Auf dieser Seite
Wie beantwortest du den Sicherheitsfragebogen eines Kunden?
Ordne jeder Frage die Geräte, Systeme und den Zeitraum zu, um die es geht. Beantworte die technischen Fragen mit datierten Befunden. Sag, welche Nachweise fehlen, und gib Fragen zu Firmenrichtlinien an die Zuständigen weiter. Lies den endgültigen Wortlaut, bevor du ihn teilst.
Ein Bericht über deine Geräte stützt deine Antworten zu den Geräten. Er zertifiziert nicht die ganze Firma.
Was ist ein Sicherheitsfragebogen?
Was ein Sicherheitsfragebogen ist.
Eine Liste von Fragen, die dir ein Kunde, Partner oder Versicherer schickt, bevor er mit dir zusammenarbeitet. Gefragt wird, wie du seine Daten schützt: auf den Computern, die dein Team nutzt, in deinen Konten und in der Art, wie deine Firma arbeitet.
Der Fragebogen kommt meist spät, wenn der Vertrag fast fertig ist. Manche kommen als Tabelle, manche als Online-Formular. So oder so wartet der Abschluss in der Regel, bis deine Antworten da sind.
Warum Kunden ihre Lieferanten fragen
30%
der Fälle, die Verizon untersucht hat, hatten mit einem Dritten zu tun, etwa mit einem Lieferanten. Deshalb fragen deine Kunden jetzt ihre Lieferanten, und damit auch dich.
Quelle: Verizon DBIR 2025
4%
der Unternehmen erreichen eine ausgereifte Cyber-Bereitschaft. Die meisten bereiten sich noch vor. Eine ehrliche Antwort mit Datum ist ein guter Anfang.
Quelle: Cisco Cybersecurity Readiness Index 2025
Kreuze nicht einfach «ja» an.
Die Frage lautet: «Sind alle Laptops verschlüsselt?» Eine kurze Antwort kann richtig klingen und trotzdem mehr behaupten, als deine Nachweise zeigen. Finde deshalb zuerst heraus, welche Laptops der Kunde meint und für welchen Zeitraum.
aus einem Kundenfragebogen
Sind alle acht Projekt-Laptops verschlüsselt?
Zu pauschal
«Ja, unsere Laptops sind verschlüsselt.»
- Sie sagt nicht, welche Laptops geprüft wurden.
- Sie hat kein Datum.
- Der Kunde muss dir einfach glauben.
Sie klingt richtig. Sie behauptet mehr, als jemand geprüft hat.
Vom Nachweis gedeckt
«Auf sieben geprüften Macs wurde Verschlüsselung festgestellt. Der achte Mac wurde nicht geprüft. Der beigefügte Nachweis nennt für jedes Gerät das Datum.»
- Sie nennt, was geprüft wurde.
- Jeder Mac hat ein Datum.
- Der Mac, den niemand geprüft hat, steht trotzdem in der Antwort.
Der Kunde kann jedes Wort prüfen.
Der fehlende Mac bleibt Teil der Antwort.
Was heisst hier verschlüsselt?
Was Festplattenverschlüsselung bedeutet.
Die Festplattenverschlüsselung macht alles, was auf einem Mac gespeichert ist, unkenntlich. So lässt sich ein verlorener oder gestohlener Laptop ohne das Passwort nicht lesen. Auf dem Mac heisst sie FileVault.
Kunden fragen danach, weil Laptops verloren gehen. Die ehrliche Antwort nennt jeden Mac, ob die Verschlüsselung eingeschaltet war und wann das festgestellt wurde.
Ordne jeder Frage ihren Nachweis zu.
Ein Sicherheitsfragebogen vermischt verschiedene Themen. Sortiere die Fragen, bevor du etwas ausfüllst. Eine Person kann alle Antworten sammeln, ohne jede davon selbst zu liefern.
-
Geräte
Deine Macs.
«Sind alle Laptops verschlüsselt?»
