ISO/IEC 27001: welche europäischen KI-Anbieter es nachweisen
Kurz: 11 von 21 geprüften Anbietern weisen ISO/IEC 27001 mit verlinkter Primärquelle nach: Aleph Alpha (DE), Black Forest Labs (DE), DeepL (DE), Hetzner (DE), Infomaniak (CH), IONOS (AI Model Hub) (DE), Mistral AI (La Plateforme) (FR), Nebius (Token Factory) (NL), Regolo.ai (IT), STACKIT (DE), T-Systems / Open Telekom Cloud (AI Foundation Services) (DE). 7 berufen sich darauf, ohne einen prüfbaren Nachweis zugänglich zu machen: Exoscale (CH), Gcore (LU), GreenPT (NL), Nordference (EE), Opper AI (SE), OVHcloud (AI Endpoints) (FR), Scaleway (FR). Bei 3 Anbietern haben wir keine belastbare Angabe dazu gefunden.
| Anbieter | Land | Angabe im Original | Status | Beleg | Anmerkung |
|---|---|---|---|---|---|
| Aleph Alpha | DE | ISO 27001 | belegt | Quelle | ISO/IEC 27001:2022 für Aleph Alpha GmbH, nachgewiesen über die Zertifikatsdatenbank des Zertifizierers DQS (am 08.10.2026 im Browser erneut bestätigt; die Datenbank sperrt Skriptabrufe per Cloudflare). |
| Black Forest Labs | DE | ISO 27001 | belegt | Quelle | Zertifikat im Trust Center trust.bfl.ai frei herunterladbar (am 09.10.2026 per direktem Abruf geladen, inhaltsgleich mit 08.10.2026): 'The management system of certificate number 269758 Black Forest Labs Inc & Black Forest Labs GmBH … has been assessed and certified as meeting the requirements of: ISO/IEC 27001:2022'; 'Initial certification: 01 December 2025', 'Expiry date: 30 November 2028', 'Subject to annual assessments'; 'Certificate issued by Amtivo Group Limited T/A British Assessment Bureau Ltd.' (UKAS 8289). Auch auf bfl.ai/enterprise genannt, im Seitenfuß als „ISO 27001:2022“. Einzelheiten in den Unterfeldern. |
| DeepL | DE | ISO/IEC 27001:2022 | belegt | Quelle | Im Trust Center (SafeBase-Portal) ausgewiesen; Auditor TÜV Rheinland Cert GmbH, Zertifikat öffentlich abrufbar. Hinweis: trust.deepl.com blockt automatisierte Abrufe, im Browser erreichbar |
| Hetzner | DE | ISO 27001 | belegt | Quelle | ISO/IEC 27001:2022, Zertifikat ZN-2025-35 V 1.1 von SOCOTEC, ausgestellt allein auf 'Hetzner Online GmbH' (Gunzenhausen); Hetzner Finland Oy steht nicht im Zertifikat. Die Zertifizierungsseite (https://www.hetzner.com/unternehmen/zertifizierung/, Abruf 09.10.2026) sagt dagegen weiter, das Zertifikat 'certifies that Hetzner Online GmbH and Hetzner Finland Oy have established and implemented an appropriate information security management system' und nennt als Scope 'the infrastructure, operation and customer support of the data center parks in all three locations: Nuremberg, Falkenstein, and Helsinki'; maßgeblich ist das Zertifikat. Standorte USA und Singapur sind nicht erfasst. Bis 09.10. stand hier, das Zertifikat gelte für Hetzner Online GmbH und Hetzner Finland Oy und Hetzner nenne kein BSI C5; das C5-Testat steht jetzt als eigener Eintrag. SOC 2 und TISAX nennt Hetzner nicht. |
