Die Cybersicherheit eines Dienstleisters bewerten: Zertifizierung, bewertetes Assessment, Fragebogen, was jedes davon belegt

Kurz gefasst: Wenn Sie einem Dienstleister Identitäten, Nachweisdokumente und Bankdaten anvertrauen, erben Sie dessen Sicherheitsniveau. Zu ihrer Feststellung kursieren drei Arten von Nachweisen, und sie sagen keineswegs dasselbe aus. Eine Zertifizierung wie ISO 27001 bescheinigt, dass ein Managementsystem auditiert wurde, liefert aber keinerlei Messwert für das Niveau und hängt vollständig von ihrem Geltungsbereich ab. Ein bewertetes Assessment wie CyberVadis liefert einen Score von maximal 1.000 Punkten und eine Aufschlüsselung nach Bereichen, ist aber kein Zertifizierungsaudit. Eine Selbstauskunft per Fragebogen wiederum belegt für sich genommen gar nichts. Der nützliche Reflex besteht nicht darin, Logos zu sammeln, sondern darin, sechs präzise Fragen zu stellen.

‍

Warum die Sicherheit Ihres Dienstleisters Ihr Problem ist

‍

Die Argumentation ist mittlerweile abgedroschen, bleibt aber richtig: Ein schlecht geschützter Dienstleister wird zu Ihrer Schwachstelle. Wenn Ihr Anbieter für Identitätsprüfung ein Datenleck erleidet, sind es die Ausweisdokumente Ihrer Kunden, die kursieren, nicht seine eigenen.

‍

Drei Regelwerke machen aus dieser Feststellung eine Pflicht.

‍

Die DSGVO, die den Auftragsverarbeiter zu einem Glied macht, bei dem der Verantwortliche sicherstellen muss, dass es hinreichende Garantien bietet. Der Vertrag allein genügt nicht: Es muss sich belegen lassen, worauf diese Gewissheit beruht.

‍

DORA für den Finanzsektor und seine Anbieter, die verlangt, IKT-Dienstleister vertraglich zu regeln und zu überwachen, insbesondere jene, die kritische Funktionen tragen. Unser Artikel über die digitale operationale Resilienz erläutert im Detail, was das umfasst.

‍

Die Sorgfaltspflicht und, weiter gefasst, die Kenntnis Ihrer Lieferanten, die derselben Logik folgt wie Know Your Supplier: prüfen, bevor man vertraut, und danach weiter prüfen.

‍

In allen drei Fällen muss der Einkäufer einen Nachweis vorlegen. Bleibt die Frage, welchen, und was er wert ist.

‍

Die 3 Nachweisfamilien und was sie belegen

‍

Die Zertifizierung

‍

Eine Zertifizierung wie ISO 27001 bescheinigt, dass eine unabhängige Stelle ein Managementsystem für Informationssicherheit auditiert und als normkonform bewertet hat. Das ist ein starker Nachweis, weil er von außen kommt und regelmäßig erneut überprüft wird.

‍

Sie hat zwei Grenzen, die oft vergessen werden.

‍

Sie ist binär. Ein Unternehmen ist zertifiziert oder eben nicht. Die Zertifizierung sagt nicht, ob es exzellent oder gerade eben konform ist, und auch nicht, wo seine Schwachstellen liegen.

‍

Sie hängt von ihrem Geltungsbereich ab. Das Zertifikat enthält eine Erklärung zum Anwendungsbereich, und dieser Bereich kann eng sein: ein einziger Standort, eine einzige Tochtergesellschaft, ein einziger Dienst. Ein Dienstleister kann ein vollkommen echtes Zertifikat vorlegen, das das von Ihnen gekaufte Produkt nicht abdeckt. Das ist die lohnendste Prüfung überhaupt, und zugleich die, die am seltensten durchgeführt wird.

