Eine neue Software soll Deinem Unternehmen Arbeit abnehmen und zuverlässig in die vorhandenen Abläufe passen. Für die Auswahl brauchst Du deshalb neben Funktionen und Preis auch eine verständliche Einschätzung der Sicherheitsleistungen. Ein Zertifikat, ein Prüfbericht und eine Aussage zur Produktentwicklung beantworten unterschiedliche Fragen. Hier erfährst Du, welche Nachweise Du passend zum Einsatz anfordern kannst und wie daraus ein überschaubarer, fachlich betreuter Vergleich wird.
Beschreibe zuerst den geplanten Einsatz
Beginne mit der Aufgabe der Software und ihrer Bedeutung für Deinen Betrieb. Soll sie Termine organisieren, vertrauliche Unterlagen verwalten oder einen geschäftskritischen Prozess steuern? Welche Daten werden verarbeitet und welche Personen greifen darauf zu? Ein Dienst mit öffentlich freigegebenen Inhalten braucht eine andere Betrachtung als eine Anwendung mit umfangreichen Kundenakten. Ohne diesen Kontext bleibt eine Sammlung von Sicherheitsdokumenten schwer zu bewerten.
Halte außerdem fest, wo die Anwendung betrieben werden soll und wie sie mit bestehenden Systemen verbunden wird. Ein eigenständig genutztes Programm kann andere Zuständigkeiten haben als ein vollständig gehosteter Dienst. Frage, welcher Teil beim Lieferanten liegt und welche Einrichtung Dein Unternehmen verantwortet. Die konkrete Abgrenzung hilft später dabei, einen fehlenden Nachweis dem richtigen Beteiligten zuzuordnen.
Für eine erste Anfrage genügt eine allgemeine Beschreibung dieser Umgebung. Vertrauliche Originaldaten oder Administratorzugänge sollten nicht ungeprüft an mehrere Anbieter gehen. Wenn später eine technische Prüfung benötigt wird, vereinbart Ihr dafür einen geeigneten geschützten Weg und einen klar begrenzten Umfang. So beginnt die Lieferantenbewertung mit demselben Schutzanspruch, den Du später von der Software erwartest.
Lege fest, welche Entscheidung der Nachweis unterstützen soll
Ein Dokument ist dann nützlich, wenn es eine konkrete Frage beantwortet. Möchtest Du das Sicherheitsmanagement des Unternehmens, die Entwicklung des Produkts oder eine Prüfung der eingesetzten Version beurteilen? Diese Bereiche überschneiden sich, sind aber nicht austauschbar. Notiere zu jedem angeforderten Nachweis den Zweck. Dadurch wird aus einer langen Wunschliste eine nachvollziehbare Grundlage für Deine Kaufentscheidung.
Frage auch, welche Mindestanforderungen intern tatsächlich gelten. Vielleicht gibt es Vorgaben aus bestehenden Verträgen, dem Datenschutz oder dem eigenen Schutzbedarf. Lass diese Anforderungen durch die zuständigen Fachpersonen einordnen. Eine beliebig aus einem fremden Fragebogen übernommene Liste kann viel Aufwand erzeugen, ohne die für Dein Unternehmen wichtigen Punkte besser zu klären.
Du musst dafür keine vollständige eigene Prüfmethodik entwickeln. Eine fachliche Unterstützung kann passende Nachweise auswählen und Ergebnisse verständlich bewerten. Das Angebot sollte erklären, welche Entscheidung daraus möglich wird und welche Unsicherheit verbleibt. Eine allgemeine Ampel ohne Begründung ist weniger hilfreich als eine kurze nachvollziehbare Aussage zum konkreten geplanten Einsatz.
Lies ein Zertifikat mit seinem Geltungsbereich
Wenn ein Lieferant ein Zertifikat vorlegt, prüfe zunächst Aussteller, Gültigkeit und den bezeichneten Geltungsbereich. Welche Organisation, Standorte und Leistungen werden erfasst? Ein Nachweis für einen Unternehmensbereich muss nicht automatisch jede angebotene Software und jede Betriebsvariante einschließen. Bitte bei unklarer Zuordnung um Erläuterung, bevor Du das Dokument als vollständige Antwort auf Deine Produktfrage verwendest.