| Infomaniak | CH | ISO 27001:2022 | belegt | Quelle | Zertifikat CH21/0527.00 von SGS United Kingdom Ltd für 'Infomaniak Group SA', gültig 30.03.2024 bis 29.03.2027, 'Issue 3. Certified since 30 April 2021'. Vertragspartnerin der LLM API ist dagegen 'Infomaniak Network SA' (LLM-Bedingungen, Review of 07/10/2025, Abruf 09.10.2026; ebenso der AVV); ob die Network SA unter das Zertifikat fällt, ist ungeklärt. Das veröffentlichte PDF hat nur 'Page 1 / 2', die Folgeseite mit den weiteren Standorten ('Certified activities performed by additional sites are listed on subsequent pages') fehlt. Die Zertifikatsseite (https://www.infomaniak.com/en/certifications, Abruf 09.10.2026) sagt weiter 'Infomaniak has been certified ISO 27001 since June 2018'; belegt ist durch das Zertifikat nur 'since 30 April 2021'. Bis 09.10. stand hier 'Seit Juni 2018; Zertifikat als Download angeboten'. |
| IONOS (AI Model Hub) | DE | ISO 27001 | belegt | Quelle | TÜV NORD CERT für die IONOS Holding SE (ISO/IEC 27001:2022, Registrier-Nr. 44 121 160247-012, gültig 19.04.2025 bis 18.04.2028; Geltungsbereich: Infrastruktur, Plattformen und Applikationen in den Rechenzentren der IONOS); zusätzlich ISO 27001 auf Basis IT-Grundschutz des BSI (BSI-IGZ-0730-2025, gültig bis 13.09.2028, Geltungsbereich nennt Compute Engine, Managed Kubernetes und S3 Object Storage, den AI Model Hub nicht). Für den AI Model Hub ist ISO 27001 damit nicht belegt: Weder das TÜV-NORD-Zertifikat noch das BSI-Grundschutz-Zertifikat nennt ihn (beide PDFs am 09.10.2026 erneut abgerufen, byte-gleich zum 07./08.10.). Die AI-Model-Hub-Doku (docs.ionos.com/cloud/ai/ai-model-hub/governance-and-compliance/data-handling, Abruf 09.10.2026) sagt nur 'data centers are certified to ISO 27001', also die Rechenzentren, nicht der Dienst. |
| Mistral AI (La Plateforme) | FR | ISO 27001 | belegt | Quelle | Zertifikat im Trust Center trust.mistral.ai ohne Anmeldung herunterladbar (am 09.10.2026 per direktem Abruf geladen, inhaltsgleich mit dem Abruf vom 08.10.2026): 'The Certification Body of Prescient Security LLC hereby certifies that the following organization operates an Information Security Management System that conforms to the requirements of ISO/IEC 27001:2022. Mistral AI SAS'; 'CERTIFICATE NUMBER: 122598 (Issue 2)', 'This certificate is valid until September 11, 2027', 'Issue Date : November 05, 2025 Certified Since : September 12, 2024'. Zertifizierer Prescient Security LLC (USA), akkreditiert durch IAS (USA, MSCB-267), nicht DAkkS; Einzelheiten in den Unterfeldern. Der Hilfe-Artikel (help.mistral.ai, Stand 12.08.2026) sagt weiterhin nur „Yes, Mistral complies with both SOC 2 Type II and ISO 27001/27701 frameworks.“ |
| Nebius (Token Factory) | NL | ISO 27001 | belegt | Quelle | Zertifikat öffentlich (Abruf 09.10.2026, unverändert gegenüber 08.10.), Inhaber nur Nebius B.V.: 'This is to certify that the Information Security Management System of Nebius B.V. Schiphol Boulevard 165, 1118 BG Schiphol, the Netherlands', weitere Standorte Tel Aviv und Mäntsälä. Andere Nebius-Gesellschaften (z. B. Nebius Inc., USA) stehen nicht darauf. Dass die Token Factory im Scope ist, sagt nur das Trust Center (nebius.com/trust-center/iso-27001, 09.10.2026): 'The scope of ISO 27001 includes the controls supporting Nebius AI Cloud, AI Studio (now Nebius Token Factory) and Tracto AI. [...] The scope does not extend to other subsidiaries or third-party service providers.' |
