Was tun, wenn der Auftraggeber einen Sicherheitsfragebogen schickt?
Kurz gesagt
Ihn mit Belegen beantworten. Auftraggeber geben Fragen zur Datensicherheit an ihre Agenturen weiter, weil sie selbst Nachweise brauchen: Wo liegen die Daten, wer hat Zugriff, was passiert beim Austritt, wann wurde das Backup zuletzt zurückgespielt. Wer diese Antworten vorher geordnet und dokumentiert hat, muss für den Bogen nicht erst suchen, sondern legt Belege vor.
Der Fragebogen kommt meistens nicht vor dem Pitch. Er kommt danach, wenn der Auftrag eigentlich schon vergeben war und die Verlängerung Formsache schien. Dann schickt der Konzernkunde ein PDF mit Fragen zur Datensicherheit.
Was wird darin typischerweise gefragt?
- Wo liegen unsere Daten bei Ihnen?
- Wer hat Zugriff?
- Was passiert, wenn jemand das Unternehmen verlässt?
- Gibt es ein Backup, und wann wurde es zuletzt wiederhergestellt?
Warum schickt der Auftraggeber so einen Bogen?
Weil er selbst nachweispflichtig ist. Eine Agentur, die mit Kundendaten arbeitet, ist Teil der Lieferkette ihres Auftraggebers. Zwei Rechtsgrundlagen erklären, warum die Fragen weitergegeben werden.
Datenschutz. Verarbeitet die Agentur personenbezogene Daten im Auftrag, darf der Auftraggeber nach Art. 28 DSGVO nur mit Auftragsverarbeitern arbeiten, die hinreichende Garantien für geeignete technische und organisatorische Maßnahmen bieten. Der Auftragsverarbeiter muss dem Auftraggeber alle Informationen zum Nachweis zur Verfügung stellen und Überprüfungen ermöglichen. Art. 32 DSGVO nennt unter den Maßnahmen ausdrücklich die Fähigkeit, Daten nach einem Zwischenfall rasch wiederherzustellen, und ein Verfahren zur regelmäßigen Überprüfung der Wirksamkeit.
Informationssicherheit. Unternehmen, die unter das BSI-Gesetz fallen, müssen nach § 30 BSIG Maßnahmen zur Sicherheit der Lieferkette ergreifen, einschließlich der sicherheitsbezogenen Aspekte der Beziehungen zu ihren unmittelbaren Anbietern und Dienstleistern. Die Einhaltung ist zu dokumentieren. Der Fragebogen ist oft genau diese Dokumentation.
Wo hakt es in der Praxis?
Unangenehm ist nicht der Bogen, sondern ihn nicht ausfüllen zu können: Zugriffsrechte, die nie sauber gesetzt wurden. Ein Backup, das existiert, aber nie getestet wurde. Lizenzen auf dem privaten Konto eines Mitarbeiters, der längst weg ist. Das ist die gewachsene Realität in vielen Agenturen, die nie einen Grund hatten, das zu sortieren. Wie es dazu kommt, beschreibt der Beitrag Auf wen laufen Lizenzen, Geräte und Zugänge?.
Welche Belege beantworten welche Frage?
Jede typische Frage hat ein Dokument, das sie beantwortet. Die Adjektive „sicher“ und „zuverlässig“ helfen im Bogen nicht, Unterlagen schon:
- Wo liegen die Daten? Eine Übersicht der Datenorte, auch Cloudspeicher und Mailpostfächer, mit der Angabe, wer sie betreibt.
- Wer hat Zugriff? Ein Compliance-Bericht, wer auf welches Zugangsdatum Zugriff hat.
- Welche Geräte, wie geschützt? Ein Geräteinventar mit Nachweis der Festplattenverschlüsselung.
- Funktioniert das Backup? Ein Wiederherstellungsprotokoll mit Datum, nicht nur eine grüne Statusanzeige.
- Was passiert beim Austritt? Eine schriftliche Offboarding-Liste und Firmenkonten statt Privatkonten.
Wie bereiten Sie sich vor, bevor der Bogen kommt?
- Datenorte aufschreiben: welche Kundendaten wo liegen, auch in Cloudspeichern und Mailpostfächern.
- Zugriffsliste erstellen und Zugänge ehemaliger Mitarbeitender und Freelancer entfernen.
- Die Sicherung einmal zurückspielen und das Ergebnis mit Datum protokollieren.
