Was STARFACE ist

STARFACE ist eine Telefonanlage für Unternehmen, die Telefonie, Präsenzanzeige, Chat, Fax, Voicemail und Anbindungen an Programme wie Microsoft Teams oder CRM-Systeme bündelt. Die Anlage spricht SIP zu Telefonen und Netzbetreibern, die Appliances haben zusätzlich ISDN- und Analoganschlüsse. Desktop- und Mobile-Apps verbinden sich verschlüsselt mit der Anlage.

Die STARFACE GmbH wurde in Karlsruhe gegründet und gehört seit Februar 2025 zur britischen Gamma Communications plc. Zusammen mit estos und Gamma Deutschland vertreibt sie seit Ende 2025 über eine gemeinsame Vertriebsorganisation, ausschließlich über Partner. Die Anlage wird als Cloud-Dienst, als Appliance und als VM-Edition angeboten.

Wofür es eingesetzt wird

Kleine und mittlere Unternehmen nutzen STARFACE als zentrale Telefonanlage, oft als Ersatz älterer Anlagen anderer Hersteller. Die Appliances reichen von 25 bis 2.000 aktiven Nutzern. Wer die Anlage im eigenen Haus betreibt, behält Gesprächs- und Verbindungsdaten auf eigener Hardware.

Die Lizenz ist unbefristet, für neue Versionen und Sicherheitskorrekturen braucht es aber einen laufenden Updatevertrag. Für einen späteren Wechsel lassen sich Verbindungsdaten als CSV exportieren; Backups liegen im herstellereigenen Format.

Prüfraster im Detail

Antworten: ja, teilweise, nein oder nicht belegbar. Bewertet wird der Betrieb der Anlage im eigenen Haus; Fragen zum Rechtsraum und zur Datenhoheit sind für eine selbst betriebene Anlage sinngemäß gelesen.

Rechtsraum nicht erfüllt

Prüffrage	Antwort	Begründung
1.1 Sitz des Anbieters und der Konzernmutter in EU, EWR oder Schweiz?	nein	Vertragspartner ist laut Impressum und AGB die STARFACE GmbH mit Sitz in Karlsruhe (HRB 110990, Amtsgericht Mannheim). Seit Februar 2025 gehört die STARFACE-Gruppe zu Gamma Communications plc, einem börsennotierten Anbieter mit Schwerpunkt im Vereinigten Königreich; Gamma übernahm 100 % der SF Technologies Holding (Sekundärquelle). Die Konzernmutter sitzt damit außerhalb von EU, EWR und Schweiz. Beleg: Impressum · Allgemeine Geschäftsbedingungen · Gamma completes acquisition of STARFACE Group · Gamma completes €196m Starface buyout to boost G…
1.2 Frei von Drittstaatsgesetzen mit Herausgabepflicht ohne EU-Rechtsweg (z. B. US CLOUD Act, FISA 702)?	teilweise	Auslegung: Im Selbstbetrieb liegen Gesprächs-, Konfigurations- und Verbindungsdaten auf der Anlage des Kunden; eine Anordnung gegen den Hersteller erfasst sie nicht unmittelbar. Der Anbieter ist eine deutsche GmbH, die Dienstleister der Auftragsverarbeitung für den Plattformbetrieb sitzen in Deutschland. Die Konzernmutter sitzt im Vereinigten Königreich; ob dortige Vorschriften Herausgabepflichten für Daten bei STARFACE begründen, wurde nicht geprüft. Beleg: Impressum · Anlage zur Vereinbarung Auftragsverarbeitung – E… · Gamma completes acquisition of STARFACE Group
1.3 Technischer Schutz, der Zugriff auch auf behördliche Anordnung verhindert?	teilweise	Anlage und Daten stehen beim Kunden. Telefonie zwischen Endgeräten und Anlage lässt sich mit TLS und SRTP verschlüsseln, die Verschlüsselung ist aber standardmäßig deaktiviert und nur für bestimmte Telefonmodelle verfügbar. Für das Einspielen von Lizenzen muss die Anlage Serveradressen des Herstellers erreichen; die Portliste nennt einen Lizenzserver für den Abgleich der Lizenzen. Beleg: Wissensdatenbank: Sicherheitseinstellungen für d… · Wissensdatenbank: Neue Lizenzen in die STARFACE… · Wissensdatenbank: Portnutzung der STARFACE
1.4 Eigentümer- und Kontrollstruktur öffentlich belegt, ohne Kontrollwechsel zu einem Eigentümer außerhalb von EU, EWR oder Schweiz in den letzten 24 Monaten?	nein	Die STARFACE GmbH (Karlsruhe, HRB 110990 Amtsgericht Mannheim) tritt als „a gamma company“ auf. Laut Jahresergebnis 2025 der Gamma Communications plc (Vereinigtes Königreich) wurde die Übernahme von STARFACE im Februar 2025 abgeschlossen. Damit fand im Prüfzeitraum ein Kontrollwechsel zu einem Eigentümer außerhalb von EU, EWR oder Schweiz statt. Beleg: Impressum · Final Results for the year ended 31 December 2025

