Cybersecurity Dienstleister auswählen: Kriterien, Fragen und Ausschreibung Schritt für Schritt

Einen Cybersecurity Dienstleister wählen Sie am besten in fünf Schritten: Bedarf und Ziel festlegen, ein Leistungsverzeichnis schreiben, drei bis fünf passende Anbieter ansprechen, die Angebote nach festen Kriterien bewerten und die Entscheidung dokumentieren. Wer ohne Leistungsverzeichnis anfragt, bekommt Angebote, die sich nicht vergleichen lassen, und entscheidet am Ende nach Bauchgefühl oder Preis. Dieser Leitfaden zeigt das Vorgehen mit Fragen, Bewertungsmatrix und Warnsignalen.

Schritt 1: Bedarf und Ziel festlegen

Schreiben Sie in zwei bis drei Sätzen auf, was erreicht werden soll und warum. Beispiele:

• „Wir wollen vor dem Livegang unserer Kundenplattform Schwachstellen finden und einen Nachweis für zwei Großkunden erhalten.“
• „Wir brauchen eine Überwachung unserer Arbeitsplätze und Server rund um die Uhr, weil wir kein eigenes Sicherheitsteam haben.“
• „Wir müssen die Pflichten aus dem NIS-2-Umsetzungsgesetz prüfen und umsetzen.“

Ohne klares Ziel kann kein Anbieter ein passendes Angebot machen. Stimmen Sie das Ziel mit Geschäftsleitung, IT, Datenschutz und gegebenenfalls Betriebsrat ab. Welche Anbietertypen infrage kommen, zeigt der Vergleich der Anbietertypen.

Schritt 2: Leistungsverzeichnis schreiben

Ein Leistungsverzeichnis muss nicht lang sein, aber präzise. Es enthält:

1. Ziel und Hintergrund der Beauftragung
2. Umfang: Systeme, Anwendungen, Standorte, Benutzerrollen, Zahl der Endgeräte
3. Ausschlüsse: Was darf nicht getestet oder verändert werden?
4. Zeitrahmen: Wunschtermin, Fristen, Zeitfenster für Tests
5. Ergebnisse: Berichtsform, Präsentation, Nachtest
6. Anforderungen an den Anbieter: Qualifikationen, Referenzen, Sicherheitsnachweise, Einsatzort der Mitarbeitenden
7. Rahmenbedingungen: Datenschutz, Geheimhaltung, Haftung, Versicherung

Schritt 3: Anbieter ansprechen

Fragen Sie bei Kollegen und Branchenverbänden nach Empfehlungen, nutzen Sie die Informationsangebote des BSI und der Allianz für Cyber-Sicherheit und prüfen Sie, ob Anbieter in öffentlichen Verzeichnissen auftauchen. Drei bis fünf Anfragen sind meist ausreichend. Geben Sie allen dieselben Informationen und dieselbe Frist.

Schritt 4: Angebote bewerten

Eine einfache Bewertungsmatrix macht die Entscheidung nachvollziehbar. Gewichten Sie die Kriterien vorab, nicht erst nach Eingang der Angebote.

Die Gewichte sind ein Beispiel. Bei einem Managed-Service-Vertrag sollten Reaktionszeiten und Laufzeit stärker zählen, bei einem Einmaltest die Qualifikation der Tester.

Schritt 5: Gespräch und Entscheidung

Führen Sie mit den zwei bestplatzierten Anbietern ein Gespräch. Achten Sie darauf, ob Rückfragen verständlich beantwortet werden und ob die Fachleute, die später arbeiten, anwesend sind. Dokumentieren Sie die Entscheidung mit Begründung. Das hilft bei Audits und bei späteren Fragen der Geschäftsleitung.

Fragen, die Sie jedem Anbieter stellen sollten

• Wer genau arbeitet an unserem Auftrag, und welche Qualifikationen haben diese Personen?
• Wie sieht ein anonymisierter Beispielbericht aus?
• Werden Unterauftragnehmer eingesetzt? Wenn ja, wo und mit welchen Pflichten?
• Wo werden unsere Daten verarbeitet und gespeichert, und wann werden sie gelöscht?
• Wie schützt der Anbieter seine eigenen Systeme? Welche Nachweise gibt es?
• Welche Berufshaftpflichtversicherung besteht, und in welcher Höhe?
• Wie läuft der Ablauf im Störungsfall während eines Tests?
• Was passiert, wenn wir mit dem Ergebnis unzufrieden sind?

Rechenbeispiel zur Bewertung (illustrativ)

Drei Angebote werden mit Punkten von 1 bis 5 bewertet und mit den Gewichten oben multipliziert. Anbieter A erhält bei Qualifikation 5, Methodik 4, Referenzen 4, Sicherheit 3, Preis 3, Vertrag 4. Der gewichtete Wert: 5×0,25 + 4×0,20 + 4×0,15 + 3×0,15 + 3×0,15 + 4×0,10 = 1,25 + 0,80 + 0,60 + 0,45 + 0,45 + 0,40 = 3,95. Anbieter B mit niedrigerem Preis, aber schwächerer Qualifikation kann trotz 5 Punkten beim Preis auf einen geringeren Gesamtwert kommen. Das Beispiel zeigt nur das Rechenprinzip.

Warnsignale

• Unaufgeforderte Kontaktaufnahme mit Verweis auf angebliche Lücken in Ihren Systemen.
• Absolute Versprechen wie „garantiert sicher“.
• Fehlende Bereitschaft, den Auftrag schriftlich und mit klar definiertem Umfang zu bestätigen.
• Keine Auskunft über die eingesetzten Personen.
• Zeitdruck oder Rabatte nur bei sofortiger Unterschrift.

Wann Sie sich beraten lassen sollten

Bei größeren Verträgen, regulierten Anforderungen oder sensiblen Daten sollten Rechtsberatung, Datenschutzbeauftragte und Informationssicherheitsbeauftragte eingebunden werden. Verträge klären Sie am besten vor Projektbeginn, wie im Beitrag Verträge mit Dienstleistern: AVV, Geheimhaltung, Haftung beschrieben. Die Checkliste vor der Beauftragung hilft beim Abhaken der wichtigsten Punkte.

Häufige Fragen

Muss ich ausschreiben?

Für private Unternehmen besteht keine gesetzliche Pflicht, öffentliche Auftraggeber unterliegen dem Vergaberecht. Auch ohne Pflicht sind mehrere vergleichbare Angebote empfehlenswert.

Wie viel Zeit sollte ich für die Auswahl einplanen?

Rechnen Sie bei Einmalprojekten mit zwei bis vier Wochen, bei Managed-Service-Verträgen mit mehr. Hinzu kommen Vorlaufzeiten, bis der Anbieter beginnen kann.

Kann ich Anbieter vorab testen?

Bei Managed Services ist ein Pilot mit wenigen Geräten möglich und sinnvoll. Bei Tests lässt sich die Qualität über Berichtsmuster und Referenzgespräche einschätzen.

Quellen und weiterführende Stellen

• Bundesamt für Sicherheit in der Informationstechnik (BSI) — Orientierung zu Standards und Dienstleistern
• Allianz für Cyber-Sicherheit — Informationen und Praxisleitfäden für Unternehmen
• Bundesverband IT-Sicherheit e. V. (TeleTrusT) — Branchenverband mit Informationen zu Standards