Vanta verbindet sich mit Cloud-, Identitäts-, Code- und Gerätetools, um Prüfnachweise zu sammeln, stündlich Kontrolltests auszuführen und Richtlinien, Sicherheitsfragebögen und Lieferantenrisiken über mehr als 35 Frameworks zu verwalten. Das Audit selbst führt weiterhin ein unabhängiger Auditor durch.
Hast du dieses Tool genutzt? Bewerte es
Hast du dieses Tool genutzt? Bewerte es
Vanta ist eine Compliance-Plattform, die Sicherheitsnachweise aus den Systemen sammelt, die ein Unternehmen bereits betreibt, Kontrollen fortlaufend testet und die Arbeit hinter Frameworks wie SOC 2, ISO 27001, HIPAA und DSGVO organisiert. Käufer sind Unternehmen, die ihre Sicherheitslage gegenüber Kunden, Prüfern oder Aufsichtsbehörden nachweisen müssen.
Vanta wurde 2018 gegründet, und das erste Produkt automatisierte die Sicherheitsüberwachung für Compliance-Standards wie SOC 2, HIPAA und ISO 27001. CEO Christina Cacioppo gründete das Unternehmen, nachdem sie als Leiterin von Dropbox Paper den manuellen SOC-2-Prozess durchlaufen hatte, und Vanta nennt Sequoia Capital, Craft Ventures, Y Combinator, J.P. Morgan und Goldman Sachs unter seinen Geldgebern. Heute beschreibt das Unternehmen das Produkt als Agentic Trust Platform und gibt an, dass ihm über 16.000 Kunden vertrauen, vom Start-up bis zum Großunternehmen.
Wer Compliance-Automatisierung für SOC 2 prüft, sollte vor allem auf eine Grenze achten: wer den Bericht ausstellt. Vanta sammelt Nachweise, überwacht Kontrollen und bietet den Rahmen für die Prüfung durch den Auditor, während das Testat von einer separaten Prüfungsgesellschaft stammt: Laut Vanta stellt das Unternehmen Kunden geprüfte, unabhängige Auditoren vor, die bei der Abstimmung von Umfang und Zeitplan helfen. Auch die Abonnementbedingungen beschreiben den Dienst als Werkzeuge, die bei Compliance-Pflichten unterstützen, und nicht als Übertragung von Verantwortung, wie unter Einschränkungen erläutert.
Die Module von Vanta teilen sich eine Datenschicht. Integrationen speisen automatisierte Tests, Testergebnisse werden zu Prüfnachweisen, und dieselben Nachweise und Richtlinien werden in Fragebögen, im Trust Center und bei Lieferantenprüfungen wiederverwendet. Mehrere KI-Funktionen, etwa Antworten auf Fragebögen, erzeugen Entwürfe, die eine Person prüft und freigibt.
Zugriffsprüfungen ziehen Kontodaten automatisch ab, damit Teams Benutzerzugriffe prüfen und neue Anfragen verfolgen können, mit dem Ziel, dass nur genehmigte Benutzer sensible Systeme und Tools erreichen. Access Management erscheint erstmals auf der Karte des Plus-Plans (siehe Preise).
Die Automatisierung von Sicherheitsfragebögen stützt sich auf eine Wissensdatenbank aus früheren Fragebögen und der in Vanta gespeicherten Sicherheitsdokumentation. Gibt es eine exakte Übereinstimmung, verwendet Vanta diese Antwort wieder; andernfalls entwirft Vanta AI eine Antwort mit Quellenangaben in der gewünschten Länge und Tonalität, die eine Person prüft und freigibt. Vanta gibt an, dass seine KI im Durchschnitt 80 % oder mehr der Sicherheitsfragen automatisch beantwortet und die Antworten in bis zu 95 % der Fälle akzeptiert werden, und fügt hinzu, dass die Ergebnisse je nach den Informationen in der Wissensdatenbank variieren können. Automatisierte Antworten gibt es auch auf Spanisch, Französisch, Deutsch und Portugiesisch.
