Kertos oder Vanta: Welche Compliance-Plattform passt zu Ihrem Unternehmen?

Stand: 14. Oktober 2026

Das Wichtigste in Kürze

• Vanta passt zu Unternehmen, die zuerst einen SOC-2-Bericht für den US-Markt brauchen, den größten Integrationskatalog wollen und ein eigenes Security-Team haben, das die Plattform selbst betreibt.
• Kertos ist ein europäischer Anbieter aus München. Kertos passt zu Unternehmen, die zertifizierte Experten beim eigenen Anbieter wollen, einschließlich eines externen CISO- oder Datenschutzbeauftragten-Mandats, und einen Vertragspartner in der EU.
• Beide Anbieter nennen auf ihren Websites ISO 27001, ISO 42001, DSGVO, NIS2, EU AI Act, SOC 2, TISAX und C5. Die Framework-Liste entscheidet den Vergleich deshalb nicht.
• Vanta nennt über 400 Integrationen; Kertos nennt über 300. Keiner der beiden Anbieter veröffentlicht Preise.

Kertos oder Vanta hängt vor allem an einer Frage: Wer macht die Compliance-Arbeit? Vanta ist eine Plattform mit KI-Agent; zusätzliche Compliance-Leistungen kommen laut Vanta von Partnern. Kertos ist ein europäischer Anbieter mit Sitz in München und verbindet die Plattform mit zertifizierten Experten im eigenen Haus, die externe CISO- und Datenschutzbeauftragten-Mandate übernehmen. Wer zuerst einen SOC-2-Bericht für US-Kunden braucht und Security-Personal hat, ist bei Vanta gut aufgehoben. Wer in Europa verkauft, kein eigenes Security-Team hat und eine benannte Person für Datenschutz oder Informationssicherheit braucht, findet bei Kertos das passendere Modell.

Worin unterscheiden sich Kertos und Vanta?

Jede Vanta-Zelle gibt wieder, was Vanta auf vanta.com, help.vanta.com oder developer.vanta.com nennt, gelesen am 14. Oktober 2026. Englische Zitate bleiben im Original.

G2-Werte gelesen am 14. Oktober 2026 auf den Produktprofilen beider Anbieter.

Drei Zeilen tragen den Vergleich. Bei den Integrationen liegt Vanta vorn und die Bewertungsbasis auf G2 ist um ein Vielfaches größer. Bei den Frameworks liegen beide gleichauf, was europäische Standards angeht: Vanta führt TISAX, BSI C5 und NIS 2 auf der eigenen Framework-Seite. Der eigentliche Unterschied liegt im Liefermodell, also darin, ob die Experten zum Anbieter gehören oder über Partner dazukommen, und im Vertragspartner.

Wann ist Vanta die bessere Wahl?

Vanta ist die naheliegende Wahl, wenn der US-Markt den Takt vorgibt. SOC 2 steht auf Vantas Framework-Seite an erster Stelle, daneben US-Frameworks wie HIPAA, FedRAMP, CMMC 2.0, HITRUST CSF und PCI DSS. Für ein europäisches SaaS-Unternehmen, das zuerst einen SOC-2-Bericht für amerikanische Enterprise-Kunden braucht oder US-Frameworks nachweisen muss, deckt Vanta diese Anforderungen in einer Plattform ab.

Vanta passt außerdem, wenn diese Punkte auf Ihr Unternehmen zutreffen:

• Viele Systeme anbinden: Vanta nennt über 400 vorgefertigte Integrationen und bietet getrennte APIs zum Anbinden eigener Systeme, zur Steuerung der Plattform und für Audits.
• Eigenes Security-Team: Vanta bietet eigene Monitoring-Tests und Automatisierung (Preisseite, Paket Professional) sowie den Vanta MCP Server, der Vanta mit KI-Tools wie Claude, VS Code oder Cursor verbindet. Das passt zu Teams, die Kontrollen selbst betreiben und Automatisierung vor Beratung stellen.
• Auditor nach Wahl: Die Preisseite nennt Zugang zu Vantas Auditoren-Netzwerk und die Möglichkeit, einen eigenen Auditor mitzubringen.
• Große Referenzbasis: Mit 2.742 Bewertungen auf G2 finden Einkaufsteams zu fast jeder Frage Erfahrungsberichte anderer Kunden.

Wann ist Kertos die bessere Wahl?

