Was ein externer Scan über Ihre Domain-Infrastruktur feststellt
CERTavia prüft von außen, was jeder Crawler, jedes KI-System und jeder Prüfer ohne Systemzugang sieht: DNS, TLS, Sicherheitsheader, maschinenlesbare Deklarationen und KI-Governance-Angaben. 80+ regelbasierte Parameter in sechs Clustern, Ergebnis als JSON und als signierter PDF-Report.
Layer 0 ist die Entscheidungsebene
Mit Layer 0 bezeichnet CERTavia die Schicht unterhalb der Inhalte: DNS-Konfiguration, Transportverschlüsselung, Header und die maschinenlesbaren Dateien, die ein automatisierter Client vor dem eigentlichen Inhalt abruft (robots.txt, ai.txt, llms.txt, Schema.org). Wie einzelne KI-Anbieter diese Signale gewichten, legen sie nicht offen; messbar ist, ob sie vorhanden sind.
Ergebnis jedes Scans: SOVP-CERTIFIED (CES ≥ 75 und Cluster F ≥ 40), SOVP-FAILED oder bei Datenlücken INCOMPLETE. Laufzeit im Median rund 10 Sekunden. Die Prüfregeln sind fest, die Messwerte externer Prüfungen nicht immer: certavia.org wurde vom 06.08. bis 12.10.2026 38-mal gescannt, alle Ergebnisse CERTIFIED, CES zwischen 77,8 und 97,2. Cluster A wechselte zwischen 95 und 100; am 31.08.2026 stand Cluster D einmal auf 0 (CES 77,8), zwei Minuten später wieder auf 100 (CES 91,1). Ein Scan dokumentiert einen datierten Zustand (Referenzen).
80+ Parameter in 6 Clustern
Die sechs Cluster (A–F) sind hier in vier Themenbereichen zusammengefasst. Jeder Parameter ist regelbasiert und deterministisch. Kein probabilistisches Scoring, keine KI-Komponente im Prüfverfahren selbst.
DNS und kryptografische Grundintegrität
DNSSEC-Konfiguration, CAA-Records, TLS-Zertifikatskette, HTTP-Sicherheitsheader (HSTS, CSP) sowie E-Mail-Authentifizierung (SPF, DKIM, DMARC). Die Basisschicht, auf der alle weiteren Validierungsschritte aufbauen.
Datenschutz & Consent
Crawler-Direktiven in robots.txt, Konsistenz der Opt-In- und Opt-Out-Deklarationen für alle relevanten KI-Crawler, WAF-Response-Konsistenz, Consent Declaration Integrity.
Maschinenlesbare Identität und Authorship
Strukturierte Daten nach Schema.org, kanonische Entitätsdeklaration, AI-Discovery-Layer (ai.txt, ai.json, llms.txt), maschinenlesbare Authorship-Signale, agent-card.json, WebMCP-Konfiguration.
AI Governance Hard Gate
AI Policy URL, Datenschutz-KI-Abschnitt, robots.txt KI-Direktiven, Deepfake-Disclaimer, AI-Training-Opt-Out-Status, Kontaktstelle für KI-Anfragen (Cluster F). Diese öffentlich sichtbaren Deklarationen tragen als technischer Beleg zur Art.-50-Dokumentation bei; die Pflichten selbst (Zuordnung je Absatz im Glossar) prüft der Scan nicht vollständig, Art. 50 Abs. 3 gar nicht. Kernsignal ist /.well-known/ai-disclosure.json: Ohne diese Datei ist Cluster F rechnerisch 0 und CERTIFIED ausgeschlossen.
Hinweis zur Parameterbasis: CERTavia unterscheidet zwischen regulatorisch verankerten Parametern (EU AI Act Art. 50, DORA, NIS2) und SOVP-Governance-Parametern (ai.txt, agent-card.json, llms.txt). Der Report weist beide Kategorien separat aus — mit Bezug auf den jeweiligen regulatorischen Kontext.