Das Trust Center ist eine kundenseitige Seite für Sicherheitsdokumente und den Compliance-Status. Besucher können eine Frage eingeben, und Vanta AI fasst eine Antwort aus den in diesem Trust Center veröffentlichten Informationen zusammen.
Auf der Lieferantenseite zieht Vanta Befunde aus den SOC-2-Berichten, DPAs und Fragebögen der Lieferanten, und sein TPRM Agent überwacht die Lieferantenlandschaft fortlaufend auf Sicherheitsverletzungen, neue Bedrohungen und wesentliche Änderungen.
Auditoren können in der Plattform arbeiten. Vanta behauptet, der einzige Anbieter zu sein, der Auditoren Zugriff auf die Quelldaten der Tests gibt, sodass sie automatisierte Tests ohne Screenshots verifizieren können; Kunden wählen aus, welche Daten der Auditor sieht, und behalten so die Kontrolle über den Prüfungsumfang. Ein Unternehmen kann einen bereits beauftragten Auditor behalten oder einen aus dem Netzwerk von Prüfungsgesellschaften wählen, das Vanta anbietet.
Ein Vanta-Programm durchläuft in der Regel die folgenden Phasen, von der Einrichtung bis zum fortlaufenden Zyklus nach dem ersten Bericht:
Vanta wirbt direkt bei Gründern, die schnell einen SOC-2-Bericht brauchen, aber wenig Zeit und Ressourcen haben, und verspricht, den Prozess zu automatisieren und sie fit für große Deals zu machen.
Ein Unternehmen, das bereits SOC 2 hat, kann diese Nachweise für ISO 27001, HIPAA, DSGVO und andere Frameworks wiederverwenden, und Vanta zeigt, welche Anforderungen bereits abgedeckt sind.
Sicherheitsfragebögen können als Tabelle, als Dokument oder über ein Drittanbieterportal eintreffen. Antworten werden in Vanta entworfen und geprüft und dann im Originalformat zurückgegeben.
Das Trust Center teilt wichtige Dokumente mit Kunden und Interessenten und automatisiert dabei die Prüf- und Freigabeschritte. Vanta berichtet, 93 % der Zugriffsfreigaben und 86 % der NDA-Einholung zu automatisieren, und weist darauf hin, dass die Ergebnisse je nach Kunde variieren können.
Der TPRM Agent entdeckt neu eingeführte Lieferanten und verbindet sich mit bestehenden Beschaffungssystemen, um Schatten-IT und KI-Blindstellen zu verringern.
Vanta verkauft an Unternehmen von Start-ups in der Frühphase bis zu Großunternehmen und schnürt sein Angebot nach Unternehmensgröße und Branche.
Gut geeignet
Weniger geeignet
Die Preise von Vanta werden auf der Preisseite nicht angezeigt: Käufer fordern eine Demo an und erhalten ein individuelles Angebot, daher ist unten kein Planpreis aufgeführt. Die Plankarten beschreiben vier Stufen:
| Plan | Preis | Dokumentierte Leistungen | Fragebogen-Automatisierung |
|---|---|---|---|
| Essentials | Nicht angezeigt | Ein Compliance-Framework mit agentischem Richtliniengenerator, automatisierter Nachweiserfassung, Auditor API und Trust Center | Nicht auf der Plankarte aufgeführt |
| Plus | Nicht angezeigt | Alles aus Essentials plus automatisiertes Richtlinien-Onboarding und Access Management | 25 Fragebögen pro Jahr |
| Professional | Nicht angezeigt | Alles aus Plus plus anpassbares Risikomanagement, ein Advanced Trust Center und benutzerdefinierte Überwachungstests | 144 Fragebögen pro Jahr |
| Enterprise | Nicht angezeigt | Ein vollständig anpassbares Paket für fortgeschrittene GRC-Anforderungen | Nicht angegeben |
Die Vertragsbedingungen legen Verlängerungs- und Erstattungsregeln fest, die die Plankarten nicht zeigen. Legt ein Bestellformular keinen Leistungszeitraum fest, läuft dieser ein Jahr, und Abonnements verlängern sich automatisch um jeweils ein weiteres Jahr, sofern der Kunde nicht mindestens 30 Tage vor Ende des laufenden Zeitraums kündigt. Zahlungsverpflichtungen sind nicht stornierbar und Gebühren nicht erstattungsfähig, sofern der Vertrag nichts anderes vorsieht, etwa eine anteilige Erstattung im Voraus bezahlter, ungenutzter Gebühren, wenn der Kunde wegen einer nicht behobenen wesentlichen Vertragsverletzung durch Vanta kündigt. Auch der Support ist gestaffelt: Die Ziele für die Erstreaktion bei den schwersten Tickets (Sev 1) liegen bei 3 Geschäftsstunden im Standard Support und 1 Stunde im Premium Support.