‍

Das bewertete Assessment

‍

Ein bewertetes Assessment, wie es CyberVadis durchführt, liefert einen bezifferten Score und eine Aufschlüsselung nach Bereichen. Die Methode gliedert sich in vier Funktionen: Identify, Protect, Detect, React. Risiken und Assets identifizieren, sie schützen, Vorfälle erkennen und in der Lage sein, darauf zu reagieren. Jede Funktion wird separat bewertet und anschließend gewichtet in einen Gesamtscore von maximal 1.000 Punkten überführt, dem ein Reifegrad von unzureichend bis ausgereift zugeordnet ist.

‍

Ihr Nutzen ist genau umgekehrt zu dem einer Zertifizierung: Sie ist granular und vergleichbar. Sie sagt Ihnen nicht nur, dass ein Dienstleister seriös arbeitet, sondern auch, wo er es weniger tut. Sie können zwei Anbieter auf derselben Skala vergleichen, was eine Zertifizierung nicht erlaubt.

‍

Seit dem 1. Januar 2026 gilt für die Medaillen von CyberVadis folgende Staffelung:

‍

• Platinum: von 950 bis 1.000
• Gold: von 900 bis 949
• Silver: von 800 bis 899
• Bronze: von 700 bis 799

‍

Unterhalb von 700 gibt es keine Medaille, sondern nur eine Teilnahmebestätigung. Ein Dienstleister, der lediglich ein Teilnahme-Badge hervorhebt, kommuniziert also kein Ergebnis, sondern die Tatsache, geantwortet zu haben.

‍

Seine Grenze ist spiegelbildlich: Es handelt sich nicht um ein Zertifizierungsaudit im Sinne der ISO. Ein bewertetes Assessment misst eine erklärte und anschließend anhand von Belegen geprüfte Reife, und die Qualität des Ergebnisses hängt von den eingereichten Nachweisen ab. Es ergänzt eine Zertifizierung, es ersetzt sie nicht.

‍

Der Selbstauskunftsfragebogen

‍

Das ist das Dokument, das Ihr Dienstleister selbst ausfüllt, oft eine Tabelle mit 200 Zeilen. Er hat einen echten Nutzen: Fragen zu stellen, die auf Ihren Kontext zugeschnitten sind und die weder eine Norm noch ein generisches Assessment abdeckt.

‍

Aber er belegt für sich genommen nichts. Ein Selbstauskunftsfragebogen ohne Beleg zu jeder einzelnen Antwort ist eine in Form gebrachte Absichtserklärung. Sein Wert hängt vollständig von den beigefügten Dokumenten ab: Sicherheitsrichtlinie, Bericht über einen Penetrationstest, Kontinuitätsplan, Hostingarchitektur, Liste der Unterauftragnehmer.

‍

Zertifizierung oder Assessment: die richtige Lesart

‍

Es geht nicht darum, sich zu entscheiden. Beide beantworten unterschiedliche Fragen, und ein kundiger Einkäufer nutzt beide.

‍

• Die Zertifizierung beantwortet die Frage „Ist dieser Dienstleister strukturiert aufgestellt?“ Sie belegt, dass ein gesteuertes, dokumentiertes und auditiertes Vorgehen existiert. Sie gewichtet nichts.
• Das bewertete Assessment beantwortet die Frage „Auf welchem Niveau, und worin?“ Es gewichtet und erlaubt den Vergleich. Es hat nicht den normativen Wert eines Zertifikats.
• Der Fragebogen beantwortet die Frage „Und für meinen konkreten Fall?“ Er deckt Ihre Besonderheiten ab. Er liefert keinerlei externe Gewähr.

‍

Der zu vermeidende Reflex ist zugleich der verbreitetste: diese Nachweise als austauschbare Logos zu behandeln, die man in einer Lieferantenübersicht abhakt. Ein Logo liest man nicht, einen Geltungsbereich und einen Score liest man sehr wohl.

‍

Die 6 Fragen, die Sie vor der Unterschrift stellen sollten

‍

Sie passen in wenige Zeilen und beseitigen den Großteil der Unklarheit.

‍

1. Wie lautet der genaue Geltungsbereich der Zertifizierung? Fordern Sie das Zertifikat selbst an, nicht das Logo. Prüfen Sie, dass der von Ihnen gekaufte Dienst darin aufgeführt ist, und nicht nur die Muttergesellschaft.

