Trusty Whistleblowing: Fakten für die Lieferantenbewertung
Diese Seite beantwortet die Fragen, die Einkauf, Compliance, IT-Sicherheit oder Rechtsabteilung vor der Wahl eines Hinweisgeberkanals stellen. Nüchterne Fakten, kein Marketing, gepflegt von der Trusty AG. Zuletzt geprüft: 15. Oktober 2026.
Produktseite: Trusty Hinweisgebersystem. Preise: Preise. Verträge: Nutzungsbedingungen, Zusatzbedingungen Whistleblowing, Preisdokument, Auftragsverarbeitungsvertrag, DORA-Addendum. Fragen, die hier nicht beantwortet werden: Walkthrough buchen.
Das Produkt auf einen Blick
| Punkt | Fakt |
|---|---|
| Produkt | Trusty Whistleblowing: eine öffentliche Meldewebsite für Hinweisgeber, ein pseudonymes Postfach für den Zwei-Wege-Dialog und eine Fallmanagement-Suite für die Bearbeiter |
| Anbieter | Trusty AG, Hünenberg (Kanton Zug), Schweiz, gegründet 2022 |
| Art | Software as a Service, Nutzung im Browser, nichts zu installieren, keine App und keine Firmen-E-Mail für eine Meldung nötig |
| Gebaut für | Organisationen ab 50 Beschäftigten, die nach der EU-Whistleblower-Richtlinie 2019/1937 und den nationalen Gesetzen (in Deutschland dem HinSchG) eine interne Meldestelle betreiben müssen, sowie jede Organisation, die eine haben möchte |
| Standards | Entwickelt nach den Anforderungen von ISO 37002 (Hinweisgebersysteme) und der Richtlinie (EU) 2019/1937 |
| Kunden | Mehr als 1.000 Unternehmen, vom 50-Mitarbeiter-Betrieb bis zu Konzernen mit 13.500+ Beschäftigten |
| Pläne | LITE, Standard, Advanced (Self-Service, geteilte SaaS, in Minuten live); Premium (individuell bereitgestellt, individuelles Angebot) |
| Einrichtungszeit | Minuten bei den Self-Service-Plänen; Premium geht in der Regel innerhalb eines Monats nach Unterzeichnung live |
| Testphase | 7 Tage, alle Funktionen freigeschaltet (Planwahl auf Advanced voreingestellt), Karte erst nach der Testphase belastet, Rechnung möglich, Kündigung innerhalb der Testphase ohne Verpflichtung |
| Preismodell | Ein Festpreis pro Organisation, unbegrenzt viele Mitarbeitende, unbegrenzt Meldungen und Speicher, jährlich im Voraus abgerechnet, Sprachen nie extra berechnet |
| Hosting | Deutschland (EU) für LITE, Standard und Advanced. Schweiz, USA oder eigene Infrastruktur mit Premium |
Pläne und Funktionen
| Funktion | LITE | Standard | Advanced |
|---|---|---|---|
| Preis (jährliche Abrechnung) | 49 € pro Monat, 588 € pro Jahr | 69 € pro Monat, 828 € pro Jahr | 99 € pro Monat, 1.188 € pro Jahr |
| Admin-Nutzer | 1 | 2 | Unbegrenzt, Rollen Superuser, Admin, User, Limited User |
| Meldesprachen | 1 | 2 | Alle unterstützten Sprachen |
| Sichere Meldewebsite, 24/7, mobil nutzbar, eigene Melde-URL | Ja | Ja | Ja |
| Anonyme oder namentliche Meldung, Wechsel von anonym zu namentlich jederzeit | Ja | Ja | Ja |
| Konfigurierbare Anonymitätseinstellungen | Nein | Nein | Ja |
| Hinweisgeber-Postfach mit sicherem Zwei-Wege-Dialog (zufälliger Benutzername und Passwort, keine personenbezogenen Daten nötig) | Ja | Ja | Ja |
| Dateianhänge | Ja | Ja | Ja |
| Meldeformular | Einfaches Formular | Strukturiertes, geführtes Formular | Strukturiertes, geführtes Formular, eigene Texte |
| „Frage stellen“ neben Meldungen | Nein | Nein | Ja |