Für das Audit selbst gibt Vanta an, dass die Kosten vom Umfang, der Unternehmensgröße und davon abhängen, ob es sich um einen SOC-2-Bericht nach Type I oder Type II handelt, und dass Vanta Kunden mit geprüften Prüfungsgesellschaften für wettbewerbsfähige Angebote zusammenbringt.
Auf Shortlists mit Alternativen zu Vanta stehen meist andere Compliance-Automatisierungsplattformen derselben Kategorie. Der wichtigste strukturelle Unterschied zwischen ihnen ist, ob das Audit vom Softwareanbieter oder von einer externen Gesellschaft kommt.
Vanta überlässt das Testat dagegen einer unabhängigen Gesellschaft, die der Kunde entweder selbst mitbringt oder aus dem Netzwerk von Vanta auswählt.
Nach denselben Bedingungen nutzt der Kunde KI-Ausgaben auf eigenes Risiko: Dieselbe Eingabe kann von Nutzung zu Nutzung unterschiedliche Ausgaben erzeugen, und Ausgaben sind möglicherweise nicht korrekt, zuverlässig oder für eine bestimmte Anforderung geeignet. Kunden sind dafür verantwortlich, vor dem Verlassen auf eine Ausgabe zu entscheiden, ob sie geeignet ist.
Unabhängige Sicherheitsberichterstattung vom Juni 2025 beschrieb einen Fehler bei Vanta, verursacht durch eine Änderung am Produktcode und nicht durch einen Einbruch, der private Daten einiger Kunden für andere Vanta-Kunden offenlegte; Vanta erklärte, dass weniger als 4 % der Kunden betroffen waren und benachrichtigt wurden.
Während einer Testphase bereitgestellte Informationen unterliegen nach deren Ende der dauerhaften Löschung, sofern der Kunde kein Bestellformular für dieselben Dienste unterzeichnet.
Type I prüft, ob zu einem bestimmten Zeitpunkt die richtigen Kontrollen vorhanden sind, Type II dagegen, ob sie über einen Zeitraum funktionieren. Vanta empfiehlt Type I für Tempo und Type II, wenn Kunden eine fortlaufende Zusicherung erwarten, und unterstützt beides.
Die eigene Antwort von Vanta auf diese Frage nennt keine feste Dauer für den Weg von null bis zu einem SOC-2-Type-II-Bericht; sie besagt, dass der genaue Zeitplan von Programmumfang und Tempo abhängt.
Ja. Vanta unterhält ein eigenes SOC-2-Type-II-Testat und eine ISO-27001-Zertifizierung und stellt Bericht und Zertifikat über sein Trust Center bereit.
Die Bedingungen von Vanta sehen Trial Services (Testdienste) vor, die erst nach Genehmigung des Kunden verfügbar werden und so lange laufen, bis der mitgeteilte Testzeitraum endet, eine kostenpflichtige Bestellung beginnt oder Vanta die Testphase beendet.
