Der Fragebogen kommt vom Einkauf, nicht von der IT. Zwei Seiten, manchmal vierzig Fragen, Rücksendefrist zehn Tage, und irgendwo in der Mitte steht: «Betreiben Sie eine kontinuierliche Überwachung Ihrer IT-Systeme auf Sicherheitsvorfälle?» Darunter ein leeres Feld für Belege.
Wenn ein Kunde einen Sicherheitsnachweis verlangt, ist der erste Reflex meistens der falsche. Er heisst nachrüsten: ein Produkt kaufen oder eine Zertifizierung prüfen. Der Fragebogen fragt aber nur am Rand nach Werkzeugen. Er fragt nach Belegen, und das ist eine andere Übung.
Wenn ein Kunde einen Sicherheitsnachweis verlangt, misst der Fragebogen nicht, wie sicher dein Betrieb ist, sondern ob du über deine Sicherheit Auskunft geben kannst. In unserer Erfahrung fehlt dabei seltener der Schutz als die Dokumentation darüber. Wer schriftlich hat, wer hinschaut, in welcher Zeit reagiert wird und was in den letzten Monaten vorgefallen ist, beantwortet den grössten Teil der Fragen ohne ein neues Produkt.
Warum dein Kunde das überhaupt fragt
Dein Kunde ist nicht neugierig. Er gibt eine Pflicht weiter, die er selbst hat.
Bearbeitest du Personendaten in seinem Auftrag, etwa weil du eine Anwendung für ihn betreibst oder seine Kundendaten für ihn pflegst, bist du nach Schweizer Datenschutzgesetz sein Auftragsbearbeiter. Artikel 9 des Datenschutzgesetzes hält dann fest: «Der Verantwortliche muss sich insbesondere vergewissern, dass der Auftragsbearbeiter in der Lage ist, die Datensicherheit zu gewährleisten.» Vergewissern heisst nachfragen und das Ergebnis ablegen. Genau das liegt gerade in deinem Postfach.
Auch ohne diese Rolle bleibt sein Interesse bestehen. Was bei dir im Microsoft 365 an seinen Projektunterlagen und Preislisten liegt, gehört aus seiner Sicht zu seiner eigenen Angriffsfläche. Ist er nach ISO 27001 zertifiziert, kommt eine Pflicht aus der Norm dazu: Anhang A verlangt von ihm einen Prozess, mit dem er die Sicherheitsrisiken seiner Lieferanten bewertet und diese Bewertung belegen kann. Geprüft wird bei ihm, ob er gefragt hat und was er mit deiner Antwort gemacht hat.
Das erklärt nebenbei, warum so ein Sicherheitsnachweis oft seltsam unspezifisch formuliert ist. Der Einkauf verschickt dasselbe Formular an den Reinigungsdienst, an das Transportunternehmen und an dich. Ein Teil der Fragen passt deshalb gar nicht auf deinen Betrieb. Diese Felder leer zu lassen und eine Zeile Begründung danebenzuschreiben, ist die bessere Antwort als eine erfundene.
Am Ende der Kette steht oft noch ein dritter Absender. Hat dein Kunde eine Cyberversicherung, hat die ihm sehr ähnliche Fragen gestellt, und welche Monitoring-Anforderungen dort wirklich zählen, ist ein Thema für sich. Der Fragebogen ist also eine fremde Pflicht, unter die du deine Unterschrift setzt.
Was prüft ein Sicherheitsnachweis eigentlich?
Er prüft Belegbarkeit, nicht Schutz. Ob Defender läuft, fragt kaum jemand. Gefragt wird, wer bei dir benannt ist, in welcher Zeit du auf einen kritischen Vorfall reagierst und wo ein Dritter das nachlesen kann. Technisch ordentlich aufgestellte Betriebe fallen regelmässig durch, weil sie zu all dem nichts auf Papier haben.
In der Praxis wiederholen sich drei Familien von Fragen, unabhängig davon, welches Formular auf dem Tisch liegt:
- Zuständigkeit: wer sieht die Warnungen, zu welchen Zeiten, in welcher Rolle? «Unser IT-Dienstleister» trägt nur so weit, wie im Vertrag mit ihm auch Monitoring steht.
- Reaktionszeit: innert welcher Frist bearbeitet jemand einen kritischen Vorfall? Hier scheitert fast jede Absichtserklärung, weil sie keine Zahl enthält.
- Nachvollziehbarkeit: woran sieht ein Dritter, dass das in den letzten Monaten tatsächlich so gelaufen ist?
Aufschlussreich ist, was nicht gefragt wird. Nach Produktnamen erkundigt sich kaum ein Sicherheitsnachweis ernsthaft, und wenn doch, dann in einem Nebensatz. Das Dokument will wissen, wie du arbeitest. Was du eingekauft hast, bleibt dabei zweitrangig.