‍

2. Von wann stammt der Nachweis, und auf welche Fassung der Norm bezieht er sich? Eine aktuelle Zertifizierung nach ISO 27001 bezieht sich auf die Fassung 2022. Ein 3 Jahre altes Cybersicherheitsassessment sagt nichts über den heutigen Stand aus.

‍

3. Wo werden die Daten gehostet, und welcher Rechtsordnung unterliegen sie? Der physische Standort und das auf den Hoster anwendbare Recht sind zwei verschiedene Fragen, und beide zählen.

‍

4. Wie sieht die Kette der Unterauftragnehmer aus? Ihr Dienstleister stützt sich selbst auf Dritte. Fordern Sie die Liste an, und auch, was diesen anvertraut wird. Genau hier verlieren sich die Geltungsbereiche.

‍

5. Wie läuft der Prozess der Vorfallmeldung ab? Innerhalb welcher Frist werden Sie informiert, über welchen Kanal, mit welchem Detailgrad? Eine vertraglich bezifferte Zusage ist mehr wert als eine Absicht.

‍

6. Was zeigt die Aufschlüsselung des Scores, nicht nur der Score selbst? Bei einem bewerteten Assessment kann ein schmeichelhafter Gesamtscore eine schwache Funktion verdecken. Die Reaktionsfähigkeit schneidet dabei häufig am schlechtesten ab.

‍

Dieses Vorgehen unterscheidet sich nicht von einem risikobasierten Ansatz, angewandt auf Ihre Lieferanten: Die Kontrolltiefe richtet sich nach der Sensibilität dessen, was Sie ihnen anvertrauen. Ein Tool, das Ausweisdokumente und Bankdaten verarbeitet, erfordert nicht dasselbe Anforderungsniveau wie ein Tool zur Verwaltung von Spesenabrechnungen.

‍

Wo Meelo steht

‍

Auf uns selbst anzuwenden, was wir von anderen verlangen, setzt voraus, überprüfbare Angaben zu liefern statt schöner Worte.

‍

Meelo hat bei seinem CyberVadis Assessment 930 von 1.000 Punkten erreicht, was der Medaille Gold entspricht. Dieses Assessment bezieht sich auf die vier weiter oben beschriebenen Funktionen: Identifizierung der Risiken, Schutz, Erkennung und Reaktion.

‍

Das ist eine von einem Dritten vergebene Bewertung, und genau danach haben wir gesucht: eine externe Messung statt einer internen Behauptung. Wir nennen es lieber beim Namen, nämlich ein bewertetes Assessment und keine Zertifizierung, weil die Verwechslung der beiden genau das ist, was dieser Artikel ausräumen will.

‍

Zum Rest sind die Angaben folgende: Die Daten werden in Frankreich gehostet und verschlüsselt, die Zugriffe sind kontrolliert, und jede Entscheidung zur Identitätsprüfung, zum Betrugsrisiko oder zur Zahlungsfähigkeit ist nachvollziehbar und auditierbar. Das Zertifizierungsverfahren nach ISO 27701, der Erweiterung von ISO 27001 für den Schutz personenbezogener Daten, ist eingeleitet. Wir haben diese Norm anderen vorgezogen, weil sie genau das betrifft, womit unsere Verarbeitungen tatsächlich umgehen: Identitäten, Nachweisdokumente und personenbezogene Daten.

‍

Fazit

‍

Die Sicherheit eines Dienstleisters lässt sich nicht mit einem Logo belegen und nicht durch das Abhaken eines Kästchens prüfen. Eine Zertifizierung belegt, dass ein Vorgehen existiert und auditiert wurde, ohne das Niveau zu nennen. Ein bewertetes Assessment nennt das Niveau und schlüsselt es nach Bereichen auf, ohne die Tragweite eines Zertifikats zu haben. Ein Fragebogen deckt Ihre Besonderheiten ab und belegt für sich allein nichts.

‍

Alle drei ergänzen einander, und keine entbindet davon, Geltungsbereich, Datum und Detailaufstellung zu lesen. Wenn Sie aus diesem Artikel nur eine einzige Frage mitnehmen, dann die erste: Fordern Sie das Zertifikat an, nicht das Logo.

