Christian Aretz

Die Illusion des Nachweises

„Wir sind zu 100 % DSGVO-konform.” Kaum eine Aussage begegnet uns im Vertrieb von digitalen Dienstleistungen häufiger. Und kaum eine wird seltener hinterfragt. Zertifikate und Prüfsiegel wollen Vertrauen schaffen, können die gesetzlich geforderten Garantien aber nicht ersetzen. Spätestens mit den neuen Anforderungen an sichere Lieferketten stellt sich die Frage erneut: Wann ist ein Nachweis tatsächlich ein Nachweis? Dieser Beitrag zeigt, welche Aussagekraft Zertifikate wirklich besitzen und weshalb Auftraggeber lernen müssen, zwischen Evidenz und Symbolik zu unterscheiden.

I. Die Verheißung des Nachweises

Aussagen wie „Wir sind 100 % DSGVO-konform“, „Unser Produkt ist ISO 27001 zertifiziert“ oder „Erfüllt höchste Sicherheitsstandards“ begegnen Auftraggebern heute mit bemerkenswerter Regelmäßigkeit. Sie finden sich auf Webseiten, in Angeboten, in Vertragsanlagen und in Präsentationen von Dienstleistern. Ob man damit überhaupt werben darf, ist die eine Frage (vgl. hierzu Piltz/Kukin, DSB 2026, 106). Die andere Frage ist: Was bezwecken Auftragnehmer mit ihren Aussagen und wie helfen sie den Auftraggebern? Gerade im Umfeld von digitalen Dienstleistungen entsteht durch sie jedenfalls schnell der Eindruck, dass sich Compliance und Sicherheit wie Produkteigenschaften erwerben und über Dokumente nachweisen lassen. Je größer die regulatorische Unsicherheit und je undurchsichtiger die technische Leistungserbringung werden, desto attraktiver erscheint die Vorstellung, Verantwortung durch Zertifikate, Siegel oder standardisierte Nachweise beherrschbar zu machen. Doch genau hier liegt das Missverständnis: Das Recht verlangt keine Vertrauensbekundungen, sondern Garantien. Und Garantien müssen belastbar sein.

Der Gedanke dahinter ist nicht neu. Schon das alte Recht zur „Auftragsdatenverarbeitung“ verlangte vom Auftraggeber, sich vor Beginn der Verarbeitung und anschließend regelmäßig davon zu überzeugen, dass der Auftragnehmer die erforderlichen technischen und organisatorischen Maßnahmen tatsächlich umgesetzt hat. Auch die DSGVO hat an dieser Erwartung nichts geändert, sondern lediglich ganz leicht den Fokus verschoben. Im Mittelpunkt steht nicht mehr die bloße Existenz von Maßnahmen, sondern die Fähigkeit des Verantwortlichen, belastbar zu beurteilen, ob die vom Auftragnehmer umgesetzten Maßnahmen auf die Ziele des Auftraggebers, also den Schutz der Rechte und Freiheiten der Betroffenen, einzahlen. Diese Anforderung wirkt auf den ersten Blick unspektakulär. In der Praxis entfaltet sie jedoch erhebliche Sprengkraft. Denn moderne Lieferketten bestehen nicht mehr nur aus einem einzelnen Vertragspartner, sondern aus verschachtelten Leistungsbeziehungen, Plattformen, Unterauftragnehmern, Rechenzentren, Managed Services und spezialisierten Komponentenlieferanten. Gleichzeitig wächst der regulatorische Druck. Diese Erwartung beschränkt sich längst nicht mehr auf das Datenschutzrecht. Auch sektorspezifische Sicherheitsanforderungen, Vorgaben zur Lieferkettensicherheit und Managementsysteme verlangen eine belastbare Bewertung darüber, ob Schutzmaßnahmen tatsächlich umgesetzt wurden und wirksam sind. Vor diesem Hintergrund ist die Praxis überraschend: Anstatt die erforderliche Prüfungstiefe zu erhöhen, wird häufig versucht, Unsicherheit durch Dokumente zu kompensieren. So wird aus der Pflicht zur Bewertung ein Prozess der Dokumentenakkumulation. Ob diese Dokumente die eigentliche Fragestellung beantworten, tritt dabei häufig in den Hintergrund. Genau hier lohnt sich ein genauerer Blick auf ihre Funktion und ihre Grenzen. Bevor jedoch der Frage nach geeigneten Nachweisen und ihren Grenzen nachgegangen wird, lohnt sich ein Blick auf die eigentliche Erwartung des Gesetzgebers.