| Sprachnachricht im Browser (mündliche Meldung), Transkript vom Hinweisgeber geprüft, Aufnahme nach Wahl des Hinweisgebers behalten oder gelöscht | Nein | Nein | Ja |
| Meldungen aus der Lieferkette (z. B. LkSG) | Nein | Nein | Ja |
| NIS2-Meldekanal für Cybersicherheitslücken | Nein | Nein | Ja |
| Branding | Vorgegebene Vorlage | Vorgegebene Vorlage | Eigenes Logo, Farben, Schrift, Rechtstexte |
| Fallbearbeitung | Basis: Status, Notiz, Dialog | Standard: Status, Bearbeitung, Nachverfolgung | Standard plus Workflows und automatische Erinnerungen |
| Automatische Eingangsbestätigung im Postfach (und per E-Mail, wenn eine Adresse angegeben ist) | Ja | Ja | Ja |
| 90-Tage-Countdown für die Rückmeldung je Fall | Ja | Ja | Ja |
| E-Mail-Benachrichtigung bei neuen Meldungen | Nein | Ja | Ja |
| Verwaltung von Aufbewahrungsfristen mit Löscherinnerung | Nein (endgültige Falllöschung verfügbar) | Nein | Ja |
| Granulare Zugriffe: Sichtbarkeit je Kategorie oder Fall, eingeschränkte Nutzer, technische Admins ohne Fallzugriff, Ausschluss bei Interessenkonflikt | Nein | Nein | Ja |
| Verknüpfte Fälle, Vorlagen, private Notizen, Zuweisungen, Ursachenanalyse, E-Mails an externe Empfänger, Dokumentation von Meldungen aus anderen Kanälen | Nein | Nein | Ja |
| Auswertungen, Dashboards, Statistikexport, Berichtserstellung | Nein | Nein | Ja |
| Stichwortsuche über alle Fälle | Nein | Nein | Ja |
| Maschinelle Übersetzung mit DeepL | Nein | Nein | Ja |
| Manipulationssicherer, kryptografisch verketteter Audit-Trail jedes Eintrags, Aufrufs und jeder Änderung | Ja | Ja | Ja |
| Single Sign-on über Ihren Identitätsanbieter (Microsoft Entra ID oder SAML 2.0) | Ja | Ja | Ja |
| Zwei-Faktor-Authentifizierung | Nein | Ja, je Nutzer aktiviert | Ja, je Nutzer aktiviert |
| Externe Ombudsperson oder Kanzlei als Nutzer | Nein (1 Nutzer) | Ja, als einer der 2 Nutzer | Ja |
| Support | Online-Support, keine garantierte Antwortzeit; kritische Fehler 24/7 | Online-Support, Antwort in 48 Stunden; kritische Fehler 24/7 | Online-Support, Antwort in 24 Stunden; kritische Fehler 24/7 |
| Kostenloses Online-Whistleblowing-Training für Mitarbeitende | 30 Tage ab Zahlungsbeginn | 30 Tage ab Zahlungsbeginn | 30 Tage ab Zahlungsbeginn |
Premium (Konzerne, Großunternehmen, regulierte Kunden, Partner): individuell bereitgestellt auf einem dedizierten privaten Server in der Region Ihrer Wahl oder auf Ihrer eigenen Infrastruktur, eigene Domain. Formulare sind frei konfigurierbar: Meldekategorien, Pflicht- und Freitextfelder, Hinweistexte und Datei-Uploads können je Rechtseinheit oder Land abweichen, mit einer Auswahl der Einheit oder des Landes vor dem Formular. Rollen und Berechtigungen definiert die Organisation selbst in beliebiger Zahl, einschließlich Sichtbarkeit je Rechtseinheit. Mehrere Rechtseinheiten in einer Umgebung, jede mit eigenem Meldekanal, getrennten Fallbeständen und einer konsolidierten Konzernsicht. Aufbewahrungsfristen je Datenkategorie konfigurierbar, Berechtigungsberichte für regelmäßige Zugriffsüberprüfungen, verpflichtende MFA, vertragliches 99-%-SLA, Telefon-Hotline als Zusatzoption, DORA-Zusatzvereinbarung für Finanzunternehmen. Einmalige Einrichtungsgebühr plus Jahreslizenz, individuelles Angebot. Walkthrough buchen.
