Blog · B2B-Software
Sicherheitsfragebögen:
Antworten vorbereiten, die stimmen und belegt sind.
Sicherheitsfragebögen kosten im Vertrieb Zeit und bergen ein Risiko: Eine falsche Antwort kann später zum Problem werden. Dieser Beitrag zeigt, wie ein Agent Antworten aus geprüften Quellen vorbereitet und Lücken markiert, während Aussagen von Verantwortlichen freigegeben werden.
Kurz gesagtEin KI-Agent kann Sicherheitsfragebögen vorbereiten: Fragen Themen zuordnen, Antworten aus Ihren geprüften Sicherheitsdokumenten vorschlagen, Lücken und Widersprüche markieren. Welche Aussagen Ihr Unternehmen gegenüber Kunden macht, entscheiden und verantworten Sicherheits- und Rechtsverantwortliche.
Zahlreiche Fragen, wenig Zeit, hohe Verbindlichkeit
Größere Kunden verlangen vor dem Einkauf Auskunft zu Sicherheit und Datenschutz. Die Fragebögen sind lang, ähneln sich, weichen aber im Detail ab. Wer sie beantwortet, sucht in Richtlinien, Verträgen und Dokumentationen nach der passenden Angabe, formuliert sie und lässt sie prüfen. Das bindet Vertrieb, Sicherheit und Recht zugleich.
Die Aussagen im Fragebogen sind nicht unverbindlich. Sie werden Teil der Vertragsbeziehung oder können später herangezogen werden. Eine ungenaue Antwort ist deshalb ein Risiko. Das spricht für Sorgfalt, nicht gegen Unterstützung: Ein Agent kann suchen und vorschlagen, die Aussage macht ein Mensch.
Entscheidend ist die Quellenbindung. Antworten gibt es nur aus Dokumenten, die Ihr Haus als gültig freigegeben hat, und der Agent sagt, wo eine Antwort fehlt.
So wird ein Fragebogen vorbereitet, sechs Schritte
- Fragebogen einlesenDer Agent liest Datei oder Portal und gliedert die Fragen.
- Themen zuordnenEr ordnet jede Frage einem Thema zu: Zugriffskontrolle, Verschlüsselung, Betrieb, Datenschutz, Subunternehmer, Notfallplanung.
- Antwort vorschlagenEr sucht in den freigegebenen Dokumenten nach einer Antwort und schlägt sie mit Fundstelle vor.
- Lücken markierenWo keine Quelle vorliegt oder die Quellen sich widersprechen, markiert er die Frage und legt sie dem Verantwortlichen vor.
- Prüfen lassenSicherheit und Recht prüfen die Vorschläge und ändern, was nicht stimmt.
- Freigeben und archivierenDie Antworten gehen nach Freigabe an den Kunden und werden mit Datum und Verantwortlichem abgelegt.
Die Fundstelle zu jedem Vorschlag macht die Prüfung schnell: Der Prüfer sieht, woher die Aussage stammt, und kann sie mit dem Original vergleichen.
Ein Beispiel aus dem Alltag
Fiktives Beispiel, kein Kundenfall.
Ein Softwarehaus erhält einen umfangreichen Fragebogen. Nach Themen sortiert, erhalten einige Fragen einen Antwortvorschlag aus der Sicherheitsrichtlinie und dem Verarbeitungsverzeichnis. Bei zwei Fragen zu einem Subunternehmer findet er widersprüchliche Angaben in zwei Dokumenten und markiert sie.
Die Sicherheitsbeauftragte klärt den Widerspruch, korrigiert das veraltete Dokument und gibt die Antworten frei. Der Vertrieb sendet den Fragebogen zurück. Ohne die Markierung wäre eine veraltete Angabe an den Kunden gegangen.
Zu jedem Vorschlag zeigt der Agent die Quelle, das Datum und, wenn vorhanden, den Prüfer der Antwort. Die Sicherheitsbeauftragte kann so in Sekunden entscheiden, ob sie freigibt oder ändert.