Verschlüsselung, Schutz, Updates und Einstellungen. Prüfe die Fakten zu den Geräten, jeweils mit Datum.
beantwortet durch den Nachweis zu jedem Mac
-
das Unternehmen
Deine Firma.
«Wie werden Kundendaten gesichert?»
Zugänge, Backups, Richtlinien und Lieferanten. Die zuständige Person liefert den Ablauf und die Nachweise dazu.
beantwortet von der zuständigen Person
-
unabhängige Prüfung
Ein externer Bericht.
«Bitte den Auditbericht beifügen.»
Eine Zertifizierung oder ein Audit, das der Kunde verlangt. Prüfe das Dokument selbst und was es abdeckt.
beantwortet nur durch dieses Dokument
Was zählt als Nachweis?
Was als Nachweis zählt.
Ein datierter Fakt zu einer Einstellung auf einem Gerät, maschinell erfasst. Zum Beispiel: Festplattenverschlüsselung an, Anas MacBook Pro, 26.09.2026.
Eine schriftliche Richtlinie sagt, was passieren soll. Ein Nachweis zeigt, was tatsächlich der Fall war, und wann.
Was ist eine unabhängige Prüfung?
Was eine unabhängige Prüfung ist.
Ein externes Unternehmen prüft deine Firma anhand eines Standards und unterschreibt einen Bericht. SOC 2 und ISO 27001 sind die Namen, die Kunden am häufigsten nennen.
Verlangt ein Kunde eine solche Prüfung, beantwortet nur dieser Bericht die Frage. Ein Nachweis zu deinen Macs kann deine Antworten stützen. Er ersetzt den Bericht nicht.
Kläre für jede offene Frage, wer zuständig ist.
Ein fehlender Mac kann offline, nicht verbunden oder nicht unterstützt sein. Nichts davon sagt dir, dass er sicher ist. Schreib auf, wer sich darum kümmert und was du bis dahin sagen kannst.
Wird eine Einstellung heute korrigiert, prüfe sie noch einmal. Die neue Prüfung zeigt nicht, dass die Einstellung letzten Monat richtig war. Halte den früheren und den späteren Nachweis getrennt.
Miras MacBook Air26.09.2026
datierter Nachweisr-0926-0941
09:41
117 von 118 Prüfungen erfüllt.
- FestplattenverschlüsselungAn seit 12.03.2026
- BildschirmsperreAus seit Do. 14:02
Offener Punkt. Zuständig: Mira.
Mira sagt Ja
datierter Nachweisr-0926-0942
09:42
118 von 118 Prüfungen erfüllt.
- FestplattenverschlüsselungAn seit 12.03.2026
- BildschirmsperreAn seit 09:42
Keine offenen Punkte.
Prüfe vor dem Absenden vier Dinge.
vor dem Versandvier Prüfpunkte
- Deckt die Antwort die Macs und den Zeitraum ab, nach denen der Kunde gefragt hat?
- Sind fehlende Macs und offene Befunde genannt?
- Passt der Wortlaut zu den beigefügten Nachweisen?
- Hast du die Antwort, ihre Nachweise und das Versanddatum abgelegt?
Hat ein KI-Assistent Antworten entworfen, prüfe auch diese. Ein Fragebogen gibt niemandem die Erlaubnis, an einem Gerät etwas zu ändern oder Daten zu teilen, die nichts damit zu tun haben. Und ob deine Antwort die Anforderung erfüllt, entscheidet der Kunde, nicht du.
Was cybee beiträgt.
cybee läuft auf den Macs, an denen dein Team arbeitet, und führt einen datierten Nachweis darüber, was es beobachtet. Stell deinem KI-Assistenten eine Frage zu den Geräten, etwa welche Macs die Festplattenverschlüsselung eingeschaltet haben, und cybee antwortet anhand dieses Nachweises.
