Sicherheit & Compliance: SOC 2, ISO 27001, DSGVO

Didit wurde von Grund auf nach dem Prinzip „Sicherheit an erster Stelle“ entwickelt. Jede Ebene der Plattform – von der Infrastruktur bis zu den KI-Modellen – ist darauf ausgelegt, die höchsten internationalen Standards für Informationssicherheit, Datenschutz und biometrische Genauigkeit zu erfüllen.

SOC 2Typ-2-zertifiziert

ISO27001-zertifiziert

GDPRDSGVO-konform

iBetaLevel-1-zertifiziert

FSMJugendschutz

AI ActBereit

„Didits Verifizierung mittels NFC + aktiver Liveness-Erkennung bietet ein Sicherheitsniveau, das dem einer persönlichen Vor-Ort-Verifizierung entspricht oder dieses übertrifft.“ — Offizieller Bericht des spanischen Finanzministeriums (tesoro.es)

Nach einem einjährigen Test durch spanische Finanzaufsichtsbehörden – das spanische Finanzministerium (Tesoro Público), SEPBLAC (der Finanznachrichtendienst), die Banco de España und die CNMV (die Wertpapier- und Marktaufsichtsbehörde) – wurde Didit als einziger Anbieter anerkannt, dessen Ablauf aus NFC + aktiver Liveness-Erkennung das Sicherheitsniveau einer persönlichen Identitätsprüfung vor Ort erreicht oder übertrifft.

SOC 2 Type 2

Service Organization Controls – Typ 2. Ein unabhängiges Audit gemäß den Trust Services Criteria des AICPA bestätigte, dass die Sicherheits-, Verfügbarkeits- und Vertraulichkeitskontrollen von Didit über den Beobachtungszeitraum vom 9. März bis 1. Juli 2026 wirksam waren. Ausgestellt im Juli 2026 (Typ 1 ausgestellt im April 2026). Der Bericht ist für Unternehmenskunden unter NDA verfügbar.

FSM Jugendschutz geprüft

Deutsche Jugendschutzzertifizierung. Die Freiwillige Selbstkontrolle Multimedia-Diensteanbieter (FSM) hat zertifiziert, dass Didits Altersverifizierungssystem zuverlässig eine geschlossene Benutzergruppe gemäß § 4 Abs. 2 JMStV bildet, sodass ausschließlich verifizierte Erwachsene Zugang zu altersbeschränkten Inhalten erhalten.

ISO/IEC 27001

Informationssicherheitsmanagement. Didit betreibt ein zertifiziertes Informationssicherheits-Managementsystem (ISMS), das die Konzeption, Entwicklung und den Betrieb der Plattform zur Identitätsverifizierung abdeckt. Auszüge des Zertifikats sind auf Anfrage erhältlich.

ISO/IEC 27017

Cloud-Sicherheitskontrollen. Erweiterte cloud-spezifische Sicherheitskontrollen, die unsere ISO-27001-Zertifizierung ergänzen und einen robusten Schutz für cloudbasierte Verifizierungsdienste gewährleisten.

ISO/IEC 27018

Cloud-Datenschutz. Spezifische Kontrollen zum Schutz personenbezogener Daten (PII) in Cloud-Umgebungen, die über allgemeine Datenschutzanforderungen hinausgehen.

DSGVO-konform

Vollständige EU-Datenschutzkonformität. Didit ist vollständig konform mit der Datenschutz-Grundverordnung (DSGVO). Wir agieren als Auftragsverarbeiter – Sie bleiben der Verantwortliche. Um die AVV (DPA) und die TOMs anzufordern, senden Sie eine E-Mail an privacy@didit.me.

iBeta Level 1 — ISO 30107-3

Erkennung biometrischer Präsentationsangriffe. Unsere Liveness-Erkennung ist nach dem Standard ISO 30107-3 für iBeta Level 1 zertifiziert und gewährleistet eine zuverlässige Erkennung von Spoofing-Versuchen einschließlich gedruckter Fotos, Bildschirmwiedergaben und 3D-Masken.

