Jeder Enterprise-Kunde prüft seine Software-Lieferanten, bevor er kauft. Diese Vendor Security Review, oft als Third-Party-Risk-Management (TPRM) organisiert, läuft parallel zum kommerziellen Sales-Prozess und entscheidet darüber, ob ein Vertrag unterschrieben wird. Für den B2B-SaaS-Anbieter bedeutet das einen Stapel an Anforderungen: ein ausgefüllter Security-Fragebogen, ein unterzeichneter Auftragsbearbeitungsvertrag (AVV/DPA), Nachweise zu ISO 27001 oder SOC 2, ein aktueller Penetrationstest-Bericht, eine Sub-Prozessoren-Liste und klare Antworten zu Datenresidenz und KI-Funktionen.

Wer diese Antworten parat hat, durchläuft die Prüfung in Tagen. Wer sie erst zusammensuchen muss, verliert Wochen, und manche Deals verliert er ganz. Security und Compliance sind hier kein Kostenfaktor, sondern ein Verkaufsbeschleuniger. Dieser Beitrag zeigt, wie ein SaaS-Anbieter die häufigsten Fragebögen schneller beantwortet, ein Trust Center aufbaut, das viele Fragen vorwegnimmt, und wie ein vCISO diesen Ablauf so steuert, dass Deals nicht im Einkauf hängen bleiben.

In der Praxis begegnen einem SaaS-Anbieter drei Arten von Security-Fragebögen. Erstens der CAIQ (Consensus Assessments Initiative Questionnaire) der Cloud Security Alliance: er bildet die Cloud Controls Matrix ab und ist auf Cloud-Dienste zugeschnitten. Zweitens der SIG (Standardized Information Gathering Questionnaire) von Shared Assessments: er kommt in einer Kurz- und einer ausführlichen Variante und deckt ein breites Spektrum an Domänen ab, von Zugriffssteuerung über Business Continuity bis Lieferkette. Drittens die individuellen Spreadsheets grosser Enterprise-Kunden, die ihre eigene Risikomethodik abbilden und in Umfang und Formulierung stark variieren.

Die gute Nachricht: Die meisten Fragen wiederholen sich. Zugriffsverwaltung, Verschlüsselung im Transit und at rest, Backup und Wiederherstellung, Logging und Monitoring, Incident-Prozess, Schwachstellenmanagement, Personalsicherheit, Sub-Prozessoren, Datenresidenz. Wer die Antworten einmal sauber erarbeitet, kann sie über alle Frameworks hinweg wiederverwenden. Genau hier setzt eine strukturierte Antwortbibliothek an.

Eine Antwortbibliothek ist eine gepflegte Sammlung freigegebener Antworten auf wiederkehrende Sicherheitsfragen, jeweils mit Verweis auf die zugrunde liegende Richtlinie und den Nachweis. Statt jeden Fragebogen von Grund auf zu beantworten, ordnet das Team eingehende Fragen den bestehenden Bibliothekseinträgen zu und passt nur die Formulierung an den jeweiligen Kontext an. Das senkt die Bearbeitungszeit pro Fragebogen erheblich und sorgt dafür, dass alle Antworten konsistent und korrekt sind.

Eine belastbare Bibliothek ist nach Control-Domänen gegliedert und enthält pro Eintrag eine Standardantwort, eine Kurzfassung für knappe Spreadsheets, den Verweis auf die interne Richtlinie und den passenden Nachweis (Zertifikat, Bericht, Diagramm). Wichtig ist die Pflege: Jede Antwort braucht einen Eigentümer und ein Überprüfungsdatum. Veraltete Aussagen zu Verschlüsselung, Aufbewahrungsfristen oder Sub-Prozessoren fallen im Audit auf und untergraben das Vertrauen. Eine Bibliothek ist deshalb kein einmaliges Projekt, sondern ein lebendes Asset, das mit jedem neuen Fragebogen wächst und vor jeder Antwort kurz auf Aktualität geprüft wird.

Ein Trust Center ist eine öffentliche oder zugangsgeschützte Seite, auf der ein SaaS-Anbieter seinen Sicherheits- und Compliance-Status transparent darstellt. Es nimmt einen grossen Teil der Fragebogen-Fragen vorweg und verschiebt das Gespräch von «Beweisen Sie mir, dass Sie sicher sind» zu «Wir haben Ihre Unterlagen gesichtet, hier noch drei Rückfragen». Damit verkürzt sich der Prüfzyklus, und der Einkauf hat von Anfang an einen positiven ersten Eindruck.

Ein gut gebautes Trust Center enthält: den Zertifizierungs- und Attestierungsstatus (ISO 27001, SOC 2), eine Zusammenfassung der wichtigsten Sicherheitsmassnahmen, die Sub-Prozessoren-Liste mit Standorten, Angaben zur Datenresidenz, das DPA-Template zum Download, die Datenschutzhinweise, einen Überblick zur KI-Nutzung sowie einen geregelten Zugang zu sensiblen Dokumenten wie Penetrationstest-Berichten und SOC-2-Reports unter NDA. Entscheidend ist, dass die Inhalte aktuell sind und mit den Antworten aus der Bibliothek übereinstimmen. Ein Trust Center, das veraltete Angaben zeigt, schafft mehr Misstrauen als gar keines.