II. Die Pflicht zur Überzeugungsbildung

Die Diskussion über Nachweise, Zertifikate und Lieferkettenkontrollen wird häufig so geführt, als würde das Recht konkrete Dokumente verlangen. Tatsächlich wird jedoch etwas Anderes verlangt: Eine belastbare Beurteilung. Wer personenbezogene Daten nicht nur selbst als Verantwortlicher verarbeitet, sondern durch Dritte im Auftrag verarbeiten lässt, muss die Auswahlentscheidung dafür rechtfertigen können und bleibt für diese Entscheidung verantwortlich. Das Datenschutzrecht formuliert diesen Anspruch sehr konsequent. So verpflichtete bereits § 11 Abs. 2 Satz 4 und 5 BDSG a.F. den Auftraggeber dazu, sich vor Beginn der Verarbeitung und sodann regelmäßig von der Einhaltung der beim Auftragnehmer getroffenen technischen und organisatorischen Maßnahmen zu überzeugen und das Ergebnis zu dokumentieren. Die Vorschrift verlangte damit ausdrücklich mehr als die Einholung einer Erklärung oder die Entgegennahme von Unterlagen. Gefordert war eine tatsächliche Überzeugungsbildung.

Die DSGVO hat diesen Gedanken nicht aufgegeben, sondern in ein risikobasiertes System überführt. Gemäß Art. 28 Abs. 1 DSGVO darf der Verantwortliche nur mit solchen Auftragsverarbeitern zusammenarbeiten, die ausreichend Garantien dafür bieten, dass geeignete technische und organisatorische Maßnahmen umgesetzt werden, sodass die Verarbeitung den Anforderungen der Verordnung entspricht und die Rechte der betroffenen Personen geschützt werden. Der Begriff der „Garantie” ist dabei bewusst anspruchsvoll gewählt. Garantien werden nicht behauptet, sondern belegt. Sie erschöpfen sich nicht in Absichtserklärungen und entstehen auch nicht durch die bloße Existenz eines Vertragswerks. Der Verantwortliche muss vielmehr zu einer vertretbaren Einschätzung gelangen können, dass die versprochenen Maßnahmen tatsächlich geeignet und wirksam sind. Die Pflicht des Auftragsverarbeiters, gemäß Art. 28 Abs. 3 lit. h DSGVO dem Verantwortlichen alle erforderlichen Informationen zum Nachweis der Einhaltung der in Art. 28 DSGVO niedergelegten Anforderungen zur Verfügung zu stellen, verdeutlicht die Rollenverteilung: Der Auftragsverarbeiter schuldet Transparenz, die Bewertungsverantwortung verbleibt jedoch beim Verantwortlichen. Diese Denkfigur findet sich inzwischen auch außerhalb des Datenschutzrechts wieder.

