SaaS-Anbieter prüfen: Referenzen, Zertifikate, öffentliche Quellen

Öffentliche Quellen für Referenzen und Zertifikate

Öffentlich prüfbar sind vor allem zwei Arten von Belegen: veröffentlichte Vergabeinformationen und die Register der ausstellenden Zertifizierungsstellen. Beide werden an der Quelle geprüft, nicht auf der Marketingseite des Anbieters.

In der Schweiz ist simap.ch die elektronische Plattform für das öffentliche Beschaffungswesen, getragen vom Verein simap (projekttools.ch). Offene und selektive Verfahren oberhalb der Schwellenwerte werden dort ausgeschrieben und die Zuschläge publiziert. Eine genannte Referenz lässt sich so nach Anbieter und Auftraggeber suchen und gegen die veröffentlichte Vergabe halten.

Für einzelne Zertifikate ist das Verzeichnis der ausstellenden Stelle der Gegenprüfungsort. Die ausstellende Stelle muss durch die Schweizerische Akkreditierungsstelle SAS anerkannt sein (solira.ch). Eine allgemeine Urkunde ersetzt die Prüfung des konkreten Geltungsbereichs nicht.

Ein ISO-27001-Siegel, Kundenlogos und die Angabe «zertifiziert» auf der Marketingseite sind Selbstdeklarationen. Prüfbar werden sie erst über eine vom Anbieter unabhängige Stelle: das Verzeichnis der ausstellenden Zertifizierungsstelle, einen öffentlichen Schlüssel zur Signaturprüfung oder die Vergabemeldung der auftraggebenden Stelle.

Vier Belegkategorien sind öffentlich zugänglich, und jede belegt etwas anderes. Ein Registereintrag belegt Existenz, Inhaber, Geltungsbereich und Geltungsdauer eines Zertifikats – nicht, dass dieser Geltungsbereich die konkret bezogene SaaS-Leistung abdeckt. Eine Signatur belegt, dass ein Dokument unverändert vom Inhaber eines bestimmten Schlüssels stammt – nicht, dass der Inhalt korrekt ist.

Der öffentliche Schlüssel steht unter einer festen Adresse auf der Domain des Anbieters und wird dauerhaft gespiegelt. Damit bleibt die Signaturprüfung möglich, auch wenn der Anbieter später nicht mehr existiert. Er belegt, wer zur Ausstellung berechtigt ist, und macht die Prüfung von der Mitwirkung des Anbieters unabhängig. Eine Vergabemeldung belegt, wer wann einen öffentlichen Auftrag erhalten hat – nicht, wie das Projekt verlaufen ist.

Die Gegenprüfung erfolgt an der Quelle des jeweiligen Belegs: bei Schweizer Vergaben auf simap.ch, bei Zertifikaten im Verzeichnis der ausstellenden Stelle und bei Signaturen am veröffentlichten Schlüssel des Anbieters.

Für die Beschaffung heisst das: pro Beleg festlegen, was verlangt und wo selbst nachgeprüft wird. Vom Anbieter Zertifikatsnummer und ausstellende Stelle verlangen statt einer PDF-Kopie. Speicherort des öffentlichen Schlüssels samt Fingerabdruck verlangen statt eines Berichts als Mailanhang. Zu Referenzprojekten Vergabestelle und Vergabedatum verlangen, damit die Meldung selbst gesucht werden kann.

Vertraglich zu regeln ist die Nachführung: Zertifikate sind ohne Lücke zu erneuern, neue Berichtsversionen signiert nachzuliefern.

Öffentliche Quellen belegen unterschiedliche Sachverhalte: Vergabeinformationen dokumentieren veröffentlichte Aufträge, während das DSG, die DSV und die VDSZ den Rahmen für Datenschutzzertifizierungen festlegen (economiesuisse.ch). Die VDSZ trat zusammen mit der DSV und dem revidierten DSG per 1. September 2023 in Kraft. Bei einem Nachweis sind deshalb die zuständige Zertifizierungsstelle, deren Anerkennung und der Gegenstand der Zertifizierung auseinanderzuhalten.

Transpareo beschreibt für den Digitalen Produktpass ein Verfahren mit einer Ausstellerkennung auf der eigenen Domain und einer Prüfung im Browser, ohne den Anbieter kontaktieren zu müssen (transpareo.com). Für SaaS-Nachweise sind die konkrete Schlüsseladresse und der dazugehörige Fingerabdruck beim Anbieter zu verlangen.

