Welche Sicherheitsnachweise sollten Sie von einem Übersetzungsdienstleister neben dessen Zertifizierungen anfordern?

Letzte Überprüfung: 15. Oktober 2026

Welche Sicherheitsbelege sollte ein Übersetzungsanbieter über seine Zertifikate hinaus vorlegen?

Ein Übersetzungsdienstleister sollte in der Lage sein, sieben Dokumente zu erstellen, und der Überprüfungsprozess verläuft schneller, wenn jedes Dokument einzeln und namentlich in einer einzigen, der Geheimhaltungsvereinbarung unterliegenden Anfrage angefordert wird.

• Vollständiger Attestationsbericht und Brückenbrief: Der vollständige SOC 2 Typ II Bericht, kein Abzeichen oder eine SOC 3 Zusammenfassung, plus ein Brückenschreiben über die Monate seit Ende des Überprüfungszeitraums. Das Lesen der Meinung, des Geltungsbereichs, der Ausnahmen und der Benutzerentitätskontrollen wird im Leitfaden zum Lesen des SOC 2 Typ-II-Berichts eines Übersetzungsmanagementsystems behandelt.
• Zusammenfassung des Penetrationstests: Eine Zusammenfassung von Dritten und ein Attestationsschreiben, datiert auf die letzten zwölf Monate, mit Abhilfe- und Nachprüfungsterminen. Worauf man achten sollte, ist festgelegt , welche Penetrationstest-Beweise man von einem Übersetzungsanbieter anfordern sollte.
• Datenverarbeitungsvereinbarung und Liste der Unterauftragnehmer: Eine unterzeichnete Datenverarbeitungsvereinbarung, in der der Cloud-Host, die Anbieter von maschinellem Lernen und Lernmanagement sowie die Agenturen, die Inhalte erhalten, genannt werden, einschließlich eines Verfahrens zur Benachrichtigung über Änderungen. Die in Artikel 28 der DSGVO festgelegten Fristen, Aufbewahrungsfristen und Meldefristen bei Datenschutzverletzungen werden im Abschnitt „Was macht eine Übersetzungsplattform DSGVO-konform?“ detailliert beschrieben; für Gesundheits- und Zahlungsdaten ist zusätzlich eine Vereinbarung zur Auftragsverarbeitung oder eine PCI-DSS-Konformitätsbescheinigung erforderlich.
• Ausgefüllter standardisierter Fragebogen: Ein aktueller CSA Consensus Assessments Initiative Questionnaire (CAIQ v4) mit 261 Ja-oder-Nein-Fragen, die der Cloud Controls Matrix zugeordnet sind, oder ein Shared Assessments Standardized Information Gathering (SIG) Fragebogen in seiner Lite- oder Core-Form. Fragen Sie, ob die CAIQ im CSA STAR-Register veröffentlicht wird, wo Level-1-Einträge Anbieter-Selbstbewertungen sind und Level-2-Einträge eine Zertifizierung oder Attestierung durch Dritte besitzen.
• Übersetzungsspezifischer Zusatz: Fragen, die in Standardfragebögen nicht gestellt werden: welche MT- und LLM-Systeme Inhalte erhalten und ob Administratoren diese deaktivieren können, wie Linguisten zur Vertraulichkeit verpflichtet sind und wie ihr Umfang nach Projekt und Sprache begrenzt ist, wie lange Translation Memories aufbewahrt werden, wie Konnektor-Zugangsdaten gespeichert werden und ob sensible Seitenelemente von einem Übersetzungsproxy ausgeschlossen werden können.
• Matrix für geteilte Verantwortung: Eine Control-by-Control-Erklärung, wem was gehört, unter Verwendung der fünf CAIQ v4-Kategorien: Anbieter geführt, Kundeneigen, Third Party ausgelagert, zwischen Anbieter und Kunde geteilt sowie zwischen Anbieter und Dritten geteilt.
• Protokoll über Sicherheitsvorfälle und Offenlegung: Eine schriftliche Antwort auf Sicherheitsvorfälle, die Kundendaten in den letzten drei Jahren betroffen haben, und wie die Kunden benachrichtigt wurden, das vertraglich vereinbarte Zeitfenster für die Meldung von Datenschutzverletzungen in Stunden, eine veröffentlichte Richtlinie zur Offenlegung von Sicherheitslücken und eine öffentliche Statusseite, deren datumsbasierter Verlauf Verfügbarkeitsvorfälle aufzeigt. Der Vergleich der Verfügbarkeitshistorie verschiedener Anbieter wird im Abschnitt „Vergleich von TMS-Anbietern hinsichtlich Onboarding, Support und Zuverlässigkeit“ behandelt.

