Lieferantenfragebogen: 30 Fragen statt 300

Mit einem Lieferantenfragebogen erfassen Sie strukturiert, wie ein externer Anbieter die Risiken einer konkreten Leistung behandelt. Auf dieser Grundlage entscheiden Sie über Beauftragung, Auflagen und weitere Prüfungen. Aussagekräftig wird er durch passende Fragen, überprüfbare Nachweise und eine fachliche Auswertung; die bloße Zahl beantworteter Felder sagt wenig darüber aus, ob eine Leistung ausreichend abgesichert ist.

Ein Einkauf mit drei Personen in einem Betrieb mit 170 Beschäftigten kann 300 Antworten pro Dienstleister kaum belastbar prüfen. Die folgenden 30 Fragen sind eine eigene Vorlage für eine erste Sicherheitsprüfung. Vertiefen Sie kritische Themen und streichen Sie nach begründeter Prüfung Punkte, die für die konkrete Leistung nicht relevant sind.

Vor dem Versand den Prüfgegenstand festlegen

Schreiben Sie in den Kopf des Fragebogens: Leistung, Vertragsumfang, betroffene Daten, benötigte Zugriffe und interner Leistungsowner. Ergänzen Sie den Antwortstichtag und eine Kontaktperson für Rückfragen. Ein Anbieter kann verschiedene Sicherheitsniveaus für unterschiedliche Leistungen haben. Eine pauschale Aussage über die gesamte Organisation hilft dann wenig.

NIST SP 800-161 behandelt die Identifizierung, Bewertung und Behandlung von Risiken aus Technologie-Lieferketten. Die folgenden Fragen sind unsere eigene Arbeitshilfe zu diesen Prüfthemen; sie sind kein offizieller NIST-Fragebogen. Quelle: NIST SP 800-161 Rev. 1.

Die Vorlage: 30 Fragen zur konkreten Leistung

Leistung, Zuständigkeiten und Nachweise

1. Welche Bestandteile der angebotenen Leistung erbringen Sie selbst, und welche vergeben Sie weiter?
2. Welche Person verantwortet die Sicherheit dieser Leistung, und wie erreichen wir ihre Vertretung?
3. Welche unserer Informationen verarbeiten Sie, zu welchem Zweck und an welchen Betriebsorten?
4. Welche produktiven Zugriffe benötigen Ihre Beschäftigten und eingesetzten Unterauftragnehmer?
5. Welche aktuellen Prüfberichte oder Zertifikate erfassen genau die angebotene Leistung und ihre Standorte?

Identitäten, Zugänge und Personal

6. Wie werden neue Zugänge beantragt, fachlich genehmigt und nachvollziehbar eingerichtet?
7. Wie schützen Sie administrative und externe Zugänge durch zusätzliche Authentifizierung?
8. Wie prüfen Sie bestehende Berechtigungen, und welchen aktuellen Ausführungsnachweis können Sie zeigen?
9. Wie schnell und durch wen werden Zugänge bei Austritt oder Aufgabenwechsel angepasst?
10. Wie werden Personen mit Zugriff auf unsere Informationen für ihre Sicherheitsaufgaben befähigt?

Technischer Betrieb und Schwachstellen

11. Wie erkennen Sie betroffene Systeme, wenn eine relevante Schwachstelle bekannt wird?
12. Nach welchen Kriterien priorisieren und terminieren Sie Sicherheitsupdates für diese Leistung?
13. Wie behandeln und dokumentieren Sie Ausnahmen, wenn eine Behebung vorerst nicht möglich ist?
14. Wie trennen Sie unsere Daten und Zugriffe von denen anderer Kunden und interner Testumgebungen?
15. Welche sicherheitsrelevanten Ereignisse protokollieren Sie, und wer bewertet auffällige Einträge?

Ausfallvorsorge und Sicherheitsvorfälle

16. Welche Sicherungen schützen die Leistung, und wie sind sie gegen unberechtigte Veränderung abgesichert?
17. Wann wurde die Wiederherstellung zuletzt getestet, mit welchem Umfang und mit welchem Ergebnis?
18. Welche Wiederanlauf- und Datenverlustziele können Sie für unseren Leistungsumfang verbindlich unterstützen?
19. Wie melden Sie uns relevante Sicherheitsvorfälle einschließlich erreichbarer Kontakte außerhalb üblicher Bürozeiten?
20. Wie werden Vorfälle untersucht, Maßnahmen verfolgt und für uns relevante Erkenntnisse bereitgestellt?