Will ein Kunde etwas, das er prüfen kann, schickst du ihm den Trust Passport. Er hält technische Beobachtungen zu den aufgeführten Macs mit Datum fest. Sein Siegel lässt sich mit der Kopie bei cybee vergleichen, um zu prüfen, ob der versiegelte Inhalt unverändert ist. Das ist kein unabhängiges Audit und keine Zertifizierung.
Nutze ihn, um deine Antworten zu den Geräten vorzubereiten, wenn ein Kunde, Partner oder Versicherer fragt. Umfassendere Anfragen, etwa eine öffentliche Ausschreibung, können weitere Unterlagen erfordern.
26.09.2026 09:45 · prepared for a client questionnaire
Four Macs. Every check holds. One day not observed.
- Macs protected
- 4 of 4
- Checks holding
- 118 of 118
- Days observed
- 89 of 90
| Control | Since |
|---|---|
| Disk encryption | since 12.03.2026 |
| Behavioural protection | since 12.03.2026 |
| Screen lock | since 26.09.2026 09:42 |
- Not observed: one Mac on 21.09.2026, offline.
- Not covered: your policies, your people, your cloud. Not a certification.
Was genau ist ein Trust Passport?
Der Trust Passport.
Der Trust Passport ist ein datierter Nachweis der technischen Kontrollen auf deinen Macs. Er zeigt, seit wann jede Kontrolle gilt und was cybee nicht sehen konnte. Wer ihn bekommt, kann ihn prüfen, ohne dir einfach glauben zu müssen. Er ist keine Zertifizierung und sagt nichts über deine Richtlinien, deine Leute oder deine Cloud. Genau das steht auch drauf.
Versiegelt heisst: mit einem kryptografischen Fingerabdruck gesichert, damit sich danach nichts mehr ändern lässt. Wer den Nachweis liest, kann das prüfen.
Erstelle dein Arbeitsblatt für Mac-Nachweise.
Nutze diese acht Leitfragen, um deine Antwort an einen Kunden vorzubereiten. Kopiere die genaue Frage des Kunden in die Spalte «Umfang» und ergänze dann datierte Nachweise, was fehlt und wer zuständig ist. Anzahlen gibst du nur an, wo sie passen. Die Datei ist anfangs leer: keine Befunde zu Geräten, keine fertigen Antworten.
Leere CSV-Dateiohne Anmeldungmit deinen eigenen Unterlagen nutzen
Trag deine Befunde in die heruntergeladene Datei ein und lass Unbekanntes offen. Du füllst diese Vorlage von Hand aus. Sie ist kein Export aus cybee, keine automatische Bewertung und keine Zertifizierung.
Der Download braucht JavaScript. Die acht Leitfragen unten sind das ganze Arbeitsblatt. Du kannst sie also in deine eigene Tabelle kopieren.
Hake eine Leitfrage ab, sobald du weisst, welche Nachweise sie braucht. Die Häkchen bleiben in diesem Tab und verschwinden, wenn du die Seite neu lädst.
-
Welche Macs betrifft die Frage des Kunden?
- Sammeln
- Liste das Projekt, den Prüfzeitraum und die Macs auf, die dazugehören sollten, auch die Geräte von Externen. Vergleiche diese Liste mit den Macs, die tatsächlich geprüft wurden.
- Grenze sichtbar halten
- Registrierte Geräte sind nicht automatisch alle Geräte, die für die Arbeit genutzt werden. Halte fehlende Geräte sichtbar.
-
Welche Nachweise stützen die Antwort zur Festplattenverschlüsselung?
- Sammeln
- Halte für jeden Mac, um den es geht, den festgestellten FileVault-Status, das Datum und eine Gerätekennung fest. Verlinke auf einen freigegebenen Nachweis, statt Wiederherstellungsschlüssel zu kopieren.
- Grenze sichtbar halten
- Die Einstellung eines einzelnen Macs verrät nichts über den Rest des Teams, deine Backups oder Daten, die woandershin unterwegs sind.