Quellen, die gelten
Die Qualität der Antworten hängt von der Qualität der Quellen ab. Veraltete Richtlinien, ungeprüfte Entwürfe und Notizen aus Gesprächen dürfen nicht in die Wissensbasis. Wir legen mit Ihnen fest, welche Dokumente gültig sind, wer sie pflegt und wie das Datum der letzten Prüfung ersichtlich ist. Der Agent nutzt nur diese Dokumente.
Was dort nicht steht, behauptet er nicht. Eine Zertifizierung, ein Verfahren oder eine Maßnahme, die in keiner Quelle belegt ist, taucht in keiner Antwort auf. Lieber eine Lücke als eine Behauptung.
Wiederverwendung mit Vorsicht
Frühere Antworten sind eine wertvolle Quelle, wenn sie weiterhin stimmen. Vorgeschlagen werden sie mit Datum und Verantwortlichem, und auf Abweichungen zu aktuellen Dokumenten weist der Agent hin. Er übernimmt keine Antwort, deren Grundlage sich geändert hat, ohne dass jemand sie bestätigt.
Aus der Wiederverwendung entsteht mit der Zeit eine Antwortbibliothek, die der Vertrieb nutzen kann. Sie wird geprüft und gepflegt, sonst verliert sie ihren Wert.
Eine Antwort aus einem früheren Fragebogen wird nicht blind übernommen. Sie gilt nur, solange Quelle und Prüfdatum zum aktuellen Stand passen.
Fragen, die nur Menschen beantworten
Manche Fragen betreffen Einschätzungen: Wie bewerten Sie das Risiko? Würden Sie Daten in Land X speichern? Was passiert im Notfall? Solche Fragen verlangen Entscheidungen, nicht Auskünfte. Am Charakter der Frage erkennt der Agent sie und leitet sie an die zuständige Person, ohne einen Vorschlag zu machen.
Auch Fragen zu rechtlichen Pflichten und Haftung gehören dazu. Er beantwortet sie nicht und verweist auf Recht und Geschäftsführung.
Zusammenarbeit zwischen Vertrieb, Sicherheit und Recht
Ein Fragebogen berührt drei Abteilungen mit unterschiedlichen Interessen. Der Vertrieb will schnell antworten, die Sicherheit genau, das Recht vorsichtig. Geholfen ist allen, wenn jeder sieht, was er braucht: dem Vertrieb den Stand und die Frist, der Sicherheit die Fragen mit Quelle, dem Recht die Fragen mit rechtlichem Gehalt.
Die Rollen legen Sie fest: wer Antworten freigibt, wer bei Streit entscheidet, wer den Fragebogen absendet. Daran hält sich der Agent und schafft keine neuen Zuständigkeiten.
Standardantworten und Individuelles
Ein Teil der Fragen wiederholt sich in jedem Fragebogen und lässt sich mit freigegebenen Standardantworten beantworten. Ein anderer Teil ist kundenspezifisch und verlangt eine Prüfung. Der Agent unterscheidet beide, indem er anzeigt, ob die Antwort aus der Bibliothek stammt oder neu zu bilden ist. So konzentriert sich die Prüfung auf das, was neu ist.
Standardantworten haben ein Prüfdatum. Läuft es ab, wird die Antwort nicht mehr automatisch vorgeschlagen, sondern zur Prüfung gemeldet.
Individuelle Fragen eines Kunden gehen an die zuständige Person. Der Agent schlägt keine Formulierung vor, wenn keine belegte Antwort vorliegt.
Fristen und Zeitplan
Kunden setzen Fristen für die Rückgabe. Im Vorgang hält der Agent sie fest und erinnert die Beteiligten rechtzeitig an offene Fragen. Er rechnet mit den Zeiten, die Sicherheit und Recht für Prüfungen brauchen, nach ihren Angaben, und meldet früh, wenn eine Frist knapp wird.