Der Begriff der „hinreichenden Garantien” i.S.v. Art. 28 Abs. 1 DSGVO ist kein Zufallsprodukt des europäischen Gesetzgebers. Er beschreibt weder einen Erfolgseintritt noch absolute Sicherheit. Niemand kann eine dauerhaft fehlerfreie Datenverarbeitung gewährleisten und kein Auftragsverarbeiter kann zusichern, dass niemals ein Sicherheitsvorfall eintreten wird. Garantien beziehen sich vielmehr auf die Organisation der Verarbeitung, also auf Prozesse, Zuständigkeiten, technische Schutzmaßnahmen, Kontrollmechanismen sowie die Fähigkeit, Abweichungen zu erkennen und zu korrigieren. Maßgeblich ist somit weder die Behauptung noch das Ergebnis, sondern die nachvollziehbare Eignung der getroffenen Maßnahmen. Daraus folgt, dass die Prüfung eines Auftragsverarbeiters keine reine Vertragsprüfung sein kann. Ein Auftragsverarbeitungsvertrag erfüllt zunächst eine formale Funktion, denn er dokumentiert Rechte, Pflichten und Verantwortungsbereiche. Ob diese Pflichten im operativen Betrieb tatsächlich gelebt werden, beantwortet er hingegen nicht. Gleiches gilt für Anlagen mit technischen und organisatorischen Maßnahmen. Sie beschreiben häufig Soll-Zustände und Zielarchitekturen, jedoch selten die tatsächliche Umsetzung und noch seltener deren Wirksamkeit. Wer seine Bewertung ausschließlich auf solche Dokumente stützt, läuft Gefahr, lediglich die Existenz einer Behauptung zu prüfen.

Gerade hier zeigt sich die praktische Herausforderung. Die gesetzlichen Anforderungen bleiben bewusst technikoffen und risikoorientiert. Sie verlangen keine bestimmte Auditmethode, keine Mindestanzahl an Nachweisen und grundsätzlich auch keine Zertifizierung. Das klingt zunächst nach Freiheit, bedeutet in Wahrheit jedoch eine erhebliche Eigenverantwortung. Diese Offenheit erklärt zugleich, weshalb Nachweise in der Praxis eine so große Bedeutung gewonnen haben. Wenn die eigene Prüfung an fachliche, zeitliche oder technische Grenzen stößt, entsteht der Wunsch, Beurteilungen Dritter zu übernehmen. Zertifikate sind Ausdruck genau dieses Bedürfnisses. Die entscheidende Frage ist deshalb nicht, ob Zertifikate sinnvoll sind. Die entscheidende Frage lautet, was sie tatsächlich beweisen.

III. Über die Aussagekraft von Zertifikaten

In diesem Spannungsfeld haben Zertifikate eine nachvollziehbare Funktion. Sie reduzieren Komplexität. Wo Verantwortliche weder die technische Infrastruktur eines Dienstleisters vollständig nachvollziehen noch dessen interne Prozesse dauerhaft beobachten können, entsteht ein Bedarf nach verdichteten Aussagen. Ein Zertifikat verspricht genau das: Eine unabhängige Stelle hat geprüft und bestätigt, dass bestimmte Anforderungen erfüllt sind. Aus Sicht des Empfängers wirkt dies wie die Auslagerung von Unsicherheit an einen Dritten. Für den Auftragnehmer bedeutet es eine Arbeitserleichterung, da die Prüfung in der Regel jährlich und komprimiert stattfindet. Rechtlich betrachtet ist diese Erwartung jedoch nur eingeschränkt tragfähig. Ein Zertifikat ist zunächst einmal das Ergebnis eines Bewertungsverfahrens anhand eines zuvor definierten Prüfmaßstabs. Es beantwortet die Frage, ob die geprüften Anforderungen zum Zeitpunkt der Prüfung erfüllt waren. Eine Vielzahl anderer Fragen, die in der Praxis häufig stillschweigend mitgedacht werden, bleiben hingegen unbeantwortet: Ob der Dienstleister insgesamt zuverlässig ist, ob die konkreten Anforderungen des Auftraggebers erfüllt werden, ob sämtliche gesetzliche Anforderungen eingehalten werden oder ob ein Produkt bedenkenlos eingesetzt werden kann, wird nicht geprüft. Zwischen dem Inhalt einer Zertifizierung und den Erwartungen ihrer Empfänger entsteht somit häufig eine erhebliche Interpretationslücke.

