; es gibt keinen Mutterkonzern in den USA.
- Selbst betriebenDatenbank, Anmeldung, Virenprüfung und Fehlererfassung laufen auf unseren eigenen Servern – ohne Cloud-Dienste von US-Anbietern.
- Keine Tracker, keine KI-DiensteKeine Webanalyse, keine Schriften oder Skripte von fremden Servern. Varmo gibt Ihre Inhalte an keinen KI-Dienst weiter.
- Auch wir sehen nichts ohne Ihre FreigabeFür den Support geben Sie den Zugriff frei: höchstens 24 Stunden, nur lesend, jeder Zugriff protokolliert.
- Kein Lock-inAlle Daten Ihrer Organisation jederzeit als ZIP-Datei exportieren. Varmo ist auf bewährter Open-Source-Technologie aufgebaut; wir können den Hosting-Anbieter wechseln, ohne die Software zu ändern.
Was Sie davon haben.
Datenhoheit ist kein Selbstzweck. Sie spart Ihnen Aufwand und macht Ihre Antworten gegenüber Prüfern, Kunden und Aufsicht einfacher.
- Schnellere LieferantenbewertungISO/IEC 27001 (A.5.19–A.5.23), NIS2 und DORA verlangen, dass Sie Ihre Dienstleister bewerten. Standort, Eigentümerschaft und alle beteiligten Dienste finden Sie bei uns auf einer Seite – statt in langen Fragebögen.
- Einfacher Datenschutz für Organisationen in der SchweizIhre ISMS-Daten werden in der Schweiz gespeichert und bearbeitet. Das vereinfacht Ihr Verzeichnis der Bearbeitungstätigkeiten und Ihre Abklärungen zur Bekanntgabe ins Ausland (Art. 16 DSG).
- Einfach für Organisationen in der EUDie EU-Kommission anerkennt den Datenschutz der Schweiz als angemessen (Art. 45 DSGVO). Für die Übermittlung Ihrer Daten in die Schweiz brauchen Sie darum keine Standardvertragsklauseln.
- Passend für öffentliche Verwaltung und regulierte BranchenWo Vorgaben eine Datenhaltung in der Schweiz verlangen oder empfehlen, erleichtert Ihnen der Standort den Nachweis – gerade zusammen mit den Katalogen IKT-Grundschutz, FINMA-RS 2023/1 und Datensicherheit nach DSG/DSV.
- Vertrauen bei Ihren eigenen KundenWenn Ihre Kunden fragen, wo Sie Ihre Sicherheitsinformationen führen, haben Sie eine klare, belegbare Antwort.
Alle beteiligten Dienste.
Welche Dienste wofür im Einsatz sind, wo sie sitzen und welche Daten sie erhalten – für Ihre Lieferantenbewertung.
Rechenzentrum und Backups
zwingend- Zweck
- Betrieb von Varmo und Speicherung aller Daten, inklusive täglicher Backups
- Anbieter und Sitz
- Schweizer Hosting-Anbieter ohne US-Mutterkonzern, Rechenzentrum in der Schweiz
- Daten
- Alle Inhalte Ihrer Organisation, Konten, hochgeladene Dateien, Protokolle und Backups
Selbst betriebene Dienste
zwingend- Zweck
- Datenbank, Anmeldung, Virenprüfung, Fehlererfassung und Web Application Firewall
- Anbieter und Sitz
- Auf unseren Servern im selben Rechenzentrum (in der Schweiz)
- Daten
- Wie oben; keine Weitergabe an Dritte
Mailversand
zwingend- Zweck
- System-Mails wie Einladungen, Passwort-Links und Rechnungen
- Anbieter und Sitz
- Schweizer Anbieter, Versand aus der Schweiz
- Daten
- Namen, E-Mail-Adressen und Inhalt der System-Mails
Zahlungsdienst
nur bei Kartenzahlung- Zweck
- Kartenzahlung für ein Paket
- Anbieter und Sitz
- Stripe Payments Europe Ltd., Irland, Teil eines US-Konzerns
- Daten
- Firmenname, Rechnungsadresse und Rechnungs-E-Mail, Paket und Betrag; Kartendaten geben Sie direkt bei Stripe ein. Keine ISMS-Inhalte
Schnittstellen, die Sie einschalten
optional, ab Pro- Zweck
- Microsoft Entra ID (Single Sign-on), Teams, Intune, JIRA, ServiceNow
- Anbieter und Sitz
- Beim jeweiligen Anbieter, häufig mit Sitz in den USA
- Daten
- Intune, JIRA und ServiceNow liefern Daten nur lesend an Varmo. Teams erhält Meldungen ohne Titel oder Inhalte, nur Kennung und Link
Kalender-Abo, das Sie einschalten
optional, alle Pakete- Zweck
- Ihre Fristen aus „Meine Pendenzen“ in Outlook, Google Kalender oder Apple Kalender
- Anbieter und Sitz
- Bei Ihrem Kalenderdienst, häufig mit Sitz in den USA
- Daten
- Fristen mit Kennung und Link, Titel nur auf Ihren Wunsch
Für Domain, Zertifikate, Virensignaturen und Software-Updates beziehen wir Dienste und Software auch von Anbietern ausserhalb der Schweiz, teils aus den USA. Dabei gehen keine Inhalte Ihrer Organisation an diese Anbieter. System-Mails landen bei den Mailanbietern der Empfängerinnen und Empfänger.
