Security-Questionnaire-Automatisierung: Was eine Response nachvollziehbar macht

Das Questionnaire ist nie der schwierige Teil. Die Antwort sechs Monate später zu belegen, schon.

Vor diesem Anruf graut mir. Lange nach einer Einreichung meldet sich ein Kunde und fragt, warum eine Antwort so formuliert ist. Niemand im Team kann es ihm erklären. Nicht, weil die Antwort falsch war. Sondern weil sich nicht nachvollziehen lässt, wer sie verfasst hat, worauf sie beruhte oder wer ihrer Freigabe zugestimmt hat.

Den Großteil meiner Woche verbringe ich mit Teams, die beruflich Security-Questionnaires beantworten, meist irgendwann zwischen ihrer ersten Woche auf der Plattform und ihrem ersten richtigen Audit. Security-Questionnaire-Automatisierung ist eine Software, die Anbieter-Teams dabei unterstützt, Security-Questionnaires zur Lieferantenbewertung und Due-Diligence-Questionnaires auf Basis einer kontrollierten Wissensquelle zu beantworten. Jede Antwort lässt sich zu ihrem Ursprung zurückverfolgen, und die endgültige Freigabe bleibt bei einer Person. Das ist die Lehrbuchdefinition. Was folgt, ist die weniger aufgeräumte Version: die Fragen, die mir diese Teams stellen, und meine Antworten darauf. Fast alle laufen auf dasselbe hinaus: Hält die Antwort auch dann noch stand, wenn jemand sie kritisch hinterfragt?

Wichtigste Erkenntnisse

• Nachvollziehbarkeit steht fast immer an erster Stelle. Sie sollten jede Antwort anklicken und die zugrunde liegende Richtlinie einsehen können. Ein Konfidenzwert ohne Belege sagt nichts aus.
• Die zweite Frage lautet: Wer gibt die Antwort frei? Die Automatisierung erstellt einen Entwurf, ein namentlich benannter Prüfer aus dem Bid-Team oder der Informationssicherheit entscheidet, und diese Entscheidung wird dokumentiert.
• Eine freigegebene Antwort, die seit achtzehn Monaten nicht überprüft wurde, ist schlechter als gar keine Antwort, weil sie eine Autorität ausstrahlt, die ihr nicht zusteht.
• Wo Ihr Wissen gespeichert ist und wer darauf zugreifen kann, kommt in fast jedem Gespräch zur Sprache. Die Antwort darauf gehört schriftlich festgehalten.
• Zertifizierungen und Rahmenwerke werden konkret genannt: ISO 27001, SOC 2, DSGVO und zunehmend NIS2 und DORA. Die dahinterstehenden Kontrollen nachzuweisen, ist der schwierigere Teil.
• Ein durchgängiger Ablauf ist besser als vier Übergaben, denn bei Übergaben entstehen Lücken in der Dokumentation. Und eine lückenhafte Dokumentation fällt erst bei einer Prüfung auf, nicht vorher.
• Nichts davon greift vom ersten Tag an. Teams, die ihre bestehenden Antworten vor dem Go-live bereinigen, profitieren ein Quartal früher als Teams, die darauf verzichten.

Was diese Tools tatsächlich leisten, wenn man das Verkaufsversprechen ausblendet

Auf dem Papier tun die meisten im Grunde dasselbe: Sie lesen das eingehende SIG oder CAIQ oder einen anderen individuellen Fragebogen, der in irgendeinem Posteingang gelandet ist, gleichen jede Frage mit einer bereits von Ihrem Unternehmen freigegebenen Antwort ab, entwerfen eine Response und übergeben sie einem Menschen. Klingt einfach. Der Unterschied zwischen einem guten und einem schlechten Tool zeigt sich nach etwa zehn Minuten Prüfung: Dann nickt der InfoSec-Verantwortliche entweder zustimmend oder beginnt stillschweigend, alles umzuschreiben. Gute Tools erstellen konsistente Entwürfe, unabhängig davon, ob es sich um ein SIG, ein CAIQ, eine auf ISO basierende Bewertung oder einen jener Fragebögen handelt, die das Einkaufsteam eines Kunden offensichtlich selbst um 23 Uhr verfasst hat. Ihr Team bleibt dabei übrigens weiterhin eingebunden. Es muss nur nicht mehr kopieren und formatieren und kann seine Zeit für den Teil nutzen, der tatsächlich Köpfchen erfordert: Stimmt das noch, und drückt es aus, was wir meinen?