Diese Lücke entsteht jedoch nicht, weil Zertifizierungen ungeeignet wären. Im Gegenteil: Richtig verstanden, können sie wertvolle Informationen liefern. Problematisch wird es erst, wenn aus der Feststellung einer Normkonformität auf die Erfüllung eines anderen Maßstabs geschlossen wird. Eine ISO 27001-Zertifizierung bestätigt grundsätzlich die Einhaltung der Anforderungen der Norm. Sie bestätigt jedoch nicht automatisch die Datenschutzkonformität, die Produktsicherheit oder die rechtliche Zulässigkeit eines konkreten Einsatzszenarios. Dass solche Fehlannahmen dennoch weit verbreitet sind, liegt auch daran, dass Zertifikaten kommunikativ eine Autorität zugeschrieben wird, die weit über ihren eigentlichen Aussagegehalt hinausgeht. Besonders deutlich wird dies im Datenschutzrecht. Art. 28 Abs. 5 DSGVO stellt klar, dass die Einhaltung genehmigter Verhaltensregeln nach Art. 40 DSGVO oder die Anwendung eines genehmigten Zertifizierungsverfahrens nach Art. 42 DSGVO als Faktor zum Nachweis hinreichender Garantien herangezogen werden kann. Der Gesetzgeber spricht bewusst von einem Faktor und gerade nicht von einem Nachweis mit Sperrwirkung. Zertifizierungen ersetzen deshalb weder die Auswahlentscheidung noch die eigene Risikobewertung des Verantwortlichen. Sie können die Beurteilung unterstützen, ersetzen diese aber nicht. Bemerkenswert ist dabei, dass sich diese Zurückhaltung auch im übrigen Normgefüge wiederfindet. Weder das Datenschutzrecht noch moderne Anforderungen an Lieferkettensicherheit oder Qualitätsmanagement verlangen die unkritische Übernahme fremder Bewertungen. Vielmehr wird die Fähigkeit erwartet, deren Aussagekraft einordnen zu können. Das eigentliche Risiko liegt deshalb häufig nicht im Fehlen von Nachweisen, sondern in ihrer Fehlinterpretation. Wenn Zertifikate also weder bedeutungslos noch hinreichend sind, stellt sich die praktisch entscheidende Frage: Welche Nachweise eignen sich überhaupt, um hinreichende Garantien belastbar zu beurteilen?

1. Nicht jedes Dokument ist ein Nachweis

Wenn Zertifikate die Bewertung nicht ersetzen, stellt sich zwangsläufig die Frage, welche Informationen überhaupt geeignet sind, um hinreichende Garantien im Sinne von Art. 28 DSGVO zu beurteilen. Die Antwort ist zunächst ernüchternd: Es existiert kein abschließender Katalog von zulässigen Nachweisen. Das Gesetz ist bewusst offen formuliert und zwingt Verantwortliche somit zu einer risikoorientierten Betrachtung. Nicht jedes Dokument besitzt den gleichen Erkenntniswert und beantwortet die gleiche Frage. Besonders aussagekräftig sind Nachweise, die einen unmittelbaren Bezug zu den tatsächlich umgesetzten technischen und organisatorischen Maßnahmen herstellen und deren Bewertung durch eine unabhängige oder überprüfbare Instanz ermöglichen. Dazu gehören Zertifikate des Auftragnehmers dann, wenn deren Geltungsbereich, Prüfgegenstand und zeitliche Reichweite nachvollziehbar sind. Von erheblicher praktischer Bedeutung sind daneben Auditberichte unabhängiger Dritter, Ergebnisse von Schwachstellenanalysen oder Penetrationstests, eigene Vor-Ort-Prüfungen sowie Bestätigungen, die auf einer fachlich belastbaren Prüfung beruhen. Auch genehmigte Verhaltensregeln oder Zertifizierungen nach Art. 40 DSGVO und Art. 42 DSGVO können in diese Bewertung einfließen. Zertifikate von Unterauftragnehmern sind an dieser Stelle hingegen noch nicht relevant.

