Im Rexfin Trust Center: Was wir heute belegen können – und was noch nicht

Ein bankennahes Finanzteam, das einen Anbieter für alles bewertet, was echte Finanzberichte berührt, beginnt nicht mit einer Produktdemo. Es beginnt damit, dass ein Sicherheits- oder Rechtsausschuss Beweise verlangt – und für einen Anbieter, der einen CFO bittet, sensible Unterlagen durch eine KI-Pipeline zu schicken, fallen diese Fragen schärfer aus als üblich. Rexfins Trust Center existiert, um sie zu beantworten, bevor sie in einer laufenden Verhandlung gestellt werden, denn „das kläre ich und melde mich” ist genau der Punkt, an dem ein Deal still ins Stocken gerät.

Die reale Kontrolle nennen, die reale Lücke nennen – im selben Satz

Intern bewerten wir unsere eigenen Sicherheitskontrollen gegen die vollständige Checkliste von ISO 27001:2022 Annex A. Öffentlich gilt für jede Aussage auf der Trust-Seite eine einzige Regel: den realen, tatsächlich funktionierenden Teil einer Kontrolle als wahr benennen und die konkrete Lücke klar aussprechen – im selben Satz. Nie ein bloßes Status-Label, nie Schweigen darüber, was fehlt.

In der Praxis sieht das so aus: Passwörter werden mit einem modernen, speicherintensiven Algorithmus gehasht und nie im Klartext gespeichert; Multi-Faktor-Authentifizierung haben wir noch nicht eingeführt, sie steht aber auf unserer kurzfristigen Roadmap. Oder: Nächtliche Backups laufen, und vollständige Wiederherstellungen wurden erfolgreich getestet; diese Backups liegen aber noch nicht auf einer von der Primärdatenbank getrennten Infrastruktur, weshalb unser Recovery Point heute in Stunden gemessen wird, nicht in Sekunden. Eine Übertreibung auf dieser Seite wäre für uns schlimmer als eine späte Auslieferung, denn der erste skeptische Prüfer, der eine Lücke zwischen unseren Aussagen und der Realität entdeckt, schadet dauerhaft genau dem, was unser Produkt eigentlich garantieren soll.

Dieselbe Disziplin gilt für unseren KI-Unterauftragsverarbeiter. Wir nutzen ein KI-Modell eines Drittanbieters, um Daten aus Dokumenten zu extrahieren, und solange die Auftragsverarbeitungsvereinbarung für diese Beziehung nicht vollständig unterzeichnet und offengelegt ist, listen wir sie nicht auf einer öffentlichen Unterauftragsverarbeiter-Liste, als wäre die Beziehung bereits formalisiert – das wäre selbst eine falsche Behauptung, schlimmer als der aktuelle Platzhalter. Bis dahin bekommt ein ernsthafter Käufer das reale, aktuelle Bild direkt unter NDA. Mehr dazu, wie wir diese Beziehung steuern, unter Governance der LLM-Anbieter.

ISO 27001, nicht SOC2 – und warum

Für GCC-Käufer und staatsnahe Käufer ist ISO 27001 das anerkanntere Signal; SOC2 zählt vor allem für US-geprägte Käufer und ist nicht unser Standardziel. Unser Informationssicherheits-Managementsystem – Richtlinien, eine vollständige Kontrollbewertung, ein lebendes Risikoregister – ist heute vollständig, die formale Zertifizierung durch Dritte hat aber noch nicht begonnen. Genau das sagen wir: ein vollständiges ISMS, ausgerichtet an ISO 27001:2022, mit geplanter Zertifizierung, sobald ein Engagement sie erfordert. Wir sagen nicht „Zertifizierung läuft”, weil das ein bereits gebuchtes Audit suggerieren würde – das gibt es nicht. Die Formulierung auf der gesamten Seite lautet „ausgelegt auf ISO-konforme Kontrollen”, nie die Behauptung eines Zertifikats, das wir nicht besitzen.

Fertige Antworten statt unangenehmes Schweigen

In fast jedem ernsthaften Beschaffungsgespräch tauchen ein paar Fragen auf, bevor das zugrunde liegende Artefakt vollständig existiert: Gibt es einen unabhängigen Penetrationstest-Bericht, sind Sie versichert, können Sie Kundenreferenzen teilen. Unsere Antwort auf jede dieser Fragen ist konkret statt ausweichend. Beim Pentest: den Anbieter nennen, das gebuchte Datum nennen, auf unser eigenes fortlaufendes automatisiertes Sicherheitstesting verweisen, das in der Zwischenzeit sauber läuft. Bei der Versicherung: Deckung ist ein hartes Gate, an das wir uns selbst halten, bevor wir einen Vertrag unterschreiben – wir unterschreiben nicht, bevor die Police gebunden ist, und teilen das Zertifikat in dem Moment, in dem sie es ist. Bei Referenzen sagen wir klar, dass wir früh dran sind und noch keine lange Kundenliste haben, statt auszuweichen.

Außerdem pflegen wir einen vorausgefüllten Sicherheitsfragebogen – das Format, das die meisten GCC-Käufer akzeptieren, bevor sie ein formales Zertifikat verlangen –, direkt aus unserer realen Kontrollbewertung aufgebaut. Für die Mechanik dahinter, wie eine zitierte Zahl geprüft wird, bevor sie in eine Antwort gelangt, siehe wie Verifizierung funktioniert.

Was passiert, wenn es uns nicht mehr gibt

Jeder kleine Anbieter, der zwischen Ihrer Buchhaltung und Ihrem Board-Pack sitzt, sollte mit dieser Frage rechnen. Die ehrliche Position heute: Eine Kontinuitätsplanung, die einer benannten zweiten Person erlaubt, im Notfall einzuspringen, ist eine Zusage, auf die wir aktiv hinarbeiten, noch keine vollständig personell hinterlegte Realität – das sagen wir klar, statt mehr Abdeckung anzudeuten, als existiert. Was wir unabhängig davon jetzt schon zusagen: Ihre Daten bleiben exportierbar in einem nutzbaren Format, egal was mit uns passiert. Siehe Datenaufbewahrung und Löschung und Überblick über die Sicherheitsarchitektur.

Warum das mehr zählt als ein Badge

Ein Trust Center voller Logos und Zertifizierungs-Badges lässt sich leicht produzieren. Eines, das präzise sagt, was real ist, was teilweise ist und was noch auf der Roadmap steht, ist schwerer zu schreiben und langsamer aufzubauen – aber es ist die einzige Version, auf die sich ein skeptisches Rechtsteam tatsächlich verlassen kann. Genau denselben Maßstab legen wir an den Rest der Rexfin-Plattform an.