Wer prüfen will, sucht Registereintrag, Signatur und Vergabemeldung. Fehlt eine dieser Spuren, bleibt die Angabe eine Selbstdeklaration.

Zertifikate im Register und Schweizer Akkreditierungen prüfen

Ein ISO-27001-Zertifikat stellt nicht die geprüfte Organisation aus. Eine akkreditierte Zertifizierungsstelle führt ein externes Audit durch und prüft, ob das Informationssicherheits-Managementsystem (ISMS) die Normanforderungen erfüllt. Aussteller und Inhaber der Urkunde sind zwei verschiedene Parteien; die ausstellende Stelle führt ein eigenes Zertifikatsverzeichnis. Dort wird gegengeprüft, nicht auf der Anbieterseite.

Bei einem ISO-27001-Zertifikat verlangen Sie die ausstellende Stelle und deren Akkreditierungsnachweis, bevor Sie den Registereintrag als Beleg akzeptieren. Das Zertifikat vergibt eine unabhängige Zertifizierungsstelle wie SQS oder Safety Center, anerkannt durch die Schweizerische Akkreditierungsstelle SAS (solira.ch).

Gesucht wird im Verzeichnis unter der Rechtsbezeichnung des zertifizierten Unternehmens, nicht unter dem Produkt- oder Markennamen. Nennt ein Anbieter weder Zertifikatsnummer noch ausstellende Stelle, fehlt der Ansatzpunkt für die Gegenprüfung.

Klären Sie vor der Gegenprüfung die Rechtsbezeichnung des zertifizierten Unternehmens. Verwenden Sie diese Bezeichnung für die Suche nach dem Zertifikat.

Aus der Urkunde sind sechs Angaben zu übernehmen: Rechtsbezeichnung des zertifizierten Unternehmens statt Produkt- oder Markenbezeichnung, Zertifikatsnummer, Norm samt Ausgabejahr (etwa ISO/IEC 27001:2022), ausstellende Zertifizierungsstelle, Geltungsdauer und wortwörtlicher Geltungsbereich. Der Geltungsbereich entscheidet über den Nutzen: Er nennt Standorte, Geschäftseinheiten und Tätigkeiten, die auditiert wurden.

Der Registereintrag nennt Inhaber, Norm, Geltungsbereich und Geltungsdauer. Er nennt nicht die von Ihnen bezogene Leistung, nicht Ihren Standort und nicht die eingesetzten Unterauftragnehmer. Diese Lücke bleibt auch bei lückenlosem Eintrag bestehen. Konzernzertifikate decken selten jede Tochtergesellschaft und jeden Dienst ab. Ein Zertifikat für Entwicklung und Betrieb bedeutet nicht automatisch, dass das für Sie relevante Rechenzentrum oder die eingesetzten Unterauftragnehmer enthalten sind.

Neben dem Geltungsbereich ist der Auditzyklus zu prüfen. Zertifikate haben eine Geltungsdauer und werden während dieser durch wiederkehrende Überwachungsaudits begleitet; vor Ablauf steht ein Erneuerungsaudit. Fragen Sie nach Datum und Art des letzten Audits und vergleichen Sie dies mit der Geltungsdauer. Läuft ein Zertifikat in wenigen Monaten ab und fehlt der Nachweis der Erneuerung, ist die Aussage «zertifiziert» nur so lange belastbar wie das Papier.

Zeitangaben zur Zertifizierung sind ein Plausibilitätsmerkmal, ersetzen aber keinen Registereintrag. Fragen Sie nach dem letzten Audit und vergleichen Sie dessen Datum mit der Geltungsdauer des Zertifikats. So lässt sich erkennen, ob die Angabe «zertifiziert» durch einen aktuellen Nachweis gestützt wird.

Wer die Stelle sucht und nur «zertifiziert» findet, hat keine Adresse zum Nachprüfen. Verlangen Sie Zertifikatsnummer, ausstellende Stelle und den Akkreditierungsnachweis der Schweizerischen Akkreditierungsstelle SAS; erst damit wird der Registereintrag auffindbar. Fehlt die Akkreditierung, bleibt der Eintrag eine Behauptung mit Nummer.

Wer ein Zertifikat gegenprüfen will, sucht den Eintrag im Verzeichnis der ausstellenden Stelle. Fehlt der Eintrag oder die Akkreditierung, fehlt der Nachweis.