Ob ein Kunde eine Fristverlängerung bekommt, handelt der Vertrieb aus. Auf Wunsch entwirft der Agent eine Nachricht, versendet sie aber nicht ohne Freigabe.
Audit und Nachweis
Antworten in Fragebögen können später überprüft werden: bei Audits, bei Streit, bei Vertragsverlängerungen. Zu jeder Antwort liegt ab, aus welcher Quelle sie stammte, wer sie geprüft hat und wann. Damit lässt sich nachvollziehen, auf welcher Grundlage etwas zugesagt wurde.
Er bewertet nicht, ob die Nachweise ausreichen. Diese Bewertung gehört zu Sicherheit und Recht.
Einführung in kleinen Schritten
Wir beginnen mit einem Fragebogentyp und einer kleinen Gruppe von Prüfern. Sie sehen, wie gut die Vorschläge sind, und sagen, was fehlt. Aus ihrem Urteil entsteht die Liste gültiger Quellen, und erst danach kommen weitere Fragebögen hinzu.
Der erste Fragebogentyp sollte einer sein, den Sie ohnehin regelmäßig beantworten. Dort lässt sich der Nutzen am besten messen.
Besondere Fälle
- Frage nach Zertifikaten, die Sie nicht haben: Der Agent beantwortet sie ehrlich mit dem Stand der Quellen oder markiert die Lücke.
- Frage nach Prüfberichten: Er verweist auf den Weg, den Sie für die Herausgabe festgelegt haben.
- Widerspruch zwischen Dokumenten: Er zeigt beide und fragt die Verantwortliche.
- Frage nach Vorfällen der Vergangenheit: Sofortige Übergabe an Sicherheit und Geschäftsführung.
- Fragebogen in anderer Sprache: Er übersetzt für die Prüfer und kennzeichnet die Übersetzung.
Getestet werden diese Fälle mit abgeschlossenen Fragebögen, aus denen vertrauliche Angaben entfernt wurden.
Wo die Grenzen des Agenten liegen
Er entscheidet nicht, welche Aussage Ihr Haus macht, und sendet keine Antwort ohne Freigabe. Maßnahmen, Zertifikate oder Prüfungen erfindet er nicht; Risiken beurteilt er nicht, und rechtliche Zusagen gibt er keine. Er verhandelt nicht über Vertragsbedingungen.
Aussagen gegenüber Kunden sind Erklärungen des Unternehmens. Sie verlangen Verantwortung und liegen bei Sicherheit, Recht und Geschäftsführung.
Daten und Rechte
Fragebögen und Sicherheitsdokumente enthalten vertrauliche Geschäftsinformationen, in der Regel keine personenbezogenen Daten. Ansprechpersonen und Namen fallen an. Für die Verarbeitung durch uns schließen wir mit Ihnen einen Vertrag nach Art. 28 DSGVO, soweit personenbezogene Daten betroffen sind; er legt unter anderem Gegenstand, Dauer, Art und Zweck fest.
Zur Informationssicherheit verweisen wir auf das BSI-Papier zu generativen KI-Modellen, das Chancen, Risiken und mögliche Gegenmaßnahmen beschreibt. Prüfen Sie, ob Geheimhaltungsvereinbarungen mit Kunden die Weitergabe von Fragebögen an Dienstleister regeln.
Pilot-Vorschlag (Drei Fragebögen, vier Wochen)
- Woche 1: Gültige Quellen festlegen, Verantwortliche benennen, drei abgeschlossene Fragebögen auswählen.
- Woche 2: Der Agent bereitet die abgeschlossenen Fragebögen nach, Sicherheit vergleicht mit den tatsächlichen Antworten.
- Woche 3: Ein neuer Fragebogen läuft mit Vorschlägen, Sicherheit und Recht prüfen jede Antwort.
- Woche 4: Auswertung: Anteil übernommener Vorschläge, gefundene Widersprüche, gesparte Zeit.
Der Pilot endet vorzeitig, wenn der Agent Aussagen ohne Quelle formuliert.