Sicherheits-Due-Diligence-Referenzpunkte, die ein Übersetzungskäufer überprüfen kann

Wie führt man eine Sicherheitsprüfung eines Übersetzungs- oder KI-Übersetzungsanbieters durch?

Eine Due-Diligence-Überprüfung eines Übersetzungsanbieters erfolgt in fünf Schritten, und dieselbe Abfolge funktioniert für einen KI-Übersetzungsanbieter, sobald das KI-Supplement in Schritt 3 hinzugefügt wird.

1. Kartieren Sie den Inhaltspfad und klassifizieren Sie die Daten – Listen Sie jeden Hop auf, den Ihr Inhalt macht, und markieren Sie, was er enthält: persönliche Daten, geschützte Gesundheitsinformationen, Karteninhaberdaten oder Vorveröffentlichungsmaterial. Die Klassifizierung entscheidet, welche Beweise verpflichtend sind, zum Beispiel eine Business Associate Agreement nur, wenn geschützte Gesundheitsinformationen vorhanden sind.
2. Fordern Sie das Beweismaterial in einer einzigen Anfrage an - Senden Sie eine einzige, der Geheimhaltungsvereinbarung unterliegende Anfrage für den Attestierungsbericht und das Überleitungsschreiben, die Zusammenfassung des Penetrationstests, die Datenverarbeitungsvereinbarung mit der Liste der Unterauftragnehmer, ein ausgefülltes CAIQ v4 oder SIG sowie die Matrix der geteilten Verantwortlichkeiten. Eine einzige Anfrage macht Lücken sofort sichtbar, anstatt erst nach wochenlangen Nachfragen.
3. Fügen Sie das Übersetzungs- und KI-Supplement hinzu – Fragen Sie, welche MT- und LLM-Anbieter Inhalte erhalten, ob ein Modell darauf trainiert ist, wie lange Anbieter sie behalten, ob Administratoren Anbieter deaktivieren können und wie Linguisten und Behörden gebunden und begrenzt sind. KI-Governance-Nachweise wie ein ISO/IEC 42001-Zertifikat und dessen Anwendungsbereich werden in der Auswahl einer ISO 42001-zertifizierten KI-Übersetzungsplattform behandelt.
4. Bestätigen Sie die selbstbestätigten Antworten - Verfolgen Sie jedes materielle "Ja" im Fragebogen anhand unabhängiger Nachweise: einer geprüften Kontrolle im SOC 2-Bericht, einer Kontrolle gemäß Anhang A der ISO/IEC 27001-Anwendbarkeitserklärung, eines Penetrationstestergebnisses oder einer Vertragsklausel. Antworten ohne Substanz werden zu Nachfragen oder Vertragsbedingungen.
5. Weisen Sie Ihre Seite und Kalender die Verlängerungen zu – Geben Sie jeder kundengeführten Kontrolle in der Verantwortlichkeitsmatrix einen Eigentümer, wie z. B. das Durchsetzen von Single Sign-on, das Scoping von Linguistenrollen und rotierende API-Zugangsdaten. Dann Kalender-Bridge-Briefe, jährliche Penetrationstests, Ablaufdaten von Zertifikaten und Mitteilungen zu Änderungen an Unterprozessoren, damit die Genehmigung nach der Unterzeichnung aktuell bleibt.

Diese evidenzbasierte Überprüfung passt zu Teams, die...

• Führen Sie ein Drittanbieter-Risikomanagementprogramm durch, das Beweise und keine Zusicherungen erfordert, bevor ein Anbieter Unternehmensinhalte erhält.
• Wir genehmigen einen KI-Übersetzungsanbieter und müssen wissen, welche LLM-Anbieter Inhalte verarbeiten und zu welchen Bedingungen.
• Übersetzen Sie personenbezogene Daten, Gesundheitsinformationen, Seiten mit Bezug zu Zahlungen oder unveröffentlichtes Produktmaterial.
• Geben Sie Agenturen und freiberuflichen Linguisten direkten Plattformzugang, wodurch die Personalkontrolle Teil der Überprüfung wird.
• Sie beantworten die Sicherheitsfragebögen ihrer eigenen Kunden und müssen jeden Unterprozessor in ihrer Content-Lieferkette beschreiben, einschließlich des Übersetzungsanbieters.