Datenschutz-Zertifizierungen nach Schweizer Recht einordnen

Die Verordnung über Datenschutzzertifizierungen (VDSZ) trat per 1. September 2023 in Kraft und ergänzt das Schweizer Datenschutzrecht um Bestimmungen zu Datenschutzzertifizierungen (economiesuisse.ch). Ausländische Datenschutzzertifizierungen, welche die Anforderungen der schweizerischen Gesetzgebung erfüllen, werden nach Rücksprache mit der Schweizerischen Akkreditierungsstelle SAS anerkannt (edoeb.admin.ch). Für die Prüfung eines SaaS-Nachweises sind die ausstellende Stelle, deren Anerkennung, der Zertifizierungsgegenstand und die Geltungsdauer entscheidend.

Das revidierte DSG schützt Persönlichkeit und Grundrechte natürlicher Personen, die sich in der Schweiz befinden, deren Daten Private oder der Staat bearbeiten; Daten juristischer Personen sind nicht mehr geschützt. Für die SaaS-Beschaffung bedeutet das: Eine Datenschutzzertifizierung betrifft Personendaten natürlicher Personen – Firmendaten, die derselbe Dienst ebenfalls verarbeitet, fallen nicht darunter.

Personendaten sind alle Angaben, die sich auf eine bestimmte oder bestimmbare natürliche Person beziehen (Art. 5 lit. a DSG). Bearbeitung ist jeder Umgang mit Personendaten, unabhängig von den angewandten Mitteln und Verfahren (Art. 5 lit. b DSG). Das DSG weist eine grosse inhaltliche Nähe zur Datenschutz-Grundverordnung (DSGVO) auf.

Der sachliche Anwendungsbereich umfasst automatische Datenbearbeitungen sowie manuelle Datenbearbeitungen von Dateisystemen. Die massgebenden Erlasse sind das DSG vom 25. September 2020, die DSV und die VDSZ.

Die VDSZ bildet den Rahmen für Datenschutzzertifizierungen. Verlangen Sie die Urkunde und die Bezeichnung der zertifizierenden Stelle. Prüfen Sie, welche Bearbeitungen und Organisationsteile erfasst sind und wie lange der Nachweis gilt. Auch bei ausländischen Zertifizierungsstellen und Datenschutzzertifizierungen gilt: Prüfen Sie, ob die Stelle und der konkrete Zertifizierungsgegenstand vom Nachweis erfasst sind. Ein Eintrag oder eine Urkunde belegt nicht automatisch jede Leistung des SaaS-Anbieters.

Die Revision stärkt die Datenschutzaufsicht und baut die Strafbestimmungen aus. Unternehmen treffen neue Pflichten, insbesondere bei Erhebung, Verlust oder Missbrauch von Personendaten.

Eine Zertifizierung des Anbieters ersetzt nicht die Prüfung der eigenen Verantwortung. Wer als Verantwortlicher Personendaten an einen SaaS-Anbieter auslagert, bleibt gegenüber den betroffenen Personen für die Bearbeitung verantwortlich; zertifiziert sind die Prozesse des Anbieters, nicht der Einsatz des Dienstes durch Sie.

Was eine Datenschutzzertifizierung nach VDSZ nicht belegt: nicht die Rechtmässigkeit Ihrer eigenen Bearbeitung, nicht den Schutz von Firmendaten und nicht den Bearbeitungsort. Diese Punkte bleiben in Ihrer Verantwortung.

Zur Beschaffung gehören deshalb zusätzlich eigene Abklärungen: welche Personendaten in welchem Umfang in den Dienst gelangen, welche Auftragsbearbeitung vereinbart wird, wo die Daten bearbeitet und gespeichert werden. Zu klären ist auch, wie die Daten bei Vertragsende zurückgeholt und gelöscht werden.

Für die Gegenprüfung eines VDSZ-Nachweises ist die ausstellende Stelle entscheidend. Ausländische Zertifizierungsstellen und deren Datenschutzzertifizierungen anerkennt der EDÖB nach Rücksprache mit der Schweizerischen Akkreditierungsstelle SAS (edoeb.admin.ch). Verlangen Sie den konkreten Nachweis und prüfen Sie dessen Gegenstand und Geltungsdauer.

