Die Antwort vom letzten Jahr

Der Sicherheitsfragebogen liegt auf dem Tisch, die Frist läuft am Freitag ab. Eine Kollegin hat die Antworten aus dem Vorjahr geöffnet und will sie übernehmen. Bei der Frage nach Datensicherung steht ein klares Ja. Die Antwort wirkt beruhigend, bis jemand fragt: Wer hat das damals geprüft?

Diese Frage ist keine Schikane. Sie trennt eine Aussage von einem Nachweis. Eine richtige Antwort ist notwendig, aber sie ersetzt keinen Nachweis.

Vier Angaben machen eine Antwort belastbar

Für jede Aussage im Fragebogen braucht es vier Dinge: den Wortlaut der Aussage, den Beleg, einen Eigentümer und ein Gültigkeitsdatum. Der Beleg kann eine dokumentierte Prüfung, ein Protokoll oder eine Freigabe sein. Der Eigentümer ist die Person, die weiß, ob die Aussage noch stimmt. Das Gültigkeitsdatum markiert, wann sie erneut angesehen werden muss.

Ohne diese Kette bleibt auch ein korrektes Ja nur eine Momentaufnahme. Es kann heute noch stimmen und morgen schon überholt sein.

Der Wechsel eines Dienstleisters verändert die Antwort

Nehmen wir die Frage, ob Sicherungen regelmäßig geprüft werden. Im vergangenen Jahr hat der externe Dienstleister die Wiederherstellung getestet und das Ergebnis dokumentiert. Inzwischen ist der Vertrag gewechselt. Die Sicherungen laufen weiter, aber niemand hat festgehalten, wer den nächsten Test veranlasst und wo dessen Ergebnis liegt.

Die alte Antwort war nicht falsch. Sie hat nur ihr Gültigkeitsdatum verloren. Genau dort beginnt ein Risiko, das man im ausgefüllten Fragebogen nicht sieht.

Sicherheit braucht einen wiederkehrenden Blick

Das BSI beschreibt IT-Grundschutz als systematisches Vorgehen über technische, organisatorische, infrastrukturelle und personelle Aspekte. Ein Fragebogen kann davon einen Ausschnitt abfragen. Er ersetzt nicht die Routine, mit der Verantwortliche prüfen, ob ihre Aussagen noch tragen. Auch ein CyberRisikoCheck nach DIN SPEC 27076 beginnt mit einem nachvollziehbaren Blick auf den tatsächlichen Stand.

Erst Aussage und Beleg zusammenführen, dann Eigentümer und Termin festlegen. Nicht umgekehrt. So wird aus der jährlichen Hektik vor einer Kundenanfrage eine Pflegeaufgabe im Alltag.

Verantwortung lässt sich nicht weiterreichen

Ein Dienstleister kann Tests durchführen und Unterlagen liefern. Die Verantwortung für die Antwort im Namen des Unternehmens bleibt bei demjenigen, der sie abgibt. Das ist kein Misstrauen gegenüber dem Dienstleister. Es ist eine saubere Rollenverteilung.

Ich sehe regelmäßig, wie viel Druck ein Fragebogen auslösen kann, wenn diese Rollen erst kurz vor Ablauf einer Frist geklärt werden. Das betrifft selten nur eine einzelne Antwort. Häufig fehlt die Verbindung zwischen Nachweis, Zuständigkeit und nächster Prüfung an mehreren Stellen.

Eine gepflegte Nachweiskette schafft Ruhe

Wer einen Fragebogen nur einmal ausfüllt und ablegt, sucht beim nächsten Mal wieder von vorn. Wer die vier Angaben mitführt, erkennt dagegen, welche Aussagen geprüft werden müssen und wer sie beantworten kann. Dafür braucht es kein neues Tool. Es braucht eine überschaubare Struktur und die Bereitschaft, sie zu pflegen. IT-Security wird so zur Aufgabe, die im Alltag nachvollziehbar bleibt.

Das passt nicht zu der Erwartung, mit einem einmaligen Häkchen dauerhaft fertig zu sein. Es passt zu Unternehmen, die Zusagen gegenüber Kunden nachvollziehbar vertreten wollen.

Eine Antwort gewinnt nicht durch ihre Formulierung an Gewicht. Sie gewinnt durch den Nachweis, der hinter ihr steht.

---

Michael Höner ist IT-Architekt und strategischer Sparringspartner für den Mittelstand. Er berät Unternehmen in NRW und bundesweit zu IT-Sicherheit, KI-Verantwortung und digitaler Architektur — ohne Produktprovisionen, ohne Implementierungsmandat.