Fall 2026-002 · bestätigt · eröffnet 28.08.2026 · Anbieter: GreenPT
GreenPT: „ISO 27001 — Verified by independent audit“ im Footer, Zertifikat gehört den Rechenzentren
Kurz: Der Footer jeder GreenPT-Seite führt „ISO 27001“ unter der Überschrift „Verified by independent audit“, die Startseite spricht von „Audited certifications … Not marketing“. Die eigene Sustainability-Seite, deren FAQ und die Privacy Policy sagen dreimal übereinstimmend: Die ISO-27001-Zertifizierung gehört den genutzten Rechenzentren (Scaleway, Verda), nicht GreenPT BV. Ein Rechenzentrums-Zertifikat deckt das Informationssicherheits-Managementsystem des Anbieters selbst nicht ab.
Die Behauptung
„Verified by independent audit — GDPR compliant · ISO 27001 · EU Hosted · 100% Renewable energy“
SHA-256 der abgerufenen Seite:
b058451bc5ba67671cc180486746ac47f69398a1d73c490320d601126e87b845„Independently verified — Built to European standards. Audited certifications, open code, and verifiable claims. Not marketing.“
SHA-256 der abgerufenen Seite:
b058451bc5ba67671cc180486746ac47f69398a1d73c490320d601126e87b845Der Beleg
„ISO Certified Facilities — Our data centers maintain ISO 50001 and ISO 27001 certifications for energy management and information security.“
SHA-256 der abgerufenen Seite:
739e98fc7be11b49c9143cd518f3372af5d2532744d9bbad54210a9e8db4d68c„What sustainability and security certifications does the infrastructure hold? The data centers we run on maintain ISO 50001 (energy management) and ISO 27001 (information security) certifications, audited regularly by independent third parties.“
SHA-256 der abgerufenen Seite:
739e98fc7be11b49c9143cd518f3372af5d2532744d9bbad54210a9e8db4d68c„ISO 27001, ISO 50001 and HDS certified infrastructure“
SHA-256 der abgerufenen Seite:
1abaa32054815140ba996d75743887c790e7e8f169d653cd239fd73d4f3d8139Worin der Widerspruch besteht
Der Footer stellt „ISO 27001“ als Eigenschaft von GreenPT dar, die „by independent audit“ bestätigt sei — an der Stelle, an der Besucher Vertrauenssiegel erwarten, und ohne Verweis auf ein Dokument. Nach GreenPTs eigenen Angaben an drei anderen Stellen ist aber nicht GreenPT BV zertifiziert, sondern die Rechenzentren von Scaleway und Verda. ISO 27001 zertifiziert ein Informationssicherheits-Managementsystem mit definiertem Geltungsbereich. Das Zertifikat eines Rechenzentrumsbetreibers erfasst dessen Gebäude, Netz und Betrieb — nicht die Anwendung, das Personal, die Zugriffsprozesse und die Entwicklung des Unternehmens, das dort mietet. Ein eigenes Zertifikat von GreenPT BV beansprucht keine der drei Seiten, und wir haben keines gefunden. Beide Darstellungen — „unser Badge, unabhängig auditiert“ und „das Zertifikat unserer Rechenzentren“ — können nicht zugleich für GreenPT selbst gelten.
Was dieser Fall nicht heißt
Dies ist kein Vorwurf der Täuschung, und es ist kein Zweifel an der Infrastruktur. GreenPT ist in diesem Punkt ungewöhnlich offen: Die Sustainability-Seite benennt die Zertifikatsinhaber klar, verlinkt den Scaleway Impact Report und das Verda Trust Center, und räumt an anderer Stelle ein, was sich nicht verifizieren lässt. Dass Scaleway und Verda ISO-27001-zertifiziert sind, ist plausibel und wird hier nicht bestritten. Der Fall betrifft ausschließlich die Zuordnung: Ein Badge im eigenen Footer unter „Verified by independent audit“ liest sich als Zertifikat des Anbieters. Ob ein Kunde mit einem zertifizierten Rechenzentrum und einem unzertifizierten Anbieter gut bedient ist, bewerten wir nicht — das hängt vom Einsatz ab.