API-fähig, maschinenlesbar, in bestehende Systeme integrierbar
JSON Output
Jeder Full Scan liefert einen maschinenlesbaren JSON-Output mit allen 80+ Parameterwerten, Cluster-Scores, Gesamt-Score und binärem Verdict. Direkt in SIEM-Systeme, Compliance-Dashboards und interne Reporting-Pipelines integrierbar.
Kryptografische Signatur
Der Report trägt eine Ed25519-Signatur über kanonisiertes JSON (RFC 8785); der öffentliche Schlüssel liegt als DNS-TXT-Record unter _sovp.certavia.org. Die Signatur ist unabhängig verifizierbar und dokumentiert Prüfzeitpunkt sowie Infrastrukturzustand manipulationssicher. Jeder Re-Scan erzeugt ein eigenständiges, signiertes Dokument.
Maschinenlesbare Verifikations-URL
Im Pro-Paket liefert CERTavia einen stabilen, maschinenlesbaren Endpunkt. Externe Systeme, Auditoren und Notified Bodies rufen den Compliance-Status automatisiert ab. Der Endpunkt folgt dem Sovereign Vault Protokoll mit 90-tägiger TTL im Basic-Paket und Speicherung ohne automatisches Ablaufdatum ab Pro.
API-Zugang
Ab dem Enterprise-Paket steht ein vollständiger REST-API-Zugang für die automatisierte Validierung unbegrenzter Domains zur Verfügung. JSON-Response mit allen 80+ Parameterwerten, Cluster-Scores und kryptografischem Nachweis. Geeignet für CI/CD-Integration und Portfolio-Monitoring.
API-Dokumentation ansehenPDF Audit Report
Der strukturierte Report mit Executive Summary, Strategic Assessment über vier Cluster und Sovereign Vault Link ist übergabefähig an Vorstand, Compliance-Abteilung und externe Auditoren.
Ein Validierungsschritt, der in jeden Workflow passt
CERTavia ist als deterministischer Validierungsschritt konzipiert, der in bestehende IT-Governance-Prozesse integrierbar ist.
CI/CD-Integration
Der API-Endpunkt lässt sich als automatisierter Validierungsschritt in Deployment-Pipelines einbinden. Infrastruktur-Änderungen triggern einen Re-Scan und dokumentieren den Compliance-Status zum Deployment-Zeitpunkt.
SIEM und Monitoring
Der JSON-Output ist direkt in SIEM-Systeme und interne Monitoring-Dashboards integrierbar. Änderungsbenachrichtigungen im Annual-Subscription-Paket ergänzen das aktive Monitoring um einen externen Validierungspunkt.
Notified Body Workflow
Für die Integration in Prüfprozesse durch TÜV, DEKRA und Wirtschaftsprüfungsgesellschaften stehen API-Zugang und White-Label-Integration auf Anfrage zur Verfügung.
Ein deterministisches Protokoll, kein probabilistisches Scoring
CERTavia basiert auf dem Sovereign Validation Protocol (SOVP). Das Protokoll ist als IETF-Internet-Draft draft-litzki-sovp-04 veröffentlicht — ein Entwurf, kein verabschiedeter Standard — und als US-Provisional-Patent angemeldet (#64/005,737, Patent pending). SOVP umfasst 180+ Parameter in 20 Clustern. Der CERTavia-Scan führt davon 87 Prüfungen in sechs Clustern aus (79 bewertungswirksam, 8 Bonusprüfungen); 53 weitere SOVP-Parameter ohne Compliance-Bezug sind ausdrücklich ausgeschlossen.
Die Zahl 180+ ist selbst ein Prüfergebnis: Bis zum 13.08.2026 nannte CERTavia 265+ Parameter. Ein Code-Audit konnte nur 181 Sub-Checks mit Datei und Zeile belegen, seitdem steht dort 180+.