In der Praxis begegnen uns regelmäßig Unterlagen, die zwar professionell wirken, aber nur einen begrenzten Erkenntniswert besitzen. Marketingunterlagen, Produktbroschüren oder allgemeine Eigenerklärungen der Geschäftsleitung beantworten in der Regel nicht die Frage, ob konkrete Schutzmaßnahmen wirksam umgesetzt wurden. Auch Richtlinien und Listen mit technischen und organisatorischen Maßnahmen sind häufig missverständlich. Sie beschreiben oftmals Zielzustände oder organisatorische Absichten, jedoch nicht deren tatsächliche Anwendung. Selbst umfangreiche Dokumentationen können daher grundsätzlich außerordentlich wenig darüber aussagen, wie ein Unternehmen seine Risiken tatsächlich steuert. Besonders vorsichtig sollte man mit Nachweisen umgehen, die ausschließlich auf der Selbsteinschätzung des zu Prüfenden beruhen. Solche Dokumente sind nicht wertlos, sie leiden jedoch an einem strukturellen Problem: Sie liefern Informationen, aber keine unabhängige Verdichtung dieser Informationen. Je größer die Tragweite der Auswahlentscheidung und je höher das Risiko der Verarbeitung, desto weniger wird man sich mit solchen Unterlagen allein zufriedengeben können.

2. Nicht jede Aussage ist wahr

Einige Aussagen oder Angaben von Auftragnehmern sind präzise und überprüfbar. Andere haben mit einer belastbaren Tatsachengrundlage hingegen nur noch wenig gemein. Doch selbst wenn Aussagen konkret und überprüfbar erscheinen, sollten sie nicht ungeprüft übernommen werden. Die praktische Erfahrung zeigt, dass zwischen dokumentierter und gelebter Realität erhebliche Unterschiede bestehen können. Die Qualität der Angaben reicht von präzisen, nachprüfbaren Fakten über marketinggetriebene Darstellungen bis hin zu Aussagen, die sich einer belastbaren Tatsachengrundlage weitgehend entbehren. Prozesse, die auf dem Papier existieren, werden im operativen Alltag mitunter konsequent umgangen. Hinzu kommt ein zeitliches Problem: Viele Nachweise bilden lediglich einen vergangenen Zustand ab. Ein Audit bestätigt die Verhältnisse zum Zeitpunkt der Prüfung, eine Zertifizierung bewertet einen definierten Zeitraum und selbst Auskünfte von Ansprechpartnern spiegeln häufig nur deren aktuellen Kenntnisstand wider. Da sich Organisationen jedoch fortlaufend verändern, verlieren einmal getroffene Feststellungen rasch an Aktualität. Belastbare Auswahlentscheidungen setzen daher ein gesundes Maß an professionellem Misstrauen voraus. Nicht jede Unstimmigkeit weist zwingend auf einen Mangel hin, doch Widersprüche, Lücken oder ausweichende Antworten können wertvolle Hinweise darauf sein, dass weiterer Klärungsbedarf besteht.

Um es ganz genau zu wissen, muss man also tiefer prüfen und gegebenenfalls externe Quellen hinzuziehen. Je nach Anwendbarkeit des Informationsfreiheitsrechts kann es sich lohnen, Informationszugangsansprüche gegenüber Behörden zu prüfen. Gerade Datenschutzaufsichtsbehörden verfügen mitunter über Informationen darüber, ob ein Unternehmen bereits Gegenstand aufsichtsbehördlicher Prüfungen war oder ob es Datenschutzverletzungen gemeldet hat. Der Zugang zu diesen Informationen unterliegt freilich gesetzlichen Grenzen, insbesondere dem Schutz von Betriebs- und Geschäftsgeheimnissen. In der Praxis wird dieser Weg jedoch erstaunlich selten genutzt.