Was den Fall ausräumt
- GreenPT ergänzt das Footer-Badge um die Zuordnung (z. B. „ISO 27001 certified infrastructure“ oder „Hosted in ISO 27001 certified data centers“) und verlinkt die Zertifikate von Scaleway und Verda. Dann ist der Widerspruch ausgeräumt.
- GreenPT BV legt ein eigenes ISO-27001-Zertifikat mit Geltungsbereich vor. Dann ist das Badge richtig, der Eintrag wird auf „belegt“ gesetzt und der Widerspruch ist ausgeräumt.
- GreenPT legt dar, warum beide Darstellungen zugleich zutreffen. Wir veröffentlichen die Erklärung wörtlich und prüfen sie.
Antwort des Anbieters
Dear Felix, Thank you for the heads-up and for the transparent way the case is framed. Your reading is correct, and we would rather document the fix than dispute the finding. What happened: the footer badge is intended to refer to the certifications of the infrastructure we run on — Scaleway SAS (France) and Verda (Finland), both ISO 27001 certified, which our sustainability page attributes correctly and links via the Scaleway Impact Report and the Verda Trust Center. The badge as rendered, under "Verified by independent audit", does not carry that attribution. We agree that as it stands it reads as GreenPT BV's own certificate, and we do not yet hold one. GreenPT BV is currently in the certification process for its own ISO 27001 (and ISO 9001), including an external penetration test. Expected completion is within the coming months. As soon as the certificate with its scope is issued, we will send it to you so the entry can be marked "belegt" and the case "resolved". To be explicit for the record: GreenPT BV does not hold its own ISO 27001 certificate today. The only ISO 27001 certificates covering our service relate to our data centre providers. You may quote this reply verbatim on the case page. Please publish the corrected footer wording once live, and we will confirm the exact URL. Best regards, Robert Keus Founder & CEO GreenPT
Anmerkung belegbar.eu: Wörtlich und ungekürzt; weggelassen sind nur Telefonnummer und Link-Zeilen der Signatur sowie die interne Weiterleitung unserer E-Mail, die unter der Antwort zitiert war. GreenPT bestätigt den Befund: kein eigenes ISO-27001-Zertifikat von GreenPT BV, das Badge bezieht sich auf Scaleway und Verda. Angekündigt sind eine korrigierte Footer-Formulierung (Auflösungsweg 1) und, nach Abschluss der laufenden Zertifizierung, das eigene Zertifikat mit Geltungsbereich (Auflösungsweg 2). Der Footer zeigte am 01.09.2026 noch den bisherigen Wortlaut. Der Status beschreibt die Website, nicht die Absicht: Weil die Antwort den Widerspruch bestätigt und die Seite unverändert ist, steht der Fall seit 02.09.2026 auf „bestätigt“ (Anbieter bestätigt den Befund, Korrektur angekündigt). Er wird auf „ausgeräumt“ gesetzt, sobald die Korrektur live ist. Das Profil-Feld ISO 27001 bleibt bis dahin „beansprucht“.
Verlauf
| 20.08.2026 | Bei der Erstprüfung des Profils notiert: Footer-Badge ISO 27001, Sustainability-Seite ordnet das Zertifikat den Rechenzentren zu. Feld als „beansprucht“ geführt. |
| 26.08.2026 | Startseite, Sustainability-Seite, Privacy Policy und Terms of Service erneut abgerufen; Wortlaut wie am 20.08. Inhalte per SHA-256 gesichert, drei Seiten im Internet Archive gespeichert. Fall vorbereitet, noch nicht veröffentlicht. |
| 28.08.2026 | Startseite erneut abgerufen, Byte-identisch mit der Kopie vom 26.08. (gleicher SHA-256). Anbieter per E-Mail (mail@greenpt.ai) mit dem vollständigen Text des Falls informiert. Antwortfrist bis 11.09.2026. |