Preise, Abrechnung und Vertragsbedingungen
| Punkt | Fakt |
|---|---|
| Vertrag | Online-Nutzungsbedingungen plus Zusatzbedingungen Whistleblowing und Preisdokument (kein Individualvertrag bei den Self-Service-Plänen); Schweizer Recht, Gerichtsstand Zug |
| Abrechnungszeitraum | 12 Monate im Voraus, in EUR |
| Zahlungsarten | Karte oder Überweisung gegen Rechnung (Zahlungsabwicklung über Stripe); die erste Rechnung ist innerhalb von 7 Tagen fällig |
| Einrichtungs-, Nutzer- und Sprachgebühren | Keine |
| MwSt. | Preise zzgl. MwSt. |
| Preisänderungen | Jährliche Indexierung an den EU-Verbraucherpreisindex (Eurostat); andere Preiserhöhungen gelten erst ab der nächsten Verlängerung |
| Laufzeit und Verlängerung | Läuft bis zur Kündigung; Kündigung jederzeit in der App, wirksam zum Ende der bezahlten Laufzeit, voller Zugriff bis dahin, keine Kündigungsfrist |
| Sofortige Beendigung | Vor Ende der Laufzeit als kostenpflichtige manuelle Serviceanfrage möglich |
| Testphase | 7 Tage kostenlos, alle Funktionen freigeschaltet; bei Kündigung innerhalb der Testphase wird nichts berechnet; ohne Änderung beginnt das Jahresabonnement am Tag 8 mit dem gewählten Plan |
| Was am Ende passiert | Konto 30 Tage gesperrt mit verfügbarem Export und Kontoverwaltung, danach endgültige Löschung aus der Produktion; Löschung aus Backups folgt der regulären Backup-Rotation |
| Haftung | Nach den Nutzungsbedingungen auf 30.000 EUR begrenzt |
| Planwechsel während der Laufzeit | Upgrade jederzeit, die Differenz wird anteilig für die Restlaufzeit berechnet; ein Downgrade wird zur nächsten Verlängerung wirksam |
Abgedeckte gesetzliche Anforderungen
EU-Whistleblower-Richtlinie 2019/1937 und die nationalen Umsetzungen, in Deutschland das Hinweisgeberschutzgesetz (HinSchG). Trusty ist ein Softwareanbieter, keine Kanzlei: Der Kunde bleibt für seine eigene Compliance verantwortlich, die Tabelle zeigt, welche Funktion welche Pflicht unterstützt.
