Was Einkauf und IT‑Sicherheit im Konzern auf Ihrer Startup-Website prüfen

Kurze Antwort: Bevor ein Konzern Ihnen einen Sicherheitsfragebogen schickt, sieht sich jemand aus Einkauf oder IT-Sicherheit Ihre Website an. Diese Person will wissen, welches Unternehmen dahintersteht, wohin die Daten gehen, welche Sicherheit Sie belegen können, wer schon bei Ihnen gekauft hat und was Sie ungefähr kosten. Beantwortet Ihre Website diese Fragen, wird der Fragebogen kürzer und das Gespräch geht weiter. Wenn nicht, kommt eine lange Tabelle und eine Pause. Hier finden Sie die Seiten, die Prüfer öffnen, eine Checkliste mit 10 Punkten und was ein Startup ohne Zertifikat heute ehrlich veröffentlichen kann.

Dieser Artikel ist eine praktische Orientierung für Gründer und Gründerinnen, keine Rechtsberatung. Für Verträge und Compliance-Entscheidungen ziehen Sie bitte Rechtsberatung oder eine Compliance-Fachperson hinzu.

Warum Konzerne Ihre Website prüfen, bevor sie mit Ihnen sprechen

Ein großer Teil der Bewertung passiert ohne Sie. Laut Gartner bevorzugen 67 % der B2B-Käufer einen Einkauf ohne Vertriebsmitarbeiter. Für Europa zeigt 6sense, dass Käufer den Anbieter in rund 75 % der Fälle auswählen, bevor sie überhaupt mit dem Vertrieb sprechen. Ihre Website ist das erste Dokument in der Akte.

In bestimmten Fällen gibt es auch einen rechtlichen Grund. Verarbeiten Sie personenbezogene Daten der Kunden oder Beschäftigten des Konzerns in dessen Auftrag, gilt Art. 28 Abs. 1 DSGVO: Der Verantwortliche „arbeitet … nur mit Auftragsverarbeitern, die hinreichend Garantien dafür bieten, dass geeignete technische und organisatorische Maßnahmen“ durchgeführt werden. Nach Abs. 3 erfolgt die Verarbeitung „auf der Grundlage eines Vertrags oder eines anderen Rechtsinstruments“. Das ist Ihr AV-Vertrag. Ist der Kunde eine wesentliche oder wichtige Einrichtung im Sinne von NIS2, müssen seine Risikomanagementmaßnahmen die „Sicherheit der Lieferkette einschließlich sicherheitsbezogener Aspekte der Beziehungen zwischen den einzelnen Einrichtungen und ihren unmittelbaren Anbietern oder Diensteanbietern“ umfassen (Art. 21 Abs. 2 Buchst. d). Kurz gesagt: Wenn Sie personenbezogene Daten seiner Kunden oder Beschäftigten in seinem Auftrag verarbeiten oder der Kunde unter NIS2 fällt, ist er gesetzlich verpflichtet, Sie zu prüfen. Der Prüfer macht es Ihnen nicht schwer. Er macht seine Arbeit.

Große Unternehmen haben dafür feste Programme. Das Lieferantenprogramm von Microsoft etwa gilt weltweit für alle Lieferanten, die personenbezogene oder vertrauliche Daten von Microsoft verarbeiten, und alle aufgenommenen Lieferanten müssen jährlich eine Selbstauskunft zur Einhaltung der Datenschutzanforderungen abgeben. Beim ersten Kunden begegnet Ihnen das nicht, aber es zeigt, wo die Messlatte hängt.

Zwei Prüfer, eine Website

Meist schauen zwei Stellen auf Sie, mit unterschiedlichen Fragen.

Der Einkauf fragt: Ist das ein echtes Unternehmen, mit dem wir einen Vertrag schließen können? Firmierung, Anschrift, Handelsregister, Geschäftsführung, vergleichbare Kunden, Preismodell, und ob es Sie in zwei Jahren noch gibt.

Die IT-Sicherheit fragt: Was passiert mit unseren Daten? Serverstandort, Unterauftragsverarbeiter, Zertifizierungen, Richtlinien, Kontakt bei Sicherheitsvorfällen, Umgang mit Schwachstellenmeldungen.

Beide lesen dieselbe Website. Ein Satz wie „Sicherheit auf Enterprise-Niveau“ hilft keinem von beiden. Konkrete Fakten helfen beiden.