Eine Nachweislücke ist dabei selten nur eine Nachweislücke. Was niemand dokumentiert, betreibt in unserer Erfahrung auch niemand verlässlich. Ein Lieferantenfragebogen ist ein schlechter Sicherheitstest und ein guter Betriebstest.
Reicht Microsoft Secure Score als Nachweis?
Als alleiniger Sicherheitsnachweis nicht. Secure Score misst Konfiguration. Microsoft schreibt dazu selbst, die Bewertung sei «keine absolute Messung, wie wahrscheinlich Ihr System oder Ihre Daten verletzt werden könnten», sie zeige vielmehr, in welchem Umfang Sicherheitskontrollen verwendet werden, und sie solle nicht als Garantie gegen Sicherheitsverletzungen interpretiert werden. Das steht so in der Microsoft-Dokumentation zur Sicherheitsbewertung.
Punkte gibt es laut derselben Quelle für das Konfigurieren empfohlener Sicherheitsfeatures und das Ausführen sicherheitsbezogener Aufgaben. Das ist nützlich, und es ist der falsche Beleg für die Frage, die dein Kunde stellt. Eine Zahl auf einem Screenshot sagt nichts darüber, ob zwischen Januar und heute ein Mensch eine Warnung gelesen hat.
Brauchbar ist Secure Score an einer anderen Stelle. Microsoft führt zur Bewertung einen Verlauf, und eine Kurve über zwölf Monate mit erkennbarer Richtung belegt etwas, das ein Standbild nicht belegt: dass sich jemand wiederholt darum gekümmert hat. Als Anlage zu einem Fragebogen ist der Verlauf deshalb mehr wert als der aktuelle Punktestand.
Welche Belege ein KMU realistisch vorlegen kann
Vier Dokumente tragen in unserer Erfahrung den grössten Teil eines Sicherheitsnachweises. Keines davon ist ein Zertifikat.
Ein Vertrag mit Reaktionszeiten. Nicht «wir kümmern uns zeitnah», sondern Fristen nach Schweregrad. In unseren Verträgen stehen 30 Minuten bei kritischen, 2 Stunden bei hohen und 4 Stunden bei mittleren Vorfällen, jeweils zu Bürozeiten Mo bis Fr 08:00 bis 17:30. Eine Zahl, die ein Dritter nachlesen kann, beantwortet die Frage.
Ein wiederkehrender Bericht mit Datum. Ein monatlicher Bericht über bearbeitete Vorfälle, eingehaltene Reaktionszeiten und offene Massnahmen zeigt Betrieb über Zeit. Das ist der Unterschied zwischen «wir überwachen das» und «hier sind die letzten sechs Monate».
Eine Standortbestimmung der Konfiguration. Ein strukturierter Review des Tenants beantwortet die Fragen nach MFA, Conditional Access, privilegierten Konten und E-Mail-Schutz mit einem Befund statt mit einer Erinnerung. Er hat den angenehmen Nebeneffekt, dass du die unangenehmen Antworten kennst, bevor sie jemand anders findet.
Eine benannte Entscheidungsbefugnis. Fast jeder Fragebogen fragt nach einem Prozess für Sicherheitsvorfälle. Gemeint ist damit selten ein Handbuch. Es geht um die Frage, wer in der ersten Stunde entscheiden darf, ohne vorher jemanden suchen zu müssen.
Der teuerste Fehler ist eine zu gute Antwort
Diese Fragebogen bleiben nicht im Einkauf liegen. In unserer Erfahrung wandern sie als Anhang in den Rahmenvertrag, und damit wird aus jedem Kreuz eine Zusage.
Das Kreuz bei «Überwachung rund um die Uhr», wenn nachts niemand hinschaut, ist deshalb die teuerste Zeile im ganzen Dokument. Sie kostet nichts, solange nichts passiert. Sie kostet die Verhandlungsposition in dem Moment, in dem etwas passiert und jemand Zeitstempel vergleicht.
Wir schreiben in solche Formulare Bürozeiten hinein. Mo bis Fr 08:00 bis 17:30 für die menschliche Bewertung, dazu die automatischen Sofortmassnahmen in Defender, die rund um die Uhr laufen und einen Angriff nachts begrenzen, aber nicht abschliessen. Das ist die schwächere Zeile und die, die ein Audit übersteht. Verlangt ein Kunde regulatorisch echte Reaktion um 03:00 Uhr, ist das ehrlicherweise ein Fall für einen anderen Anbieter, und das schreiben wir auch so hin.
So sieht das in einem Betrieb dieser Grösse typischerweise aus
Nimm einen Maschinenbau-Zulieferer im Kanton Aargau, 65 Mitarbeitende, Microsoft 365 Business Premium, ein IT-Verantwortlicher mit 60 Stellenprozent neben der Produktionsplanung. Ein Grosskunde schickt im Rahmen der jährlichen Lieferantenfreigabe einen Fragebogen mit knapp vierzig Fragen.