„Können wir einem Kunden zeigen, woher diese Antwort stammt?“

Das ist die erste Frage, die mir Teams stellen, und genau der richtige Ausgangspunkt.

Ich sage ihnen, dass sich jede formulierte Zeile zurückverfolgen lassen sollte auf die konkrete Richtlinie oder Kontrollmaßnahme, aus der sie stammt, und dass ein alleinstehender Konfidenzwert ohne Belege keinen Audit-Trail darstellt. Entscheidend ist nicht, ob Sie die Antwort heute erklären können, solange sie noch frisch im Gedächtnis ist. Entscheidend ist, ob eine unbeteiligte Person sie in einem Jahr allein anhand der Dokumentation rekonstruieren kann, ohne die Person anrufen zu müssen, die sie verfasst hat.

Ich habe mehr Zeit, als mir lieb ist, mit endlosen E-Mail-Verläufen darüber verbracht, warum eine Response so formuliert war, wie sie war. Der einzige Grund: Es gab keinen nachvollziehbaren Audit-Trail. Ist dieser vorhanden, sinkt der Prüfaufwand, und auftretende Unstimmigkeiten fühlen sich nicht mehr wie Notfälle an. Statt einer Untersuchung genügt eine Abfrage.

Derselbe Test funktioniert übrigens bei jedem Anbieter in dieser Kategorie. Bitten Sie ihn, eine Antwort anzuklicken und Ihnen deren Ursprung zu zeigen, bevor die Demo zu ausgefeilt wirkt.

„Wer gibt es vor der Abgabe frei?“

Dieser Punkt ist mir am wichtigsten. Verzeihen Sie mir daher, wenn ich etwas ausführlicher darauf eingehe.

Die Automatisierung erstellt Entwürfe. Sie trifft keine Entscheidungen. Niemals. Was funktioniert, sieht so aus: Die Software macht einen Vorschlag. Eine namentlich benannte Person, meist aus dem Bid-Team oder der Informationssicherheit, prüft und bearbeitet ihn oder weist ihn zurück, bevor er auch nur in die Nähe eines Kunden gelangt. In diesem Freigabeschritt findet die eigentliche Beurteilung statt, die kein Modell allein vornehmen sollte. Er ist nur dann von Wert, wenn jemand tatsächlich liest, was auf seinem Schreibtisch landet.

Das ist zugleich die zweite Hälfte des Audit-Trails. Wenn Sie wissen, woher eine Antwort stammt, kennen Sie ihre Grundlage. Wenn Sie wissen, wer sie wann freigegeben hat, ist nachvollziehbar, dass eine Person die Verantwortung für ihre Weitergabe übernommen hat. Stellt ein Kunde eine Response infrage, bilden diese beiden Fakten zusammen meist die gesamte Argumentationsgrundlage. Beide belegen zu können, macht meist den Unterschied zwischen einem kurzen und einem langen Gespräch.

Hinter dieser Frage steht meist die Frage nach der Skalierbarkeit. Teams befürchten, dass eine namentlich benannte freigebende Person zum Engpass wird. In der Praxis ist das Gegenteil der Fall: Die prüfende Person liest unveränderte Inhalte nicht erneut, sondern konzentriert sich nur noch auf neue oder strittige Punkte.

„Woher wissen wir, ob eine Antwort noch stimmt?“

Diese Frage kommt meist zu spät auf. Das ist bedauerlich, denn sie deckt die meisten Probleme auf.

Eine freigegebene Antwort bleibt nicht für immer freigegeben. Kontrollen ändern sich, Tools ändern sich, die Person, die den Absatz über Zugriffsüberprüfungen verfasst hat, verlässt das Unternehmen. Riskant ist nicht die Antwort, die jemand als unsicher kennzeichnet, sondern die, die niemand hinterfragt: einmal freigegeben, jedes Quartal wiederverwendet und mit einer Autorität versehen, die sie schon lange nicht mehr verdient. Bei dieser Antwort ist die Wahrscheinlichkeit am höchsten, dass sie falsch ist, wenn sie schließlich jemand überprüft.