Bereit für den EU AI Act

Compliance für verantwortungsvolle KI. Didits KI-gestützte Verifizierungssysteme sind an den Anforderungen des EU AI Act für Hochrisiko-KI-Systeme ausgerichtet, einschließlich Transparenz, menschlicher Aufsichtsmechanismen, Daten-Governance und Bias-Überwachung.

EBA-/MiCA-Kompatibilität

Remote-Onboarding auf Aufsichtsniveau. Ein unabhängiges Rechtsgutachten bestätigt, dass Didits Remote-Onboarding den EBA-Leitlinien für das Remote-Kunden-Onboarding (EBA/GL/2022/15) entspricht und mit dem EU AML Single Rulebook sowie MiCA kompatibel ist.

Alle Zertifizierungen einsehen

Die vollständige, stets aktuelle Übersicht – SOC 2 Typ 2 und Typ 1, ISO 27001/27017/27018, iBeta Level 1, FSM, die Attestierung der spanischen Aufsichtsbehörde, EBA/MiCA und DSGVO – mit Ausstellungsdaten und Anleitungen zum Abruf jedes Berichts. Wir erweitern diese kontinuierlich; wenn Sie eine bestimmte Zertifizierung benötigen, buchen Sie eine Demo und sprechen Sie uns an.

Signaltyp	Funktion
Deepfakes	+20 proprietäre KI-Modelle, intern entwickelt für das Zeitalter generativer KI. Liveness →
Injection-Angriffe	Verhinderung von Kamerastream-Manipulationen — erkennt Replay- und Video-Injection-Angriffe. Liveness →
Dokumentenfälschung	Erkennung von Hologrammen, Nachdrucken, Screenshots und digitalen Veränderungen. Ausweisverifizierung →
Synthetische Identitäten	Abgleich mit maßgeblichen Regierungsdatenbanken weltweit. Datenbankvalidierung →
Verhaltenssignale	Geräte- und IP-Analyse, Device-Fingerprinting und Replay-Erkennung. Geräte- und IP-Analyse →
Gesichtssuche 1:N	Duplikats- und Multi-Account-Erkennung über alle verifizierten Benutzer hinweg. Gesichtssuche →

Unser Expertenteam für Betrugsbekämpfung reagiert auf neue Angriffsvektoren innerhalb von Stunden statt erst nach Quartalen. Modelle und Regeln werden kontinuierlich aktualisiert, sobald sich die Bedrohungslage ändert.

Die Identitätsverifizierung mittels Biometrie ist unter der EU-KI-Verordnung als hohes Risiko eingestuft. Didit geht diese Anforderungen proaktiv an:

Anforderung	Umsetzung durch Didit
Risikomanagement	Kontinuierliche Risikobewertung über alle KI-Modelle hinweg mit dokumentierten Minderungsstrategien.
Daten-Governance	Trainingsdaten werden nach Qualität, Relevanz und Repräsentativität kuratiert. Bias-Tests über verschiedene demografische Gruppen hinweg.
Transparenz	Klare Dokumentation der KI-Fähigkeiten und -Grenzen. Benutzer werden informiert, wenn KI ihre Daten verarbeitet.
Menschliche Aufsicht	Manuelle Prüfungs-Workflows ermöglichen es menschlichen Prüfern, KI-Entscheidungen jederzeit zu überstimmen.
Genauigkeit & Robustheit	iBeta-zertifizierte Liveness-Erkennung. Regelmäßige Modellevaluierung gegen adversariale Angriffe (Deepfakes, Injection, Replay).
Protokollierung	Umfassende Audit-Logs und Sitzungsaufzeichnungen werden zur aufsichtsrechtlichen Überprüfung aufbewahrt.
Nichtdiskriminierung	Bias-Überwachung und -Tests über Alter, Geschlecht, ethnische Zugehörigkeit und Dokumententypen hinweg zur Gewährleistung einer gleichberechtigten Behandlung.

Didit passt seine Compliance-Vorkehrungen kontinuierlich an, sobald die Durchführungsmaßnahmen der EU-KI-Verordnung finalisiert werden. Wenden Sie sich an Ihren Didit-Ansprechpartner für die neuesten Unterlagen zur Vorbereitung auf den AI Act.