Signierte Berichte und öffentliche Schlüssel prüfen

Sicherheitsberichte und Auditunterlagen sollten als signierte Dateien verlangt werden, damit ihre Unverändertheit geprüft werden kann. Bei einer gültigen Signatur stammt die Datei vom Inhaber des zugehörigen privaten Schlüssels. Für die Gegenprobe benötigen Sie den zugehörigen öffentlichen Schlüssel und dessen Fingerabdruck.

Transpareo beschreibt für den Digitalen Produktpass, dass Hersteller ihre Kennung beziehungsweise ihren öffentlichen Schlüssel unter einer festen Adresse auf der eigenen Domain veröffentlichen (transpareo.com). Die Prüfung erfolgt im Browser, ohne den Server des Anbieters zu kontaktieren. Als Beispiel für einen SaaS-Nachweis gilt dasselbe Prüfprinzip nur, wenn der Anbieter die Adresse und den Fingerabdruck seines Schlüssels veröffentlicht.

Die feste Adresse folgt dem W3C-Standard DID:web: Der Hersteller veröffentlicht seine Kennung auf seiner eigenen Domain (transpareo.com).

Für archivierte Nachweise zählt, dass die Datei und der zur Prüfung nötige Schlüssel später noch auffindbar sind. Legen Sie deshalb Bericht, Signatur, Schlüsseladresse und Fingerabdruck gemeinsam im eigenen Archiv ab. Regeln Sie vertraglich, wie signierte Berichte nachgeführt werden.

Die Prüfkette ist kurz. Zuerst wird die feste Schlüsseladresse auf der Domain des Anbieters gesucht, dann der veröffentlichte Fingerabdruck verglichen, dann die Signatur über die gelieferte Datei gerechnet. Ein Server des Anbieters wird dabei nicht kontaktiert.

Die Adresse der Schlüsselablage ist beim Anbieter zu erfragen und selbst aufzurufen. Wer nur «PGP-signiert» liest, ohne Adresse und Fingerabdruck, hat keine Fundstelle und damit keinen Beleg. Ein Anbieter nennt «PGP-signierte Reports» (qsearch.ch); dann sind Schlüsseladresse und Fingerabdruck zu verlangen.

Für die Beschaffung heisst das: Verlangen Sie die Adresse der Schlüsselablage und prüfen Sie eine gelieferte Datei selbst nach.

Bewusst keine klassische Zertifikatskette: Zertifikatsketten verfallen über Jahrzehnte, während eine Adresse auf der eigenen Domain robust bleibt. Wer Nachweise aufbewahrt, die auch nach langer Zeit überprüfbar sein sollen, setzt auf dauerhaft erreichbare Schlüsseladressen. Liegt die Signatur über jeder einzelnen Angabe statt als Block über dem Dokument, bleiben später ergänzte Felder nachweisbar, ohne dass neu signiert werden muss.

Vertraglich zu regeln sind der Veröffentlichungsort von öffentlichem Schlüssel und Fingerabdruck sowie die Pflicht zur signierten Lieferung jedes Berichts. Ebenfalls zu regeln ist die Aufbewahrung von Schlüssel und Bericht im eigenen Archiv, weil eine Signatur nur so lange prüfbar bleibt, wie der Schlüssel auffindbar ist.

Die quelloffene Anzeige-App für dieses Prüfmuster heisst Transpareo Time Machine. Sie lädt den Pass, berechnet seinen Fingerabdruck neu und prüft beide Signaturen, ohne einen Server des Anbieters zu kontaktieren. Wer misstrauisch ist, kann den Code lesen.

Die Prüfung mit Transpareo Time Machine läuft in drei Schritten: Die App lädt den Pass, berechnet den Fingerabdruck neu und vergleicht ihn mit dem veröffentlichten Wert. Danach prüft sie die Herstellersignatur und die Gegensignatur. Ein Server des Anbieters wird nicht kontaktiert.

Wer eine Signatur prüfen will, sucht die feste Schlüsseladresse auf der Domain des Anbieters und den Fingerabdruck. Fehlt die Adresse, bleibt der Bericht ungeprüft.

Referenzen in öffentlichen Vergabedaten prüfen

Schweizer Referenzen lassen sich auf simap.ch prüfen, der elektronischen Plattform für das öffentliche Beschaffungswesen (projekttools.ch). Suchen Sie nach dem Anbieternamen und vergleichen Sie Auftraggeber, Auftragsgegenstand und Datum mit der Referenzliste des SaaS-Anbieters.

