Die E-Mail trifft drei Wochen vor dem geplanten Abschluss ein. Dein größter potenzieller Kunde — ein Unternehmen zehnmal so groß wie deins — hat einen Sicherheitsfragebogen des Procurement-Teams weitergeleitet. 150 Fragen. Frist: fünf Werktage. Themen: Verschlüsselungsstandards, Incident-Response-Pläne, Zugriffsrichtlinien, Patch-Management-Prozesse und dein ISO-27001-Status.

Du hast keine IT-Abteilung. Keinen CISO. Einen Laptop, ein Google-Workspace-Konto und eine vage Erinnerung daran, irgendwann einmal Zwei-Faktor-Authentifizierung eingerichtet zu haben.

Dieses Szenario ist typisch für wachsende KMU die in Enterprise-Vertriebszyklen einsteigen. Sicherheitsfragebögen sind zur Standardpraxis im Enterprise-Procurement geworden — Käufer nutzen sie um das Lieferantenrisiko zu bewerten bevor sie Datenzugriff gewähren oder Verträge unterzeichnen. Die Unternehmen die damit effizient umgehen gewinnen mehr Deals. Die die es nicht tun verlieren sie — still, ohne dass jemand erklärt warum.

Was ein IT-Sicherheitsfragebogen ist und warum er existiert

Ein IT-Sicherheitsfragebogen (auch: Vendor Security Assessment, Due-Diligence-Fragebogen oder Third-Party-Risk-Assessment) ist ein strukturiertes Dokument das Enterprise-Kunden vor Systemzugang oder Vertragsunterzeichnung an ihre Lieferanten schicken. Der Käufer muss wissen: wenn auf deiner Seite etwas schiefgeht — welches Risiko entsteht für seine Daten und seinen Betrieb?

Drittanbieter sind mittlerweile für mehr als 60 % des Enterprise-Cyber-Risikos verantwortlich. Deshalb bewerten Procurement-Teams bei großen Unternehmen routinemäßig ihre Lieferanten — sie managen ihre eigenen Compliance-Pflichten, und ein schwacher Lieferant in ihrer Lieferkette ist ihr Problem.

Der Fragebogen deckt typischerweise sechs Bereiche ab:

Die häufigsten Fragen — und wie du sie beantwortest

Die 30 häufigsten Fragen tauchen in nahezu jeder Bewertung auf — Verschlüsselung, Schwachstellen-Scans, Incident Response, Zugriffsmanagement und Zertifizierungen. Hier sind die wichtigsten, mit Hinweisen was gute Antworten ausmacht.

1. "Haben Sie eine formelle Informationssicherheitsrichtlinie?"

Was sie wollen: Ein schriftliches Dokument das regelt wie dein Unternehmen mit Informationssicherheit umgeht — kein generisches Template, sondern etwas das deine tatsächliche Praxis widerspiegelt.

Wie eine gute Antwort aussieht: "Ja. Wir führen eine schriftliche Informationssicherheitsrichtlinie die jährlich überprüft wird. Sie umfasst Zugriffsmanagement, Geräteverwaltung, Datenhandhabung, Incident Response und Mitarbeiter-Sicherheitsschulungen. Auf Anfrage zur Verfügung."

Wenn du keine hast: Das ist eine Lücke die geschlossen werden muss. Ein einseitiges Richtliniendokument das die Grundlagen abdeckt ist besser als nichts. Wenn du mit deeploi arbeitest, kannst du deeplois ISO-27001-zertifiziertes Sicherheits-Framework als Teil deiner Antwort referenzieren.

2. "Haben Sie eine ISO-27001-Zertifizierung oder SOC 2?"

Was sie wollen: Unabhängige Drittpartei-Bestätigung dass deine Sicherheitskontrollen einem international anerkannten Standard entsprechen.

Wie eine gute Antwort aussieht: "Wir sind aktuell nicht als Organisation ISO 27001 zertifiziert. Wir arbeiten jedoch ausschließlich mit ISO-27001-zertifizierten Technologieanbietern — unsere IT-Management-Plattform deeploi ist ISO 27001 zertifiziert und DSGVO-konform. Zertifikat auf Anfrage erhältlich."

Wenn du auf Zertifizierung hinarbeitest: "Wir befinden uns aktuell in der Vorbereitung zur ISO-27001-Zertifizierung mit einem erwarteten Abschluss im [Quartal]. In der Zwischenzeit arbeiten wir mit ISO-27001-zertifizierten Anbietern und führen folgende Kontrollen..." Sicherheitsprüfer schätzen Transparenz und konkrete Zeitpläne.