Datenhoheit eingeschränkt

Prüffrage	Antwort	Begründung
2.1 Speicherort der Kundendaten einschließlich Backups in EU, EWR oder Schweiz vertraglich festgelegt oder vom Betreiber selbst bestimmbar?	ja	Auslegung: Bei der selbst betriebenen Anlage bestimmt der Betreiber den Speicherort der Daten. Backups gehen an ein vom Administrator gewähltes Ziel (Festplatte des Servers, Windows-Freigabe, SFTP, USB, Dropbox oder E-Mail). Laut AGB ist der Besteller selbst für die regelmäßige Sicherung seiner Daten verantwortlich. Beleg: Wissensdatenbank: Neues Backup konfigurieren · Allgemeine Geschäftsbedingungen
2.2 Betrieb im eigenen Rechenzentrum oder bei frei wählbarem Dienstleister möglich?	ja	STARFACE wird als Hardware-Appliance (in Deutschland gefertigt, bis 2.000 aktive Nutzer) und als VM-Edition für eigene Server angeboten. Die VM-Edition nennt als Umgebung nur VMware. Ein Betrieb bei einem frei gewählten Dienstleister ist damit technisch möglich. Beleg: On-Prem-Telefonie „Made in Germany“ · VM-Edition
2.3 Telemetrie und Diagnosedaten abschaltbar oder vollständig dokumentiert?	teilweise	Die Portliste dokumentiert die ausgehenden Verbindungen zu Herstellerservern mit Zweck: Ermittlung der externen IP, Lizenzabgleich, Updates und Firmware, STUN, Push für die Mobile App und optional STARFACE Connect. Eine Beschreibung übertragener Telemetrie- oder Diagnosedaten wurde nicht gefunden. Laut AGB darf STARFACE Nutzungsdaten pseudonymisiert für Werbung und Marktforschung verwenden; der Kunde kann widersprechen. Beleg: Wissensdatenbank: Portnutzung der STARFACE · Allgemeine Geschäftsbedingungen
2.4 Training von KI-Modellen des Anbieters mit Kundendaten vertraglich ausgeschlossen, ohne dass der Kunde widersprechen muss?	teilweise	Auslegung: Die bewertete Anlage im Selbstbetrieb nutzt keine KI-Dienste; KI-Unterauftragnehmer (Eleven Labs, Deepgram, Azure OpenAI) sind laut AVV-Anlage nur bei aktivierten KI-Funktionen eingebunden. Einen vertraglichen Ausschluss des KI-Trainings enthalten die AGB nicht; sie erlauben die Nutzung von Nutzungsdaten auch für Marktforschung und pseudonymisierte Nutzungsprofile, wogegen der Kunde widersprechen kann (Ziff. 14.3). Beleg: Allgemeine Geschäftsbedingungen · Anlage zur Vereinbarung Auftragsverarbeitung – E…