3. Prüfen heißt verstehen

Um Garantien beurteilen zu können, muss man nicht nur die Dokumente lesen, sondern auch die dahinterliegenden Entscheidungen, Abhängigkeiten und Kontrollmechanismen verstehen. Gute Prüfungen sind deshalb selten dokumentenzentriert, sondern fragen nach Zusammenhängen. Wie werden Sicherheitsvorfälle erkannt und weitergegeben? Wann wurden technische und organisatorische Maßnahmen zuletzt bewertet und angepasst? Nach welchen Kriterien werden Unterauftragnehmer ausgewählt und überwacht? Wie wird sichergestellt, dass Richtlinien nicht nur existieren, sondern im operativen Betrieb tatsächlich angewendet werden? Solche Fragen wirken zunächst unspektakulär. Sie haben jedoch einen entscheidenden Vorteil: Sie zwingen das Gegenüber, die eigene Organisation erklärbar zu machen. Dabei zeigt sich häufig ein interessantes Phänomen. Reife Organisationen antworten selten mit absoluten Aussagen. Organisationen mit geringerer Reife neigen dagegen häufiger zu pauschalen Zusicherungen, generischen Dokumenten oder Formulierungen, ohne erkennbaren Bezug zur konkreten Leistungserbringung. Aussagekräftig ist deshalb nicht die Perfektion der Antwort, sondern ihre Belastbarkeit. Das bedeutet jedoch nicht, dass jede Prüfung in ein vollumfängliches Audit münden muss. Der Aufwand muss zur Verarbeitung, zum Risiko und zur Bedeutung des Dienstleisters passen. Entscheidend ist jedoch, dass die Prüfung stets einen Erkenntnisgewinn erzeugt. Eine Kontrolle, deren Ergebnis bereits vor Beginn feststeht, ist keine Kontrolle, sondern eine Bestätigung. Gute Prüfungen erzeugen kein zusätzliches Vertrauen. Sie machen sichtbar, ob Vertrauen überhaupt gerechtfertigt ist.

IV. Wer nichts erwartet, kann nichts prüfen

In der Praxis beginnt die Diskussion über Nachweise und Prüfungen häufig an der falschen Stelle: Auftraggeber fragen, welche Unterlagen sie von Auftragnehmern anfordern sollen, welche Zertifikate anerkannt werden oder wie tief ein Audit gehen muss. Deutlich seltener wird jedoch zuvor geklärt, was konkret erwartet wird. Genau darin liegt jedoch die Voraussetzung jeder belastbaren Bewertung: Ohne eigene Anforderungen existiert kein Prüfmaßstab. Diese Erkenntnis mag banal klingen, wird im Alltag jedoch äußerst häufig übersehen. Anforderungen entstehen nicht dadurch, dass ein Anbieter seine Leistungsbeschreibung übersendet oder einen Katalog technischer Maßnahmen vorlegt. Sie entstehen im eigenen Haus. Ausgangspunkt sind zunächst die rechtlichen Anforderungen, etwa aus dem Datenschutzrecht, dem Informationssicherheitsrecht, der sektorspezifischen Regulierung oder den vertraglichen Verpflichtungen gegenüber Kunden. Hinzu treten interne Vorgaben, bestehende Managementsysteme, Risikobewertungen, Architekturentscheidungen und betriebliche Zielsetzungen. Da nicht jede Organisation dasselbe erwartet und nicht jede Verarbeitung dasselbe Schutzniveau erfordert, bedarf es einer Konkretisierung dieser Anforderungen in Form eines eigenen Anforderungs- und Bewertungsmaßstabs. Erst dieser ermöglicht eine nachvollziehbare Beurteilung, ob ein Auftragnehmer die an ihn gestellten Anforderungen tatsächlich erfüllt.

Damit beginnt die eigentliche Arbeit: Die Anforderungen müssen in eine Form gebracht werden, die operativ nutzbar ist. Allgemeine Anforderungen eignen sich kaum als Prüfmaßstab. Erst ihre Konkretisierung macht sie steuerbar. Gute Anforderungen beschreiben dabei nicht die konkrete Lösung, sondern den Zustand, der erreicht werden soll. Wer Anforderungen zu früh technisch vorgibt, verhindert Innovation. Wer sie zu abstrakt formuliert, verhindert jede sinnvolle Prüfung. In reifen Organisationen entsteht daraus ein eigenständiger Prozess des Anforderungsmanagements. Anforderungen werden nicht einmal definiert und anschließend archiviert, sondern fortlaufend gepflegt. Regulatorische Neuerungen, Sicherheitsvorfälle, technologische Entwicklungen, Auditergebnisse oder Änderungen im Geschäftsmodell können dazu führen, dass bestehende Anforderungen angepasst, ergänzt oder aufgehoben werden müssen.

