Security Rating (Sicherheitsbewertung von Lieferanten)

Ein Security Rating ist eine Bewertung der Cybersicherheit eines Unternehmens, die allein aus dem entsteht, was von außen sichtbar ist: aus seinen Domains, öffentlich erreichbaren Systemen, Konfigurationen und bekannten Vorfällen. Das Ergebnis ist eine Note oder ein Score, der sich über die Zeit vergleichen lässt. Eingesetzt wird es vor allem für Lieferanten und Dienstleister, also für Unternehmen, in deren Systeme der Auftraggeber keinen Einblick hat.

Warum Security Ratings wichtig sind

Im Data Breach Investigations Report 2026 von Verizon war bei 48 Prozent der untersuchten Fälle mit bestätigtem Datenabfluss ein Dritter beteiligt, etwa ein Lieferant, ein Hosting-Anbieter oder ein externer IT-Dienstleister. Klassisch wird dieses Risiko mit Fragebögen und Audits erfasst. Beides ist eine Momentaufnahme und beruht zu großen Teilen auf Selbstauskunft.

Ein Security Rating ergänzt das um eine regelmäßige, unabhängige Sicht von außen. Es zeigt, ob ein Lieferant veraltete Software mit bekannten Schwachstellen betreibt, ob seine E-Mail-Domain gegen Spoofing geschützt ist und ob er auf einer Ransomware-Leak-Site aufgetaucht ist. Verschlechtert sich die Note, ist das ein konkreter Anlass nachzufragen, bevor aus der Schwäche ein Vorfall wird.

So funktioniert ein Security Rating

Der Anbieter der Bewertung untersucht die internetseitige Infrastruktur eines Unternehmens von außen, ohne Zugang zu dessen Systemen und ohne dessen Mitwirkung. Die Befunde werden Bewertungsbereichen zugeordnet, gewichtet und zu einem Score verdichtet, meist zusätzlich als Note. Welche Bereiche einfließen und wie sie gewichtet werden, legt jeder Anbieter selbst fest; Noten verschiedener Anbieter sind deshalb nicht direkt vergleichbar. blacklens.io bewertet neun Bereiche, hier mit ihren Namen in der englischsprachigen Oberfläche:

• Software patching: veraltete und nicht mehr unterstützte Software, bekannte Schwachstellen
• Application security: Security-Header, Cookies, Admin-Logins, Tracker
• Web encryption: Zertifikate, TLS-Protokolle und Cipher-Suites
• Breach events: geleakte Zugangsdaten, Einträge auf Ransomware-Leak-Sites
• Network filtering: exponierte Dienste, Fernzugänge, IoT-Geräte
• System reputation: Adressen und Hostnamen auf Blocklisten
• Email security: SPF, DKIM, DMARC, MTA-STS, STARTTLS
• DNS security: DNSSEC, Zonentransfers, CAA, Nameserver
• System hosting: Hosting-Anbieter, Standorte, Domain-Registrierung

So nutzt blacklens.io Security Ratings

Im Modul Supply Chain Monitoring bewertet blacklens.io jeden Lieferanten von außen; der Lieferant muss nichts installieren oder freigeben. Ein Lieferant entspricht einer registrierbaren Domain. Die erste Bewertung startet automatisch nach dem Hinzufügen, danach wird alle 7 Tage neu bewertet. Das Ergebnis ist eine Note von A bis F mit einem Score von 0 bis 100. Bereiche, die sich nicht messen lassen, bleiben außen vor, statt mit 0 zu zählen. Solange ein schweres Finding besteht, etwa eine aktiv ausgenutzte Schwachstelle oder ein Eintrag auf einer Ransomware-Leak-Site, ist die Note gedeckelt, und die Detailansicht nennt den Grund. Jedes Finding kommt mit Beschreibung und Anleitung zur Behebung („What was found“, „How to fix it“).

Fällt eine neue Bewertung schlechter aus als die vorherige, weil die Note sinkt oder eine aktiv ausgenutzte Schwachstelle, ein kritisches Finding oder ein Ransomware-Eintrag hinzukommt, meldet der Alert „Supplier risk increased“ das per E-Mail, Push oder Integration. Berichte gibt es je Lieferant (Supplier-Report, auf Abruf) und für das gesamte Portfolio (Supply-Chain-Report, einmalig oder zeitgesteuert). Die Ransomware-Watchlist ergänzt die Bewertung: Sie gleicht Leak-Sites etwa alle 30 Minuten mit den Domains Ihrer Lieferanten ab und meldet einen Lieferanten nach einem Angriff. Die Bewertung zeigt das Risiko davor.

Was kann ein Security Rating nicht leisten?

Ein Security Rating sieht nur, was von außen sichtbar ist. Über interne Kontrollen, Berechtigungen, Backups, Notfallpläne oder Schulungen eines Lieferanten sagt es nichts. Eine gute Note bedeutet deshalb nicht, dass ein Lieferant sicher ist, sondern dass er von außen keine offensichtlichen Schwächen zeigt. Auch die Zuordnung hat Grenzen: Bewertet wird, was sich der Domain des Lieferanten zuordnen lässt; Systeme unter anderen Domains oder bei weiteren Dienstleistern fehlen unter Umständen.

Ersetzt ein Security Rating den Lieferanten-Fragebogen?

Nein. Ein Fragebogen erfasst, was ein Lieferant über sich selbst angibt: Prozesse, Zertifizierungen, interne Kontrollen. Ein Security Rating misst, was von außen tatsächlich sichtbar ist, und zwar in kurzen Abständen statt einmal im Jahr. Sinnvoll ist die Kombination: Die Bewertung zeigt, bei welchen Lieferanten Sie genauer nachfragen sollten, der Fragebogen oder das Audit klärt, wie es intern aussieht.

Verlangen NIS2 und DORA ein Security Rating?

Nein, keine der beiden Regelungen schreibt ein bestimmtes Werkzeug vor. NIS2 verlangt in Artikel 21 Absatz 2 Buchstabe d Maßnahmen zur Sicherheit der Lieferkette und nach Absatz 3, dabei die spezifischen Schwachstellen jedes direkten Anbieters und die Qualität seiner Cybersicherheitspraxis zu berücksichtigen. DORA regelt das ICT-Drittparteienrisiko von Finanzunternehmen in den Artikeln 28 bis 30. Ein Security Rating kann dafür datierte Nachweise liefern, ersetzt aber keine vertraglichen und organisatorischen Maßnahmen.