ISO beschreibt ISO/IEC 27001 als Norm für Anforderungen an ein Informationssicherheitsmanagementsystem. Das hilft bei der Einordnung: Ein Managementnachweis betrifft den systematischen Umgang mit Informationssicherheit. Für die konkrete Software können daneben weitere Fragen offenbleiben, etwa zur eingesetzten Version, zu einer bestimmten Schnittstelle oder zur vorgesehenen Konfiguration. ISO: ISO/IEC 27001:2022
Prüfe deshalb, welches Sicherheitsziel der Nachweis tatsächlich unterstützt. Eine Zertifizierung sollte weder pauschal abgewertet noch als Garantie eines vollständig fehlerfreien Produkts dargestellt werden. Für die Kaufentscheidung zählt die passende Reichweite. Lass einen Anbieter erklären, wie der bescheinigte Bereich zu der Leistung gehört, die Dein Unternehmen konkret beziehen möchte.
Frage nach der Sicherheitsarbeit am Produkt
Für ein Produkt ist interessant, wie Sicherheitsanforderungen in Entwicklung und Pflege berücksichtigt werden. Frage nach verständlichen Abläufen: Wer nimmt Anforderungen auf, wie werden Änderungen geprüft und wie gehen Hinweise auf Schwachstellen in die weitere Bearbeitung ein? Du benötigst nicht jeden internen Entwicklungsschritt. Ein nachvollziehbarer Überblick kann aber zeigen, ob Aussagen und tatsächlicher Betreuungsumfang zusammenpassen.
Das NIST Secure Software Development Framework beschreibt sichere Softwareentwicklung als in den Entwicklungsprozess integrierbare Praktiken. Es ist ausdrücklich auch als gemeinsame Sprache für den Austausch zwischen Herstellern und Softwarekäufern gedacht. Nutze die Veröffentlichung als Grundlage für konkrete Fragen, nicht als pauschalen Nachweis, dass ein Anbieter durch das bloße Nennen des Frameworks bereits alle Anforderungen erfüllt. NIST: SP 800-218, SSDF Version 1.1
Frage außerdem, für welche Produkte und Versionen die beschriebene Arbeitsweise gilt. Eine neue Produktlinie kann anders betreut sein als ein älteres Angebot. Wenn eine Antwort nur für einen Teilbereich vorliegt, sollte dieser Umfang erkennbar bleiben. So kannst Du beurteilen, ob eine offene Frage vor dem Kauf geklärt werden muss oder für Deinen Einsatz keine wesentliche Bedeutung hat.
Ordne einen Sicherheitsbericht der tatsächlichen Version zu
Ein Prüfbericht kann wertvolle Informationen enthalten, wenn sein Untersuchungsgegenstand verständlich ist. Frage nach Produkt, Version, Datum und geprüftem Umfang. Wurden nur bestimmte Funktionen betrachtet oder auch Schnittstellen und Rollen? Ein älterer Bericht ist nicht automatisch unbrauchbar, sollte aber mit dem aktuellen Einsatz in Beziehung gesetzt werden. Entscheidend ist, ob spätere Änderungen die Aussage wesentlich berühren.
Lass offene Befunde und ihren Bearbeitungsstand erläutern. Die alleinige Aussage getestet sagt wenig darüber, welche Probleme gefunden und welche behoben wurden. Frage nach einer verständlichen Zusammenfassung, wenn der vollständige Bericht vertrauliche technische Einzelheiten enthält. Du brauchst für die Kaufentscheidung einen passenden Einblick, nicht zwingend die ungeschützte Verteilung sämtlicher Sicherheitsdetails an alle Beteiligten.
