Schließen Sie die Sicherheitsprüfung ab, bevor sie einen Deal ausbremst

Ihr Vertriebsverantwortlicher leitet Ihnen einen Security-Questionnaire von einem Kunden weiter, der sich bereits für Sie entschieden hat, und der Abschluss steht im Forecast. Behandeln Sie diesen Fragebogen als Schritt im Deal und bearbeiten Sie ihn gemeinsam mit dem Vertrieb, von der ersten Vorwarnung bis zu dem, was Sie dem Vertrieb nach der Prüfung zurückgeben. In der G2-Umfrage 2026 unter 1.038 B2B-Softwareentscheidern war die IT-Sicherheitsprüfung mit 39% die größte einzelne Ursache für Verzögerungen zwischen der Wahl eines Anbieters und dem Abschluss des Kaufs.

Wo ein Security-Questionnaire einen Deal ausbremst

Ein Security-Questionnaire bremst einen Deal an den Übergaben zwischen dem Vertriebsverantwortlichen, dem Bid-Manager und den Security-Fachleuten aus. Sie gewinnen mehr dieser Deals, wenn Sie ihn als einen Schritt mit klarer Zuständigkeit steuern, vom ersten Signal des Vertriebsverantwortlichen bis dahin, dass die Erkenntnisse der Prüfung an den Vertrieb und in Ihre nächsten Antworten zurückfließen. Bei großen Kunden steht mehr auf dem Spiel. In derselben G2-Umfrage nannte die Hälfte der Enterprise-Kunden die IT-Sicherheitsprüfung als größte Verzögerung nach der Wahl eines Anbieters.

Nehmen Sie einen Softwareanbieter, für den sich ein Kunde gerade entschieden hat. Der Vertriebsverantwortliche wusste, dass eine Sicherheitsprüfung folgen würde, sagte aber nichts, bis der Einkauf des Kunden einen SIG-Fragebogen schickte, dessen Umfang das eigene Security-Team des Kunden festgelegt hatte. Der Bid-Manager erhält die Datei als weitergeleitete E-Mail, ohne ein Wort zum Abgabetermin, den der Vertriebsverantwortliche schon halb zugesagt hat. Die Security-Fachleute stecken in Kundenprojekten und antworten deshalb aus einer Datei, die sie für einen anderen Kunden mit anderem Umfang ausgefüllt haben. Eine Antwort zum Speicherort der Daten widerspricht dem, was die Demo gezeigt hat. Das ISO-27001-Zertifikat bleibt auf einem gemeinsamen Laufwerk, bis der Prüfer danach fragt. Wenn die Rückfragen des Prüfers eintreffen, landen sie im Posteingang des Vertriebsverantwortlichen, und jede geht an die Person, die beim letzten Mal geantwortet hat.

Jede dieser Übergaben kostet jemanden etwas. Der Vertriebsverantwortliche sieht den Abschlusstermin eines Deals rutschen, der schon als gewonnen zählt. Der Bid-Manager überarbeitet Antworten, die beim ersten Mal hätten stimmen sollen, und die Fachleute werden für eine zweite und eine dritte Runde aus ihren Kundenprojekten geholt. Wie die gesamte Response über den Deal hinaus abläuft, erfahren Sie unter Security-Questionnaire-Response.

Fragen Sie den Vertriebsverantwortlichen, bevor der Fragebogen eintrifft

Fragen Sie den Vertriebsverantwortlichen, sobald Sie auf der Shortlist stehen, ob ein Security-Questionnaire folgt und wie er aussehen wird. Die Datei bestimmt den Aufwand, und Sie können die Zeit der Fachleute nicht um eine Datei herum einplanen, die Sie noch nicht gesehen haben.

Stellen Sie dem Vertriebsverantwortlichen diese Fragen:

• Schickt der Kunde einen Security-Questionnaire, und an welchem Punkt im Deal?
• Ist es der SIG-Fragebogen, der CAIQ oder ein eigenes Formular des Kunden?
• Welche Version schickt er, und welche Teile hat er in den Umfang aufgenommen?
• Wer prüft den Fragebogen beim Kunden?
• Bis wann erwartet der Kunde ihn zurück?