| Pflicht (Artikel der Richtlinie) | So deckt Trusty sie ab |
|---|---|
| Identität der hinweisgebenden Person und genannter Personen schützen; Meldungen schriftlich oder mündlich entgegennehmen (Art. 9 Abs. 1 lit. a, 9 Abs. 2, 16) | Öffentliche Meldewebsite und pseudonymes Postfach für die vertrauliche Nachverfolgung; die hinweisgebende Person entscheidet, ob sie anonym bleibt; Sprachnachrichten im Browser bei Advanced und Premium |
| Unparteiische Person oder Abteilung für Nachverfolgung und Kontakt benennen (Art. 9 Abs. 1 lit. c, d) | Nutzerrollen steuern, wer einen Fall sieht; Ausschluss bei Interessenkonflikt und granulare Sichtbarkeit bei Advanced; eine externe Ombudsperson kann Nutzer sein |
| Eingang innerhalb von 7 Tagen bestätigen, Rückmeldung innerhalb von 3 Monaten; Aufzeichnungen nicht länger als nötig aufbewahren (Art. 9 Abs. 1 lit. b, f; Art. 18 Abs. 1) | Automatische Eingangsbestätigung in jedem Plan, 90-Tage-Countdown je Fall, Aufbewahrungsfrist mit Löscherinnerung bei Advanced, endgültige Löschung mit Audit-Eintrag in jedem Plan |
| Kanäle sicher betreiben; personenbezogene Daten nach DSGVO verarbeiten (Art. 9 Abs. 1 lit. a; Art. 17) | ISO 27001-zertifiziertes Hosting in Deutschland, Verschlüsselung bei Übertragung und Speicherung, externe Penetrationstests, keine IP-Adressen oder Zeitstempel von Hinweisgebern gespeichert, AVV nach Art. 28 DSGVO |
| 50-Beschäftigten-Schwelle und Pflicht zur internen Meldestelle, von jedem Mitgliedstaat umgesetzt (Art. 8, 26) | Meldewebsite und Formulare in allen unterstützten Sprachen; Aufbewahrungsfristen passend zum lokalen Recht |
| Sorgfältige Nachverfolgung; klare Information über externe Meldewege (Art. 9 Abs. 1 lit. d, g) | Dashboards und Statistikexport; Upload von Dokumenten wie externen Meldekanälen auf die Meldeseite |
Am häufigsten nachgefragte nationale Gesetze: Hinweisgeberschutzgesetz (Deutschland), Ley 2/2023 (Spanien), D.Lgs. 24/2023 (Italien), loi Waserman und Sapin II (Frankreich), Lei 93/2021 (Portugal). Meldungen aus der Lieferkette für das deutsche LkSG bei Advanced. In den USA börsennotierte Unternehmen: anonymer, vertraulicher Kanal für Bedenken zu Rechnungslegung und Prüfung nach Sarbanes-Oxley Section 301. NIS2-Richtlinie 2022/2555: Meldekanal für Schwachstellen bei Advanced. DORA: Addendum für Finanzunternehmen, Trusty handelt als nicht kritischer IKT-Drittdienstleister.
Sicherheit und Datenschutz
| Punkt | Fakt |
|---|---|
| Hosting-Standort | Virtuelle Server bei der Hetzner Online GmbH in Nürnberg, Deutschland, ISO 27001-zertifizierte Rechenzentren; Daten bleiben in der EU |
| Weitere Hosting-Regionen | Schweiz (CloudSigma, Zürich), USA (DigitalOcean, Kalifornien) oder eigene Infrastruktur des Kunden, mit Premium; Backups der Schweizer und US-Umgebungen liegen in der EU Eine Umgebung wird ohne Zustimmung des Kunden nie in eine andere Region verschoben. |
| Architektur | Mandantenfähige SaaS, ein Konto pro Organisation, Daten logisch getrennt; Premium auf einem dedizierten privaten virtuellen Server |
| Verschlüsselung bei der Übertragung | TLS 1.2 / 1.3 auf allen Verbindungen |
| Verschlüsselung bei der Speicherung | Meldeinhalte und Hinweisgeber-Dialog mit AES (CBC, OpenSSL) verschlüsselt; Dateien mit AES-256 CTR verschlüsselt; Passwörter mit bcrypt gehasht |