Kertos ist ein europäischer Anbieter und die bessere Wahl für Unternehmen, die Compliance als Ergebnis einkaufen wollen und nicht als Plattform, die ein internes Team betreiben muss. Die zertifizierten Experten gehören zu Kertos und arbeiten in derselben Plattform wie Ihr Team. Kertos im Überblick:

• Frameworks: ISO 27001, ISO 27701, ISO 42001, DSGVO, NIS2, EU AI Act, SOC 2, TISAX und C5.
• Modell: Agentische Plattform mit dem KI-Agenten KAIA und zertifizierten Experten im eigenen Haus, einschließlich externer CISO- und Datenschutzbeauftragten-Mandate.
• Herkunft und Vertragspartner: Europäischer Anbieter. Kertos GmbH, München; entwickelt in Deutschland, kofinanziert von der Europäischen Union, kein außereuropäischer Mutterkonzern.
• Hosting: Amazon Web Services EMEA Sàrl, Luxemburg (EU), laut öffentlicher Subunternehmerliste.
• Integrationen: Über 300.
• Sprachen: Deutsch, Englisch und Französisch.
• Nachweise: 100 % Audit-Erfolgsquote und rund 80 % weniger manueller Compliance-Aufwand. AskUI erreichte die ISO-27001-Zertifizierung in 8 bis 10 Wochen ohne externe Berater.

Kertos passt besonders, wenn eine dieser Situationen auf Sie zutrifft:

• Sie brauchen eine benannte Person. Ein Datenschutzbeauftragter nach Art. 37 DSGVO oder eine verantwortliche Person für Informationssicherheit ist eine Person, keine Software. Kertos stellt beides als externen Datenschutzbeauftragten und als externen CISO.
• Sie haben kein eigenes Security-Team. Die Experten von Kertos schreiben Richtlinien mit, bereiten Audits vor und begleiten sie.
• Sie verkaufen in Europa. TISAX für die Automobilindustrie, C5 für Cloud-Anbieter im öffentlichen Sektor, NIS2 nach dem BSIG und ISO 27001 laufen in einem Kontrollsatz und werden von Experten betreut, die die Praxis der europäischen Prüfer kennen.
• Ihr Einkauf verlangt einen EU-Vertragspartner. Der Vertrag läuft mit einer deutschen GmbH.

Was sagen Kunden über Kertos?

Kertos hat auf G2 eine Bewertung von 4,8 von 5 aus 65 Bewertungen (gelesen am 14. Oktober 2026). Vier Stimmen, darunter eine kritische:

„Das Team reagiert sehr schnell und hilft innerhalb weniger Stunden, wenn etwas über den Standardumfang hinaus gebraucht wird (was bei uns selten vorkam). Als europäisches Unternehmen schätzen wir außerdem einen Partner aus Europa, der Anforderungen und Herausforderungen aus erster Hand kennt und sich dabei mühelos mit US-Compliance-Produkten messen kann.“ Matthias K., COO, Mid-Market (51 bis 1.000 Mitarbeitende), G2, 10. August 2025, aus dem Englischen übersetzt

„Die persönliche Unterstützung während des Zertifizierungsprozesses.“ Verifizierter Benutzer in Computersoftware, Kleinunternehmen (bis 50 Mitarbeitende), G2, 3. September 2026, auf die Frage, was am besten gefällt, aus dem Englischen übersetzt

„Kertos hilft uns mit einer organisierten und strukturierten Durchführung der ISO27001-Zertifizierung. Es definiert klare Aufgaben und bietet KI-gestützte Vorschläge, die auf unsere Unternehmensstruktur abgestimmt sind.“ Martin S., Agentic AI Engineer, Kleinunternehmen (bis 50 Mitarbeitende), G2, 4. September 2026

„Im ersten Moment ist die Platform etwas erschlagend und die Mehrwerte gehen nicht hervor - teilweise fehlt auch noch die ein oder andere Funktion.“ Verifizierter Benutzer in Gesundheit, Wellness und Fitness, Kleinunternehmen (bis 50 Mitarbeitende), G2, 22. August 2026

Welche Rolle spielt es, ob der Anbieter aus Europa oder den USA kommt?