Eine Suche nur nach allgemeinen Begriffen wie «IT» oder «Software» kann viele sachlich unterschiedliche Vergaben liefern. Beginnen Sie deshalb mit dem Namen des Anbieters und prüfen Sie Treffer anhand von Auftraggeber und Auftragsgegenstand. Für eine Suche über die Schweiz hinaus kommen weitere öffentliche Vergabeinformationen in Frage.

Zu unterscheiden ist zwischen Schweizer Vergaben und Aufträgen mit EU-Bezug; die massgebliche Fundstelle richtet sich nach dem Auftraggeber. Für Schweizer Vergaben ist simap.ch die zentrale Plattform: Offene und selektive Verfahren oberhalb der Schwellenwerte werden dort ausgeschrieben und die Zuschläge publiziert (projekttools.ch). Öffentliche Vergabeinformationen ersetzen keine Bestätigung des Anbieters, dass ein publizierter Auftrag tatsächlich dessen SaaS-Leistung betrifft.

Erfassen Sie für jeden Treffer Auftraggeber, Gegenstand und Datum, statt aus einem Suchtreffer allein auf die Qualität der Referenz zu schliessen. Prüfen Sie bei einer Referenz die publizierte Vergabemeldung und halten Sie fest, welcher Auftraggeber den Zuschlag erteilt hat, worum es beim Auftrag ging und wann die Meldung erschien.

Eine Vergabemeldung belegt einen veröffentlichten Zuschlag, aber nicht den Verlauf des Projekts oder die heutige Qualität des Dienstes. Ergänzen Sie die öffentliche Gegenprüfung deshalb mit Fragen zur konkret erbrachten SaaS-Leistung. Behandeln Sie eine nicht auffindbare Meldung nicht als bestätigte öffentliche Referenz.

Mehrere Zuschläge an denselben Anbieter können auf eine wiederkehrende Zusammenarbeit hindeuten. Prüfen Sie die Abfolge der Vergabemeldungen und fragen Sie nach dem Umfang der bisherigen Leistungen. Daraus lässt sich eine Referenz besser einordnen, ohne aus der Zuschlagsfolge allein auf Abhängigkeiten oder Projekterfolg zu schliessen.

Eine Stichwortsuche kann relevante Vergaben zwischen fachfremden Treffern verbergen. Suchen Sie deshalb in den öffentlichen Vergabeinformationen nach dem Namen des Anbieters und des Auftraggebers und prüfen Sie den Auftragsgegenstand.

Suchen Sie die Vergabemeldung in den öffentlichen Vergabeinformationen und gleichen Sie Anbieter, Auftraggeber und Auftragsgegenstand ab. Fehlt eine passende Meldung, bleibt die öffentliche Vergabereferenz unbestätigt.

Anschlussnachweise an eIAM aus öffentlichen Merkblättern prüfen

Auch Anschlusszusagen an den Bund lassen sich öffentlich prüfen. Das Merkblatt «Anschluss von Applikationen an eIAM» nennt eine eIAM-Bezugspflicht für Webapplikationen und native Mobile-Apps.

eIAM ist das zentrale Zugriffs- und Berechtigungssystem des Bundes. AGOV ist ein inhärenter Bestandteil von eIAM und nimmt eine besondere Stellung ein; CH-LOGIN befindet sich im Phase-out. Öffentlich einsehbar ist das Merkblatt für Beschaffungen «Anschluss von Applikationen an eIAM» (Version 1.7 vom 9. Oktober 2024). Es dient als Grundlage für Anschlussfragen und ist in der zum Beschaffungszeitpunkt aktuellen Fassung zu lesen.

Bei einer eIAM-Angabe prüfen Sie die auf der eIAM-Website publizierten Informationen und gleichen sie mit der konkreten Aussage des Anbieters ab. Ein allgemeiner Treffer oder ein Einführungsvideo belegt noch nicht, dass die angebotene SaaS-Lösung die behauptete Anschlussvariante verwendet.

eIAM inklusive AGOV authentifiziert natürliche Personen, nicht juristische. Diese Unterscheidung ist bei der Prüfung von Referenzen und Zertifikaten zu beachten, weil sich Datenschutznachweise auf natürliche Personen beziehen.