Auch in Ihrer eigenen Infrastruktur möglich: Varmo läuft vollständig in Containern. Für das Paket Ultimate klären wir mit Ihnen Voraussetzungen, Betrieb und Updates. Individuelle Lösungen
Was wir bewusst nicht versprechen.
Absolute Aussagen wie „vor jedem Zugriff geschützt“ kann kein Anbieter seriös machen. Darum sagen wir offen, wo die Grenzen liegen:
- Auch Schweizer und europäische Anbieter müssen Anordnungen von Behörden befolgen, etwa über Rechtshilfe. Einen Schutz vor jedem behördlichen Zugriff kann niemand zusichern.
- Zahlen Sie mit Kreditkarte, erhält unser Zahlungsdienstleister Stripe (Stripe Payments Europe Ltd., Irland, Teil eines US-Konzerns) Ihre Rechnungsangaben, nie Ihre ISMS-Inhalte. Beim Kauf auf Rechnung gehen keine Daten an Stripe.
- Schnittstellen, die Sie selbst einschalten (z. B. Microsoft Entra ID, Teams, Intune, JIRA, ServiceNow, Kalender-Abo), verbinden Varmo mit dem jeweiligen Anbieter; dafür gelten dessen Bedingungen.
- Für Domain, Zertifikate, Virensignaturen und Software-Updates beziehen wir Dienste auch von Anbietern ausserhalb der Schweiz, teils aus den USA – ohne Inhalte Ihrer Organisation.
Häufige Fragen.
- Schützt Varmo meine Daten vor Zugriffen nach dem CLOUD Act?
- Ein solches Versprechen kann kein Anbieter seriös abgeben, denn die Reichweite ausländischer Gesetze ist eine Rechtsfrage. Belegen können wir: Ihre ISMS-Daten liegen in der Schweiz, unser Hosting-Anbieter hat keinen US-Mutterkonzern, und Datenbank, Anmeldung und Virenprüfung betreiben wir selbst – ohne Cloud-Dienste von US-Anbietern.
- Liegen auch die Backups in der Schweiz?
- Ja. Backups der Datenbank und der Dateien liegen ebenfalls in der Schweiz; Aufbewahrung 7 Tage (tägliche Sicherung auf dem Server und tägliche Kopie des Datenspeichers beim Hosting-Anbieter, beide in der Schweiz).
- Gilt das auch für Organisationen in der EU?
- Ja. Die Schweiz hat einen Angemessenheitsbeschluss der EU-Kommission. Daten aus der EU dürfen darum ohne zusätzliche Garantien wie Standardvertragsklauseln in die Schweiz übermittelt werden.
- Wer hat bei Varmo Zugriff auf unsere Daten?
- Nur die Personen Ihrer Organisation, je nach ihren Rechten. Wir als Betreiber sehen Inhalte nur, wenn Sie den Support-Zugriff freigeben – befristet auf höchstens 24 Stunden, nur lesend und protokolliert.
- Können wir Varmo in der eigenen Infrastruktur betreiben?
- Varmo läuft vollständig in Containern. Für das Paket Ultimate klären wir mit Ihnen Voraussetzungen, Betrieb und Updates.
Ihr ISMS. Ihre Daten. In der Schweiz.
Testen Sie 30 Tage kostenlos mit allen Funktionen oder lassen Sie sich die Lösung in einer Demo zeigen.