Die Lösung besteht darin, die Aktualität als Teil des Datensatzes zu behandeln und nicht als separate Pflegeaufgabe. Bei jeder Antwort sollte vermerkt sein, wann und von wem sie zuletzt geprüft wurde. Antworten mit überschrittenem Prüfdatum sollten sich klar von noch aktuellen Antworten unterscheiden. Das muss nicht aufwendig sein. Es muss sichtbar sein, damit die Wiederverwendung einer veralteten Antwort eine bewusste Entscheidung ist und nicht unbemerkt geschieht.

„Wo liegt unser Wissen, und wer hat Zugriff darauf?“

Das kommt in fast jedem Gespräch zur Sprache, und das zu Recht.

Ihre Questionnaire-Inhalte enthalten viele Informationen, die Sie lieber nicht im Umlauf sehen möchten: Details zur Architektur, Beschreibungen von Kontrollen und gelegentlich eine Notiz zu einem früheren Vorfall, den niemand noch einmal durchleben möchte. Es geht also nicht nur darum, wo diese Inhalte gespeichert werden. Entscheidend ist auch, wer in Ihrem Unternehmen sie einsehen, bearbeiten und freigeben kann und ob diese Berechtigungen den tatsächlichen Abläufen in Ihrem Unternehmen entsprechen. Auch diese Berechtigungen sind Teil des Audit-Trails. Wenn jemand eine freigegebene Antwort ändern kann, ohne Spuren zu hinterlassen, haben Sie keine wirklich freigegebenen Antworten.

„Nach welchen Zertifikaten und Frameworks werden wir gefragt?“

Meist wird dies als Liste abgefragt, zunehmend vor dem Hintergrund von NIS2 oder DORA.

ISO 27001, SOC 2 und DSGVO werden in den meisten Questionnaires, die Sie erhalten, ausdrücklich genannt. Dabei geht es weniger darum, das Zertifikat zu besitzen, als die zugrunde liegenden Kontrollen Frage für Frage belegen zu können, ohne dass drei Personen ein gemeinsames Laufwerk durchsuchen müssen. Diesen Aufwand unterschätzen Teams. Ein Zertifikat belegt, dass an einem bestimmten Tag ein Audit stattgefunden hat. Im Questionnaire müssen Sie jedes Mal konsistent und in eigenen Worten erklären, was Sie tatsächlich tun. Zudem müssen Sie Ihre Angaben nachvollziehbar belegen können, wenn Antworten aus verschiedenen Einreichungen verglichen werden.

„Ist das ein durchgängiger Ablauf oder sind es vier Übergaben?“

Diese Frage ist oft mit einer Geschichte über den letzten Lösungsversuch verbunden.

Was auch unter Druck funktioniert, ist ein durchgängiger Ablauf, von der Anfrage bis zur Abgabe, statt mehrerer Tools, die nur dadurch zusammenhalten, dass jemand daran denkt, Inhalte zwischen ihnen zu kopieren. Eine Frage geht ein, wird zugeordnet, der Entwurf geht an die richtige prüfende Person, Änderungen werden nachverfolgt und die finale Einreichung dokumentiert, wer wann was bearbeitet hat.

Gerade dieser letzte Punkt wird oft übergangen. Doch genau darauf kommt es an, wenn eine Einreichung infrage gestellt wird. Eine Dokumentation, die in einem einzigen System vorliegt, ist belastbar. Sind dieselben Informationen dagegen über ein gemeinsames Laufwerk, einen Posteingang und das Gedächtnis einer Person verteilt, sind sie es nicht, ganz gleich, wie gewissenhaft alle zu diesem Zeitpunkt waren. Wenn ein Prozess scheitert, dann fast immer an einer Übergabe. Ein Schritt hing davon ab, dass jemand an einem Freitagnachmittag daran dachte, etwas manuell zu übertragen, während gleichzeitig drei andere Dinge brannten. Die dadurch entstandene Lücke bleibt unsichtbar, bis jemand gezielt danach sucht.