- Lizenzen und Konten auf die Firma umziehen.
- Die Unterlagen an einem Ort ablegen, damit sie beim nächsten Bogen griffbereit sind.
Diese Unterlagen sind kein Selbstzweck für Auftraggeber. Sie beantworten auch die Frage, die sich jeder Inhaber selbst stellen sollte: Könnten wir morgen weiterarbeiten, wenn ein Rechner, ein Konto oder eine Person ausfällt?
Was tun, wenn der Bogen schon auf dem Tisch liegt?
- Die Frist erfragen und, wenn nötig, um Verlängerung bitten, bevor sie abläuft.
- Jede Frage einordnen: ja mit Beleg, ja ohne Beleg, nein.
- Für „ja ohne Beleg“ den Beleg nachziehen, das geht oft schneller als gedacht.
- Für „nein“ eine ehrliche Antwort mit Umsetzungstermin formulieren.
Wo liegt die Grenze?
Den Fragebogen beantworten und unterschreiben Sie, nicht Ihr IT-Dienstleister. Wir liefern die Belege, aus denen die Antworten entstehen. Wo etwas nicht umgesetzt ist, gehört „nicht umgesetzt“ in den Bogen, nicht eine geschönte Formulierung. Eine falsche Antwort wiegt schwerer als eine offene Lücke mit Plan. Ob Ihre Agentur Auftragsverarbeiter ist und welche Vereinbarung dafür nötig ist, klärt Ihre Rechtsberatung. Und auch ein vollständig beantworteter Bogen ist keine Zusage, dass der Auftrag verlängert wird.
Wer vorab einschätzen will, wie viele offene Punkte es gibt, nutzt die Checkliste mit 20 Fragen. Wer digitale Produkte für Kunden baut, sollte zusätzlich den Beitrag zum Cyber Resilience Act lesen.
Wie wir Agenturen auf den nächsten Fragebogen vorbereiten und wie Sie ein Erstgespräch vereinbaren, steht auf der Seite IT für Kreativagenturen.
Häufige Fragen
Warum verlangt der Auftraggeber Nachweise zur Datensicherheit?
Weil er selbst nachweispflichtig ist. Nach Art. 28 DSGVO darf er Daten nur Auftragsverarbeitern anvertrauen, die hinreichende Garantien bieten und ihm die Informationen zum Nachweis zur Verfügung stellen. Unternehmen, die unter das BSI-Gesetz fallen, müssen nach § 30 BSIG zudem die Sicherheit ihrer Lieferkette berücksichtigen und das dokumentieren.
Welche Unterlagen sollten wir für den Fragebogen bereithalten?
Eine Übersicht, wo welche Kundendaten liegen, einen Bericht, wer auf welches Zugangsdatum Zugriff hat, ein Geräteinventar mit Nachweis der Festplattenverschlüsselung, ein datiertes Protokoll über das letzte Zurückspielen der Sicherung und eine schriftliche Offboarding-Liste. Diese Dokumente beantworten die typischen Fragen, ohne dass für jeden Bogen neu gesucht werden muss.
Was tun, wenn wir eine Frage nicht mit Ja beantworten können?
Ehrlich antworten und einen Plan nennen. Eine geschönte Antwort fällt spätestens bei einer Überprüfung auf, die der Auftraggeber nach Art. 28 DSGVO ermöglicht bekommen muss. Eine offene Lücke mit Termin für die Umsetzung ist für den Auftraggeber berechenbarer als eine Zusage, die sich nicht belegen lässt.
Füllt iTechGenius den Fragebogen für uns aus?
Nein. Den Bogen beantworten und unterschreiben Sie als Unternehmen. Wir liefern die technischen Belege, aus denen die Antworten entstehen: Zugriffsliste, Geräteinventar, Wiederherstellungsprotokoll, Firmenkonten statt Privatkonten. Rechtliche Fragen, etwa zur Vereinbarung über die Auftragsverarbeitung, klärt Ihre Rechtsberatung. So bleibt jede Antwort in Ihrer Verantwortung und trotzdem belegt.
Passend für Ihr Umfeld
Was heißt das für Ihre Geräte?
Im Erstgespräch sehen wir uns an, was dieser Beitrag für Ihre Macs, iPhones und iPads konkret bedeutet. Sie bekommen eine klare Einschätzung, ohne dass Sie etwas bestellen müssen.
Erstgespräch vereinbaren