Didit agiert als Auftragsverarbeiter — Sie bleiben der Verantwortliche. Die Plattform ist so konzipiert, dass sie die DSGVO und lokale Datenschutzvorschriften von Haus aus unterstützt.

Aspekt	Detail
Rolle als Auftragsverarbeiter	Didit verarbeitet personenbezogene Daten ausschließlich in Ihrem Auftrag und gemäß Ihren Weisungen.
Verarbeitungsregion	Standardmäßig in der EU (AWS). Enterprise-Kunden können eine Inlandsverarbeitung aktivieren.
Datenminimierung	Muster zur Verarbeitung und Löschung ermöglichen es Ihnen, nur die Felder aufzubewahren, die Ihr Unternehmen benötigt.
Datenübertragbarkeit	Exportieren Sie Sitzungsdaten jederzeit über die Console oder API.
Recht auf Löschung	Löschen Sie einzelne Sitzungen bei Bedarf über die Console oder die Delete Session-API. Übermitteln Sie `deletion_instruction: "privacy_erasure"`, um auch jedes aufbewahrte biometrische Template für diese Person zu löschen.
Biometrische Templates	Gesichts-Embeddings werden standardmäßig zusammen mit der Sitzung gelöscht. Eine Anwendung kann sich dafür entscheiden, ein bildfreies biometrisches Template zur Duplikatserkennung aufzubewahren; es handelt sich weiterhin um biometrische Daten mit begrenzter Gültigkeitsdauer, die bei Benutzerlöschung, Datenschutzlöschung, Ablauf oder explizitem Löschen endgültig entfernt werden. Siehe Biometrische Templates.
Einstellungen zur Datenaufbewahrung	Konfigurieren Sie die Datenaufbewahrung von 1 Monat bis 10 Jahre unter Console → App Settings → Data retention.

Verantwortlichkeiten der Kunden in Verifizierungs-Flows

Wenn Sie Didit in Ihrem eigenen Onboarding-, Authentifizierungs- oder Verifizierungsprozess einsetzen, bleiben Sie für die Informationspflichten des Verantwortlichen und die Rechtsgrundlage für diesen Flow verantwortlich.

Anforderung	Was Sie tun müssen
Den Benutzer darüber informieren, wer beteiligt ist	Stellen Sie klar, dass Ihr Unternehmen die Verifizierung anfordert und dass Didit der Verifizierungsanbieter/Auftragsverarbeiter ist, der den Flow bereitstellt.
Ihre Datenschutzerklärung anzeigen	Verlinken Sie auf Ihre eigene Datenschutzerklärung oder einen gleichwertigen Hinweis, bevor der Benutzer die Verifizierung startet.
Rechtliche Dokumente von Didit verlinken	Verlinken Sie auf Didits Datenschutzhinweis zur Verifizierung, die Endbenutzerbedingungen für die Ausweisverifizierung sowie alle weiteren Didit-Richtlinien, die Ihre Rechtsabteilung verlangt.
Ausdrückliche Einwilligung einholen, wo erforderlich	Wenn Ihr Flow Dokumente, Selfies, Liveness-Videos oder Biometriedaten erfasst, verwenden Sie ein nicht vorausgewähltes Kontrollkästchen oder ein anderes aktives Bestätigungselement, wo immer das geltende Recht eine ausdrückliche Einwilligung vorschreibt. Für Personen, die unter die Gesetze von Illinois, Texas oder Colorado fallen, können der gehostete Flow und die nativen SDKs ab Version 4.10.0 Didits Schritt zur biometrischen Einwilligung vor dem Selfie anzeigen; native SDKs unter Version 4.10.0 können dies nicht.
White-Label und benutzerdefinierte Benutzeroberflächen korrekt handhaben	Wenn Sie eine benutzerdefinierte Domain, einen White-Label-Flow oder eine API-gesteuerte Benutzeroberfläche verwenden, müssen Sie diese Offenlegungen in Ihrem eigenen Produkt anzeigen, da das Branding allein die Rolle von Didit nicht offenlegt.
Eigene Aufzeichnungen führen	Wenn Ihre Rechtsabteilung einen Nachweis über die Belehrung oder Einwilligung verlangt, speichern Sie die Textversion, den Zeitstempel und die zugehörigen Metadaten in Ihren eigenen Systemen.