Nach diesem Merkblatt gilt für Webapplikationen und native Mobile-Apps eine eIAM-Bezugspflicht. Der Anschluss kann direkt oder indirekt erfolgen; mehrere indirekte Anschlussvarianten bestehen.

Das Merkblatt unterscheidet Fälle, in denen die Dienste des EJPD zu nutzen sind, von solchen, in denen der Service eIAM zum Einsatz kommt. Bevor Sie eine Interoperabilitätszusage akzeptieren, lassen Sie sich die gewählte Anschlussvariante und den vorgesehenen Weg schriftlich bezeichnen. Prüfen Sie die Bezugspflicht gegen das Merkblatt.

Der Prüfweg folgt dem Merkblatt. Die eIAM-Website des Bundes wird geöffnet, das Merkblatt «Anschluss von Applikationen an eIAM» in der Version 1.7 vom 9. Oktober 2024 aufgerufen und die Bezugspflicht samt Anschlussvarianten gegen die Angabe des Anbieters gehalten.

Prüfbar ist das ohne Mitwirkung des Anbieters: Das Merkblatt liegt öffentlich vor, ebenso die Angaben zu eIAM, AGOV und den Identitätsprovidern, aus denen eIAM elektronische Identitäten bezieht. Die Fragen an den Anbieter richten sich damit auf Belegbares – welche Anschlussvariante, gestützt auf welche Version des Merkblatts, mit welcher Stelle abgestimmt. Allgemeine Zusicherungen der Interoperabilität genügen nicht.

Im eIAM-inkl.-AGOV-Kernsystem wird gegenwärtig keine KI eingesetzt. Diese Transparenzangabe ist öffentlich einsehbar.

Das Merkblatt ist auf der eIAM-Website des Bundes öffentlich publiziert. Identitätsprovider sind die Quelle elektronischer Identitäten für eIAM. Der Wechsel von CH-LOGIN führt zu AGOV und FED-LOGIN. Auch die Föderation von Entra mit eIAM ist öffentlich dokumentiert.

Wer einen Anschlussnachweis prüfen will, sucht die gewählte Anschlussvariante und die Version des Merkblatts. Fehlt die Angabe, bleibt die Interoperabilitätszusage allgemein.

Warnsignale und die Grenzen der öffentlichen Prüfung

Warnsignale ergeben sich direkt aus öffentlichen Quellen: ein Siegel ohne auffindbaren Registereintrag; ein Zertifikat, dessen Geltungsbereich die betriebene Leistung, den Standort oder die Unterauftragnehmer nicht umfasst. Weitere Warnsignale sind ein abgelaufenes Zertifikat ohne Nachweis der Erneuerung; genannte Referenzkunden ohne Vergabemeldung und ohne Datum; ein Sicherheitsbericht als PDF ohne Signatur.

Was der Leser sucht und nicht findet, lässt sich benennen. Ein Registereintrag ohne Akkreditierung, eine Signatur ohne auffindbare Schlüsseladresse, eine Referenz ohne Vergabemeldung – in allen drei Fällen fehlt der Nachweis, und die Frage geht zurück an den Anbieter.

Die daraus folgenden Fragen gehen direkt an den Anbieter: Zertifikatsnummer, ausstellende Stelle, wortwörtlicher Geltungsbereich, Geltungsdauer, Datum und Art des letzten Audits. Zu erfragen sind auch Adresse und Fingerabdruck des öffentlichen Schlüssels sowie die Zusage, jeden Bericht signiert zu liefern. Für jede genannte Referenz sind Vergabestelle, Auftragsgegenstand und Datum zu nennen; für den Anschluss die gewählte eIAM-Anschlussvariante samt Version des Merkblatts. Wer keine dieser Angaben erhält, hat damit bereits eine Antwort.

Die Grenzen der öffentlichen Prüfung sind ebenso klar: Nachvollziehbar ist nur, was eine dritte Stelle publiziert. Interne Auditfeststellungen, die Liste der Unterauftragnehmer, die Incident-Historie und der aktuelle Zustand einer produktiven Instanz lassen sich so nicht überprüfen; dafür braucht es vertraglich gesicherte Auskünfte und Prüfrechte. Ein Zertifikat belegt ein funktionierendes Managementsystem, nicht die Sicherheit einer bestimmten Konfiguration im Betrieb.

Was öffentlich nicht auffindbar ist, fehlt als Nachweis. Registereintrag, Signatur und Vergabemeldung sind die belastbaren Spuren.