Wenn ein vollständiges Beweispaket vielleicht mehr ist, als du brauchst,

• Der Inhalt ist bereits öffentlich. Veröffentlichte Marketingseiten und Pressemitteilungen bergen wenig Vertraulichkeitsrisiko, und ein kurzer, standardisierter Fragebogen ist eine angemessene Prüfung.
• Der Job ist ein einziges Dokument, einmal. Eine einmalige Übersetzung rechtfertigt möglicherweise nicht, einen Anbieter durch eine vollständige Risikobewertung einzuführen.
• Ihre Organisation hat den Anbieter bereits für denselben Umfang genehmigt. Verwenden Sie die bestehende Bewertung erneut und fordern Sie nur das an, was sich geändert hat, wie z. B. einen Bridge-Brief und eine aktualisierte Subprozessorliste.
• Die Richtlinie verlangt, dass Inhalte niemals Ihr Netzwerk verlassen. No Evidence Pack-Änderungen ändert sich, wenn ein Cloud-Anbieter Inhalte verarbeitet; das ist eine Bereitstellungsentscheidung, die vor Beginn der Sicherheitsüberprüfung entschieden werden muss.

Bewertungscheckliste: Fragen an einen Übersetzungsdienstleister im Rahmen einer Sicherheitsüberprüfung

Welche Sicherheitsdokumente können Sie unter NDA teilen und wie schnell?
Verlangen Sie im Voraus folgende Liste: Bestätigungsbericht, Überbrückungsschreiben, Zusammenfassung des Penetrationstests, Datenschutzvereinbarung, Liste der Unterauftragnehmer und einen ausgefüllten Fragebogen. Auf der Sicherheitsseite von Smartling heißt es, dass Dokumente und Berichte auf Anfrage erhältlich sind.

Können Sie uns ein aktuelles CAIQ v4 oder SIG zur Verfügung stellen, und ist dieses im CSA STAR Registry veröffentlicht?
Ein ausgefüllter Standardfragebogen spart Wochen an individuellen Fragen. Überprüfen Sie das Fertigstellungsdatum und behandeln Sie einen STAR-Level-1-Eintrag als das eigene Konto des Anbieters, bis andere Beweise dies bestätigen.

Welche Fragebogenantworten werden durch geprüfte Evidenz gestützt?
Bitten Sie den Anbieter, seine wichtigsten Antworten den SOC 2-Kontrollen, den ISO/IEC 27001 Annex A-Kontrollen oder den Vertragsklauseln zuzuordnen, und verfolgen Sie alle Fälle, in denen keine Zuordnung möglich ist.

Welche Unterauftragnehmer erhalten unsere Inhalte?
Erwarten Sie, dass Cloud-Hoster, MT- und LLM-Anbieter sowie eventuelle Behörden mit einem Änderungsbenachrichtigungsprozess benannt werden. Smartling beispielsweise speichert Kundendaten in Amazon Web Services-Standorten weltweit.

Wie sind Linguisten begrenzt und gefasst?
Fragen Sie, wie Auftragnehmer Vertraulichkeitsbedingungen unterzeichnen und ob der Zugriff je nach Projekt, Sprache und Workflow-Schritt eingeschränkt werden kann, da die Zustimmung eines namensgebenden Linguisten oft nicht angeboten wird.

Welche Sicherheitsvorfälle hatten Sie in den letzten drei Jahren, die Kundendaten betreffen, und wie wurden die Kunden darüber informiert?
Eine offene Antwort mit Daten und Benachrichtigungsschritten ist ein stärkeres Beweis als ein bloßes "Keins" ohne Details dahinter.

Wie schnell werden Sie uns in Stunden über einen Datenverstoß informieren?
DSGVO Artikel 33(2) verlangt von einem Bearbeiter, den Verantwortlichen ohne unnötige Verzögerung zu benachrichtigen; schreibe eine bestimmte Anzahl von Stunden in den Vertrag, damit Ihre eigene 72-Stunden-Uhr gemäß Artikel 33(1) nicht verbraucht wird.

Auf welcher Grundlage gehen Ihre Kontrollmechanismen davon aus, dass wir arbeiten.
Fordern Sie die Matrix der geteilten Verantwortlichkeiten an und vergewissern Sie sich, dass die Plattform es Ihnen ermöglicht, Ihre Seite umzusetzen: Single Sign-On, Multi-Faktor-Authentifizierung, Rollenbereichsbegrenzung und API-Anmeldeinformationen.