Der Umfang zählt mehr als der Name auf der Datei. Shared Assessments beschreibt den SIG-Fragebogen als konfigurierbar, mit einem Umfang, den der Kunde festlegt. Zwei SIG-Dateien von zwei Kunden können sich daher in dem, was sie abfragen, unterscheiden. Ein Team, das den Umfang kennt, kann die Fachleute für diese Bereiche einplanen, bevor die Datei eintrifft. Stimmen Sie den Abgabetermin mit dem Vertriebsverantwortlichen anhand der Verfügbarkeit der Fachleute ab, damit der Kunde einen Termin hört, den Sie halten können. Kennt der Vertriebsverantwortliche die Antworten nicht, bitten Sie ihn, sie im nächsten Gespräch mit dem Kunden zu klären.

Beantworten Sie, worüber der Sicherheitsprüfer entscheidet

Der Sicherheitsprüfer des Kunden entscheidet, ob jede Kontrolle existiert, welche Nachweise sie stützen und wie mit Lücken umgegangen wird. Beantworten Sie bei jeder Frage diese drei Punkte und überlassen Sie das Verkaufen dem Vertriebsverantwortlichen.

Das Format selbst zeigt das. Die Cloud Security Alliance veröffentlicht den CAIQ als Satz von Ja/Nein-Fragen zu Sicherheitskontrollen. Ein Ja besagt, dass die Kontrolle umgesetzt ist. Ein Absatz über Ihr Engagement für Sicherheit, geschrieben an der Stelle, an die ein Ja, ein Verweis auf die Richtlinie und ein Hinweis auf den Nachweis gehören, gibt dem Prüfer nichts, was er festhalten kann, und lädt zu einer Rückfrage ein.

Lücken brauchen die meiste Sorgfalt. Sagen Sie klar, dass eine Kontrolle fehlt oder nur teilweise besteht, was Sie stattdessen haben und was Sie bis wann dagegen tun, sofern intern ein Plan vereinbart ist. Eine Antwort, die eine Lücke verschleiert, kann in Rückfragen oder im Vertrag wieder auftauchen, wo sie schwerer zu korrigieren ist.

Der Prüfer ist nicht der einzige Leser. Laut Gartner umfassen B2B-Entscheidergruppen fünf bis 16 Personen aus bis zu vier Funktionen, sodass Einkauf, Rechtsabteilung und Fachbereich dieselben Antworten lesen können. Jede Antwort muss für sich stehen, ohne Vertriebsmitarbeiter im Raum, der sie erklärt. Wie Sie jede Antwort so schreiben, dass Ihr Team dahinterstehen kann, lesen Sie unter nachvollziehbare Antworten auf Security-Questionnaires.

Halten Sie die Antworten im Einklang mit den Aussagen des Vertriebs

Gleichen Sie die Antworten vor dem Versand mit der Demo, den E-Mails und dem Angebot des Vertriebsverantwortlichen, den Sicherheitsklauseln im Vertragsentwurf und jedem früheren Fragebogen ab, den Sie diesem Kunden geschickt haben. Ein Kunde, der in den Vertriebsunterlagen das eine und im Fragebogen das andere liest, hat Grund, an beidem zu zweifeln.

Ein Widerspruch gibt der Entscheidergruppe etwas Neues zu klären, und Entscheidergruppen tun sich ohnehin schwer, sich zu einigen: In einer Gartner-Umfrage unter 632 B2B-Kunden zeigten 74% der Entscheidergruppen auf Kundenseite ungesunde Konflikte während der Kaufentscheidung.

Finden Sie einen Widerspruch, bringen Sie ihn vor dem Versand zum Vertriebsverantwortlichen und zu der Fachperson, die für die Kontrolle zuständig ist. Die richtige Antwort kommt in den Fragebogen, und der Vertriebsverantwortliche korrigiert seine Aussage gegenüber dem Kunden. Ist der Vertragsentwurf falsch, muss die Rechtsabteilung das jetzt erfahren, solange sich die Bedingungen noch ändern lassen.