Erste Anzeichen, dass es funktioniert
Fragebögen sind schneller beantwortet, Widersprüche in Dokumenten werden entdeckt, und Antworten lassen sich bis zur Quelle zurückverfolgen. Der Vertrieb wartet weniger auf Sicherheit und Recht.
Prüfen Sie nach den ersten Fragebögen, ob die Zahl der Änderungen durch die Prüfer abnimmt. Bleibt sie hoch, sind die Quellen oder die Fragenzuordnung nachzuschärfen.
Einwände aus Sicherheit und Recht
Der erste Einwand: Eine Antwort darf nicht automatisch entstehen. Das stimmt, deshalb entstehen Vorschläge, und die Aussage kommt vom Menschen.
Der zweite: Der Agent könnte halluzinieren. Deshalb bindet er jede Antwort an eine Fundstelle und markiert, wo keine vorliegt.
Kennzahlen
Aussagekräftig sind die Zeit von Eingang bis Rücksendung, der Anteil der Vorschläge, die ohne Änderung übernommen wurden, und die Zahl gefundener Widersprüche in den Quellen. Sie beschreiben den Prozess und die Qualität der Dokumente.
Schritte, die Sie sofort angehen können
- Legen Sie fest, welche Dokumente für Kundenauskünfte als gültig gelten.
- Sammeln Sie drei bereits beantwortete Fragebögen.
- Benennen Sie, wer Antworten prüft und freigibt.
- Prüfen Sie, welche Geheimhaltungsvereinbarungen gelten.
Hinweise auf der Seite B2B-Software. Im Glossar: Halluzination, RAG und Informationssicherheit. Leistung: KI-Agenten entwickeln.
Häufige Fragen
Beantwortet der Agent Fragebögen selbst?
Nein. Er bereitet Vorschläge mit Fundstelle vor. Sicherheit und Recht prüfen und geben frei.
Was tut er bei fehlenden Quellen?
Er markiert die Lücke und erfindet keine Antwort.
Kann er Zertifikate behaupten?
Nein. Er nennt nur, was in Ihren geprüften Quellen steht.
Wie sicher ist der Umgang mit vertraulichen Dokumenten?
Das hängt vom Zuschnitt ab. Das BSI beschreibt Risiken und Gegenmaßnahmen generativer KI-Modelle; wir klären im Aufbau, welche Dokumente der Agent sieht.
Was kostet der Start?
Preisrahmen: ab 1.000 € Setup und ab 100 € im Monat für den Wissens-Agenten; Anbindung an Dokumentenablage und Fragebogenportale richtet sich nach Umfang.
Quellen und rechtlicher Rahmen
- BSI: Kriterienkatalog C5 (Cloud Computing Compliance Criteria Catalogue): Der C5 spezifiziert Mindestanforderungen an sicheres Cloud Computing und richtet sich in erster Linie an professionelle Cloud-Anbieter, deren Prüfer und Kunden. Er bietet Cloud-Kunden Orientierung für die Auswahl eines Anbieters und bildet die Grundlage für ein kundeneigenes Risikomanagement. (abgerufen 21. Oktober 2026)
- BSI: Generative KI-Modelle, Chancen und Risiken für Industrie und Behörden (21.1.2025): Das BSI beschreibt neben den Chancen neuartige IT-Sicherheitsrisiken generativer KI-Modelle sowie mögliche Gegenmaßnahmen. Es richtet sich an Unternehmen und Behörden, die den Einsatz in ihren Arbeitsabläufen erwägen. (abgerufen 21. Oktober 2026)
Die Zusammenfassungen sind sinngemäß; maßgeblich sind die verlinkten Originaltexte. Das ist ein allgemeiner Überblick zu Ihrem Umfeld, keine Rechtsberatung und keine Aussage zu Ihrem Einzelfall.
Autor: Melvin Mümken, Gründer & Technischer Leiter. Stand: 22.10.2026. Die Hinweise sind ein allgemeiner Überblick und keine Rechtsberatung.