Lieferantenbewertung – Vendor Assessment oder Supplier Evaluation – ist der strukturierte Prozess, externe Dienstleister und Softwareanbieter vor der Auswahl und laufend im Betrieb nach definierten Kriterien zu beurteilen: Sicherheit, Compliance, Verfügbarkeit, Qualität, finanzielle Stabilität und strategische Eignung. Lieferantenbewertung transformiert die intuitive Auswahl von Anbietern in einen dokumentierten, risikobasierten Entscheidungsprozess.
Für ISO-27001-zertifizierte Unternehmen ist Lieferantenbewertung (Annex A.15) eine Pflichtanforderung. Auch ohne Zertifizierung ist sie gute Praxis: Jeder Drittanbieter, der Zugang zu sensiblen Daten oder kritischen Systemen hat, ist ein erweiterter Teil der eigenen Sicherheitsperimeters. Dessen Qualität und Compliance zu kennen und zu überwachen ist nicht optional.
Lieferanten-Scorecard: Bewertungsbeispiel
| Anbieter | ISO 27001 | AVV vorhanden | SLA-Nachweis |
| AWS | ✓ | ✓ | ✓ |
| HubSpot | ✓ | ✓ | Teilw. |
| Kleiner SaaS-X | ✗ | ✗ | ✗ |
| Mailgun | ✓ | ✓ | ✓ |
Lieferantenbewertungs-Kriterien
- Sicherheits-Zertifizierungen: Hat der Anbieter ISO 27001, SOC 2 oder vergleichbare Zertifizierungen? Werden diese aktuell gehalten?
- Datenschutz-Compliance: AVV vorhanden? Datenverarbeitung in der EU oder adäquatem Drittstaat? Datenschutzerklärung und Subverarbeiter-Liste transparent?
- Verfügbarkeit und SLA: Welche Uptime wird garantiert? Gibt es historische Verfügbarkeitsdaten (Status-Page)? Incident-History transparent zugänglich?
- Finanzielle Stabilität: Ist der Anbieter finanziell solide? Gibt es Anzeichen für wirtschaftliche Probleme, Übernahmen oder Marktveränderungen?
- Exit-Strategie: Wie kommt man aus dem Vertrag heraus? Datenexport möglich? Wie lange dauert Migration zu einem Alternativanbieter?
Praxisbeispiel
Ein Automationsdienstleister implementiert einen formalen Lieferantenbewertungsprozess. Auslöser: ISO-27001-Zertifizierungsaudit identifiziert fehlende Lieferantenbewertung als Gap. Prozess: Vor Aufnahme eines neuen Drittanbieters wird ein standardisierter Fragebogen ausgefüllt (Sicherheitsnachweise, DSGVO-Compliance, SLA, Exit-Klarheit). Kritikalitätsklassen bestimmen den Aufwand: Kritisch (Zugang zu Kundendaten oder Produktion) → vollständiges Assessment inkl. Zertifikat-Verifikation. Standard → vereinfachtes Assessment. Low-Risk → Selbstauskunft genügt. Jährliche Re-Bewertung aller Kritisch-Anbieter. Ergebnis der ersten vollständigen Bewertungsrunde: 2 Anbieter ohne AVV (wurde nachgeholt), 1 Anbieter ohne nachweisliche Sicherheitsmaßnahmen (durch konformeres Alternativprodukt ersetzt), 3 Anbieter mit unklarer Exit-Strategie (Datenexport-Prozess dokumentiert).
