Trusted Third Party (TTP)
Als vertrauenswürdige Drittpartei verwalten wir kryptografische Schlüssel und Pseudonymisierungsschlüssel, damit Systemanbieter:innen, Plattformen oder Forschungs-Partner:innen keinen unkontrollierten Zugriff auf die Daten ihrer Kund:innen oder Studienteilnehmer:innen erhalten. Typische Use Cases: Medizin/HealthTech, HR-Analytics, klinische Studien, M&A-Escrow.
Im Einsatz für regulierte Branchen und KMU
Was ist eine Trusted Third Party (TTP)?
Kurzdefinition
Eine Trusted Third Party (TTP) ist eine unabhängige, vertragliche Dritt-Partei, die kryptografische Schlüssel oder Pseudonymisierungs-Zuordnungen sicher verwahrt und nur unter klar definierten Bedingungen freigibt, typischerweise zur Trennung von Datenanbieter und Datenverarbeiter, um Re-Identifikationsrisiken zu reduzieren.
Die Hauptaufgaben einer TTP:
- Schlüsselverwaltung, Generierung, Speicherung, Erneuerung und Vernichtung kryptografischer Schlüssel.
- Schlüsselaustausch, sicherer Austausch zwischen Kommunikationspartnern (asymmetrisch oder über Key-Distribution).
- Zertifizierung & Authentifizierung, Ausstellung und Verwaltung von Zertifikaten zur Identitätsprüfung.
Typische Use Cases
Wo eine TTP heute den entscheidenden Unterschied macht.
- Medizinische Dienstleister:innen, Pseudonymisierung von Medizindaten für Forschung und Analytik.
- HealthTech-Apps, Analyse von Gesundheitsdaten ohne direkten Patient:innen-Bezug.
- HR-Analytics, Übertragung von HR-Daten an externe Analyse-Anbieter:innen.
- Klinische Studien, Pseudonymisierungs-Treuhand zwischen Sponsor, CRO und Forschungsstelle.
- Pseudonymisierte Telefonbefragung, Marktforschung mit Re-Identifikations-Schutz.
- Verkehrs-/Mobilitätsdaten, sensitive GPS-Daten an Forschung weitergeben.
- M&A Source-Code-Escrow, Hinterlegung von Schlüsseln/Code für Buyer/Seller-Treuhand.
- Cloud-KMS-Treuhand, externer Verwahrer von Wrapping-Keys für Cloud-Verschlüsselung (Hyperscaler-unabhängig).
Welche Leistungen erbringt SIDD als TTP?
Vollumfängliche Treuhand für Datenschlüssel und Pseudonymisierungs-Tabellen, auf ISO-27001-zertifizierter Infrastruktur.
- Erstellung von Pseudonymisierungsschlüsseln nach Ihren Vorgaben und Sicherheitsrichtlinien.
- Sichere Lagerung und Speicherung von Schlüsseln mit robuster Verschlüsselung und kontrolliertem Zugriff.
- Funktion als Treuhänder für private Schlüssel zur Verschlüsselung und/oder Pseudonymisierung.
- Technische Beratung zu Verschlüsselungsalgorithmen, Schlüsselmanagement und Sicherheitsarchitektur.
- Koordination der Stakeholder-Kommunikation zwischen Auftraggeber, Dienstleister, Forschungsstelle, ggf. Aufsichtsbehörde.
- Entwicklung von Pseudonymisierungslösungen durch unsere Privacy Engineers und Entwickler, auf Wunsch massgeschneidert.
Governance & Audit-Attestation
Eine TTP ist nur so vertrauenswürdig wie ihre Governance. Bei SIDD:
- ISO-27001-zertifizierte Infrastruktur (Lead Auditor BSI)
- FINMA-Outsourcing-Rundschreiben kompatibel
- Schweigepflicht nach Art. 321 StGB
- Dokumentierter Freigabeprozess (Vier-Augen-Prinzip)
- Audit-Trail aller Schlüssel-Zugriffe
- Jährlicher externer Audit-Bericht (auf Anfrage verfügbar)
Wie starten wir ein TTP-Projekt?
Nach einer kostenfreien Erstberatung erhalten Sie eine Offerte. Anschliessend folgen sechs Phasen.
Projektplanung & Stakeholder Onboarding
Gemeinsamer Projektplan, ggf. mit Kund:innen und weiteren Stakeholdern.
Kick-off
Projektplan finalisieren, Kommunikationswege festlegen.
Technologie & Prozess
Wahl der KMS-Lösung, Übernahme bestehender Systeme oder Aufbau auf SIDD-Infrastruktur.
Umsetzung
Systeme aufsetzen, ggf. Custom-Entwicklung durch unsere Privacy Engineers.
Testing & UAT
Testphase mit Ihnen oder spezialisierten Testdienstleistern.
Übergabe & Go-Live
Produktiver Betrieb der Schlüsselgenerierung und -verwahrung.
Warum SIDD?
Eine Trusted Third Party ist nur so glaubwürdig wie ihre Unabhängigkeit, ihre Vertraulichkeit und ihre technische Sorgfalt, und bei SIDD kommen alle drei aus einem Haus.
Schlüssel unter Berufsgeheimnis
Wo Dr. Dominic Staiger als Anwalt tätig wird, unterliegen hinterlegte Schlüssel und Mandatsinformationen dem Berufsgeheimnis nach Art. 321 StGB. Das ist ein strafrechtlich bewehrter Vertraulichkeitsschutz, den ein reiner IT-Dienstleister nicht bieten kann.
Neutral, kein Datenzugriff
Wir verwalten ausschliesslich Schlüssel und Pseudonymisierungs-Schlüssel und sind weder Systemanbieterin noch Plattformbetreiberin in Ihrem Use Case. Die Freigabe erfolgt nur unter den vertraglich definierten Bedingungen, nie auf einseitigen Zuruf einer Partei.