Die 10 Punkte, nach denen Prüfer suchen

1. Impressum und Unternehmensangaben. Vollständige Firmierung, Anschrift, Registernummer, USt-IdNr. In Deutschland verlangt § 5 DDG, dass Anbieterangaben wie Rechtsform, Vertretungsberechtigte, Registernummer und Umsatzsteuer-Identifikationsnummer „leicht erkennbar und unmittelbar erreichbar“ sind. Prüfer in anderen Ländern suchen dieselben Angaben.
2. Sicherheitsseite oder Trust Center. Zertifizierungsstatus, Zusammenfassung der Richtlinien und wie man Berichte unter NDA anfordert.
3. Serverstandort und Unterauftragsverarbeiter. Wo die Daten liegen, wer sie in Ihrem Auftrag verarbeitet und wie lange Sie sie speichern.
4. AV-Vertrag und Datenschutzerklärung. Ein AVV zum Download oder ein klarer Hinweis, wie man ihn anfordert, dazu eine aktuelle Datenschutzerklärung.
5. Sicherheitskontakt und security.txt. Eine feste Adresse für Sicherheitsmeldungen. RFC 9116 beschreibt security.txt als maschinenlesbares Format, mit dem Organisationen ihren Umgang mit Schwachstellenmeldungen beschreiben. Es ist eine einzige kleine Textdatei.
6. Statusseite und Verfügbarkeitshistorie. Der Beleg, dass Sie Ihr Produkt überwachen und Kunden bei Störungen informieren.
7. Referenzen. Namentlich genannte Kunden aus vergleichbaren Branchen und Größen, mit Aufgabe und Ergebnis.
8. Preistransparenz. Mindestens die Pakete und wie sich der Preis zusammensetzt.
9. Wer hinter dem Unternehmen steht. Eine Team- oder Geschäftsführungsseite mit echten Namen.
10. Konsistenz. Dieselben Aussagen auf der Website, im Sales Deck und im ausgefüllten Fragebogen. Steht auf der Startseite „SOC 2“ und im Fragebogen „in Arbeit“, glaubt der Prüfer auch dem Rest nicht mehr.

Wenn Sie dabei gleich die ganze Website prüfen möchten: Unsere Website-Relaunch-Checkliste deckt Struktur, Geschwindigkeit und Inhalte ab.

Trust Center oder Sicherheitsseite?

Ein Trust Center ist ein eigener Bereich mit Sicherheitsdokumenten, die oft erst auf Anfrage und nach NDA freigegeben werden. Eine Sicherheitsseite ist eine gut strukturierte Unterseite.

In der Seed-Phase genügt meist die Sicherheitsseite. Ein Trust Center lohnt sich, wenn Sie Berichte teilen können und Lieferantenprüfungen zur wöchentlichen Aufgabe geworden sind. Vanta, das selbst ein Trust-Center-Produkt verkauft, gibt an, sein Trust Center verkürze Verkaufszyklen um 30 %. Das ist eine Herstellerangabe zum eigenen Produkt, kein unabhängiges Ergebnis. In derselben Mitteilung nennt Vanta Zahlen aus dem State of Trust Report 2023: Unter 2.500 IT- und Geschäftsverantwortlichen aus Australien, Frankreich, Deutschland, Großbritannien und den USA sagen zwei Drittel, dass Kunden, Investoren und Lieferanten zunehmend nach Nachweisen für Sicherheit und Compliance suchen.

Wenn Sie noch kein ISO 27001 oder SOC 2 haben

Keines der beiden Zertifikate ist gesetzlich vorgeschrieben. Es sind Anforderungen, die Kunden im Einkauf stellen. Vanta schreibt, dass Einkaufsabteilungen großer Unternehmen routinemäßig einen SOC-2-Bericht verlangen, die Aufnahme eines Lieferanten bis dahin pausieren können und Type 2 der Bericht ist, den die meisten Enterprise-Kunden letztlich fordern. Wenn Konzerne Ihr Markt sind, planen Sie das ein. Bis dahin können Sie ehrlich veröffentlichen:

• Den Status, klar formuliert. „Wir haben noch kein SOC 2. Die Vorbereitung läuft seit [Monat], einen Type-1-Bericht erwarten wir für [Quartal].“ Nennen Sie nur ein Datum, an das Sie selbst glauben.
• Die Maßnahmen, die tatsächlich laufen. Zum Beispiel SSO und MFA für das Team, Verschlüsselung bei Übertragung und Speicherung, Zugriffsprüfungen, Backups, Protokollierung. Nur was heute stimmt.
• Serverstandort und Hosting-Anbieter. Wo die Daten liegen und auf wessen Infrastruktur.
• Liste der Unterauftragsverarbeiter. Name, Zweck, Standort.
• AV-Vertrag. Von einem Anwalt aufgesetzt, zum Download oder auf Anfrage.
• Sicherheitskontakt und security.txt.
• Einen ausgefüllten Fragebogen auf Anfrage. Wenn Sie schon einmal einen beantwortet haben, bieten Sie eine bereinigte Fassung an.