„Lässt sich das mit unserer RFP- und DDQ-Arbeit verbinden?“

Immer häufiger, ja. Und ich habe länger als nötig gebraucht, um zu erkennen, warum das wichtig ist.

Die Fakten, mit denen Sie ein SIG oder CAIQ beantworten, sind meist dieselben, die auch die Hälfte eines Angebots für eine Ausschreibung beantworten. Wenn Sie Questionnaires separat von RFPs und DDQs bearbeiten, pflegen Sie dieselben Kontrollbeschreibungen an zwei oder drei Stellen. Genau diesen doppelten Aufwand sollte die Software vermeiden. So kann es auch passieren, dass Sie zwei Kunden leicht unterschiedliche Angaben zu derselben Kontrolle machen. Dieses Problem fällt meist im ungünstigsten Moment auf.

SEQUESTO aOS, kurz für Agentic Operating System, wurde von Anfang an für diese Überschneidung konzipiert. James orchestriert die Arbeit, die spezialisierten Agenten der Agent Force führen sie auf Basis einer vernetzten Knowledge Base aus. Alles läuft in einem durchgängigen Prozess von der Anfrage bis zur Abgabe. Strategie, Tonalität und die endgültige Freigabe aller ausgehenden Inhalte bleiben beim Reviewer.

Was sich im laufenden Betrieb tatsächlich ändert

Diese Frage wird seltener gestellt, als sie sollte, und gerade sie möchte ich so ehrlich wie möglich beantworten.

Wenn ein Team all das eingerichtet hat, ist der Fragebogen kein Einzelereignis mehr, sondern ein laufender Prozess. Als Erstes entfällt die hektische Suche. Niemand durchforstet die Einreichungen des Vorjahres nach dem Absatz zur Verschlüsselung ruhender Daten. Der Absatz ist zentral hinterlegt, freigegeben und mit dem Datum der letzten Prüfung versehen. Als Nächstes entfällt die Diskussion darüber, wer für eine Antwort verantwortlich ist. Es gibt eine namentlich benannte prüfende Person. Sie sieht, was geändert wurde und warum, und gibt die Antwort entweder frei oder weist sie zur Überarbeitung zurück.

Was bleibt, ist die Möglichkeit, alles zu belegen, was Sie übermittelt haben. Kein Ordner mit früheren Einreichungen, sondern eine lückenlose Dokumentation dazu, woher jede Antwort stammt, wer ihr zugestimmt hat und wann sie zuletzt als zutreffend bestätigt wurde. So wird aus einer Woche Spurensuche ein Nachmittag, wenn eine Response hinterfragt wird. Und dem Team bleibt die Arbeit, die sich schon immer gelohnt hat: zu entscheiden, ob Ihre Aussagen noch zutreffen. Damit sollte sich ein InfoSec-Verantwortlicher befassen. Bei einem manuellen Prozess kommt genau das als Erstes zu kurz.

Nichts davon geschieht am ersten Tag. Das sage ich Ihnen lieber jetzt, als dass Sie es im zweiten Monat selbst feststellen. Dafür müssen Sie gründlich prüfen, was bereits vorhanden ist, und meist ein unangenehmes Gespräch darüber führen, welche Ihrer bestehenden Antworten noch aktuell sind. Teams, die diese Arbeit vorab erledigen, profitieren früh davon. Wer sie auslässt, verbringt das erste Quartal mit Aufräumarbeiten im laufenden Betrieb, und das macht niemand gern.

Das ist das ganze Versprechen, und es ist bewusst bescheiden gehalten. Jede Response, vollständig bearbeitet. Das letzte Wort haben Sie.

Wenn Ihnen davon etwas bekannt vorkommt, gehen wir es gern anhand Ihrer eigenen Questionnaires mit Ihnen durch, statt Ihnen eine vorgefertigte Demo zu zeigen. Sie können direkt einen Termin vereinbaren, oder sich ansehen, wie derselbe Ansatz bei der Beantwortung von DDQs funktioniert, da ihm derselbe Ablauf zugrunde liegt. Sie können sich auch ansehen, wie der Anwendungsfall für die Beantwortung von Questionnaires aufgebaut ist, wenn Sie sehen möchten, wie er mit Ihrem eigenen Material funktioniert.