BSI-Angebote und Nachweise: Woran Sie Qualität bei Sicherheitsdienstleistern prüfen können

Es gibt kein einziges amtliches Gütesiegel, das jeden Cybersecurity Dienstleister als gut ausweist. Aussagekräftig sind dagegen mehrere Bausteine zusammen: Zertifikate zum Unternehmen, Qualifikationen der eingesetzten Personen, Referenzen und die Offenheit bei Methodik und Berichten. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) liefert Standards, Leitfäden und für bestimmte Aufgaben eigene Anerkennungsverfahren. Dieser Beitrag hilft, Nachweise einzuordnen.

Was das BSI leistet und was nicht

Das BSI ist die nationale Cybersicherheitsbehörde. Es veröffentlicht den IT-Grundschutz mit Bausteinen und Standards, gibt Warnungen und Empfehlungen heraus, betreibt Zertifizierungsverfahren und bietet Informationen für Unternehmen. Es empfiehlt aber keine einzelnen Anbieter pauschal und ersetzt keine eigene Auswahl. Für bestimmte Aufgaben gibt es Listen anerkannter Dienstleister, etwa für Cyber-Sicherheitsvorfälle bei Betreibern kritischer Infrastrukturen. Ob solche Listen für Ihren Bedarf relevant sind, hängt von Ihrer Situation ab. Prüfen Sie die aktuellen Angebote auf der Seite des BSI.

Zusätzlich unterstützt die Allianz für Cyber-Sicherheit, eine Initiative von BSI und Branchenverband, mit Informationen, Veranstaltungen und Praxisleitfäden vor allem für kleine und mittlere Unternehmen.

Nachweise im Überblick

Nachweis	Was er aussagt	Was er nicht aussagt
ISO/IEC 27001 (Unternehmen)	Ein Managementsystem für Informationssicherheit im genannten Geltungsbereich wurde geprüft	Dass jede Dienstleistung fachlich hervorragend ist; gilt nur für den Geltungsbereich
ISO 27001 auf Basis von IT-Grundschutz	Zertifizierung nach BSI-Verfahren mit konkreten Grundschutz-Anforderungen	Qualität einzelner Testteams
TISAX	Nachweis für Informationssicherheit in der Automobilwirtschaft, organisiert über die ENX Association	Allgemeine Eignung außerhalb des Automotive-Umfelds
SOC-2-Berichte	Prüfbericht eines Wirtschaftsprüfers zu Kontrollen eines Dienstleisters, vor allem bei internationalen Cloud-Anbietern	Inhalt hängt vom geprüften Umfang ab
Personenzertifikate	Kenntnisse einzelner Fachleute, etwa in Penetrationstests oder Auditierung	Praxiserfahrung im konkreten Fall
Kundenreferenzen	Erfahrung in vergleichbaren Projekten	Aktuelle Qualität, wenn sie lange zurückliegen

Wichtig: Ein Zertifikat benennt einen Geltungsbereich. Fragen Sie immer, welcher Teil des Unternehmens zertifiziert ist und ob Ihr Auftrag davon erfasst wird. Aussteller sollten eine akkreditierte Zertifizierungsstelle sein. Die Deutsche Akkreditierungsstelle (DAkkS) führt Verzeichnisse akkreditierter Stellen.

Qualifikation der Personen prüfen

Bei Tests und Beratung entscheidet die einzelne Person. Fragen Sie deshalb nach:

Namen und Rolle der Fachleute, die den Auftrag ausführen
Berufserfahrung und Schwerpunkten, etwa Webanwendungen, Active Directory, Cloud
Fachzertifikaten, die zum Auftrag passen
Veröffentlichungen und Beiträge zur Sicherheitscommunity als Hinweis auf Praxiswissen, aber nicht als Pflicht
Vertretung: Wer springt ein, wenn jemand ausfällt?

Zertifikate sind ein Indiz, kein Beweis. Ein erfahrener Praktiker ohne Zertifikat kann besser sein als jemand mit vielen Titeln, und umgekehrt. Ein Referenzgespräch klärt oft mehr als ein Lebenslauf.

Sicherheitsüberprüfung und Vertrauenswürdigkeit

Bei besonders sensiblen Aufträgen können Sie zusätzliche Nachweise verlangen: erweitertes Führungszeugnis der Mitarbeitenden, Verpflichtungserklärungen, Nachweise zur Sicherheit des Arbeitsplatzes beim Dienstleister, getrennte Netze für Kundendaten. Im Bereich von Verschlusssachen oder Geheimschutz gelten gesonderte staatliche Verfahren. Für private Unternehmen sind solche Anforderungen die Ausnahme, aber bei kritischen Vorhaben prüfenswert.

