Wie geht man einen von einem Kunden erhaltenen Sicherheitsfragebogen an?
Man geht einen Sicherheitsfragebogen an, indem man ihn zunächst vollständig liest und dann seine Fragen nach Themen ordnet, bevor man auch nur eine einzige Antwort verfasst. Ein Sicherheitsfragebogen mischt oft Fragen zu Governance, Datenschutz, Geschäftskontinuität und Unterauftragnehmern. Sie zu ordnen vermeidet, dieselbe Frage zweimal unter zwei Formulierungen zu beantworten, und zeigt auf, welche Fragen einen beigefügten Nachweis statt einer bloßen Behauptung erfordern.
Für einen Informationssicherheitsbeauftragten (CISO) oder ein Presales-Team geht es nicht darum, schnell zu schreiben, sondern richtig zu antworten: Eine falsche oder veraltete Antwort in einem Sicherheitsfragebogen bindet das Unternehmen und taucht von einem Kunden zum anderen wieder auf.
Welche Nachweise sammelt man, um einen Sicherheitsfragebogen zu beantworten?
Für einen Sicherheitsfragebogen sammelt man Nachweise, die eine Praxis zeigen, keine Absicht: schriftliche Richtlinien, gültige Zertifizierungen, Beschreibung der Kontrollen, Auftragsverarbeitungsvereinbarung. Eine ohne Nachweis behauptete Antwort ist für einen Auditor kaum von einer erfundenen Antwort zu unterscheiden.
| Fragetyp | Erwarteter Nachweis | Wo man ihn findet |
|---|---|---|
| Sicherheits-Governance | Sicherheitsrichtlinie, Organisation, Verantwortlichkeiten | Dokumentationsreferenz des Unternehmens |
| Zertifizierung | gültige Bestätigung (z. B. ISO/IEC 27001) | Zertifizierungsstelle |
| Datenschutz | Auftragsverarbeitungsvereinbarung, Verzeichnis, technische Maßnahmen | Datenschutzbeauftragter |
| Technische Kontrollen | Beschreibung der an einem anerkannten Referenzrahmen ausgerichteten Kontrollen (ISO/IEC 27001, NIST) | Sicherheitsteam |
Die Norm ISO/IEC 27001 strukturiert die Informationssicherheit und dient als gemeinsamer Bezugspunkt für zahlreiche Fragebögen: Die eigenen Antworten daran auszurichten macht sie für den gegenlesenden Auditor nachvollziehbar.
Wie hält man seine Sicherheitsantworten von einem Fragebogen zum anderen kohärent?
Man hält seine Sicherheitsantworten kohärent, indem man sie in einer Antwortbibliothek aufbewahrt, in der jede validierte Antwort ihre Quelle und ihr Datum der letzten Prüfung trägt. Ohne dieses Gedächtnis beantworten zwei Personen dieselbe Frage unterschiedlich, und eine veraltete Antwort taucht in einem neuen Fragebogen wieder auf. Die Beweiskette, also die bewahrte Verbindung zwischen einer Antwort und dem Dokument, auf dem sie beruht, ist das, was die Unterschrift schützt.
Auf der Plattform Optivalue.ai, die diese Website herausgibt, ist der Herausgeber nach ISO/IEC 27001 zertifiziert, und jede erstellte Antwort nennt die Quelle, aus der sie stammt, sodass ein Auditor den Nachweis hinter der Behauptung wiederfindet.
Die Konzession, die alles klärt
Für einen kurzen Sicherheitsfragebogen zu einem Themenbereich, den der CISO auswendig kennt, bleibt eine von Hand verfasste Antwort der einfachste Weg. Eine unterstützte Methode wird nützlich, wenn sich die Fragebögen vervielfachen, ihre Formulierungen variieren und derselbe Nachweis überall identisch erscheinen muss. Die Grenze ist das Volumen und die Wiederholung, nicht die Schwierigkeit einer einzelnen Frage.
Die Fehler, die eine Antwort auf einen Sicherheitsfragebogen schwächen
- Ohne Nachweis behaupten: ein angekreuztes Kästchen ohne dahinterliegendes Dokument hält vor einem Auditor nicht stand.
- Eine Antwort ohne Datierung wiederverwenden: eine letztes Jahr beschriebene Praxis kann heute nicht mehr zutreffen.
- Antworten, ohne den ganzen Fragebogen zu lesen: dieselben Fragen kehren in anderen Worten wieder und widersprechen sich, wenn man fortlaufend antwortet.
- Zertifizierung des Hosting-Anbieters und Zertifizierung des Unternehmens verwechseln: Das sind zwei unterschiedliche Bereiche, die ein Auditor nicht verwechselt.
- Eine Antwort ohne menschliche Validierung versenden: Die Person, die das Unternehmen bindet, muss die sensiblen Punkte gegenlesen.
Häufig gestellte Fragen
Wie viel Zeit braucht man, um einen Sicherheitsfragebogen zu beantworten? Die Dauer hängt von der Länge des Fragebogens und der Verfügbarkeit der Nachweise ab: Eine aktuelle Antwortbibliothek verkürzt vor allem den sich wiederholenden Teil, bei dem eine bereits validierte Antwort wiedergefunden und angepasst wird.
Muss man seine Zertifizierungen einem Sicherheitsfragebogen beifügen? Ja, wenn die Frage danach verlangt: Eine gültige Bestätigung, wie eine ISO/IEC-27001-Zertifizierung, ist mehr wert als eine Behauptung, da sie vom Auditor überprüfbar ist.
Kann eine KI allein einen Sicherheitsfragebogen beantworten? Eine KI kann einen ersten, auf Ihren Nachweisen verankerten Entwurf vorbereiten und bereits validierte Antworten wiederfinden, aber die Person, die das Unternehmen bindet, behält die Validierung der sensiblen Punkte.
Was unterscheidet einen Sicherheitsfragebogen von einem Audit? Ein Sicherheitsfragebogen sammelt im Vorfeld schriftliche Antworten; ein Audit prüft diese Antworten anhand von Unterlagen und vor Ort. Nachvollziehbare und belegte Antworten bereiten das möglicherweise folgende Audit vor.
Einen echten Sicherheitsfragebogen anhand Ihrer eigenen Nachweise beantworten
Bringen Sie einen echten Sicherheitsfragebogen, ein Audit oder eine Ausschreibung mit. Sie sehen die Abdeckung der Fragenextraktion, die seitengenau zitierten Quellen und die Abweichungsanalyse an Ihrer Antwort, keine vorbereitete Vorführung.
Zitierte Quellen
- ISO/IEC 27001, Managementsystem für Informationssicherheit (öffentliche Norm).
- Praxis der Beantwortung von Sicherheitsfragebögen: Einordnung der Fragen, Nachweis je Frage, datierte Antwortbibliothek (eigene Methode, 2026).