Ebenso entscheidend ist die Übersetzung in die operative Realität. Anforderungen müssen in Beschaffungsprozesse, Architekturentscheidungen, Risikoanalysen und letztlich in die Freigabemechanismen eingebettet werden. Erst dort entsteht aus einer abstrakten Erwartung ein tatsächlicher Steuerungsmechanismus. Dadurch verändert sich auch die spätere Auswahl von Auftragnehmern. Denn die eigentliche Entscheidung lautet nicht mehr, ob ein Anbieter „gut“ oder „zertifiziert“ ist. Vielmehr stellt sich die Frage, ob er die zuvor definierten Anforderungen in einem ausreichenden Maß erfüllt. Genau an dieser Stelle beginnt die Auswahlentscheidung. Aus diesem Grund genügt es nicht, Anforderungen lediglich zu formulieren. Sie müssen einen Lebenszyklus durchlaufen. Jede Anforderung sollte einer Quelle zugeordnet werden können und nachvollziehbar machen, warum sie existiert, woran ihre Erfüllung gemessen wird und wer für ihre Pflege verantwortlich ist. Fehlt diese Struktur, entstehen mit der Zeit Kataloge mit Regeln, deren Ursprung niemand mehr kennt und die allein durch Gewohnheit fortbestehen. Solche Regelwerke erzeugen keine Sicherheit, sondern Reibung.

Es ist daher hilfreich, Anforderungen in unterschiedliche Ebenen zu unterteilen. Auf der obersten Ebene stehen in der Regel die Ziele und Schutzerwartungen der Organisation. Daraus werden konkrete Anforderungen abgeleitet, die wiederum in Prozesse, Kontrollen und Nachweise übersetzt werden. Aus der Erwartung an die Verfügbarkeit entstehen beispielsweise Anforderungen an die Wiederherstellungszeiten. Aus diesen ergeben sich wiederum Prüfhandlungen und geeignete Nachweisdokumente. Erst diese Kette schafft Nachvollziehbarkeit. Wer direkt mit Kontrollen beginnt, ohne die zugrundeliegende Erwartung zu kennen, optimiert in die falsche Richtung.

Ebenso wichtig ist die regelmäßige Rückkopplung. Anforderungen dürfen nicht nur aufgestellt, sondern müssen auch auf ihre tatsächliche Eignung überprüft werden. Haben die definierten Anforderungen das Risiko tatsächlich reduziert? Wurden die Auswahlentscheidungen verbessert? Wurden Sicherheitsvorfälle oder Beschwerden durch die bestehenden Vorgaben verhindert oder lediglich dokumentiert? Solche Fragen werden erstaunlich selten gestellt. Oft wird lediglich geprüft, ob Prozesse eingehalten wurden, nicht jedoch, ob sie überhaupt noch sinnvoll sind. Dafür kann es auch hilfreich sein, geeignete Kennzahlen zu definieren, um die Qualität von Auswahlentscheidungen langfristig bewerten zu können. Aussagekräftig sind dabei insbesondere Kennzahlen, die zeigen, ob Auftragnehmer wiederholt Auffälligkeiten verursachen oder Korrekturmaßnahmen erforderlich machen. Die systematische Rückkopplung solcher Erkenntnisse ermöglicht eine kontinuierliche Weiterentwicklung des Auswahlprozesses und das Lernen aus vergangenen Entscheidungen. Gerade hierin unterscheiden sich reife Organisationen von solchen mit rein hoher Dokumentendichte. Reife zeigt sich nicht in der Anzahl der definierten Anforderungen, sondern in der Fähigkeit, Anforderungen zu verwerfen, zu verändern und neue Erwartungen kontrolliert in bestehende Prozesse zu integrieren.