Quellcode & Lizenz nicht erfüllt

Prüffrage	Antwort	Begründung
3.1 Quellcode der Kernfunktionen unter einer OSI-Lizenz verfügbar?	nein	STARFACE ist proprietäre Software. Die AGB räumen ein einfaches, nicht ausschließliches Nutzungsrecht im vertraglich vereinbarten Umfang ein; der Quellcode ist nicht öffentlich. Beleg: Allgemeine Geschäftsbedingungen
3.2 Produktivbetrieb ohne proprietäre Pflichtbestandteile möglich?	nein	Der Betrieb setzt die proprietäre Software und Lizenzschlüssel voraus. Der Serverlizenzschlüssel muss zuerst eingespielt werden, Modullizenzen gelten für eine feste Zahl von Instanzen. Beleg: Wissensdatenbank: Neue Lizenzen in die STARFACE… · Allgemeine Geschäftsbedingungen
3.3 Weiterbetrieb nach Vertragsende ohne Funktionsverlust möglich?	teilweise	Laut AGB wird die erworbene Software zeitlich unbegrenzt lizenziert. Updates erfordern einen gesonderten Updatevertrag, ein Supportvertrag setzt diesen voraus; die Anlage zeigt an, bis wann die Update-Option gilt. Service Releases stehen nur Kunden mit laufendem Service-Vertrag zur Verfügung, damit auch Sicherheitskorrekturen; STARFACE Hub und KI-Dienste erfordern einen Services-Vertrag. Beleg: Allgemeine Geschäftsbedingungen · Wissensdatenbank: Lizenzinformationen auf der ST… · STARFACE veröffentlicht Service Release 1 für ST… · Versionshistorie STARFACE PBX

Betrieb & Nachweise eingeschränkt

Prüffrage	Antwort	Begründung
4.1 Aktuelles BSI-C5-Testat oder ISO-27001-Zertifikat?	nicht belegbar	Ein ISO-27001-Zertifikat oder BSI-C5-Testat der STARFACE GmbH wurde auf der Website und in den geprüften Dokumenten nicht gefunden. Auslegung: Für selbst betriebene Software würde ein Herstellerzertifikat vor allem Entwicklung und Support betreffen. Beleg: Startseite starface.com
4.2 Öffentlicher Prozess für Sicherheitslücken?	teilweise	Die öffentliche Versionshistorie weist Sicherheitskorrekturen aus, etwa einen kritischen Patch für den Zugriffsschutz der Kommunikationsschnittstellen (Juli 2026), mit Korrekturen auch für die Vorversionen 8.1 und 9.0; Details hält der Hersteller zum Teil bewusst zurück. CVE-Nummern, ein eigenes Advisory-Verzeichnis oder ein öffentlicher Meldeweg für Schwachstellen wurden nicht gefunden; eine security.txt war nicht abrufbar. Eine 2023 veröffentlichte Lücke (CVE-2023-33243) meldete ein externes Prüfunternehmen (Sekundärquelle). Beleg: Versionshistorie STARFACE PBX · CVE-2023-33243 (STARFACE Web-Oberfläche und REST…
4.3 Vertragspartner und Support in der EU, Vertrag nach deutschem oder EU-Recht?	ja	Vertragspartner ist die STARFACE GmbH in Karlsruhe; es gilt deutsches Recht unter Ausschluss des UN-Kaufrechts, Gerichtsstand ist Karlsruhe. Vertrieb und Einführung laufen über zertifizierte Partner in der DACH-Region, Support erbringt STARFACE nach Supportvertrag oder nach Aufwand. Beleg: Allgemeine Geschäftsbedingungen · On-Prem-Telefonie „Made in Germany“
4.4 Liste der Unterauftragsverarbeiter öffentlich, vollständig und mit Standorten, Änderungen vorab angekündigt?	teilweise	STARFACE veröffentlicht eine Liste der eingebundenen Dienstleister mit Leistung und Standort; bei IONOS fehlt das Land. Eine Vorabankündigung von Änderungen ist nicht geregelt, und die Liste nennt kein Stand-Datum. Sie betrifft Rechenzentren, Plattform- und KI-Dienste; Support oder Fernwartung für Anlagen im Selbstbetrieb kommt darin nicht vor. Beleg: Anlage zur Vereinbarung Auftragsverarbeitung – E…
4.5 Zugriff auf Kundendaten in Betrieb und Administration nur durch Personen in EU, EWR oder Schweiz, und Support-Zugriffe von außerhalb nur mit Zustimmung des Kunden im Einzelfall?	teilweise	Auslegung: Betrieb und Administration der Anlage liegen beim Betreiber; die Portliste nennt den Wartungszugang per SSH nur als optionale Freigabe im eigenen Netz. Wie, von welchen Standorten und mit welcher Freigabe STARFACE oder Gesellschaften der Gamma-Gruppe im Support auf Kundenanlagen zugreifen, ist in AGB und AVV-Anlage nicht geregelt. Teil (b) ist damit nicht belegt. Beleg: Wissensdatenbank: Portnutzung der STARFACE · Allgemeine Geschäftsbedingungen