| 01.09.2026 | Antwort des Anbieters (Robert Keus, Founder & CEO, 12:57 UTC) eingegangen und wörtlich eingetragen. GreenPT bestätigt: kein eigenes Zertifikat, Footer wird korrigiert, eigenes Zertifikat nach laufender Zertifizierung. Startseite erneut abgerufen: Footer unverändert. Status auf „beantwortet“ gesetzt. |
| 01.09.2026 | Dem Anbieter geantwortet (13:53 UTC): Veröffentlichung der Antwort mitgeteilt, Status-Logik erläutert (ausgeräumt, sobald der korrigierte Footer live ist; Profil-Feld belegt, sobald ein eigenes Zertifikat mit Geltungsbereich vorliegt), um die URL der Korrektur gebeten. Keine Vorgabe zum Wortlaut. |
| 02.09.2026 | Kurze Empfangsbestätigung des Anbieters vom 01.09. (Robert Keus, 14:03 UTC: „Thanks Felix.“) im Postfach; ohne inhaltliche Angabe, daher nicht als Antwort geführt. Startseite erneut abgerufen (02.09., 17:37 UTC): Footer unverändert, „Verified by independent audit … ISO 27001“ ohne Zuordnung. Snapshot: https://web.archive.org/web/20260902174027/https://greenpt.com/. Status bleibt „beantwortet“. |
| 02.09.2026 | Status auf „bestätigt“ gesetzt: Die Antwort des Anbieters bestätigt den Widerspruch und räumt ihn nicht aus, der Footer ist unverändert. Anmerkung: Anbieter bestätigt den Befund, Korrektur angekündigt. Dem Anbieter vorab mit kurzer E-Mail erläutert (19:19 UTC, an Robert Keus); Wechsel auf „ausgeräumt“, sobald der korrigierte Footer live ist. Die Antwortfrist 11.09.2026 hat für diesen Fall keine Bedeutung mehr. |
| 04.09.2026 | Startseite erneut abgerufen (23:13 UTC): Footer unverändert, „Verified by independent audit … ISO 27001“ ohne Zuordnung. Keine Mail des Anbieters mit der URL der Korrektur. Snapshot: https://web.archive.org/web/20260904231314/https://greenpt.com/. Status bleibt „bestätigt“. |
| 06.09.2026 | Postfach geprüft (11:05 UTC): keine Mail des Anbieters mit der URL der Korrektur. Startseite erneut abgerufen (11:05 UTC): Footer unverändert, „Verified by independent audit … ISO 27001“ ohne Zuordnung (Rohkopie belege/faelle/2026-002/startseite-2026-09-06.html, SHA-256 0d1350b40b281cdba6c3712fe9c327dc1d524006ba063df1f1aeb06f0bc1b8b3). Snapshot: https://web.archive.org/web/20260906110759/https://greenpt.com/. Status bleibt „bestätigt“. |
| 08.09.2026 | Postfach geprüft (14:05 UTC): keine Mail des Anbieters mit der URL der Korrektur. Startseite erneut abgerufen (14:08 UTC): byte-identisch mit dem Abruf vom 06.09., Footer unverändert, „Verified by independent audit … ISO 27001“ ohne Zuordnung (Rohkopie belege/faelle/2026-002/startseite-2026-09-08.html, SHA-256 0d1350b40b281cdba6c3712fe9c327dc1d524006ba063df1f1aeb06f0bc1b8b3). Snapshot: https://web.archive.org/web/20260908141007/https://greenpt.com/. Status bleibt „bestätigt“; die angekündigte Footer-Korrektur ist sechs Tage nach der Antwort vom 02.09. noch nicht live. |
| 16.10.2026 | Datenschutzerklärung von GreenPT in neuer Fassung („Last updated October 14, 2026“, Abruf 16.10.2026): „ISO 27001, ISO 50001 and HDS certified infrastructure (certifications held by our hosting provider Scaleway; GreenPT BV is working towards its own ISO 27001 certification)“. Damit ordnet GreenPT das Zertifikat erstmals in einem eigenen Dokument der Infrastruktur zu. Der Footer der Website zeigt am 16.10.2026 weiter „Verified by independent audit · GDPR compliant · ISO 27001 · EU Hosted“ ohne Zuordnung, die Seite greenpt.com/privacy weiter „Our infrastructure maintains ISO 27001 and SOC 2 Type II certifications“. Textkopie belege/anbieter/greenpt/privacy-policy-2026-10-16.txt, SHA-256 d8c656798366a04bd4da7e3d4c77bb640e794180170b34f03c4f87c2e0ad1569. Status bleibt „bestätigt“; ausgeräumt erst, wenn das Badge selbst zugeordnet ist (Auflösung 1). |