-
Erfüllen die festgestellten Einstellungen zur Bildschirmsperre die Anforderung des Kunden?
- Sammeln
- Notiere die Sperrzeit, die der Kunde verlangt, und die Einstellungen, die du festgestellt hast. Vermerke jedes Gerät, das noch eine Änderung oder eine neue Prüfung braucht.
- Grenze sichtbar halten
- Eine schriftliche Richtlinie zeigt nicht die aktuelle Einstellung. Erfinde keine Sperrzeit, die für alle passt.
-
Um welche macOS- oder App-Updates muss sich noch jemand kümmern?
- Sammeln
- Halte die Versionen oder Update-Befunde der geprüften Macs fest, dazu das Prüfdatum und wer für jeden noch offenen Punkt zuständig ist.
- Grenze sichtbar halten
- Eine Versionsliste ist eine datierte Beobachtung. Sie belegt nicht, dass jede Schwachstelle behoben ist.
-
Welcher Schutzstatus wurde tatsächlich geprüft?
- Sammeln
- Nenne den Schutz, die Macs, die er abdeckt, den Status, den du festgestellt hast, und wann das war. Eine installierte App ist nicht dasselbe wie ein geprüfter Status.
- Grenze sichtbar halten
- Etwas zu installieren belegt nicht, dass es funktioniert oder dass jeder Angriff gestoppt wird.
-
Betrifft die Frage auch Konten und Zugänge?
- Sammeln
- Schick Fragen zu Konten, verbundenen Apps und Leuten, die das Team verlassen, an die Person, die den jeweiligen Dienst betreut. Verweise separat auf die Überprüfung der Konten oder auf den Nachweis zum verbundenen Workspace.
- Grenze sichtbar halten
- Der Nachweis zu einem Mac beantwortet nicht jede Frage zu Konten. Nachweise zu Geräten und Nachweise zu Konten decken Verschiedenes ab.
-
Welche Antworten brauchen Firmenunterlagen, die über die Macs hinausgehen?
- Sammeln
- Gib Fragen zu Backups, Schulungen, dem Umgang mit Sicherheitsvorfällen, der Aufbewahrungsdauer von Daten oder externen Prüfungen an die zuständige Person weiter. Nenne den konkreten Nachweis, den jede Antwort braucht.
- Grenze sichtbar halten
- Befunde zu Geräten zeigen nicht, dass die ganze Firma die Vorgaben einhält. Sie sind kein unabhängiges Audit und keine Zertifizierung.
-
Kann eine verantwortliche Person hinter jeder Antwort stehen, die du schickst?
- Sammeln
- Gleiche den Wortlaut des Kunden mit dem Datum der Nachweise, dem Umfang, der Anzahl geprüfter und der Anzahl erwarteter Macs ab. Halte Unbekanntes, Ausnahmen und nächste Schritte in der Prüfung fest.
- Grenze sichtbar halten
- Das Ausfüllen dieses Arbeitsblatts bringt Ordnung in deine Prüfung. Es macht aus etwas Unbekanntem kein «ja» und schickt nichts an den Kunden.
Alle acht Leitfragen sind als durchgesehen markiert. Prüfe deine Unterlagen und offene Lücken, bevor du eine Antwort teilst.
Technischer Hintergrund: Apple: FileVault und Geräteverwaltung
Vorlage von cybee · überarbeitet am 24.09.2026. Der Artikel oben erklärt die Methode.
Quellen und Produktumfang.
Von cybee für kleine Teams geschrieben. Die Quellen der Anbieter erklären die zugrunde liegenden Kontrollen und was ein unabhängiger Bericht ist. Unsere Dokumentation beschreibt, was cybee heute abdeckt.
Nutze das beim nächsten Fragebogen.
Sieh dir eine Beispielantwort an, die Gerätefakten, auf denen sie beruht, und die Fragen, die noch bei deinem Team liegen.