Technisch ist vieles vorhanden. MFA steht, Defender for Office filtert, die Geräte sind in Intune eingebunden. Beim Ausfüllen bleibt trotzdem die Hälfte der Felder leer, und zwar nicht bei den technischen Fragen. Leer bleiben die anderen: dokumentierter Prozess zur Behandlung von Sicherheitsvorfällen, vereinbarte Reaktionszeiten, Aufbewahrungsdauer sicherheitsrelevanter Protokolle, Nachweis der letzten Überprüfung. Der IT-Verantwortliche weiss zu jeder dieser Fragen etwas zu sagen. Belegen kann er nichts davon, weil nie jemand aufgeschrieben hat, was ohnehin gemacht wird.
Das ist vor allem eine Zeitfrage. Entweder der Betrieb baut die Dokumentation selbst auf, dann bindet das über Monate hinweg genau die eine Person, die die Umgebung versteht. Oder er kauft den Teil ein, bei dem die Belege als Nebenprodukt des Betriebs entstehen.
Was kostet ein belastbarer Sicherheitsnachweis?
Eine Standortbestimmung der Tenant-Konfiguration kostet bei uns CHF 990 einmalig. Der laufende Betrieb mit vertraglichen Reaktionszeiten und monatlichem Bericht beginnt bei CHF 1'850 pro Monat, je nach Risikolevel, bei 12 Monaten Mindestlaufzeit. Die Preisstufen und was sie unterscheidet stehen auf der Startseite.
Dazu eine Einschränkung, die selten in einem Angebot steht: ein SOC-Vertrag ist kein Zertifikat. Verlangt dein Kunde ausdrücklich ein ISO-27001-Zertifikat als Dokument, hilft kein Monitoring-Vertrag der Welt, dann braucht es ein Zertifizierungsverfahren mit allem, was dazugehört. Verlangt er, wie in den meisten Lieferantenfragebogen, den Nachweis von Überwachung und Reaktionsfähigkeit, dann sind Vertrag und Bericht genau das Dokument, nach dem gefragt wird.
Der Zeitdruck ist dabei der eigentliche Gegner. Eine Lieferantenfreigabe kommt mit Frist, ein Aufbau mit vertraglichen Reaktionszeiten und ersten Berichten braucht Vorlauf. Wer den Fragebogen zum Anlass nimmt, hat beim nächsten Durchgang Belege. Wer ihn als Formalität abhakt, bekommt ihn im Folgejahr noch einmal, dann mit Rückfragen zu den Antworten vom letzten Mal.
Häufige Fragen
Brauchen wir für einen Lieferantenfragebogen eine ISO-27001-Zertifizierung?
In den meisten Fällen nicht. Die Fragebogen, die uns begegnen, fragen nach Massnahmen und Belegen und akzeptieren Vertragsklauseln und Berichte als Antwort. Zur Pflicht wird ein Zertifikat dort, wo es ausdrücklich als Vertragsbedingung formuliert ist, in unserer Erfahrung am ehesten bei sehr grossen Industriekunden und im öffentlichen Beschaffungswesen. Das steht dann im Text und muss nicht erraten werden.
Können wir den Fragebogen von unserem IT-Partner ausfüllen lassen?
Die technischen Teile ja, unterschreiben musst du selbst. Dein IT-Partner kennt die Konfiguration, aber die Zusagen zu Reaktionszeiten und Zuständigkeit betreffen deinen Betrieb und deinen Vertrag mit dem Kunden. Heikel wird es, wenn jemand aus Freundlichkeit Monitoring bestätigt, das in keinem Vertrag steht. Dann steht eine Zusage im Raum, für die sich im Ernstfall niemand zuständig fühlt.
Was antworten wir auf die Frage nach einem SIEM, wenn wir keines haben?
Ein fehlendes SIEM ist selten der Grund, warum eine Lieferantenfreigabe scheitert. Ein SIEM ist ein Mittel, und die Frage dahinter zielt auf Aufbewahrung und Auswertbarkeit: wie lange sind die Protokolle verfügbar, und kommt im Ernstfall jemand an sie heran. Wer die tatsächlichen Aufbewahrungsfristen seiner Microsoft-365-Protokolle kennt, trifft die Absicht der Frage genauer als jeder Produktname.
Wenn gerade so ein Formular auf deinem Tisch liegt: die Fragen, bei denen du hängen bleibst, sind meistens die interessanten. Nicht weil sie etwas über dein Risiko verraten, sondern weil sie ziemlich genau zeigen, welcher Teil deines Betriebs bisher nur in einem einzigen Kopf existiert.