| Regolo.ai | IT | ISO 27001 | belegt | Quelle | Zertifikat der Betreibergesellschaft Seeweb S.r.l., nicht von Regolo selbst: ISO/IEC 27001:2022, Nr. IT18-27702D, gültig bis 28.11.2027, ausgestellt von AXE Register (Saronno); akkreditiert ist AXE Register Sh.p.k. (Tirana) durch DPA Albanien (EA-MLA), nicht DAkkS. Seeweb-Seite (09.10.2026): 'Certificato AXE REGISTER n. IT18-27702D valido fino al 28 Novembre 2027'. Das Logo im Regolo-Seitenfuß „Datacenter Certifications“ trägt am 09.10.2026 weiterhin den Alt-Text 'ISO/IEC 27001 – Information Security (Afnor / AxDéf)'; Afnor ist nicht der Zertifizierer. |
| STACKIT | DE | ISO 27001 | belegt | Quelle | Zertifikat 01 153 2500863 (ISO/IEC 27001:2022, TÜV Rheinland Cert GmbH, gültig 09.02.2026 bis 08.02.2029), 'Certificate Holder: STACKIT GmbH & Co. KG', Neckarsulm; Scope: 'Cloud infrastructure and platform services (IaaS and PaaS) as well as colocation in the form of providing data center or rack space.' AI Model Serving ist nicht genannt. Vertragspartner im AVV (https://stackit.com/de/asset/download/34534/file/STACKIT_Auftragsverarbeitungsvertrag.pdf, Version 2.4.2, 09.10.2026) ist eine andere Gesellschaft: 'Auftragnehmer ist die Schwarz Digits Cloud GmbH & Co. KG, Am Campus 1, 74177 Bad Friedrichshall.' Die Zertifikatsseite (https://stackit.com/en/why-stackit/benefits/certificates) wirbt mit 'Certifications according to ISO/IEC 27001, 27017 and 27018'; 27017/27018 sind nur SoA-Maßnahmen dieses Zertifikats (eigene Einträge). |
| T-Systems / Open Telekom Cloud (AI Foundation Services) | DE | ISO 27001 | belegt | Quelle | Dachzertifikat der Deutsche Telekom AG (Nr. 172572.00DE, ISO/IEC 27001:2022, gültig bis 03.12.2027), ausgestellt von 'DEKRA Certification, Inc.' in Atlanta (USA, ANAB-akkreditiert, nicht DAkkS). Scope: 'Development, operation and maintenance of Information Technology (IT) / Operational Technology (OT) / Network Technology (NT) solutions, products and consulting as well as Shared Services'; AI Foundation Services ist im Zertifikat nicht genannt. Nur die Enterprise-Trust-Seite (https://docs.llmhub.t-systems.net/reference/enterprise-trust/, 09.10.2026) sagt: 'T-Systems operations are ISO 27001 certified, covering information security management for the infrastructure and processes underlying AI Foundation Services.' ISO 27017/27018 sind kein Zertifikat, sondern ein Testat (eigener Eintrag); ISO 27701 eigener Eintrag. |
| Exoscale | CH | ISO 27001 | beansprucht | Quelle | Nur beansprucht (bis 09.10.2026 hier „belegt“, Strenge-Runde Frage 217): Zertifikat und SoA liegen nur im Compliance Center des Exoscale-Kontos; exoscale.com/compliance/iso27001/ (Abruf 09.10.2026): 'Customers can access our current ISO/IEC 27001 certificate and Statement of Applicability (SoA) through the Exoscale Compliance Center. Additional audit reports and details are also available to customers under NDA.' Öffentlich ist nur die Nennung durch den Anbieter. ISO/IEC 27001:2022, zertifiziert seit 2018; Reports im Compliance Center (NDA). Archivkopie web.archive.org/web/20261005024823 byte-gleich. |