Didit stellt die Verifizierungsinfrastruktur bereit, entscheidet jedoch nicht darüber, ob Ihr spezifischer Benutzerablauf die für Ihr Unternehmen geltenden Anforderungen an Einwilligung, Offenlegung oder die Anforderungen der Gesetze zu biometrischen Daten erfüllt. Prüfen Sie Ihre Implementierung gemeinsam mit einem Rechtsbeistand, bevor Sie live gehen.

Die Unterauftragsverarbeiter von Didit sind auf der Seite der Unterauftragsverarbeiter aufgeführt. Um eine AVV (DPA) oder TOMs anzufordern, senden Sie eine E-Mail an privacy@didit.me. Für weitere Compliance-Attestierungen wenden Sie sich an Ihren Didit-Ansprechpartner oder senden Sie eine E-Mail an hello@didit.me.

Häufig gestellte Fragen zur Sicherheit

Über welche Zertifizierungen verfügt Didit?

Didit ist SOC 2 Type 2-zertifiziert (Juli 2026, für den Beobachtungszeitraum 9. März – 1. Juli 2026; Type 1 ausgestellt im April 2026), ISO 27001-zertifiziert für Informationssicherheitsmanagement, ISO 27017- und ISO 27018-zertifiziert für Cloud-Sicherheit und Datenschutz, vollständig DSGVO-konform, iBeta Level 1-zertifiziert (ISO 30107-3) für die Erkennung biometrischer Präsentationsangriffe und FSM Jugendschutz geprüft in Deutschland für die Altersverifikation gemäß § 4 Abs. 2 JMStV. Didit ist zudem der einzige Anbieter, dem von spanischen Finanzaufsichtsbehörden (Tesoro, Banco de España, SEPBLAC, CNMV) bescheinigt wurde, mindestens so sicher wie eine persönliche Verifizierung vor Ort zu sein, und verfügt über ein unabhängiges Rechtsgutachten, das die EBA-/MiCA-Kompatibilität bestätigt. Die vollständige Übersicht finden Sie auf der Seite Zertifizierungen. Wir ergänzen laufend weitere Zertifizierungen – wenn Sie eine bestimmte benötigen, buchen Sie eine Demo und sprechen Sie uns an.

Werden meine Daten verschlüsselt?

Ja. Alle Daten werden bei der Übertragung mittels TLS 1.3 und im Ruhezustand mittels AES-256-Verschlüsselung verschlüsselt. Wir setzen in unserer gesamten Infrastruktur branchenübliche kryptografische Protokolle ein.

Wo werden die Daten gespeichert und verarbeitet?

Standardmäßig werden alle Daten in der EU auf AWS-Infrastruktur verarbeitet und gespeichert. Enterprise-Kunden können nach Verfügbarkeit eine Verarbeitung im jeweiligen Land mit Optionen zur lokalen Datenresidenz anfragen.

Wie konfiguriere ich die Datenaufbewahrung?

Navigieren Sie zu Business Console → App Settings → Data retention, um Ihr Aufbewahrungsfenster festzulegen (1 Monat bis 10 Jahre). Sie können Sitzungen auch jederzeit über die Console oder die Delete Session API löschen. Details finden Sie auf der Seite zur Datenaufbewahrung.

Kann ich Verifizierungsdaten löschen?

Ja. Sie können einzelne Sitzungen über die Console oder programmatisch über die Delete Session API löschen. Für maximale Datenminimierung nutzen Sie das Muster zur Verarbeitung und anschließenden Löschung, um jede Sitzung direkt nach dem Empfang der Webhook-Ergebnisse zu löschen.

Werden beim Löschen einer Sitzung auch biometrische Daten gelöscht?