Was Sie nie tun sollten: ein Zertifikatssiegel zeigen, das Sie nicht haben, „konform“ schreiben, ohne zu sagen, womit, oder im Deck mehr versprechen als auf der Sicherheitsseite.

Haben Sie ein Zertifikat, nennen Sie es, den Geltungsbereich, das Datum des letzten Berichts und wie man ihn unter NDA erhält. Sind Sie mitten im Prozess, sagen Sie, in welcher Phase.

Was Einkäufer im DACH-Raum und in der EU erwarten

In europäischen Prüfungen verdienen drei Themen besondere Aufmerksamkeit:

• Der AV-Vertrag. Art. 28 DSGVO verlangt bei Verarbeitung im Auftrag einen Vertrag. Machen Sie ihn leicht auffindbar.
• NIS2-Fragen zur Lieferkette. Ist Ihr Kunde eine wesentliche oder wichtige Einrichtung, rechnen Sie mit Fragen auch zu Ihren eigenen Dienstleistern. Ihre Liste der Unterauftragsverarbeiter beantwortet einen Teil davon.
• Impressum und Serverstandort. Deutsche Einkäufer erwarten ein vollständiges Impressum, weil § 5 DDG diese Angaben vorschreibt, und fragen oft, wo die Daten liegen. Beantworten Sie beides direkt auf der Website.

Referenzen und Preise: die kaufmännische Hälfte des Vertrauens

Die Sicherheit beantwortet die Frage: „Können wir Ihnen unsere Daten anvertrauen?“ Der Einkauf fragt außerdem: „Können wir uns auf Sie als Lieferanten verlassen?“

Darauf antworten Referenzen am besten, wenn sie Kunde, Branche, Größe und Ergebnis nennen. Ein passender, namentlich genannter Fall sagt mehr als fünf anonyme Logos.

Preise zählen mehr, als viele Gründer erwarten. In einer Studie von TrustRadius gaben 72 % der Käufer an, dass transparente Preise ihre Kaufbereitschaft erhöhen. Emily Kramer rät in der First Round Review, eine Paket- oder Preisseite anzulegen, auch wenn sie schlicht ist, weil Käufer danach suchen. Enterprise-Konditionen verhandeln Sie trotzdem. Der Prüfer muss nur sehen, dass es einen Preis gibt und wie er entsteht. Wenn Sie unsicher sind, was Ihre Website heute vermittelt, hilft ein Marken-Audit in 60 Minuten.

Wie dp.vision hilft und was wir nicht tun

dp.vision ist ein Senior-Studio für Marke, Website und Produkt für finanzierte, gründergeführte B2B-Tech-Unternehmen. Ein Team führt Sie von der Positionierung über Marke, Website und Deck bis zum Produkt, ausgerichtet auf einen Meilenstein in 4-16 Wochen, auch auf einen Vorstoß in den Konzernvertrieb. Sie arbeiten mit einem Strategen und einem festen Team aus unserem festen Team von über 20 Leuten, über eine einzige Ansprechperson. Wir sitzen in Poznań und arbeiten remote, auch mit Kunden im DACH-Raum. KI beschleunigt die Arbeit, Entscheidungen treffen Menschen.

Für den Konzernvertrieb gestalten und schreiben wir die Vertrauensebene Ihrer Website: die Struktur der Sicherheitsseite oder des Trust Centers, die Seite mit Unternehmensangaben, Referenzen und eine klare Paket- oder Preisseite, abgestimmt auf Ihr Sales Deck. Wir führen keine Sicherheitsaudits durch, vergeben keine Zertifikate und entwerfen keine AV-Verträge. Dafür brauchen Sie eine Compliance-Plattform und Rechtsberatung; wir sorgen dafür, dass deren Ergebnisse leicht zu finden sind und überall gleich lauten.

Pakete: Validate ab 2.500 €, Launch ab 9.000 €, Build ab 23.000 € (Paketübersicht). Ein Website-Relaunch mit Vertrauensseiten passt meist in Launch. Zur Einordnung: PaceSovereign und DailyMuse sind Beispielprojekte ab 40.000 USD im vollen Umfang: komplettes Branding, Pitch Deck, Unterstützung in der Investor Relations sowie Produktdemo und MVP. Mehr zu Kosten lesen Sie in Was kostet eine Website 2026.