Ein fehlender Bericht und ein bewusst begrenzter Bericht sind unterschiedliche Situationen. Bitte um die tatsächliche Abdeckung und einen Vorschlag, wie eine entscheidungsrelevante Lücke geprüft werden kann. Eine neue Prüfung sollte an einem konkreten Bedarf ausgerichtet sein. Ein vollständiger Zusatztest ohne erkennbare Kaufentscheidung kann Kosten erzeugen, ohne den benötigten Erkenntnisgewinn zu liefern.
Kläre den Umgang mit eingebundenen Komponenten
Viele Anwendungen verwenden weitere Bibliotheken, Dienste oder andere Softwarebestandteile. Für Deine Entscheidung ist wichtig, wie der Lieferant damit umgeht und wie relevante Schwachstellen in diesen Bestandteilen bearbeitet werden. Frage nach dem tatsächlich gepflegten Überblick und dem Umgang mit Änderungen. Eine reine Liste von Namen sagt noch nicht, ob die enthaltenen Komponenten im konkreten Produkt sicher betrieben werden.
Eine Software-Stückliste kann die Zusammensetzung nachvollziehbarer machen. Im SSDF nennt NIST Herkunftsinformationen wie eine solche Liste als mögliche Grundlage zur Bewertung von Komponentenrisiken. Daraus folgt keine pauschale Sicherheitsbestätigung durch das bloße Vorliegen einer Datei. Entscheidend ist, ob die Informationen zur eingesetzten Software passen und für eine konkrete Bewertung genutzt werden können.
Lass Dir erklären, welcher Nachweis für Deinen Bedarf sinnvoll verfügbar ist. Nicht jeder Einkauf benötigt den gleichen Detailgrad. Wenn eine Anwendung besonders wichtig für den Betrieb ist, kann eine fachliche Bewertung von Abhängigkeiten angebracht sein. Für einen begrenzten Einsatz kann eine verständliche Lieferantenauskunft ausreichen. Der Prüfumfang sollte zum tatsächlichen Risiko und zur Entscheidung passen.
Vereinbare Meldung und Bearbeitung von Schwachstellen
Frage, über welchen Kanal Dein Unternehmen Sicherheitshinweise erhält und wo eigene Beobachtungen gemeldet werden können. Ein erreichbarer Kontakt und ein klarer Ablauf sind für den Betrieb wichtiger als eine allgemein formulierte Zusicherung schneller Reaktion. Lass beschreiben, wie Hinweise eingeordnet werden, wer über Maßnahmen informiert und welche Mitwirkung auf Deiner Seite benötigt wird.
Unterscheide dabei eine zugesagte Reaktionszeit von der Zeit bis zu einer endgültigen technischen Behebung. Ein erster Kontakt löst das Problem nicht automatisch. Ebenso wenig ist eine angekündigte Aktualisierung bereits in Deiner Umgebung installiert. Das Angebot sollte Herstellerleistung, Bereitstellung und gegebenenfalls betreute Einführung getrennt darstellen. So kannst Du den tatsächlichen Service mit anderen Angeboten vergleichen.
Bei einer Meldung sollten vertrauliche technische Informationen geschützt behandelt werden. Frage nach dem vorgesehenen Übermittlungsweg. Dein Team sollte nicht aus Unsicherheit Zugangsdaten oder vollständige Kundenunterlagen an eine allgemeine Supportadresse senden. Eine sinnvolle Lieferantenbeziehung verbindet erreichbare Hilfe mit einem kontrollierten Umgang mit den für die Untersuchung tatsächlich erforderlichen Angaben.
Betrachte Updates und Supportende vor dem Kauf
Prüfe, für welche Versionen der Lieferant Sicherheitsaktualisierungen und Unterstützung anbietet. Frage nach dem Umgang mit einem späteren Supportende und danach, wie Dein Unternehmen rechtzeitig davon erfährt. Eine einmal passende Software braucht über ihre Nutzungsdauer einen tragfähigen Pflegeweg. Ein günstiger Einstiegspreis allein beantwortet nicht, wer spätere notwendige Umstellungen organisiert und bezahlt.