Exit & Interoperabilität eingeschränkt

Prüffrage	Antwort	Begründung
5.1 Export in offenen, dokumentierten Formaten?	teilweise	Verbindungsdaten lassen sich je Benutzer oder Gruppe als CSV-Datei mit dokumentierten Spalten exportieren. Kontakte lassen sich per semikolongetrennter UTF-8-Datei importieren; ein dokumentierter Export des Adressbuchs wurde nicht gefunden. Backups haben das herstellereigene Format .sar. Beleg: Wissensdatenbank: Verbindungsdaten für einen Ben… · Wissensdatenbank: Import von Kontakten via Datei · Wissensdatenbank: Neues Backup konfigurieren
5.2 Offene Standards für Anmeldung und Schnittstellen?	ja	Die Anlage nutzt SIP, TLS-verschlüsseltes SIP und SRTP. Benutzer können sich über Active Directory per LDAP (mit TLS) anmelden; für Benutzer und Administratoren ist OAuth mit einem externen Identity Provider möglich (Microsoft, Google oder andere). Für Anwendungen gibt es CSTA und XMPP. Beleg: Wissensdatenbank: Portnutzung der STARFACE · Wissensdatenbank: Sicherheitseinstellungen für d… · Wissensdatenbank: Active Directory auf der STARF… · Wissensdatenbank: Externen IdP für Benutzer oder… · Wissensdatenbank: Produktdokumentation der STARF…
5.3 Vollständiger Export ohne Mitwirkung oder Zusatzkosten des Anbieters?	teilweise	Backups mit Stammdaten, Adressbuch, Verbindungsdaten und Voicemails sowie CSV-Exporte erstellt der Betreiber selbst, ohne Mitwirkung des Herstellers. Das Backupformat ist herstellereigen und für die Wiedereinspielung in STARFACE gedacht; ein vollständiger Export in herstellerunabhängige Formate ist nicht dokumentiert. Beleg: Wissensdatenbank: Neues Backup konfigurieren · Wissensdatenbank: Verbindungsdaten für einen Ben…

Was wir nicht klären konnten

Diese Punkte sind öffentlich nicht belegt. Sie werden bei der nächsten Aktualisierung erneut geprüft.

Ob die Anlage ohne Verbindung zum Lizenzserver dauerhaft voll funktionsfähig bleibt. Die Dokumentation nennt den Lizenzabgleich, aber kein Verhalten bei fehlender Verbindung.
Wohin Support- und Diagnosedaten bei selbst betriebenen Anlagen gehen. Die Anlage zur Auftragsverarbeitung behandelt nur Cloud-Plattform und KI-Funktionen.
Ob ein ISO-27001-Zertifikat oder ein vergleichbarer Nachweis besteht. Auf der Website wurde keiner gefunden.
Ob Vorschriften im Vereinigten Königreich die Konzernmutter zur Herausgabe von Daten verpflichten können. Das wurde nicht rechtlich geprüft.
Welche Version aktuell ist. Die Versionshistorie endet bei 10.0.2.6, die Wissensdatenbank beschreibt bereits Version 11.0.
Ob STARFACE oder Gamma-Gesellschaften im Support auf Anlagen im Selbstbetrieb zugreifen und von welchen Standorten, weil AGB und AVV-Anlage dazu keine Angaben enthalten.
Welche Daten die Anlage im Selbstbetrieb an STARFACE sendet (Lizenzprüfung, Updates) und ob sie unter AGB Ziff. 14.3 fallen, weil dazu keine Beschreibung gefunden wurde.
Ob STARFACE oder der Partner für Support auf selbst betriebene Anlagen nur nach Freigabe des Kunden im Einzelfall zugreift und wo das Supportpersonal sitzt, weil weder AGB noch AVV-Anlage noch Wissensdatenbank ein Verfahren für Fernzugriffe beschreiben.

Fragen vor einer Entscheidung

Welche Verbindungen der Anlage ins Internet sind in Ihrem Netz zugelassen, und funktioniert die Anlage auch bei gesperrtem Lizenzserver?
Ist der Updatevertrag für die geplante Nutzungsdauer gesichert, damit Sicherheitskorrekturen eingespielt werden können?
Ist die Verschlüsselung mit TLS und SRTP für alle eingesetzten Telefonmodelle verfügbar und aktiviert?
In welcher Form sollen Kontakte, Verbindungsdaten und Voicemails bei einem Wechsel übernommen werden?

STARFACE