Liefern Sie Nachweise, bevor der Prüfer danach fragt

Schicken Sie Ihr Zertifikat mit der Beschreibung seines Geltungsbereichs und eine Zusammenfassung Ihres letzten Penetrationstests mit der ersten Einreichung. Jedes Dokument, das der Prüfer anfordern muss, bringt eine weitere Runde Rückfragen, und jede Runde verschiebt den Abschluss.

Die ISO erklärt, dass ein Informationssicherheitsmanagementsystem nach ISO/IEC 27001 interessierten Parteien Vertrauen gibt, dass Risiken angemessen gehandhabt werden. Dieses Vertrauen erreicht den Prüfer nur, wenn das Zertifikat ihn erreicht, und nur, wenn sein Geltungsbereich die Leistung abdeckt, die der Kunde kauft. Teilen Sie Berichte, deren Weitergabe Ihre Richtlinie einschränkt, etwa einen SOC-2-Bericht, in derselben ersten Runde unter NDA.

Gehen Sie davon aus, dass der Prüfer die Unterlagen ohne Sie liest. Die Gartner-Umfrage 2026 unter 646 B2B-Kunden ergab, dass 67% einen Kauf ohne Vertriebskontakt bevorzugen. Das gilt für Kaufentscheidungen allgemein, legt aber nahe, dass ein Prüfer gut mit Ihren Dokumenten statt mit einem Gespräch mit Ihrem Vertriebsverantwortlichen arbeiten könnte. Hat Ihr Unternehmen einen Eintrag in CSA STAR, verweisen Sie in derselben Einreichung darauf. Ob ein Trust Center diese Nachweise anstelle von Antworten liefern kann, behandelt der Beitrag Trust Center oder Security-Questionnaire.

Benennen Sie eine zuständige Person für Rückfragen

Geben Sie dem Prüfer des Kunden einen benannten Ansprechpartner für Rückfragen, den Bid-Manager oder den Pre-Sales-Verantwortlichen, und leiten Sie jede Frage von dort an die Fachperson weiter, die für die jeweilige Kontrolle zuständig ist. Ohne eine zuständige Person verteilen sich die Fragen auf verschiedene Postfächer, und niemand kann dem Vertriebsverantwortlichen sagen, wann die Antworten zurückkommen.

Legen Sie die Antwortfrist anhand der Verfügbarkeit der Fachleute fest. Die zuständige Person stimmt sie mit jeder Fachperson ab, der Vertriebsverantwortliche sagt sie dem Kunden zu, und die zuständige Person verfolgt jede offene Frage, bis sie geschlossen ist. Ist eine Fachperson im Urlaub oder steht sie vor einem Projekttermin, benennt die zuständige Person eine Vertretung oder teilt dem Vertriebsverantwortlichen mit, dass sich der Termin verschoben hat, bevor der Kunde nachfragen muss.

Eine Antwortfrist, die Sie einhalten, bewirkt mehr, als Fragen zu schließen. Laut der Gartner-Umfrage 2026 berichteten Kunden mit hoher Entscheidungssicherheit doppelt so häufig von einem hochwertigen Deal wie Kunden mit geringer Entscheidungssicherheit. Dieser Befund betrifft B2B-Käufe allgemein. Dennoch hat ein Prüfer, der zum zugesagten Termin klare Antworten erhält, weniger Grund, eine Entscheidung infrage zu stellen, die der Fachbereich bereits getroffen hat.

Geben Sie die Erkenntnisse der Prüfung an den Vertrieb zurück

Halten Sie nach dem Ende der Prüfung fest, was der Prüfer gefragt hat, welche Nachweise er angefordert hat und was Sie zugesagt haben. Der Vertriebsverantwortliche und die Rechtsabteilung brauchen diese Dokumentation, bevor der Vertrag unterzeichnet wird, denn der Kunde kann erwarten, dass eine Zusage aus einer Antwort auf eine Rückfrage im Vertrag auftaucht.

Sagen Sie dem Vertriebsverantwortlichen klar, was zugesagt wurde, etwa eine Kontrolle, die Sie einführen, oder einen Bericht, den Sie jedes Jahr teilen, damit nichts, was später in der Kundenbeziehung gesagt wird, dem widerspricht. Aktualisieren Sie dann Ihre freigegebenen Antworten mit dem, was die Prüfung zutage gefördert hat, jeweils mit einer zuständigen Person und einem Prüfdatum. Eine Frage, die dieser Prüfer gestellt hat, kann auch vom nächsten Kunden kommen.