Unterauftragnehmer, Änderungen und Kontrolle

21. Welche Unterauftragnehmer sind für die Sicherheit oder Verfügbarkeit unserer Leistung besonders relevant?
22. Wie prüfen Sie diese Unterauftragnehmer und behandeln festgestellte Sicherheitslücken?
23. Wie informieren Sie uns vor wesentlichen Änderungen an Unterauftragnehmern, Standorten oder Leistungsbestandteilen?
24. Welche Leistungs- und Sicherheitsnachweise erhalten wir während des laufenden Vertrags?
25. Welche angemessenen Prüf- oder Auskunftsrechte können Sie uns vertraglich einräumen?

Vertragsende und offene Risiken

26. In welchen Formaten erhalten wir bei Vertragsende Daten, Metadaten und erforderliche Dokumentation zurück?
27. Welche Unterstützung und Vorlaufzeit benötigt ein Wechsel der Leistung oder des Betriebsmodells?
28. Wie entfernen Sie nach dem Übergang Zugänge und nicht mehr benötigte technische Verbindungen?
29. Wie behandeln und belegen Sie Löschung oder weitere Aufbewahrung verbliebener Daten?
30. Welche bekannten Einschränkungen oder offenen Sicherheitsmaßnahmen betreffen unsere Leistung derzeit?

Antworten mit Beschreibung und Nachweis erfassen

Verwenden Sie für jede Frage dieselben sechs Antwortfelder: Status, Beschreibung, Leistungsumfang, Nachweis, Nachweisdatum und offene Maßnahme. Als Status eignen sich „umgesetzt“, „teilweise“, „nicht umgesetzt“ und „nicht anwendbar mit Begründung“. Eine eigene Spalte erfasst die Bewertung durch Ihre prüfende Person.

Musterantwort zu Frage 17: „Teilweise umgesetzt. Die Datenwiederherstellung wurde am angegebenen Testtermin erfolgreich geprüft; die fachliche Abnahme der Schnittstellen steht aus. Nachweis: Testprotokoll mit Leistungsbezug. Offene Maßnahme: Schnittstellenprüfung bis zum vereinbarten Termin durch die Betriebsverantwortung.“ Diese Antwort ist hilfreicher als ein unbelegtes „Ja“.

Nach der Tragweite der Lücken entscheiden

Trennen Sie Vollständigkeit, Nachweisqualität und Risiko. Drei fehlende Antworten sind nicht automatisch weniger kritisch als zehn teilweise erfüllte Punkte. Ein ungeklärter privilegierter Zugang kann die Freigabe verhindern, während eine fehlende Erläuterung ohne Sicherheitsauswirkung kurzfristig nachgereicht werden kann. Legen Sie solche Entscheidungskriterien vor der Auswertung fest.

Zur Auswahl der Prüftiefe lesen Sie den Artikel zur Kritikalität von Lieferanten, zur Bewertung den Artikel zur Lieferanten-Due-Diligence. Den Zusammenhang mit dem ISMS finden Sie im ISO-27001-Framework-Hub.

Fiktives Beispiel: 29 gute Antworten gleichen eine kritische Lücke nicht aus

Ein Betrieb mit 170 Beschäftigten prüft einen externen Betriebsdienst. Die meisten Antworten sind nachvollziehbar belegt. Der Dienstleister kann jedoch nicht zeigen, wie der einzige administrative Fernzugang einer konkreten Person zugeordnet wird. Der Leistungsowner verlangt deshalb eine Korrektur vor dem produktiven Start.

Nach dem technischen Nachweis erfolgt die Freigabe. Die kritische Lücke hat damit die Entscheidung bestimmt. Wenn Sie KaitoSec für den Mittelstand prüfen, gehen Sie von den Aufgaben Ihrer beteiligten Fachrollen aus.

Häufige Fragen

Reichen 30 Fragen für jeden Lieferanten?

Nein. Die Vorlage dient dem Einstieg. Kritische Leistungen, besondere Daten oder sektorale Anforderungen können vertiefte Fragen, zusätzliche Nachweise oder praktische Tests erfordern.

Muss der Lieferant vollständige interne Berichte herausgeben?

Nicht automatisch. Vereinbaren Sie geeignete Nachweise und einen geschützten Austausch. Eine begrenzte Einsicht oder eine belastbare Zusammenfassung kann die konkrete Prüffrage beantworten.

Ist der ausgefüllte Fragebogen eine Freigabe?

Nein. Erst Ihre fachliche Bewertung und die dokumentierte Entscheidung der zuständigen Person führen zur Freigabe. Halten Sie Bedingungen und den nächsten Prüftermin fest.

Quelle und Einordnung

Stand: 5. September 2026. NIST SP 800-161 Rev. 1, aktualisierte Fassung. Die 30 Fragen, das Antwortformat und das Beispiel sind eigene Arbeitshilfen.