| Gcore | LU | ISO/IEC 27001 | beansprucht | Quelle | Das Vanta-Trust-Center trustcentre.gcore.com nennt unter 'Compliance' ‚ISO 27001:2022‘ und bietet ein ‚ISO 27001:2022 certificate‘ an, aber nur nach Zugangsanfrage (Request access; am 09.10.2026 im Browser gelesen, gleich wie am 08.10.2026; ohne Browser nicht lesbar, da JS-Seite). Damit beansprucht Gcore die Version 2022; Zertifizierungsstelle, Nummer, Scope und Laufzeit sind öffentlich nicht einsehbar. Widerspruch: gcore.com/infrastructure sagt am 09.10.2026 weiterhin ‚ISO/IEC 27001:2013 certified and compliant with PCI DCC and […]‘ (Wayback 20261008014212); nach IAF MD 26:2023 sind Zertifikate nach ISO/IEC 27001:2013 seit 31.10.2025 abgelaufen, die Angabe dort ist also veraltet. |
| GreenPT | NL | ISO 27001 | beansprucht | Quelle | Footer-Badge; Sustainability-Seite präzisiert, dass sich die Zertifizierung auf die genutzten Rechenzentren (Scaleway, Verda) bezieht — kein eigenes GreenPT-Zertifikat auffindbar. Vom Anbieter am 01.09.2026 schriftlich bestätigt: GreenPT BV hält heute kein eigenes ISO-27001-Zertifikat, eigene Zertifizierung läuft (Fall 2026-002). Footer am 05.10.2026 unverändert: „Verified by independent audit · […] · ISO 27001 · EU Hosted“. Seit der Datenschutzerklärung vom 14.10.2026 schreibt GreenPT es selbst: „ISO 27001, ISO 50001 and HDS certified infrastructure (certifications held by our hosting provider Scaleway; GreenPT BV is working towards its own ISO 27001 certification)“ (Abruf 16.10.2026, Belegkopie belege/anbieter/greenpt/privacy-policy-2026-10-16.txt). greenpt.com/privacy sagt weiter „Our infrastructure maintains ISO 27001 and SOC 2 Type II certifications“ |
| Nordference | EE | ISO 27001 | beansprucht | Quelle | Nur als Schlagwort in der Branchenkachel 'Government' auf der Startseite ('NIS2', 'EU Data Residency', 'ISO 27001'); kein Zertifikat, kein Auditor, kein Inhaber genannt, das Wort 'certified' kommt auf der gesamten Website nicht vor (05.10.2026). |
| Opper AI | SE | ISO 27001 | beansprucht | Quelle | Security Overview und AI-Compliance-Seite: 'Opper is certified against ISO/IEC 27001:2022 … the certificate is available there [Trust Center] on request.' Das Trust Center (Stand 30.09.2026) zeigt am 05.10.2026 'Valid through Sep 15, 2029', 'Certificate 160926-1' und den Knopf 'Request certificate'. Eine Zertifizierungsstelle ist nirgends genannt (in den Seitendaten des Trust Centers ist das Feld 'auditor' leer), das Zertifikat selbst ist nicht öffentlich einsehbar; deshalb weiter Anbieterangabe ohne Dokument. Frühere Prüfung (Stand 2026-08-19) fand keine Zertifikatsnennung. Archivkopien web.archive.org/web/20261005053951 (Trust Center), 20261005053924 (Security Overview) |
| OVHcloud (AI Endpoints) | FR | ISO 27001 | beansprucht | Quelle | Nur beansprucht (bis 08.10.2026 hier „belegt“): Ein Zertifikat ist öffentlich nicht zu finden, und der genannte Zertifizierer ist für diese Norm nicht akkreditiert. Die Unterseite sagt am 09.10.2026 weiter 'The ISO/IEC 27001 certification that OVHcloud holds is available on the website of the certification body “Laboratoire National de Métrologie de d’Essais”'; der Link führt auf www.lne.fr/recherche-certificats, deren Datenbank am 09.10.2026 für 'ovh' 0 Treffer liefert. Die COFRAC-Akkreditierung des LNE (tools.cofrac.fr/annexes/sect4/4-0038.pdf, Rev. 54, gültig 09.04.2026 bis 31.01.2029, am 09.10.2026 byte-gleich zum Abruf vom 08.10.) deckt nur ISO 14001, ISO 9001, ISO 45001 und ISO 50001, nicht ISO/IEC 27001. Compliance-Seite (am 