| Anwendungsschutz | Web Application Firewall (ModSecurity, OWASP Core Rule Set) und Linux-iptables-Firewall; Uploads werden serverseitig geprüft, nach Dateityp eingeschränkt und außerhalb des öffentlichen Web-Roots gespeichert; Entwicklung nach OWASP-Grundsätzen mit parametrisierten Abfragen und Content Security Policy; Vier-Augen-Code-Review vor jedem Release |
| Schwachstellenmanagement | Kontinuierliches automatisiertes Scanning mit gestaffelten Behebungsfristen (kritisch: 1 Tag); jährlicher externer Penetrationstest mit Nachtest, Ergebnisse unter NDA verfügbar |
| Privacy by Design | Keine IP-Adressen oder Zeitstempel von Hinweisgebern gespeichert, nur Session-Cookies, zufälliger Benutzername je Hinweisgeber |
| Zugriffskontrolle | SSO (Microsoft Entra ID oder SAML 2.0) in allen Plänen; 2FA ab Standard, verpflichtende MFA mit Premium; rollenbasierte Berechtigungen. Serveradministration ausschließlich per SSH-Schlüssel, einschließlich Hardware-/FIDO2-Schlüsseln, kein Passwort- und kein Root-Login; MFA auf allen Systemen mit Kunden- oder personenbezogenen Daten |
| Audit-Trail | Kryptografisch verkettetes Protokoll jedes Eintrags, Aufrufs und jeder Änderung in jedem Plan; mit Premium zusätzlich Berechtigungsberichte (Benutzerlisten und Zugriffsberichte) für regelmäßige Zugriffsüberprüfungen |
| Backups und Wiederherstellung | Tägliche verschlüsselte Backups bei zwei unabhängigen EU-Anbietern (Frankreich); Recovery Point Objective 24 Stunden, Recovery Time Objective 4 Stunden; Disaster-Recovery-Plan jährlich getestet; formaler Incident-Response-Prozess mit definierten Eskalationsstufen und jährlichen Übungen |
| Verfügbarkeit | 99 % pro Kalendermonat, wirtschaftlich angemessene Anstrengungen, gemessen von Mitternacht bis Mitternacht einschließlich Wartung; anteilige Gutschrift bei Unterschreitung; geplante Wartung 2 Werktage vorher angekündigt und außerhalb 08:00 bis 17:00 Uhr. Vertragliches SLA von 99 % bei Premium |
| DSGVO | Verarbeitung nur in der EU/im EWR (Hosting Deutschland, Backups Frankreich), keine Drittlandübermittlung im Regelbetrieb; Auftragsverarbeitungsvertrag nach Art. 28 DSGVO, unterzeichnete Kopie auf Anfrage; Meldung von Datenschutzverletzungen an den Kunden innerhalb von 24 Stunden, an die Behörde innerhalb von 72 Stunden, wo erforderlich Die Schweiz und der EU/EWR erkennen einander ein angemessenes Datenschutzniveau zu. Vereinbarungen nach Art. 28 DSGVO mit allen Dienstleistern und ein Verzeichnis aller Auftragsverarbeiter mit Vertragsstatus; benannter Datenschutzkontakt; jährliche Datenschutz-Selbstbewertung |
| Aufbewahrungskonzept | Dokumentiertes Aufbewahrungs- und Löschkonzept je Datenkategorie; Aufbewahrungsfrist je abgeschlossenem Fall wählbar in Advanced, je Datenkategorie konfigurierbar mit Premium |
| Subunternehmer (Whistleblowing, Standard-EU-Setup) | Hetzner Online GmbH, Deutschland (Hosting); AWS EMEA SARL, Luxemburg (Versand von Benachrichtigungs-E-Mails). Vollständige Liste im AVV; 30 Tage Vorankündigung vor Änderungen |
| Datenexport und Löschung | Export aus der App während der 30-tägigen Aufbewahrungsfrist nach Beendigung; danach endgültige Löschung aus der Produktion und, in der regulären Rotation, aus den Backups |
| Zertifizierungen | Die Hosting-Rechenzentren sind nach ISO 27001 zertifiziert. Die Trusty AG selbst hält kein ISO 27001-Zertifikat; ihr Informationssicherheits- und Risikomanagement orientiert sich an ISO/IEC 27001. Sicherheitsfragebögen, auch bankenübliche Formulare, werden auf Anfrage beantwortet; Richtlinien können unter NDA eingesehen werden |