V. Wie Auswahlentscheidungen belastbar werden

Wenn Anforderungen definiert, operationalisiert und regelmäßig überprüft werden, verändert sich der Prozess der Dienstleisterauswahl grundlegend: Nicht der Anbieter gibt vor, welche Kriterien relevant sind, sondern der Auftraggeber entscheidet dies im Vorfeld selbst. Das klingt selbstverständlich, ist in der Praxis jedoch keineswegs der Regelfall. Oft entsteht der Anforderungskatalog erst während des Auswahlprozesses. Die Anforderungen werden dann aus Produktunterlagen übernommen, an vorhandene Zertifikate angepasst oder entlang der Stärken einzelner Anbieter formuliert. Die Organisation übernimmt fremde Maßstäbe und verliert damit genau die Fähigkeit, die ihr das Gesetz an mehreren Stellen ausdrücklich abverlangt: Die eigenständige Bewertung. Belastbare Auswahlentscheidungen folgen deshalb einer anderen Logik. Sie ergeben sich unmittelbar aus dem Recht oder aus internen Sicherheitsvorgaben und sind nicht verhandelbar oder dienen der Risikoreduktion bzw. der Verbesserung der Betriebsfähigkeit. Wieder andere spiegeln Erwartungen an Transparenz, Reaktionsfähigkeit oder Weiterentwicklung wider. Erst diese Differenzierung ermöglicht eine sinnvolle Entscheidung.

Daran anschließend wird geprüft, welche Evidenz geeignet ist, um die Erfüllung der jeweiligen Anforderungen zu belegen. Für einige Anforderungen können Zertifikate oder Auditberichte ausreichen. Andere wiederum verlangen vertiefte Rückfragen, technische Prüfungen oder eine eigene Bewertung. Entscheidend ist, dass zwischen Anforderung, Nachweis und Entscheidung eine nachvollziehbare Verbindung entsteht. In diesem Zusammenhang wird häufig unterschätzt, wie wertvoll negative Erkenntnisse sein können. Ein Auswahlverfahren dient nicht dazu, möglichst schnell einen geeigneten Anbieter zu ermitteln. Sein Zweck besteht vielmehr darin, Risiken zu reduzieren und rechtliche Vorgaben zu erfüllen. Die Erkenntnis, dass ein Anbieter bestimmte Anforderungen nicht erfüllt oder keine belastbaren Nachweise liefern kann, ist deshalb kein Misserfolg des Prozesses, sondern sein Erfolg.

Am Ende sollte deshalb nicht nur das Ergebnis der Auswahl dokumentiert werden, sondern auch der Weg dorthin. Wer nachvollziehbar erklären kann, welche Anforderungen gestellt wurden, welche Nachweise vorlagen, welche Risiken akzeptiert wurden, und welche offenen Punkte verbleiben, verfügt über etwas, das durch kein Zertifikat ersetzt werden kann: eine belastbare Entscheidung.

VI. Fazit

Die Diskussion über Nachweise wird häufig unter dem falschen Vorzeichen geführt. Entscheidend ist nicht, welche Dokumente ein Auftragnehmer vorlegen kann, sondern welche Anforderungen ein Auftraggeber an ihn stellt und anhand welcher Maßstäbe er deren Erfüllung zu bewerten vermag. Wer seine Anforderungen aus Leistungsbeschreibungen oder Marketingunterlagen ableitet, überlässt den Bewertungsmaßstab letztlich dem zu Bewertenden. Die Auswahlentscheidung wird dadurch von einer eigenständigen Prüfung zu einer Bestätigung fremder Aussagen. Nachweise haben deshalb einen wichtigen, aber zugleich begrenzten Zweck: Sie sollen die Beantwortung einer bereits formulierten Frage unterstützen. Fehlt diese Frage, wird auch das beste Zertifikat keine belastbare Antwort liefern können. Die eigentliche Herausforderung liegt also nicht in der Beschaffung von Nachweisen, sondern in der Entwicklung und Pflege eines belastbaren Anforderungsmanagements. Erst wenn Erwartungen definiert, in überprüfbare Anforderungen übersetzt und mit geeigneten Nachweisen verknüpft werden, entsteht ein nachvollziehbarer Bewertungsmaßstab.

Autor:

Christian Aretz ist Geschäftsführer der VP Compliance GmbH und seit über 25 Jahren als Auditor, Berater und Beauftragter für Informationssicherheit und Datenschutz tätig. Er ist Experte für Datenschutzrecht, Managementsysteme und ISO-Normen.