Betrachten Sie die aktualisierten Antworten nicht als fertig. Shared Assessments aktualisiert den SIG-Fragebogen mindestens einmal im Jahr, daher passt die Datei des nächsten Kunden womöglich nicht zu dieser, selbst wo eine Frage vertraut wirkt. Wie Sie wiederverwendete Antworten aktuell halten, erfahren Sie in Antworten auf Security-Questionnaires wiederverwenden.

So steuert SEQUESTO den Security-Questionnaire im Deal

Im agentic operating system (aOS) von SEQUESTO legt der Bid-Manager ein Projekt für den Software-Deal mit der Einrichtung für Security-Questionnaires an, sobald der Vertriebsverantwortliche ankündigt, dass ein SIG-Fragebogen kommt. Trifft die Datei des Kunden ein, überführt Agent Force, die spezialisierten Agenten, jede Zeile jedes Tabellenblatts in eine Fragenliste, und unklare Zeilen gehen zur Durchsicht zurück. James, der KI-Bid-Agent von SEQUESTO, ergänzt die Freigabestufen und Prüfpunkte des Teams als Meilensteine, jeweils mit Uhrzeit und benanntem Reviewer.

James entwirft jede Antwort aus dem Knowledge Hub, und jede Antwort zeigt das Dokument, aus dem sie stammt. Der Vertragsentwurf und das Angebot des Vertriebsverantwortlichen liegen im selben Projekt, sodass das Team die Antworten an einer Stelle damit abgleicht. Nachweise wie ein SOC-2-Bericht hängen an der Antwort, die sie stützen, und Inhalte mit überschrittenem Prüfdatum werden markiert, bevor sie wiederverwendet werden.

Wenn die Rückfragen des Prüfers eintreffen, weist James jede Frage der Fachperson zu, die für die jeweilige Kontrolle zuständig ist und in SEQUESTO benachrichtigt wird. James meldet, was noch offen ist und wer es bearbeitet, und hinterlässt einen Kommentar für alle, die noch eine Antwort schuldig sind. Der Bid-Manager kann dem Vertriebsverantwortlichen dann einen Termin nennen, der sich an dem orientiert, was tatsächlich noch aussteht.

Jede Einreichung wird mit Zeitstempeln, Freigabeverantwortlichen und Quellen protokolliert, und das Protokoll ist durchsuchbar und exportierbar. Der Bid-Manager erteilt die finale Freigabe für jede Antwortrunde, und freigegebene Antworten fließen für den nächsten Kunden zurück in den Knowledge Hub.

Checkliste für den Security-Questionnaire in einem laufenden Deal

Haken Sie jede Zeile ab, bevor Sie den Fragebogen als erledigt betrachten.

• Sie wissen, ob ein Fragebogen kommt, und kennen Format, Version, den Umfang des Kunden und den Abgabetermin.
• Der Abgabetermin wurde mit dem Vertriebsverantwortlichen anhand der Verfügbarkeit der Fachleute vereinbart.
• Jede Antwort sagt, ob die Kontrolle existiert, welcher Nachweis sie stützt und wie mit einer etwaigen Lücke umgegangen wird.
• Jede Antwort stimmt mit der Demo, der Vertriebskorrespondenz, dem Vertragsentwurf und früheren Antworten an diesen Kunden überein.
• Das Zertifikat mit der Beschreibung seines Geltungsbereichs und die Zusammenfassung des letzten Tests wurden mit der ersten Einreichung verschickt.
• Der Prüfer hat einen benannten Ansprechpartner, und jede Rückfrage hat eine zuständige Fachperson und eine Antwortfrist, die der Vertriebsverantwortliche zugesagt hat.
• Der Vertriebsverantwortliche und die Rechtsabteilung haben eine Dokumentation dessen, was die Prüfung gefragt und was Sie zugesagt haben.
• Die freigegebenen Antworten sind zurück in Ihrer Bibliothek, jeweils mit einer zuständigen Person und einem Prüfdatum.