| Richtlinienrahmen | Vollständiger Satz versionierter interner Richtlinien, mindestens jährlich überprüft, verantwortet vom Head of IT / Information Security Officer: Informationssicherheit, Zugriffskontrolle, Passwörter, zulässige Nutzung, Anti-Malware, Schwachstellenmanagement und sichere Entwicklung; Datenschutzrollen und -verantwortlichkeiten, Verzeichnis der Auftragsverarbeiter und Aufbewahrungs-/Löschrichtlinie; Cybersecurity Incident Response Plan und Disaster Recovery Plan; Richtlinie zum Drittparteirisiko mit Lieferantenverzeichnis, On-/Offboarding-Richtlinie, Informationssicherheits-Risikoregister. Vertraulich, für Due-Diligence-Prüfungen unter NDA einsehbar |
| Zugriffs-Governance und Risiko | Zugriff nach dem Prinzip der minimalen Rechte mit geregeltem Joiner-Mover-Leaver-Prozess; dokumentierte Ziel-IT-Architektur und Verzeichnis aller genutzten Cloud-Dienste; seit August 2026 ist eine zweite Person in Code-Review, Schwachstellen-Triage, Incident-Response-Vertretung und Lieferantenprüfungen eingebunden; Risikoregister vierteljährlich überprüft |
| Barrierefreiheit | WCAG 2.1 AA / EN 301 549: teilweise konform, Verbesserungen in Arbeit; eine Erklärung zur Barrierefreiheit wird im Legal Center (trusty.report/documents) veröffentlicht |
Einführung und Support
| Punkt | Fakt |
|---|---|
| Einführungsaufwand (Self-Service-Pläne) | Kein IT-Projekt: Plan wählen, Logo, Farben und Sprachen hinzufügen, Fallbearbeiter einladen, Meldelink oder QR-Code veröffentlichen, am selben Tag |
| Einführung (Premium) | Textentwürfe von Trusty, Prüfung durch den Kunden, Testbereitstellung innerhalb einer Woche, 1- bis 2-stündiger Workshop, Kundentest, Produktiv-Go-live; in der Regel innerhalb eines Monats |
| Onboarding der Mitarbeitenden | 30 Tage kostenloses Online-Whistleblowing-Training für Mitarbeitende, in jedem Abonnement enthalten |
| Integrationen | SSO über Microsoft Entra ID oder SAML 2.0; Meldeseite auf Website oder Intranet verlinken oder einbetten; Verlinkung aus einem Compliance-App-Hub; Telefon-Hotline als Zusatz bei Premium. Keine Anbindung an HR-Systeme |
| Supportkanal | support@trusty.report; kritische Fehler (Plattform nicht verfügbar oder Verlust von Kernfunktionen) werden in jedem Plan 24/7 bearbeitet |
| Antwortzeit des Supports | Standard 48 Stunden, Advanced 24 Stunden, Premium 8×5 (Mo bis Fr, 09:00 bis 17:00 Uhr Zuger Zeit); LITE ohne garantierte Antwortzeit |
| Supportsprachen | Alle unterstützten Sprachen |
| Technologie | Open-Source-Stack (Linux, Apache, MySQL, Laravel), keine lizenzpflichtigen Drittprogramme |
Unternehmen
| Punkt | Fakt |
|---|---|
| Rechtsträger | Trusty AG, Bösch 82, 6331 Hünenberg, Schweiz (Kanton Zug) |
| Gegründet | 2022 |
| Produkte | Whistleblowing, Compliance App (Richtlinien, Training, Whistleblowing), QuickScreen360 Drittparteien-Screening, EUDR Passport, Trusty Compliance App, MiCA Booster Pack |
| Kunden | Mehr als 1.000 Unternehmen nutzen Trusty-Software |
| Partnermodell | White-Label-Bereitstellung für Kanzleien, Berater und Ombudspersonen für deren eigene Kunden |
| Website | trusty.report; Login für Bearbeiter auf trusty-compliance.com |
Diese Seite wird von der Trusty AG gepflegt und bei jeder Produkt-, Preis- oder Vertragsänderung überprüft.