Vor Vertragsabschluss werden grundlegende Cybersicherheitskontrollen verlangt – was genau ist das und was müssen wir wirklich umsetzen?

hatten in riad bei nem ähnlichen logistikprojekt genau das gleiche formular. waren bestimmt 40 punkte die hälfte passte null zu nem 10-mann-team wie uns. haben screenshots von mfa und backups mitgeschickt für den rest verbindliche termine genannt und unterschrieben, wurde sofort akzeptiert. kein grund zur panik.

Auf technischer Seite stören die sich am meisten daran, wenn SSH- und RDP-Ports offen ins Internet zeigen. Schaltet den direkten Zugriff über öffentliche IPs auf eure Server ab und legt mindestens ein einfaches VPN oder IP-Whitelisting davor. Wenn ihr diesen Schritt zusammen mit den MFA-Logs im Bericht nachweist, habt ihr beim technischen Auditor schon so gut wie gewonnen.

Enterprise-Kunden wissen genau, dass ihr kein eigenes riesiges Security Operations Center betreibt. Denen geht es vor allem darum, ob man euch als Einfallstor in ihre eigenen Systeme missbrauchen kann. Wenn ihr belegen könnt, dass euer internes Netzwerk logisch strikt von der Schnittstelle zum Kunden getrennt ist, sinkt deren Risikoeinschätzung sofort.

Wir haben letztes Jahr rund 18.000 SAR ausgegeben, um eine ähnliche Lieferanten-Checkliste abzuarbeiten. Davon gingen 6.000 SAR in Lizenzen für zentrales Passwort- und Identity-Management, der Rest in eine automatisierte, isolierte Backup-Architektur in der Cloud. 19 der 28 Punkte auf dem Bogen konnten wir sofort abhaken, die restlichen 9 dann beim Audit 3 Monate später.

Die meisten dieser Lieferanten-Fragebögen sind leider reines Copy-Paste. Der Einkäufer auf der Gegenseite versteht die technische Tiefe der Punkte eh nicht, der will nur angekreuzte Kästchen und eine Unterschrift drunter sehen. Aber falls es doch mal zu einem Datenleck kommt, werden diese Zusagen rechtlich gegen einen verwendet – kreuzt also bloß nichts als „erledigt“ an, was ihr gar nicht umgesetzt habt.

Bevor ihr das Formular ausfüllt, fragt am besten nach einem kurzen 15-Minuten-Call mit dem CISO bzw. Sicherheitsverantwortlichen der Gegenseite. Sagt einfach: „Wir sind ein KMU unsere zentralen technischen Kontrollen stehen, aber die formalen Unternehmensrichtlinien würden wir gerne über den Projektzeitplan strecken.“ Zu 90 % zeigen die Verständnis und winken so eine Roadmap durch.

bruacht man für den Punkt „Cyber-Security-Awareness-Schulung für Mitarbeiter“ zwingend ein kostenpflichtiges Zertifikat von einem akkreditierten Anbieter, oder reicht als Nachweis auch eine intern erstellte Basis-Präsentation mit Unterschriftenliste?

450.000 SAR ist ein richtig schöner Auftrag lasst euch da bloß nicht entmutigen. Konzerne ziehen diesen Papierkram jedes Jahr rein aus Routine ab. Am Anfang wirkt das mega einschüchternd, aber sobald die Basics erst mal stehen ist der Rest nur noch reine Bürokratie.

Betrachtet man den Prozess, ändert sich das Bild. Wenn du zu einem Thema drei verschiedene Antworten bekommst, war die Frage falsch gestellt.

Wenn es jemand anders macht, würde mich das auch interessieren.

Ich hätte eine Frage, möchte aber nicht vom Thema abschweifen. Fehler auf der grundlegende Cybersicherheitskontrollen-Seite sind meist rückgängig zu machen, aber teuer.

Überstürzte Entscheidungen sind oft solche, die man sechs Monate später korrigieren muss. Wenn deine Situation anders ist, ändert sich das natürlich.

So klar geschriebene Texte sind selten.

vielen Dank, das hat mir sehr geholfen.

Das wusste ich nicht.

gut gemacht.

Man sollte der Reihe nach vorgehen. Beginnt mit einem kleinen Test, bindet nicht gleich alles fest.

Nur als Notiz, könnte nützlich sein.

Teilweise stimme ich zu, teilweise nicht. Menschen verteidigen nicht den Prozess, sondern die Gewohnheit. Der Widerstand kommt daher.

Die meisten Vorfälle beginnen nicht mit einer Schwachstelle, sondern mit einem geleakten Passwort. Das war's, entschuldige, wenn ich zu lang war.

Ich bin ein kleines Unternehmen, ich erzähle es aus meiner Sicht. Der meiste Zeitverlust entsteht durch Arbeiten, die auf Freigaben warten.

Nur weil alle es tun, heißt es nicht, dass es richtig ist. Wenn es jemand anders macht, würde mich das auch interessieren.

So klar geschriebene Texte sind selten. Die Zeit, die ihr braucht, um ein Problem zu erkennen, bestimmt direkt dessen Kosten.