Die Dokumente, nach denen Prüfer am häufigsten fragen
In den meisten Fragebögen kommen dieselben Anfragen vor, ungefähr in dieser Reihenfolge der Häufigkeit:
- Die Informationssicherheitsrichtlinie und die Richtlinien, auf die sie verweist: Zugriffskontrolle, zulässige Nutzung, Datenklassifizierung, Vorfallreaktion, Geschäftskontinuität, Lieferantenmanagement.
- Ein aktuelles Zertifikat oder eine Bescheinigung, falls vorhanden: ISO 27001, SOC 2 Typ II, ISAE 3000, Cyber Essentials oder die Ihres Hosting-Anbieters.
- Die Zusammenfassung des jüngsten Penetrationstests mit Datum, Umfang und Stand der Befunde. Die Zusammenfassung, nicht der vollständige Bericht, sofern nicht danach gefragt wird.
- Der Plan für Geschäftskontinuität oder Notfallwiederherstellung und der Nachweis, dass er getestet wurde: Datum und Ergebnis der letzten Übung.
- Der Auftragsverarbeitungsvertrag und die Liste der Auftragsverarbeiter.
- Nachweis der Cyberversicherung: die Bescheinigung mit Deckung und Ablaufdatum.
- Ein Organigramm oder ein benannter Sicherheitsansprechpartner.
- Für SaaS: die Architekturübersicht, der Datenfluss und der Speicherort der Daten.
Halten Sie diese acht bereit und sauber benannt, und die meisten Fragebögen brauchen nichts weiter.
Was jedes davon belegt
Prüfer lesen Nachweise nicht zum Vergnügen, sondern um eine Aussage zu verifizieren. Passen Sie das Dokument zur Aussage. Ein Zertifikat belegt, dass ein Auditor den Geltungsbereich an einem Datum geprüft hat. Eine Richtlinie belegt, dass die Regel existiert und wer sie verantwortet. Eine Testzusammenfassung belegt, dass jemand nach Lücken gesucht hat und was mit den gefundenen geschah. Ein abgeschlossener Übungsbericht belegt, dass der Kontinuitätsplan mehr ist als ein Dokument. Eine Antwort „Wir testen Backups vierteljährlich“ mit dem Testprotokoll des letzten Quartals ist erledigt; dieselbe Antwort mit der Backup-Richtlinie im Anhang provoziert die Nachfrage „Aber testen Sie es auch?“.
Alles benennen und datieren
Ein Prüfer, der „policy_final_v3 (2).pdf“ öffnet, erfährt aus dem Namen nichts. Benennen Sie Dateien nach Inhalt und Zeitpunkt: „Zugriffskontrollrichtlinie, geprüft 2026-05.pdf“, „Penetrationstest-Zusammenfassung, 2026-03, extern.pdf“. Setzen Sie das Datum der letzten Prüfung auch in das Dokument selbst; der Dateiname geht verloren, wenn der Kunde es in sein eigenes System kopiert.
Dort beilegen, wo gefragt wird, nicht überall
Legen Sie ein Dokument der Frage bei, die danach fragt, und verweisen Sie aus verwandten Fragen namentlich darauf („siehe die Zugriffskontrollrichtlinie zu Frage 4.2“). Wer den gesamten Richtliniensatz an jedes Tabellenblatt hängt, begräbt das eine Dokument, das der Prüfer brauchte, und verdoppelt die Größe der zurückgesendeten Datei.
Zusammenfassungen für sensibles Material
Manche Dokumente helfen einem Angreifer ebenso wie einem Prüfer: Netzwerkdiagramme mit Adressen, der vollständige Penetrationstest mit Reproduktionsschritten, interne Runbooks mit Systemnamen. Legen Sie dafür eine Zusammenfassung bei, die dem Prüfer gibt, was er braucht (Umfang, Datum, Kategorien der Befunde, Stand der Behebung), und bieten Sie das vollständige Dokument in einem Gespräch oder in einem Datenraum an. Die meisten Prüfer akzeptieren das ohne Widerspruch, weil ihr eigenes Sicherheitsteam dasselbe sagen würde.
Nachweise termingerecht aktuell halten
Nachweise altern nach einem Zeitplan, den Sie im Voraus kennen: Das Zertifikat läuft ab, der Test ist fällig, die Versicherung wird verlängert, die Richtlinie hat ihre jährliche Prüfung. Hinterlegen Sie diese Daten an den Dokumenten in Ihrer Antwortbibliothek und lassen Sie sich warnen, bevor ein Kunde es tut. Ein abgelaufenes Zertifikat zu verschicken ist der häufigste vermeidbare Fehler bei Fragebögen, und er ist vollständig vermeidbar.
In Responsemate
Dateien in der Wissensdatenbank tragen ein Ablaufdatum und einen Aktualitätsstatus, eine nächtliche Prüfung markiert, was gealtert ist, und Nachweise lassen sich aus der Bibliothek mit einem Klick an eine Fragebogenantwort anhängen oder vom KI-Assistenten für Sie finden, wenn eine Frage danach verlangt. So funktionieren Dateien und Nachweise.
Häufige Fragen
Sollen wir einem Kunden unsere vollständigen Richtlinien schicken?
Die Richtlinie selbst meist ja, unter der Vertraulichkeit, der der Fragebogen ohnehin unterliegt. Interne Verfahren mit Systemnamen und Netzwerkdetails fassen Sie besser zusammen. Würde ein Dokument einem Angreifer mehr helfen als einem Prüfer, schicken Sie eine Zusammenfassung und bieten die vollständige Fassung in einem Gespräch an.
Was, wenn wir keinen Penetrationstest haben?
Sagen Sie es, nennen Sie den geplanten Termin des nächsten und beschreiben Sie, was Sie stattdessen tun (Schwachstellenscans, Code-Reviews, ein Bug-Bounty-Programm). Ein Prüfer weiß es lieber, als einen Scan-Bericht zu bekommen, der als Test ausgegeben wird.
Wie alt dürfen Nachweise sein?
Ein Zertifikat gilt bis zu seinem Ablaufdatum. Ein Penetrationstest, der älter als ein Jahr ist, wird meist hinterfragt. Richtlinien sollten eine Prüfung innerhalb des Jahres ausweisen. Ist ein Dokument älter, legen Sie es mit einem Hinweis bei, wann es das nächste Mal geprüft wird.