Standardmäßig ja: Das Gesichtsbild, das Liveness-Video und das zur Duplikaterkennung verwendete Gesichts-Embedding werden zusammen mit der Sitzung gelöscht. Wenn Ihre Anwendung die Aufbewahrung biometrischer Templates aktiviert hat, behält Didit nach dem Löschen einer operativen Sitzung ein bildfreies biometrisches Gesichts-Template, das dem Benutzer zugeordnet ist. Dieses Template bleibt Teil der biometrischen Daten, wird ausschließlich für Ihre mandantenspezifische Duplikaterkennung genutzt, hat eine begrenzte Gültigkeitsdauer und wird gelöscht, sobald der Benutzer gelöscht wird, ein Datenschutz-Löschantrag eingeht, die Frist abläuft oder eine explizite Löschung über die Biometric Templates API erfolgt. Von Ihnen verwaltete Einträge in Gesichts-Sperrlisten sind davon getrennt und bleiben bestehen, bis Sie sie entfernen.

Wie gehen Sie mit Sicherheitsvorfällen um?

Wir verfügen über einen dokumentierten Plan zur Reaktion auf Sicherheitsvorfälle mit definierten Schweregraden, Eskalationsverfahren und Kommunikationsprotokollen. Sollte eine Verletzung des Schutzes personenbezogener Daten Ihre Daten betreffen, benachrichtigen wir Sie innerhalb von 48 Stunden nach der Bestätigung, damit Sie Ihren eigenen Verpflichtungen gemäß der DSGVO und geltenden Vorschriften nachkommen können.

Ist Didit konform mit dem EU AI Act?

Didit orientiert sich proaktiv an den Anforderungen des EU AI Act für Hochrisiko-KI-Systeme, darunter Risikomanagement, Daten-Governance, Transparenz, menschliche Aufsicht, Genauigkeitstests und Nichtdiskriminierung. Wir aktualisieren unsere Compliance kontinuierlich im Zuge der Finalisierung der Durchführungsmaßnahmen.

Kann ich Sicherheitsdokumentationen erhalten?

Ja. Die vollständige Liste der Unterauftragsverarbeiter ist auf der Seite Unterauftragsverarbeiter veröffentlicht. Um einen AVV (DPA) oder TOMs anzufordern, senden Sie eine E-Mail an privacy@didit.me. Für Zusammenfassungen von Penetrationstests (unter NDA) und Auszüge von ISO-Zertifikaten wenden Sie sich an Ihren Didit-Ansprechpartner oder schreiben Sie an hello@didit.me.

Wie werden Audit-Logs gehandhabt?

Jeder API-Aufruf und jede Konsolenaktion wird mit Zeitstempeln, Benutzer-IDs und IP-Adressen erfasst. Ihr Tarif bestimmt, wie weit Sie Audit-Logs rückwirkend einsehen können: 30 Tage bei Free, 1 Jahr bei Growth, 3 Jahre bei Scale und gemäß Ihrer vertraglichen Vereinbarung bei Enterprise, inklusive Exportfunktion bei Scale und Enterprise. Details finden Sie auf der Seite Audit-Logs.

Weiterführende Ressourcen

Zertifizierungen und Attestierungen

Alle Nachweise und Zertifikate von Didit, inklusive Datumsangaben und Hinweisen zum Erhalt der jeweiligen Berichte.

Leitfaden zur AMLR-Compliance

So decken Sie die EU-Geldwäscheverordnung mit Didit-Workflows, API-Endpoints und Webhooks ab.

Biometrische Einwilligung

Der Schritt zur ausdrücklichen Einwilligung für Illinois, Texas und Colorado und wie er in Entscheidungen angezeigt wird.

Datenaufbewahrung

Aufbewahrungsrichtlinien konfigurieren und datenschutzfreundliche Muster umsetzen.

Audit-Logs

Jede Aktion mit vollständigen Audit-Trails lückenlos nachverfolgen.

Webhooks

Echtzeit-Benachrichtigungen für Verifizierungsereignisse erhalten.

API-Authentifizierung

Sichere Verwaltung und Authentifizierung von API-Schlüsseln.

Übersicht

Preise

Workflows & Verifizierung

Prüfung & Betrieb

Entitäten (Benutzer & Unternehmen)

Einstellungen & Anpassung