← Zurück zu News 28.09.2026

Die Praxis sieht man von außen

NIS2 verlangt, bei der Lieferkette die Cybersicherheitspraxis der Anbieter zu berücksichtigen. Ein Fragebogen liefert dafür eine Selbstauskunft. Ob ein Lieferant seine Mail-Domain absichert, Zertifikate erneuert oder Fernwartung offen ins Internet stellt, sieht man dagegen von außen, ohne zu fragen. Was eine Außennote belegt, was sie nicht belegt, und warum „nicht gemessen“ nie „sauber“ heißen darf.

Artikel 21 der NIS2-Richtlinie nennt die Sicherheit der Lieferkette als eigene Maßnahme, in Deutschland umgesetzt in § 30 Absatz 2 Nummer 4 BSIG. Absatz 3 der Richtlinie sagt, woran sich diese Maßnahme orientieren soll: Die Einrichtungen berücksichtigen „die spezifischen Schwachstellen der einzelnen unmittelbaren Anbieter und Diensteanbieter sowie die Gesamtqualität der Produkte und der Cybersicherheitspraxis ihrer Anbieter und Diensteanbieter“.

Cybersicherheitspraxis. Nicht Cybersicherheitskonzept, nicht Zertifikat, nicht Zusage.

Der Fragebogen misst etwas anderes

In den meisten Häusern ist das Werkzeug dafür der Lieferanten-Fragebogen. Er ist sinnvoll und bleibt nötig, denn nur er erfasst, was man von außen nicht sieht: Rollen, Prozesse, Notfallpläne, Unterauftragnehmer. Aber er ist eine Selbstauskunft. Er sagt, was ein Lieferant über sich weiß oder zu wissen glaubt, zum Zeitpunkt des Ausfüllens, und oft beantwortet ihn der Vertrieb.

Ein Teil der Praxis ist dagegen öffentlich sichtbar. Ob die Mail-Domain des Lieferanten eine durchgesetzte DMARC-Richtlinie hat. Ob ein Zertifikat seit drei Wochen abgelaufen ist. Ob ein Fernwartungsdienst direkt aus dem Internet erreichbar ist. Ob Zugangsdaten mit seiner Domain in bekannten Datenlecks auftauchen. Das muss niemand ankreuzen, und jeder kann es nachsehen, auch jemand, der den Lieferanten angreifen will.

Was eine Außennote belegt und was nicht

Eine Außensicht misst nur die Oberfläche. Eine gute Note beweist nicht, dass innen alles stimmt. Eine schlechte zeigt aber verlässlich, dass an etwas Grundlegendem gespart wird, und zwar an Dingen, die ein Fragebogen meist mit Ja beantwortet. Genau dieser Abgleich ist der Wert: Die Außensicht ersetzt den Fragebogen nicht, sie prüft ihn.

Dazu kommt ein zweiter Blick, den kein Fragebogen hergibt: die gemeinsamen Abhängigkeiten. Wenn fünf kritische Lieferanten beim selben Mail- oder Hosting-Anbieter liegen, ist das ein Risiko, das in keiner einzelnen Bewertung auftaucht, sondern erst in der Summe.

Wie isidaten das abbildet

Die Lieferanten-Außensicht bewertet die Domains eines Lieferanten mit den Bausteinen der Angriffsflächenanalyse und fasst sie zu einer Außennote von A bis F zusammen. Sie entsteht aus sechs gewichteten Teilnoten: Angriffsfläche, E-Mail, DNS, Darknet und Datenlecks, DDoS-Resilienz sowie Web und Datenschutz. Ein offener kritischer Befund oder eine übernehmbare Subdomain begrenzt die Note auf höchstens D, damit er nicht im Mittel verschwindet. Hat ein Lieferant mehrere Domains, zählt je Einzelwert der schlechteste.

Ohne Einwilligung laufen nur Abfragen, die jeder Dritte auch stellen könnte: DNS, Zertifikatstransparenz-Logs, öffentliche Leak-Quellen, ein Seitenaufruf je Host. Port-Scans und andere aktive Prüfungen setzen eine dokumentierte Einwilligung des Lieferanten voraus. Namensraten und Schwachstellen-Scans laufen gegen einen Lieferanten nie, auch nicht mit Einwilligung.

Freigaberegeln prüfen jede Bewertung gegen die Vorgaben des eigenen Hauses und liefern Grün, Gelb, Rot oder Unbekannt. Unbekannt heißt: Einer Regel fehlen die Daten, die sie braucht. Nicht gemessen ist nie sauber, eine Regel ohne Daten macht das Ergebnis nie grün. Die Kumul-Sicht zeigt gemeinsame Abhängigkeiten über alle Lieferanten, und eine Schnellbewertung prüft eine Domain, bevor der Lieferant überhaupt angelegt ist.

Und der Lieferant kann davon erfahren. Ist die Benachrichtigung für ihn eingeschaltet und hat sich seine Note verschlechtert, bekommt er die drei größten Abzüge mit einem Hinweis, was zu tun ist, höchstens einmal pro Woche. Details zu Datenlecks, Adressen oder Hostnamen gehen dabei nicht hinaus. Aus einer Prüfung über den Kopf des Lieferanten hinweg wird so ein Anlass, gemeinsam etwas zu ändern.