3. "Wie managen Sie den Zugriff auf Systeme und Daten?"

Was sie wollen: Belege dass nur autorisierte Personen Zugang zu sensiblen Systemen haben und dass Zugang beim Ausscheiden entzogen wird.

Wie eine gute Antwort aussieht: "Zugriff wird nach dem Least-Privilege-Prinzip vergeben — jedes Teammitglied hat nur Zugang zu den Systemen die für seine Rolle erforderlich sind. Wir nutzen [Google Workspace / Microsoft 365] mit verpflichtender Multi-Faktor-Authentifizierung die auf Identity-Provider-Ebene erzwungen wird. Zugriffsrechte werden quartalsweise überprüft. Beim Ausscheiden eines Mitarbeitenden werden alle Konten und Zugänge am Austrittsdatum via automatisiertem Offboarding entzogen."

Der deeploi-Vorteil: Automatisiertes Offboarding bedeutet du kannst wirklich sagen dass Zugang am Austrittsdatum entzogen wird — nicht "wenn wir dazu kommen." Das ist ein bedeutender Unterschied in einer Sicherheitsprüfung.

4. "Wie werden Daten in Transit und at Rest verschlüsselt?"

Was sie wollen: Bestätigung dass Daten geschützt sind — sowohl wenn sie über ein Netzwerk gesendet als auch wenn sie auf einem Gerät oder Server gespeichert werden.

Wie eine gute Antwort aussieht: "Daten in Transit werden via TLS 1.2 oder höher für alle Kommunikation verschlüsselt. Daten at Rest sind auf allen Endgeräten verschlüsselt — FileVault auf macOS-Geräten, BitLocker auf Windows-Geräten — zentral erzwungen über unsere MDM-Plattform. Cloud-Daten werden at Rest von unseren Anbietern (Google/Microsoft) verschlüsselt, beide betreiben EU-Rechenzentren."

Das entscheidende Detail: "Zentral erzwungen via MDM" ist eine stärkere Antwort als "wir bitten Mitarbeitende Verschlüsselung zu aktivieren." Ersteres ist eine Kontrolle; letzteres ist eine Hoffnung. Mit zentraler Geräteverwaltung kannst du ehrlich sagen es wird durchgesetzt.

5. "Haben Sie einen Incident-Response-Plan?"

Was sie wollen: Einen dokumentierten Prozess für den Fall eines Sicherheitsvorfalls — wer wird kontaktiert, was wird isoliert, wie werden Nutzer informiert, und was ist der Zeitplan.

Wie eine gute Antwort aussieht: "Ja. Unser Incident-Response-Plan umfasst Erkennung, Eindämmung, Bewertung, Benachrichtigung und Behebung. Im Fall einer bestätigten Datenpanne mit personenbezogenen Daten sind wir verpflichtet, betroffene Parteien und die zuständige Datenschutzbehörde innerhalb von 72 Stunden gemäß DSGVO zu informieren. Wichtige Kontakte und Eskalationswege sind dokumentiert und werden jährlich überprüft."

Was vorzubereiten ist: Selbst ein einseitiges Incident-Response-Dokument ist besser als keines. Es sollte abdecken: wen intern kontaktieren, wann den betroffenen Kunden benachrichtigen, wann die Aufsichtsbehörde benachrichtigen, und wer die Reaktion leitet. Mehr dazu in unserem Artikel über NIS2-Compliance für KMU.

6. "Wo werden Ihre Daten gespeichert und verarbeitet?"

Was sie wollen: Bestätigung dass Daten innerhalb einer bestimmten Jurisdiktion bleiben — für europäische Enterprise-Kunden typischerweise die EU.

Wie eine gute Antwort aussieht: "Alle Unternehmensdaten werden innerhalb der Europäischen Union gespeichert und verarbeitet. Unsere E-Mail- und Dokumenteninfrastruktur läuft auf [Google Workspace / Microsoft 365] EU-Rechenzentren. Unsere IT-Management-Plattform (deeploi) ist EU-gehostet und ISO 27001 zertifiziert. Wir übermitteln keine personenbezogenen Daten in Drittländer ohne angemessene Schutzmaßnahmen."

7. "Wie managen Sie Software-Patches und -Updates?"

Was sie wollen: Bestätigung dass du keine veraltete Software mit bekannten Schwachstellen betreibst — eines der häufigsten Einfallstore für Angreifer.