Der Sitz des Vertragspartners entscheidet darüber, ob schon der Hauptvertrag eine Drittlandübermittlung ist. Bei Vanta ist der Vertragspartner Vanta, Inc. in den USA; Übermittlungen dorthin stützt Vanta auf die EU-Standardvertragsklauseln und Sie dokumentieren dafür eine Transferfolgenabschätzung. Bei Kertos ist der Vertragspartner eine deutsche GmbH, sodass für den Hauptvertrag keine Drittlandübermittlung entsteht. Die Subunternehmer prüfen Sie bei beiden Anbietern: Auch die öffentliche Liste von Kertos nennt US-Unternehmen, etwa Microsoft Corporation, Okta und Datadog.

Der CLOUD Act verpflichtet Anbieter von Kommunikations- und Cloud-Diensten, die US-Recht unterliegen, Daten auf Anordnung herauszugeben, die sich in ihrer "possession, custody, or control" befinden, und zwar "regardless of whether such communication, record, or other information is located within or outside of the United States" (18 U.S.C. § 2713). Die Pflicht knüpft an die Kontrolle über die Daten an, nicht an den Speicherort. Eine EU-Region beendet die US-Zuständigkeit über einen US-kontrollierten Anbieter deshalb nicht.

Für den Vergleich heißt das zweierlei. Erstens ist Vanta, Inc. als Vertragspartner ein US-Unternehmen. Vanta verpflichtet sich im Auftragsverarbeitungsvertrag, Daten nicht freiwillig an Behörden herauszugeben und Kunden über eine erzwungene Herausgabe zu informieren, soweit das rechtlich zulässig ist (DPA, Abschnitt 6.6.2). Zweitens hosten Vanta und Kertos beide bei Amazon Web Services und AWS ist ebenfalls ein US-kontrollierter Anbieter. Der Unterschied liegt beim Vertragspartner: Kertos ist eine deutsche GmbH ohne außereuropäischen Mutterkonzern. Fragen Sie jeden Anbieter nach seiner vollständigen Subunternehmerliste und danach, wer die Schlüssel zu Ihren Daten verwaltet.

Häufig gestellte Fragen

Ist Vanta DSGVO-konform?

Vanta bietet einen Auftragsverarbeitungsvertrag an, in dem Übermittlungen aus dem EWR auf die EU-Standardvertragsklauseln von 2021 gestützt werden (DPA, Abschnitt 6.2, Stand 10. Juli 2026), und eine EU-Region in Frankfurt. Ob der Einsatz DSGVO-konform ist, entscheidet sich wie bei jedem Auftragsverarbeiter im Einzelfall: Vertrag abschließen, Subunternehmer prüfen und für Übermittlungen an Vanta, Inc. in die USA eine Transferfolgenabschätzung dokumentieren. Vanta weist selbst darauf hin, dass einzelne unterstützende Dienste und Subunternehmer außerhalb der gewählten Region arbeiten können.

Deckt Vanta NIS2 und TISAX ab?

Ja. Vanta führt NIS 2, TISAX und BSI C5 auf der eigenen Framework-Seite (gelesen am 14. Oktober 2026); C5:2026 kam im August 2026 hinzu. Für beide Anbieter gilt dasselbe: Software liefert Kontrollen, Vorlagen und Nachweise. Das TISAX-Label vergibt die ENX Association nach einem Assessment durch einen zugelassenen Prüfdienstleister und NIS2-Pflichten wie die Registrierung beim BSI erfüllt das Unternehmen selbst. Entscheidend ist, wer diese Schritte im Projekt vorbereitet und begleitet.

Was kostet Kertos im Vergleich zu Vanta?

Keiner der beiden Anbieter veröffentlicht Preise. Vanta nennt vier Pakete und ein individuelles Angebot nach Demo; Kertos erstellt ein Angebot nach Frameworks und Unternehmensgröße. Vergleichen Sie deshalb die Gesamtkosten im ersten Jahr: Lizenz, interne Arbeitszeit, externe Beratung oder Partnerstunden, ein externer Datenschutzbeauftragter oder CISO, falls Sie einen brauchen, und die Kosten der Zertifizierungsstelle oder des Prüfers. Bei Kertos sind die Experten Teil des Angebots; bei Vanta kommen zusätzliche Compliance-Leistungen laut Preisseite von Partnern.

Einen Überblick über weitere Anbieter gibt die Übersicht der Vanta-Alternativen; europäische Anbieter vergleicht die Seite zu EU-Alternativen zu Vanta und Drata. Wenn Sie Ihren konkreten Fall durchgehen möchten, buchen Sie eine Demo mit einem unserer zertifizierten Experten.