05.10.2026 und 09.10.2026 unverändert): 'ISO/IEC 27001:2013 Certification and ISMS relating to information security management systems for cloud services', zusätzlich ISO 27017/27018. Die Unterseite www.ovhcloud.com/en/compliance/iso-27001-27017-27018/ nennt als Zertifizierungsstelle das 'Laboratoire National de Métrologie de d'Essais' (LNE) und listet die zertifizierten Dienste, darunter 'AI & machine learning'; AI Endpoints ist dort nicht einzeln genannt. Die Produktseite von AI Endpoints schreibt nur: 'Underlying platform with ISO 27000, SOC, and healthcare data certifications.' Das Zertifikat selbst wurde nicht eingesehen. Archivkopien web.archive.org/web/20261005073337 (Compliance-Seite), 20261005073205 (Unterseite), beide byte-gleich zum Abruf. Neu auf der Produktseite AI Endpoints (08.10.2026, nicht in der Archivkopie vom 05.10.): 'ISO 27001, SOC 2 Type II, and HDS (health data) certified service'; damit ordnet der Anbieter die Zertifizierung ausdrücklich dem Dienst AI Endpoints zu, ein Bericht oder Geltungsbereich-Dokument dazu ist nicht verlinkt (Archivkopie web.archive.org/web/20261008040757). |
| Scaleway | FR | ISO 27001 | beansprucht | Quelle | Nur auf der Marketingseite beansprucht, Zertifikat nicht öffentlich. Security-and-Compliance-Seite (09.10.2026): 'Certifications and Qualifications ISO/IEC 27001:2022' und 'Scaleway is committed to obtaining the most stringent certifications (ISO 27001, HDS, SecNumCloud – currently undergoing assessment)'. Im Trust Center (security.scaleway.com, nur im Browser abrufbar, 09.10.2026) steht nur 'Scaleway has undergone an ISO 27001:2022 audit.'; das Zertifikat 'SGS_ISO_IEC 27001_2022_FR2600000200_EN.pdf' ist dort ohne Download-Link gelistet und nur nach 'Get access' (Zugangsanfrage) erhältlich. |
| EUrouter | NL | ISO 27001 | unbelegt | – | Am 05.10.2026 gesucht auf Startseite, About, Pricing, FAQ, Providers, Docs-Einstieg, AGB, Datenschutzerklärung und DPA: kein Zertifikat genannt. Das DPA (Ziffer 11) sagt nur, der Processor dürfe anstelle eines Audits 'recent, relevant independent certifications or audit reports' vorlegen, ohne eines zu nennen. Eine Trust-, Security- oder Compliance-Seite gibt es nicht (/security, /trust, /compliance liefern 404). |
| Lyceum Technology | DE | ISO 27001 | unbelegt | Quelle | Laut eigener Aussage aktuell nicht zertifiziert. Die Trust-Center-Ressource unter 'ISO Certification' ist kein Zertifikat, sondern ein 'Vanta branded Engagement Letter' (öffentlich, am 09.10.2026 gelesen): 'Lyceum has committed to produce an ISO 27001 2022 Report, with the audit engagement projected to start on August 31, 2026.' Aussteller ist Vanta (Plattform), keine Zertifizierungsstelle; kein Widerspruch zur eigenen Aussage. Rohkopie belege/anbieter/lyceum/ (SHA-256 c97b4ad5…), Archivkopie web.archive.org/web/20261009104354/https://trust.lyceum.technology/doc/trust?rid=6a42376c524abf241477a8e9&r=c4qofycqho2osff5cnm92x |
| Requesty | GB | ISO 27001 | unbelegt | – | Nicht erwähnt |
Keine Angabe gefunden (0)
keiner
„Angabe im Original“ ist der Wortlaut, den wir beim Anbieter vorgefunden haben. Dieselbe Norm wird unterschiedlich benannt. Für diese Übersicht fassen wir die Schreibweisen zusammen, ohne den Originaltext zu verändern.