Dein Blog zum Thema digitales Business

Ein Kunde schickt dir vor dem Vertragsabschluss einen Fragebogen mit vierzig, manchmal achtzig Punkten. Zugriffskonzept, Patch-Management, Verschlüsselung, Notfallplan, Subunternehmer. Solche Fragebögen kommen meist aus einer Lieferantenbewertung oder einem Kundenaudit: der Kunde nimmt dich in seine eigene Lieferkette auf und muss dafür gegenüber seinen eigenen Prüfern und Kunden geradestehen. Die Versuchung ist groß, den Fragebogen als bürokratische Hürde abzuhaken und die Antworten so zu formulieren, dass sie durchgehen. Das ist der falsche Reflex. Die einzelnen Fragen sind fast immer ein Umweg zu drei sehr konkreten Sorgen.

Die erste Sorge: Kennst du deine eigene Angriffsfläche. Fragen wie „Wer hat Zugriff auf welche Systeme und Daten, und wie oft wird das geprüft“ oder „Wie werden Zugänge bei Rollenwechsel oder Austritt entzogen“ klingen nach Formalität, sind aber ein direkter Test auf ein Zugriffs- und Rechteinventar. Wenn du diese Frage nur beantworten kannst, indem du erst im Team nachfragst oder dich durch mehrere Systeme klickst, ist die ehrliche Antwort: du hast kein belastbares Inventar, du hast eine Vermutung. Der Kunde merkt den Unterschied an der Antwortzeit und an der Präzision der Antwort, nicht an der Höflichkeit der Formulierung.

Die zweite Sorge: Merkst du, wenn etwas schiefläuft. Eine Frage wie „Wie stellt ihr sicher, dass sicherheitsrelevante Ereignisse erkannt und dokumentiert werden“ zielt nicht auf ein bestimmtes Tool, sondern darauf, ob es bei dir einen Nachweis gibt, der im Zweifel vor einem Auditor oder in einem Schadensfall Bestand hat. Ein Tool, das Logs sammelt, beantwortet diese Frage nicht automatisch. Gefragt ist eine Nachweiskette mit Zuordnung zu Ereignis, Zeitpunkt und Verantwortlichem, nicht die bloße Existenz von Log-Dateien irgendwo auf einem Server.

Die dritte Sorge: Kannst du im Ernstfall handeln. „Beschreibt euren Prozess bei einem Sicherheitsvorfall, inklusive Wiederherstellung“ ist die höflichste Formulierung für „Was passiert, wenn bei euch etwas ausfällt, und reißt das uns mit“. Dahinter steckt die Frage nach einem geübten Weg zurück in einen bekannten Zustand, mit klaren Schritten und einer Person, die sie kennt, nicht nach einem Dokument, das seit zwei Jahren niemand mehr geöffnet hat.

Der Unterschied zwischen Lieferanten zeigt sich nicht beim Ausfüllen, sondern vorher. Ein Unternehmen, das sein Zugriffsinventar, seine Nachweisketten und seinen Freigabeprozess als laufende Struktur betreibt, füllt den Fragebogen praktisch nebenbei aus. Die Antworten liegen vor, weil sie ohnehin gepflegt werden, unabhängig davon, ob gerade ein Fragebogen ansteht. Ein Unternehmen ohne diese Struktur fängt bei jedem neuen Fragebogen wieder bei null an. Die Antworten werden jedes Mal neu zusammengesucht, aus Erinnerung, aus internen Chatverläufen, aus dem Kopf einer einzelnen Person, die gerade im Urlaub sein könnte. Das kostet nicht nur Zeit. Es erzeugt auch das Risiko, dass zwei Fragebögen für zwei Kunden unterschiedlich beantwortet werden, weil niemand die letzte Version griffbereit hatte.

Das hat eine Folge, die über den einzelnen Fragebogen hinausgeht. Großkunden verschicken solche Fragebögen nicht aus Misstrauen im Einzelfall, sondern weil sie ihre eigene Lieferkette absichern müssen. Ein Fragebogen, der jedes Mal unterschiedlich oder unter Zeitdruck beantwortet wird, ist selbst ein Signal, nämlich dass die Struktur dahinter fehlt. Umgekehrt ist ein Fragebogen, der schnell und konsistent beantwortet wird, kein Zeichen von Bürokratie-Routine, sondern der sichtbare Teil einer Struktur, die sonst unsichtbar bliebe.

Wenn du das nächste Mal einen solchen Fragebogen bekommst, lohnt sich ein Blick weg von den einzelnen Fragen hin zu den drei Kategorien dahinter. Fehlt dir das Zugriffsinventar. Fehlt dir die Nachweiskette. Fehlt dir der geübte Weg zurück. Wo eine dieser drei Antworten „eigentlich nicht“ lautet, ist der Fragebogen nicht das Problem. Er ist nur der Anlass, die Lücke sichtbar zu machen, bevor ein Kunde sie für dich sichtbar macht.

Genau in diesen drei Feldern setzt eine Bestandsaufnahme zuerst an: eine RBAC-Inventur macht sichtbar, wer worauf zugreift, eine Prüfung der vorhandenen Nachweise zeigt, wo Evidence-Lücken für sicherheitsrelevante Ereignisse liegen, und ein Blick auf den gelebten Freigabeprozess zeigt, ob er hält, was er auf dem Papier verspricht. Zwei weitere Felder tauchen in solchen Fragebögen ebenfalls auf, aber nur als offene Frage, nicht als Leistungszusage: AI Governance, also wo KI-gestützte Schritte in Build und Deployment Freigaben und Verantwortung verwischen. Und Maintenance, also wem ein System nach dem Go-Live gehört und woran man merkt, dass es niemandem gehört. Ein festes Angebot daraus entsteht erst, wenn klar ist, was der Kunde wirklich braucht. Deshalb nennen wir dazu keinen Preis. Schreib an mm@mhm-dl.de.