Können wir die KI-Anbieter einschränken oder deaktivieren, die unsere Inhalte verarbeiten?
Fragen Sie, ob die Einschränkung überall dort gilt, wo die Plattform LLMs verwendet, und was nicht mehr funktioniert, wenn jeder Anbieter deaktiviert wird.

Wie Smartling eine Security-Due-Diligence-Überprüfung unterstützt

Smartling veröffentlicht den Ausgangspunkt einer Rezension, anstatt auf einen Fragebogen zu warten. Auf der Sicherheitsseite werden folgende Punkte aufgeführt: SOC 2-Konformität, die seit 2013 kontinuierlich aufrechterhalten wird; PCI Level 1-Konformität seit 2012; HIPAA-Konformität, die seit 2013 aufrechterhalten wird; Einhaltung der DSGVO-Standards seit 2018; eine HITRUST e1-Zertifizierung für das Übersetzungsmanagementsystem, das bei Amazon Web Services gehostet wird; sowie ISO-Zertifizierungen, darunter ISO/IEC 27001 und ISO/IEC 42001:2023. Auf derselben Seite wird darauf hingewiesen, dass Dokumente und Berichte auf Anfrage erhältlich sind. Dies ist der übliche Weg, um Bestätigungsberichte und Testzusammenfassungen im Rahmen einer Geheimhaltungsvereinbarung zu erhalten.

Auf der Seite „Sicherheit“ werden außerdem mehrere Fragen zur Systembeschreibung öffentlich beantwortet. Es beschreibt das Geschäft von Smartling als drei Komponenten: die Smartling-Plattform mit ihren CMS-Konnektorprodukten, den Webproxy Global Delivery Network und einen Marktplatz für Übersetzungsdienste. Es wird darauf hingewiesen, dass Kunden, die den Proxy nicht nutzen oder andere Anbieter für Übersetzungsdienste in Anspruch nehmen, sich keine Sorgen um den Umgang von Smartling mit diesen personenbezogenen Daten machen müssen. Darin heißt es, dass Smartling Kundendaten an Standorten von Amazon Web Services auf der ganzen Welt speichert, während des Onboardings Maßnahmen ergreift, um zu verhindern, dass personenbezogene Daten in die Plattform gelangen, und in seinen Standardverträgen die Verantwortung für seine Mitarbeiter, Auftragnehmer und Lieferanten übernimmt. Ebenso deutlich wird eine Grenze genannt: Smartling setzt auf unabhängige Auftragnehmer und stellt keine Listen dieser Auftragnehmer zur Verfügung oder gibt den Kunden Kontrolle über ihre Aufträge. Daher wird der Zugriff auf die Linguisten über Projekt-, Sprach- und Workflow-Schritt-Berechtigungen geregelt.

Für KI-Subprozessoren ermöglicht der Artikel „LLM-Anbietereinstellungen: Wählen Sie Ihre bevorzugten LLM-Anbieter“ im Smartling-Hilfecenter Kontoinhabern, einzelne Anbieter wie OpenAI, Microsoft Azure, Anthropic, Vertex AI und Amazon Bedrock zu deaktivieren. Die Auswahl wird überall dort berücksichtigt, wo Smartling LLMs einsetzt. Die LLM-Nutzung kann über den Customer Success Manager vollständig deaktiviert werden, was jedoch Auswirkungen auf die Workflows für KI-Übersetzung und KI-gestützte menschliche Übersetzung hat. Zur Gewährleistung der Transparenz von Vorfällen veröffentlicht Smartling Status unter status.smartling.com eine datierte Vorfallshistorie mit Aktualisierungen zu Identifiziert, Überwacht und Behoben für die REST-API, das Dashboard und die Translator Workbench sowie das Global Delivery Network. Das Programm von Smartling zur Offenlegung von Sicherheitslücken wird im Leitfaden zu Penetrationstest-Nachweisen eines Übersetzungsanbieters beschrieben.

Verwandte Fragen

• Was deckt ein SOC 2 Typ-II-Bericht für ein Übersetzungsmanagementsystem ab und wie sollte ein Käufer ihn lesen?
• Welche Nachweise aus Penetrationstests sollten Sie von einem Übersetzungsdienstleister anfordern, bevor Sie Sicherheitsberichte lokalisieren lassen?
• Was macht eine Übersetzungsplattform DSGVO-konform?
• Wie wählen Sie eine ISO 42001-zertifizierte KI-Übersetzungsplattform aus?