Vertrag und Verwahrung verbunden
Promovierte Jurist:innen gestalten die Treuhand- und Freigabevereinbarung, unser eigenes InfoSec- und Software-Engineering-Team unter CTO Oliver Stutz betreibt die Schlüsselverwahrung. Key Escrow scheitert sonst genau an der Lücke zwischen Vertragstext und sicherer Umsetzung.
Protokollierte Vorgänge
Jeder Freigabe-, Zugriffs- und Rotationsvorgang wird protokolliert und ist über unsere Priverion-Plattform als gepflegter, prüffähiger Nachweis abrufbar. So lässt sich die Treuhand gegenüber Aufsicht, Auditor:innen und Studienteilnehmer:innen belegen.
Treuhand über Rechtsräume
Mit Mandaten in CH, EU, UK und US ordnen wir die Treuhand über mehrere Rechtsräume hinweg ein, relevant bei grenzüberschreitenden klinischen Studien, HR-Analytics-Konzernstrukturen oder einem M&A-Escrow mit Parteien in verschiedenen Ländern.
Dauerhaft verantwortliche Stelle
SIDD ist seit 2017 als unabhängige Drittpartei tätig, mit hoher Mandats-Verlängerungsquote und Erstantwort innert 24 Stunden. Im Treuhandfall, etwa einem Escrow-Auslöser oder einer Freigabeanfrage, erreichen Sie eine benannte, dauerhaft verantwortliche Ansprechperson.
Unser Werkzeug: LexCommand
Warum wir mit LexCommand arbeiten, unserer eigenen Schweizer Rechts-KI
LexCommand ist unsere hauseigene, zitatgestützte Rechts-KI für das Recht der Schweiz, Deutschlands, Österreichs und der EU. Entwickelt und souverän in der Schweiz betrieben von der Priverion GmbH, dem Unternehmen hinter SIDD. Datensouveränität und Belegbarkeit predigen wir nicht nur, wir haben sie in unser Werkzeug eingebaut, ergänzend zur Priverion-Plattform.
Souverän in der Schweiz
Die KI läuft selbst gehostet auf Schweizer Infrastruktur, ohne externe Cloud-LLMs. Als unabhängiges Schweizer Unternehmen ohne ausländische Muttergesellschaft verarbeiten wir Ihre Unterlagen in einer Umgebung, die wir kontrollieren.
Kein Zitat, kein Anspruch
Jede rechtliche Aussage ist auf eine abrufbare Primärquelle rückführbar, oder sie erscheint nicht. So werden unsere Empfehlungen auditierbar und nachvollziehbar, statt nur plausibel zu klingen.
Vom Aufwand zum Urteil
LexCommand übernimmt das Suchen, Abgleichen und Belegen. Das verkürzt Durchlaufzeiten und gibt unseren Senior-Beratenden Zeit für Urteil und Mandantengespräch, bei gleichbleibender Sorgfalt.
Drei Disziplinen, ein Bild
Datenschutz, Informationssicherheit und KI-Sicherheit betrachten wir auf einer geteilten Quellenbasis mit Framework-Crosswalk. So sehen Sie überschneidende Pflichten in einem konsolidierten Bild statt in drei isolierten Analysen.
Konkret für Ihr TTP-Mandat: LexCommand belegt die Treuhand- und Freigabevereinbarung samt Vier-Augen-Freigabeprozess mit zitierten Quellen aus DSG, DSGVO, FINMA-Outsourcing-Rundschreiben und ISO 27001, und ordnet bei grenzüberschreitendem Escrow den richtigen Rechtsraum zu, ohne Jurisdiktionen zu vermischen.
Zeitlich deterministisch (Stand heute oder zu jedem Stichtag), mit Jurisdiktions-Isolation (CH/DE/AT/EU) und einem Zitat-Verifizierer am Ende jeder Antwort.
Häufige Fragen vor der Beauftragung
Was kostet ein TTP-Mandat?
Projekt-individuell. Setup typischerweise CHF 15'000 – 60'000, laufender Treuhand-Betrieb ab CHF 9'000/Jahr. Endpreis hängt von Komplexität, Anzahl Schlüssel/Tabellen und Audit-Anforderungen ab.
In welcher Jurisdiktion verwahren Sie?
Schweiz (HQ Baar, ZG). Auf Anfrage zusätzlich EU (München) oder UK (London). Datenresidenz wird vertraglich vereinbart.
Wer hat Zugriff auf die Schlüssel?
Nur ein klar definierter, dokumentierter Personenkreis im Vier-Augen-Prinzip. Jeder Zugriff wird im Audit-Log dokumentiert.
Können Sie als Datentreuhänder für klinische Studien fungieren?
Ja. Wir haben Erfahrung in der Pseudonymisierung-Treuhand zwischen Sponsor, CRO und Forschungseinrichtung, mit dokumentierter Re-Identifikations-Prozedur für Pharmacovigilance-Fälle.
Ist Ihre Infrastruktur ISO-27001-zertifiziert?
Die Custody-Infrastruktur folgt ISO-27001-Standards mit Lead-Auditor-BSI-Begleitung. Auditberichte sind auf Anfrage verfügbar.
Unterliegen Anfragen der Schweigepflicht?
Ja, Art. 321 StGB. Schlüssel-Inhalte und Audit-Logs werden ausschliesslich mit von Ihnen benannten Personen geteilt.
Bereit für ein TTP-Mandat, sichere Schlüssel-Treuhand mit ISO-27001-Governance.
30-Minuten Erstgespräch mit Dr. Staiger. Bei Bedarf erhalten Sie im Anschluss einen Use-Case-Brief mit empfohlener Architektur.