Lass die Zuständigkeit für Aktualisierungen in Deinem Betriebsmodell erklären. Bei einem gehosteten Dienst kann der Lieferant andere Aufgaben übernehmen als bei einer selbst betriebenen Installation. Wer prüft die Kompatibilität mit Euren Schnittstellen und wer entscheidet über ein Wartungsfenster? Diese Fragen gehören in die Leistungsbeschreibung, wenn sie für den vorgesehenen Einsatz relevant sind.
Wenn ein Teil der Umgebung keine aktuelle Version unterstützt, benenne diese Abhängigkeit schon vor der Kaufentscheidung. Vielleicht braucht es eine vorgelagerte Anpassung oder eine andere Produktvariante. Eine pauschale Zusage aktuell gepflegt sollte nicht verdecken, dass Dein Unternehmen nur eine abweichende ältere Variante einsetzen kann. Die Bewertung muss an der tatsächlich vorgesehenen Kombination hängen.
Prüfe Zugang, Daten und Vertragsende zusammen
Für einen gehosteten Dienst gehören neben Produktsicherheit auch die administrativen Zuständigkeiten in den Vergleich. Wer verwaltet Konten, Rechte und Wiederherstellung? Welche Informationen erhältst Du für eine nachvollziehbare Übergabe? Ein technisch gut entwickeltes Produkt kann für Dein Unternehmen trotzdem unpassend sein, wenn wichtige Verwaltungsaufgaben ungeklärt bleiben oder nur eine einzelne externe Person den Zugang kontrolliert.
Frage außerdem nach einem nutzbaren Datenexport und nach der Abwicklung des Vertragsendes. Ein angekündigter Export muss zu den Daten und dem späteren Ziel passen. Lass klären, welche Unterstützung enthalten ist und welche gesondert beauftragt werden müsste. So kannst Du den langfristigen Nutzen beurteilen, ohne aus einer Produktvorführung automatisch eine vollständige Übertragbarkeit aller Arbeitsabläufe abzuleiten.
Wenn personenbezogene Daten betroffen sind, gehört die rechtliche Vertragsprüfung als eigener Teil dazu. Technische Sicherheitsnachweise ersetzen sie nicht. Zuständige Fachpersonen sollten den konkreten Verarbeitungsweg prüfen und offene Anforderungen benennen. Für Deinen Angebotsvergleich ist hilfreich, dass technische und rechtliche Fragen miteinander abgestimmt werden, ohne unterschiedliche Nachweise als austauschbar zu behandeln.
Fasse offene Punkte für die Kaufentscheidung zusammen
Am Ende brauchst Du keine möglichst große Dokumentensammlung, sondern eine klare Aussage zum geplanten Einsatz. Welche Anforderungen sind belegt, wo gibt es eine nachvollziehbare Einschränkung und welche Frage muss vor der Beauftragung noch beantwortet werden? Lass wichtige Befunde nach ihrer Auswirkung auf Deinen Betrieb erläutern. Nicht jeder formale Unterschied zwischen zwei Anbietern hat dieselbe praktische Bedeutung.
Vergleiche alle Angebote auf derselben Grundlage. Eine fachlich begründete Ausnahme kann transparenter sein als eine unbelegte Vollständigkeitszusage. Wenn ein entscheidender Punkt offenbleibt, sollte der nächste kleine Prüfschritt benannt werden. Damit kannst Du Kosten und Erkenntnisgewinn abwägen und eine Entscheidung treffen, die Funktionen, Betrieb und Sicherheit zusammen berücksichtigt.
Unterstützung für den Softwarevergleich anfragen
Auf der Startseite von IT-Sicherheit Angebote kannst Du kostenfrei und unverbindlich Unterstützung anfragen. Halte eine allgemeine Beschreibung der geplanten Anwendung, ihrer Datenarten und der vorhandenen Lieferantennachweise bereit. Welche Prüfung sinnvoll ist und welche Unterlagen dafür geschützt benötigt werden, vereinbarst Du anschließend mit dem jeweiligen Anbieter.