Zwei Nachweise tauchen in fast jeder Vendor Review auf. ISO 27001 belegt ein zertifiziertes Informationssicherheits-Managementsystem (ISMS) nach internationalem Standard. Das Zertifikat selbst wird von einer akkreditierten Zertifizierungsstelle ausgestellt; SIDD begleitet den Aufbau des ISMS, die Risikobewertung, die Erklärung zur Anwendbarkeit (SoA) und die Auditvorbereitung, sodass die Zertifizierung beim ersten Anlauf gelingt. Ein gültiges ISO-27001-Zertifikat beantwortet einen ganzen Block des CAIQ und SIG in einem Schritt.

SOC 2 ist im US-Enterprise-Geschäft Standard und prüft Kontrollen entlang der Trust Services Criteria. Hier liefert SIDD die SOC-2-Readiness: Gap-Analyse, Zuordnung der Kontrollen zu den Trust Services Criteria sowie Vorbereitung von Kontrollen und Nachweisen. Die eigentliche Attestierung wird von einer lizenzierten Wirtschaftsprüfungsgesellschaft (CPA) ausgestellt, SIDD koordiniert diesen Prozess, stellt den SOC-2-Bericht aber nicht selbst aus. Diese Unterscheidung ist wichtig, weil Enterprise-Einkäufer genau wissen, was ein Type-I- von einem Type-II-Bericht trennt und wer den Bericht ausstellen darf.

Neben den Zertifikaten verlangt jede ernsthafte Prüfung den vertraglichen und datenschutzrechtlichen Unterbau. Der Auftragsbearbeitungsvertrag (AVV nach nDSG / DPA nach Art. 28 DSGVO) regelt die Verarbeitung im Auftrag des Kunden und braucht aktuelle Standardvertragsklauseln für Übermittlungen in Drittländer. Eine gepflegte Sub-Prozessoren-Liste mit Name, Zweck und Standort jedes eingesetzten Dienstes gehört dazu, ebenso ein Verfahren, das Kunden über Änderungen informiert. Fragen zur Datenresidenz («Wo liegen unsere Daten?») beantwortet man am besten mit einer klaren Aussage zu Rechenzentrumsregionen und einer optionalen EU- oder Schweiz-Region für Kunden mit entsprechenden Anforderungen.

KI-Funktionen sind der neueste fixe Bestandteil der Fragebögen. Enterprise-Kunden wollen wissen, ob ihre Daten zum Training von Modellen verwendet werden, welche Subdienstleister die KI bereitstellen und wie Halluzinationen und Datenabfluss kontrolliert werden. Eine klare KI-Position, gestützt auf einen AI Officer und eine dokumentierte Governance, beantwortet diese Fragen souverän. Wo KI-Funktionen sicherheitskritisch sind, schafft ein gezielter Test der KI-Komponente (LLM, RAG, Agenten) belastbare Nachweise. Die regulatorische Lage zum EU AI Act für Hochrisiko-Funktionen greift gestaffelt ab 2026/2027, die Fristen stehen in Revision (Digital Omnibus) und sind im Einzelfall zu prüfen.

Den grössten Hebel bringt nicht ein einzelnes Dokument, sondern jemand, der den gesamten Ablauf verantwortet. Ein fraktionaler oder virtueller CISO (vCISO) übernimmt genau diese Rolle: Er baut das ISMS und die Trust-Services-Kontrollen auf, richtet das Trust Center ein, pflegt die Antwortbibliothek und beantwortet eingehende Fragebögen oder bereitet sie so vor, dass das Team sie in Stunden statt Tagen abschliesst. Er nimmt an den Security-Calls mit dem Einkauf des Kunden teil und übersetzt zwischen der technischen und der vertraglichen Seite.

Für die meisten SaaS-Anbieter ist eine Vollzeit-CISO-Stelle in der frühen Phase weder finanzierbar noch ausgelastet. Ein vCISO liefert dieselbe Funktion fraktional: planbar im Budget, sofort verfügbar und mit der Erfahrung aus vielen Vendor Reviews. Wichtig ist die klare Erwartung an den Leistungsumfang. SIDD liefert Governance, Beratung und Tests, betreibt aber kein eigenes rund um die Uhr besetztes Security Operations Center und keine laufende Incident Response. Der vCISO baut die Prozesse und Nachweise, die der Vendor Review standhalten, und steuert die externen Stellen für Zertifizierung und Attestierung.

SIDD macht einen B2B-SaaS-Anbieter antwortfähig: Wir bauen mit Ihnen das ISMS für die ISO-27001-Zertifizierung auf und bereiten die SOC-2-Readiness vor. Unser vCISO richtet das Trust Center ein, pflegt die Antwortbibliothek und beantwortet die Fragebögen, damit Ihre Deals nicht im Einkauf stecken bleiben. Den Penetrationstest-Bericht, den jede Enterprise-Prüfung verlangt, liefern wir über unseren Penetrationstest, ergänzt um regelmässige Schwachstellenscans.

Den vertraglichen und datenschutzrechtlichen Unterbau decken wir über die Datenschutzberatung (AVV, Sub-Prozessoren, Datenresidenz) und, für EU-Kunden, über den EU-Vertreter ab. KI-Funktionen begleiten wir mit unserem AI Officer und, wo nötig, einem Test der KI-Komponente. Eine erste Standortbestimmung Ihrer Antwortfähigkeit besprechen wir über unser Kontaktformular; ein vollständiges Angebot fordern Sie über unser Offerte-Formular an.