Wie eine gute Antwort aussieht: "Software-Updates und Sicherheitspatches werden automatisch auf alle gemanagten Geräte via unserer MDM-Plattform eingespielt. Kritische Patches werden innerhalb von 24 Stunden nach Veröffentlichung angewendet. Der Update-Status wird zentral überwacht und monatlich berichtet."

Die deeploi-Antwort: deeploi prüft alle 24 Stunden auf Updates und spielt sie automatisch auf allen gemanagten Geräten ein. Das ist eine echte, dokumentierbare Kontrolle — kein manueller Prozess.

8. "Was ist Ihre Richtlinie für Mitarbeiter-Sicherheitsschulungen?"

Was sie wollen: Belege dass dein Team Sicherheitsbedrohungen erkennen und darauf reagieren kann — besonders Phishing das der häufigste Angriffsvektor bleibt.

Wie eine gute Antwort aussieht: "Alle Mitarbeitenden erhalten beim Onboarding Sicherheits-Awareness-Training das Phishing-Erkennung, Passwort-Hygiene, Datenhandhabung und Vorfallsmeldung umfasst. Das Training wird jährlich aufgefrischt. Wir setzen zusätzlich technische Kontrollen durch — MFA, Endpoint-Schutz, gemanagte Geräte — damit Sicherheit nicht allein vom Verhalten der Mitarbeitenden abhängt."

Wie du dein Security-Pack aufbaust

Unternehmen die Sicherheitsfragebögen effizient bearbeiten beantworten sie nicht jedes Mal von Grund auf neu. Sie pflegen ein Security-Pack — einen Satz vorgefertigter Antworten und Dokumente der 80 % jedes Fragebogens abdeckt, anpassbar für jede neue Anfrage.

Dein Security-Pack sollte enthalten:

Dokumente die einmal vorbereitet werden:

• Informationssicherheitsrichtlinie (1–2 Seiten)
• Incident-Response-Plan (mindestens 1 Seite)
• Verzeichnis der Verarbeitungstätigkeiten (welche Daten du hältst, wo sie liegen, wer Zugriff hat)
• Liste der Sub-Processor (jedes SaaS-Tool das Kundendaten berührt, mit Links zu ihren AVVs)
• IT-Checkliste für Onboarding und Offboarding

Belege die auf Abruf bereitstehen:

• ISO-27001-Zertifikat von deinem IT-Anbieter (deeplois ist auf Anfrage erhältlich)
• DSGVO-Auftragsverarbeitungsverträge von deinen wichtigsten Tools (Google, Microsoft, Slack usw.)
• Screenshot oder Policy-Bestätigung der MFA-Durchsetzung
• Bestätigung der Festplattenverschlüsselungs-Durchsetzung
• Patch-Management-Prozess-Dokumentation

Standardantworten die vorab geschrieben werden:

‍Für jede der sieben Fragekategorien oben eine Standardantwort schreiben die deine tatsächliche Postur widerspiegelt. Jährlich überprüfen und aktualisieren. Wenn ein Fragebogen eintrifft — kopieren, für den spezifischen Käufer anpassen und senden.

Unternehmen die ihre Fragebogen-Beantwortung systematisieren reduzieren die durchschnittliche Reaktionszeit von 3 Wochen auf 4 Tage und gewinnen 30–50 % mehr Enterprise-Deals.

Was tun wenn du keine gute Antwort hast

Hier stocken die meisten KMU. Der Fragebogen fragt nach etwas das du wirklich nicht gemacht hast — eine formelle Risikoanalyse, einen Penetrationstest, einen Business-Continuity-Plan.

Die ehrliche Antwort schlägt eine vage jedes Mal. Sicherheitsprüfer schätzen Transparenz und konkrete Zeitpläne. Eine gute Struktur für Lücken:

"Wir haben [X] aktuell nicht. Wir adressieren das durch [Teilmaßnahme oder geplante Aktion] mit einem erwarteten Abschlussdatum im [Quartal/Jahr]."

Das erkennt die Lücke an, zeigt dass du sie nicht ignorierst, und gibt dem Prüfer etwas Konkretes. Lügen oder Übertreiben im Sicherheitsfragebogen schafft rechtliche Haftung und wird bei einem späteren Vorfall genau untersucht.

Was du nicht tun solltest: Fragen leer lassen, nichtssagende Antworten geben ("Sicherheit ist uns sehr wichtig"), oder Zertifizierungen behaupten die du nicht hast.

