Wenn Sie ein SaaS-Tool einführen, vertrauen Sie dem Anbieter Ihre Unternehmensdaten an. Doch wie sicher sind diese Daten wirklich? Viele KMU prüfen bei der SaaS-Auswahl nur Funktionen und Preis – die Sicherheit wird stillschweigend vorausgesetzt. Diese Checkliste mit 12 Fragen hilft Ihnen, SaaS-Sicherheit systematisch zu bewerten.
Die 12-Punkte-Sicherheitscheckliste
- Zertifizierungen: Verfügt der Anbieter über ISO 27001, SOC 2 oder vergleichbare Sicherheitszertifizierungen?
- Datenspeicherort: Wo werden Ihre Daten gespeichert? EU oder außerhalb? Gibt es die Möglichkeit, den Speicherort zu wählen?
- Verschlüsselung: Sind Daten sowohl bei der Übertragung (TLS 1.2+) als auch im Ruhezustand (at rest) verschlüsselt?
- Zugriffsmanagement: Unterstützt das Tool Multi-Faktor-Authentifizierung (MFA), Single Sign-On (SSO) und rollenbasierte Zugriffskontrolle?
- Audit-Logs: Werden alle Zugriffe und Änderungen protokolliert? Sind die Logs für Sie einsichtbar?
- Datenlöschung: Was passiert mit Ihren Daten nach Vertragsende? Werden sie vollständig gelöscht? Gibt es einen Datenexport?
- SLA und Verfügbarkeit: Welche Verfügbarkeit garantiert der Anbieter? Was passiert bei Nichteinhaltung?
- Backups: Wie oft werden Backups erstellt? Wie schnell kann im Ernstfall wiederhergestellt werden?
- Penetrationstests: Führt der Anbieter regelmäßig externe Penetrationstests durch? Sind die Ergebnisse einsehbar?
- Auftragsverarbeitung: Bietet der Anbieter einen AVV (Auftragsverarbeitungsvertrag) gemäß DSGVO Art. 28 an?
- Subunternehmer: Welche Subunternehmer verarbeiten Ihre Daten? Haben Sie ein Widerspruchsrecht bei neuen Subunternehmern?
- Incident Response: Wie schnell informiert der Anbieter bei einem Sicherheitsvorfall? Gibt es einen dokumentierten Incident-Response-Plan?
Bewertungsschema: Ergebnis interpretieren
| Ergebnis | Bewertung | Empfehlung |
|---|---|---|
| 10-12 Punkte erfüllt | Sehr gut | Tool kann bedenkenlos eingesetzt werden |
| 7-9 Punkte erfüllt | Akzeptabel | Fehlende Punkte vertraglich regeln |
| 4-6 Punkte erfüllt | Bedenklich | Nur für unkritische Daten verwenden |
| 0-3 Punkte erfüllt | Ungenügend | Nicht verwenden |
Besondere Vorsicht bei sensiblen Daten
Wenn Ihr SaaS-Tool personenbezogene Daten, Gesundheitsdaten, Finanzdaten oder Geschäftsgeheimnisse verarbeitet, gelten verschärfte Anforderungen. In diesen Fällen sollten Sie mindestens 10 der 12 Punkte mit Ja beantworten können. Andernfalls riskieren Sie DSGVO-Verstöße und Vertrauensverlust bei Kunden.
Wir unterstützen KMU bei der Bewertung von SaaS-Sicherheit im Rahmen unserer IT-Security-Reviews und Audits. Kontaktieren Sie uns für eine professionelle Einschätzung Ihrer SaaS-Landschaft.
Fazit
SaaS-Sicherheit ist kein Nice-to-have, sondern eine Grundvoraussetzung. Mit unserer 12-Punkte-Checkliste können Sie die Sicherheit jedes SaaS-Anbieters systematisch bewerten und fundierte Entscheidungen treffen. Investieren Sie 30 Minuten in die Prüfung – es schützt Ihr Unternehmen vor teuren Überraschungen.