‍

FAQ

‍

Worin besteht der Unterschied zwischen einer Zertifizierung nach ISO 27001 und einem CyberVadis Assessment?

‍

Die Zertifizierung nach ISO 27001 wird von einer akkreditierten Stelle nach einem Audit erteilt und ist binär: Das Unternehmen ist konform oder nicht, bezogen auf einen erklärten Geltungsbereich. Ein CyberVadis Assessment liefert einen Score von maximal 1.000 Punkten und eine Aufschlüsselung nach Bereichen, was es erlaubt, ein Niveau zu messen und Dienstleister untereinander zu vergleichen. Die erste hat eine normative Tragweite, das zweite eine vergleichende. Sie ergänzen einander.

‍

Was bedeutet ein CyberVadis Score von 930 von 1.000?

‍

Er entspricht der Medaille Gold, deren Stufe seit dem 1. Januar 2026 von 900 bis 949 reicht. Darüber liegt Platinum, ab 950. Darunter Silver ab 800 und Bronze ab 700. Unter 700 wird keine Medaille vergeben.

‍

Welche 4 Funktionen bewertet CyberVadis?

‍

Identify, Protect, Detect und React: die Identifizierung der Risiken und Assets, deren Schutz, die Erkennung von Vorfällen und die Fähigkeit, darauf zu reagieren. Jede Funktion erhält ihre eigene Bewertung, anschließend wird das Ganze gewichtet in einen Gesamtscore von maximal 1.000 Punkten überführt, dem ein Reifegrad zugeordnet ist.

‍

Deckt ein Zertifikat nach ISO 27001 das gesamte Unternehmen ab?

‍

Nicht zwangsläufig, und das ist der am häufigsten übersehene Punkt. Jedes Zertifikat enthält eine Erklärung zum Anwendungsbereich, die sich auf einen Standort, eine Tochtergesellschaft oder einen Dienst beschränken kann. Sie müssen also prüfen, ob das von Ihnen gekaufte Produkt wirklich in diesen Bereich fällt, indem Sie das Zertifikat anfordern und nicht das Logo.

‍

Reicht ein Sicherheitsfragebogen für Lieferanten aus?

‍

Nein, nicht allein. Er ist nützlich, um Ihre eigenen Anforderungen abzudecken, die generische Rahmenwerke nicht behandeln, aber seine Antworten sind Selbstauskünfte. Sein Wert hängt von den Anlagen ab: Sicherheitsrichtlinie, Bericht über einen Penetrationstest, Kontinuitätsplan, Hostingarchitektur, Liste der Unterauftragnehmer.

‍

Was verlangt DORA zur Sicherheit von Dienstleistern?

‍

DORA verpflichtet Finanzunternehmen dazu, ihre IKT-Dienstleister vertraglich zu regeln und zu überwachen, mit verschärften Anforderungen für jene, die kritische oder wichtige Funktionen unterstützen. Die Pflicht betrifft die Beherrschung des Drittparteienrisikos, was voraussetzt, den Nachweis zu dokumentieren, auf dem das gewährte Vertrauen beruht.

‍

Ist Meelo nach ISO 27001 zertifiziert?

‍

Nein. Meelo hat bei seinem CyberVadis Assessment 930 von 1.000 Punkten erreicht, also die Medaille Gold, und das ist ein von einem Dritten bewertetes Assessment und keine Zertifizierung. Das Zertifizierungsverfahren nach ISO 27701, der Erweiterung von ISO 27001 für den Schutz personenbezogener Daten, ist eingeleitet. Die Daten werden in Frankreich gehostet und verschlüsselt, die Zugriffe sind kontrolliert, und jede Entscheidung ist nachvollziehbar und auditierbar.

‍

Quellen: CyberVadis Dokumentation zur Bewertungsskala, zu den Badges und den Medaillen; ISO/IEC 27001:2022 und ISO/IEC 27701, Internationale Organisation für Normung; Verordnung (EU) 2022/2554 über die digitale operationale Resilienz im Finanzsektor (DORA); Datenschutz-Grundverordnung.