Das Protokoll enthält ausschließlich regelbasierte, deterministische Parameter. Regeln und Gewichte sind fest und dokumentiert; die Messwerte externer Prüfungen (etwa TLS-Bewertung, Erreichbarkeit) können zwischen zwei Abrufen schwanken – kein probabilistisches Scoring, keine KI-Komponente im Prüfverfahren selbst.
Technische Protokolldetails, IETF Draft, Referenzimplementierung und Signaturarchitektur: Technologie →
Was der Benchmark zeigt – und was nicht
Von 567 Messungen in zehn Branchenlisten erreichte keine SOVP-CERTIFIED; der höchste gemessene Wert liegt bei 55,1. Bei den Juni-Läufen lief Cluster A in ein Rate-Limit und wurde ab etwa der 31. Domain eines Laufs als 0 statt als „nicht gemessen“ gewertet. Die Ursache ist seit 29.08.2026 behoben (Korrekturhinweis). Belastbar bleiben Cluster B–F sowie die nicht betroffenen Listen BaFin50 und AUTOMOTIVE50.
Für IT-Leiter heißt das: Die Infrastruktur-Basis ist bei den gemessenen Finanzinstituten teilweise vorhanden, die maschinenlesbare KI-Governance-Schicht fehlt fast vollständig. Seit dem 02.08.2026 führen Datenlücken zum Ergebnis INCOMPLETE statt zu einem Nullwert. Details in der Benchmark-Übersicht.
Preise für IT-Leiter und CTOs
Vollständiger JSON- und PDF-Output, Sovereign Vault ohne automatisches Ablaufdatum, maschinenlesbare Verifikations-URL, API-Output. Geeignet für die technische Evaluation und erste Dokumentation.
Quartalsweise Re-Scans, Jahresbericht, Änderungsbenachrichtigung, bis 25 Domains. Geeignet für laufendes Infrastruktur-Monitoring mit externer Validierung.
Unbegrenzte Domains, monatliche Re-Scans, SLA 99,9 %, Konsolidierte Infrastruktur-Evidenz mit Art.-50-Bezug und NIS2-/DORA-Zuordnung, vollständiger API-Zugang. Geeignet für portfolioweites Layer-0-Monitoring mit CI/CD-Integration.
Bei Annual Subscription und Enterprise wird automatisch Zugang zum Kundenportal freigeschaltet (Login per E-Mail-Link, kein Konto nötig); bei Pro ist Kundenportal-Zugang auf Anfrage möglich.
Weiterführende Seiten
Protokollarchitektur, IETF Draft, Patent und Open-Source-Referenzimplementierung im Detail.
EU AI Act: Technische Anforderungen →Art. 50 und die Infrastruktur-Implikationen für IT-Leiter und CTOs.
Wie CERTavia funktioniert →Prüfprozess, Validierungsverfahren und technische Deliverables erklärt.
Referenzen →Verifizierte Scan-Ergebnisse aus der Praxis — kryptografisch signiert und über den Sovereign Vault prüfbar.
Whitepaper: EU AI Act Infrastruktur-Compliance →Die 6 SOVP-Prüfcluster, Art. 50-Anforderungen und konkrete Implementierungsschritte — technische Tiefe für IT-Teams.
Whitepaper: Machine-Readable Compliance →Warum JSON-Output, kryptografische Signaturen und maschinenlesbare Nachweise die neue Compliance-Infrastruktur definieren.
Technische Evaluation starten
Der kostenlose Scan zeigt in Sekunden Verdict, CES und alle sechs Cluster mit sämtlichen Einzelparametern und Handlungsempfehlungen. PDF-Report, Signatur und Vault-Eintrag gibt es ab dem Basic-Paket.
CERTavia analysiert technische Infrastruktursignale. Das Ergebnis ist ein maschinenlesbarer Befund, kein Rechtsgutachten und keine Zertifizierung im Sinne der EU AI Act Konformitätsbewertung nach Artikel 43. Für rechtsverbindliche Compliance-Bewertungen wenden Sie sich an eine zugelassene Konformitätsbewertungsstelle.