Wie deeploi Fragebögen leichter beantwortbar macht

Die Zusammenarbeit mit einer Managed-IT-Plattform wie deeploi gibt dir eine Reihe von Antworten die wirklich stimmen — nicht nur angestrebte:

Das sind keine Behauptungen die du aufstellst — es sind Kontrollen die von der Plattform durchgesetzt und mit Belegen dokumentierbar sind. Genau das wollen Enterprise-Procurement-Teams sehen.

Demo buchen und sehen wie deeploi deine Sicherheitspostur unterstützt

Fazit

Ein Enterprise-Sicherheitsfragebogen ist kein Hindernis — es ist eine Möglichkeit zu zeigen dass du Sicherheit ernst nimmst und mit Daten vertraut werden kann. Unternehmen die ein wiederverwendbares Security-Pack aufbauen, die häufigsten Fragen verstehen und mit zertifizierten Anbietern zusammenarbeiten bearbeiten diese Anfragen in Tagen statt Wochen.

Der Fragebogen kommt immer häufiger wenn du wächst. Jeder Enterprise-Deal, jeder Procurement-Prozess, jeder neue Kunde einer bestimmten Größe wird deine Sicherheitspostur wissen wollen. Es einmal richtig aufzusetzen — Richtliniendokument, Incident-Response-Plan, Sub-Processor-Liste, Beleg-Pack — bedeutet dass der nächste Fragebogen Stunden statt Wochen dauert.

Mehr erfahren wie deeplois ISO-27001-zertifizierte Infrastruktur deine Antworten unterstützt

Häufig gestellte Fragen

Was ist ein Vendor-Security-Fragebogen?

‍Ein Vendor-Security-Fragebogen ist ein strukturiertes Dokument das Enterprise-Kunden an ihre Lieferanten schicken bevor sie Datenzugriff gewähren oder Verträge unterzeichnen. Er bewertet die Sicherheitskontrollen, den Compliance-Status und die Risikopostur des Lieferanten in Bereichen wie Zugriffsmanagement, Verschlüsselung, Incident Response und Zertifizierungen wie ISO 27001 und DSGVO-Konformität.

Brauche ich ISO 27001 um einen Sicherheitsfragebogen zu beantworten?

‍Nein — ISO-27001-Zertifizierung hilft, ist aber nicht immer erforderlich. Viele Enterprise-Kunden akzeptieren dokumentierte Kontrollen, Belege gleichwertiger Praktiken und Drittanbieter-Zertifizierungen deiner IT-Anbieter als ausreichend. Die Zusammenarbeit mit einem ISO-27001-zertifizierten IT-Partner wie deeploi bedeutet dass du diese Zertifizierung als Teil deiner Antwort referenzieren kannst — auch wenn dein Unternehmen selbst nicht zertifiziert ist.

Wie lange dauert das Ausfüllen eines Vendor-Security-Fragebogens?

‍Ohne Vorbereitung: 2–4 Wochen, oft unter Einbeziehung eines Entwicklers und des Gründers. Mit einem vorgefertigten Security-Pack: 24–48 Stunden. Der Unterschied liegt fast vollständig in der Vorbereitung — Standardantworten, Belege und Richtliniendokumente bereit zu haben bevor der Fragebogen eintrifft.

Was passiert wenn ich keine gute Antwort auf eine Frage habe?

‍Sei ehrlich und gib einen konkreten Zeitplan. Sicherheitsprüfer bewerten deine Gesamtpostur, nicht nur einzelne Antworten. Eine anerkannte Lücke mit einem klaren Behebungsplan ist deutlich besser als eine vage Behauptung oder ein leeres Feld. Deine Sicherheitspostur falsch darzustellen schafft rechtliche Haftung und beschädigt Vertrauen wenn später ein Vorfall eintritt.

Kann ich deeplois ISO-27001-Zertifizierung in meinen Fragebogen-Antworten verwenden?

‍Ja. Wenn du mit deeploi arbeitest, kannst du unsere ISO-27001-Zertifizierung als Beleg referenzieren dass deine IT-Management-Infrastruktur dem Standard entspricht. Unser Zertifikat ist auf Anfrage erhältlich. Du kannst auch deeploi-erzwungene Kontrollen — Festplattenverschlüsselung, Patch-Management, Endpoint-Schutz, automatisiertes Offboarding — als Teil deiner technischen und organisatorischen Maßnahmen (TOMs) dokumentieren.