So prüfen Sie Aussagen von Anbietern

Zertifikatsnummer und Aussteller erfragen und beim Aussteller oder in öffentlichen Verzeichnissen verifizieren, soweit möglich.
Gültigkeitsdauer prüfen: Zertifikate laufen ab, Überwachungsaudits sind nötig.
Berichtsmuster ansehen: Zeigt es nachvollziehbare Schritte, Nachweise und Empfehlungen?
Referenzgespräche führen: Mit Kunden vergleichbarer Größe und Branche.
Marketingsprache hinterfragen: Begriffe wie „zertifizierter Ethical Hacker“ sagen nichts über die Qualität der Arbeit.

Rechenbeispiel zur Gewichtung (illustrativ)

Angenommen, Sie bewerten zwei Anbieter für einen Penetrationstest. Anbieter A zeigt ein Unternehmenszertifikat nach ISO 27001, nennt aber die eingesetzten Personen nicht. Anbieter B hat kein Unternehmenszertifikat, benennt jedoch zwei erfahrene Tester, legt ein Berichtsmuster vor und nennt Referenzen. Für den Auftrag können die Personen und das Berichtsmuster aussagekräftiger sein als das Unternehmenszertifikat. Bei einem Managed-Service-Vertrag mit Zugriff auf Ihre Systeme wiegt dagegen der Nachweis zur eigenen Sicherheit des Anbieters schwerer. Gewichten Sie die Nachweise also nach Art des Auftrags.

Typische Fehler bei der Nachweisprüfung

Zertifikat mit anderem Geltungsbereich akzeptieren: Zertifiziert ist zum Beispiel nur ein Rechenzentrum, nicht der Beratungsbereich.
Abgelaufene Nachweise übersehen.
Fehlende Kontrolle der Unterauftragnehmer: Das Zertifikat des Hauptanbieters gilt nicht automatisch für Subunternehmer.
Nachweise als Ersatz für Verträge: Auch zertifizierte Anbieter brauchen klare Vertragsregelungen, siehe Verträge mit Dienstleistern.

Nachweise von Dienstleistern richtig ablegen

Dokumentieren Sie die Prüfung der Nachweise. Legen Sie pro Dienstleister eine Akte an mit Zertifikat, Geltungsbereich, Gültigkeitsdatum, Kontaktpersonen und dem Ergebnis Ihrer Rückfragen. Tragen Sie Ablaufdaten in einen Kalender ein und fragen Sie rechtzeitig nach dem Folgenachweis. Diese Unterlagen sind nützlich, wenn Kunden, Versicherer oder Auditoren fragen, wie Sie Ihre Lieferanten ausgewählt und überwacht haben. Auch für Pflichten rund um die Sicherheit der Lieferkette ist ein nachvollziehbarer Prozess hilfreich. Er muss nicht aufwendig sein: Eine Tabelle mit den wichtigsten Angaben und einem jährlichen Prüftermin genügt in vielen Fällen.

Wann Sie sich beraten lassen sollten

Für Branchen mit besonderen Nachweispflichten, etwa Automobilzulieferer, Finanzunternehmen oder Betreiber kritischer Anlagen, sollten Sie die geforderten Nachweise mit Ihren Auftraggebern oder Aufsichtsstellen abstimmen. Mit der Checkliste vor der Beauftragung behalten Sie den Überblick. Auch die Auswahl insgesamt ist im Beitrag Cybersecurity Dienstleister auswählen beschrieben.

Häufige Fragen

Gibt es ein offizielles Verzeichnis geprüfter Pentest-Anbieter?

Nicht als allgemeines Gütesiegel für alle Unternehmen. Das BSI führt Listen für bestimmte Aufgaben, zum Beispiel qualifizierte Dienstleister für bestimmte Vorfälle bei kritischen Infrastrukturen. Prüfen Sie, was für Ihren Fall passt.

Ist ISO 27001 beim Dienstleister Pflicht?

Nein, aber ein starkes Indiz für geordnete Prozesse. Wenn der Anbieter Zugriff auf Ihre Systeme hat, ist ein Nachweis sinnvoll.

Reicht ein Zertifikat der einzelnen Tester?

Es ist ein Baustein. Prüfen Sie zusätzlich Erfahrung, Referenzen und Berichtsmuster.

Quellen und weiterführende Stellen

Bundesamt für Sicherheit in der Informationstechnik (BSI) — IT-Grundschutz, Zertifizierung, Listen anerkannter Dienstleister
Deutsche Akkreditierungsstelle (DAkkS) — Akkreditierte Zertifizierungsstellen
ENX Association — Informationen zu TISAX