Sicherheitsfragen an einen Softwareentwicklungspartner – und welche Nachweise gute Antworten belegen

Dieser Leitfaden richtet sich an Gründer, CTOs, Security Leads und Beschaffungsteams, die einen Partner in die engere Wahl nehmen, der Code für sie entwickeln soll. Unser Leitfaden zur Softwareentwicklung im Outsourcing behandelt Kosten, Teammodelle und die allgemeine Anbieter-Checkliste; diese Seite geht bei einem Punkt tiefer: Sicherheit. Es handelt sich um allgemeine Orientierung, nicht um ein Sicherheitsaudit.

Inhalt dieses Leitfadens

• Warum ein Entwicklungspartner andere Fragen erfordert
• Zwölf Fragen und die anzufordernden Nachweise
• Was Zertifikate belegen – und was nicht
• So führen Sie das Sicherheitsreview durch
• Warnsignale
• KI-Coding-Tools: drei weitere Fragen
• Alternativen und Auswahlkriterien
• Wie Netbase diese Fragen beantwortet
• Was an Liefernachweisen vorhanden ist – und was nicht
• Grenzen dieses Leitfadens
• Häufig gestellte Fragen
• Nächster Schritt

Warum ein Entwicklungspartner andere Fragen erfordert

Ein Softwareanbieter verkauft Ihnen ein fertiges Produkt. Ein Entwicklungspartner baut Ihr Produkt gemeinsam mit Ihnen, was sich darauf auswirkt, wo das Risiko liegt. Seine Entwickler pushen Code in Ihre Repositories, deployen in Ihre Cloud-Konten, lesen Ihre Spezifikationen und sehen manchmal Produktionsdaten. Ihre Laptops, Konten und Tools werden Teil Ihrer Angriffsfläche, und der Code, den sie schreiben, wird zur Sicherheit Ihres Produkts.

Ein Partnerreview hat daher zwei Hälften. Die erste ist Enterprise-Security: wie das Unternehmen sich selbst, seine Mitarbeiter und seine Systeme schützt. Die zweite ist Produktsicherheit: wie die Software, die für Sie entwickelt wird, entworfen, geprüft, getestet und gewartet wird. CISA und das FBI treffen dieselbe Unterscheidung in ihrem Secure by Demand-Leitfaden für Softwarekäufer und betonen Produktsicherheit – nicht nur die eigenen Kontrollen des Anbieters. Die meisten generischen Anbieter-Fragebögen decken die erste Hälfte gut und die zweite schlecht ab.

Zwölf Fragen und die anzufordernden Nachweise

Zwei Punkte auf dieser Liste sind neuer als die meisten Fragebögen. Zu Komponenten: CISA, die NSA, das FBI und internationale Partner veröffentlichten am 29. Juli 2026 die 2026 Minimum Elements for a Software Bill of Materials und ersetzten damit die NTIA-Elemente von 2021; die Anforderung eines SBOM ist inzwischen eine gängige Anforderung, keine exotische. Zu KI-Tools: siehe den Abschnitt unten.

Was Zertifikate belegen – und was nicht

ISO-27001-Zertifizierung und ein SOC-2-Bericht sind nützliche Signale, beantworten aber engere Fragen, als Käufer oft annehmen.

• Sie betreffen das Unternehmen, nicht Ihr Produkt. Ein Informationssicherheits-Managementsystem oder ein Satz geprüfter Kontrollen beschreibt, wie der Anbieter sich selbst führt. Es zertifiziert nicht die Anwendung, die der Anbieter für Sie entwickelt, oder Ihr Hosting.
• Der Scope ist entscheidend. Fragen Sie, welche Einheiten, Standorte und Leistungen das Zertifikat oder der Bericht abdeckt und ob Ihr Lieferteam innerhalb dieses Scopes arbeitet.
• Der Typ ist bei SOC 2 entscheidend. Der illustrative SOC-2-Typ-2-Bericht der AICPA zeigt, dass ein Typ-2-Bericht die Tests der Kontrollen durch den Prüfer und deren Ergebnisse über einen Zeitraum enthält – nicht nur eine Beschreibung der Kontrollen.
• Daten sind entscheidend. Ein Zertifikat läuft ab, ein Bericht deckt einen vergangenen Zeitraum ab; fordern Sie das aktuelle Dokument an.

Ein Partner ohne Zertifikat kann trotzdem gute Sicherheitspraktiken anwenden, und ein zertifizierter Partner kann trotzdem unsicheren Code liefern. Nutzen Sie Zertifikate, um die Prüfung zu verkürzen, niemals um die Produktfragen zu überspringen.

Warnsignale

• Antworten, die Tools nennen, aber deren Output nicht zeigen können.
• Geteilte Logins oder Zugang, der nie entzogen wird.
• Ihr Code liegt in den Repositories und Konten des Anbieters, nicht in Ihren.
• Kein schriftlicher Prozess für Vorfälle oder niemand, der dafür verantwortlich ist.
• Echte Kundendaten werden standardmäßig in Testumgebungen kopiert.
• Sicherheitstests nur als optionales Extra am Ende angeboten.
• Ein Zertifikat, das so präsentiert wird, als würde es Ihr Produkt abdecken.

KI-Coding-Tools: drei weitere Fragen

KI-gestützte Entwicklung ist inzwischen normal, auch bei Netbase, und wirft drei weitere Fragen auf. Erstens: Welche Tools dürfen Ihren Code sehen, und sind sie so konfiguriert, dass Ihre Eingaben nicht zum Training gemeinsamer Modelle verwendet werden? Zweitens: Wird jede KI-vorgeschlagene Änderung von einem namentlich bekannten Entwickler geprüft und denselben Tests und Scans unterzogen wie menschlicher Code? Drittens: Dürfen Sie KI-Unterstützung für sensible Repositories abschalten? Ein Partner, der diese Fragen nicht klar beantworten kann, hat nicht durchdacht, wohin Ihr Code gelangt. Netbase arbeitet mit den wichtigsten kommerziellen und Open-Source-KI-Tools und -Modellen, projektspezifisch ausgewählt, und jede KI-gestützte Änderung bleibt unter menschlicher Kontrolle.

Alternativen und Auswahlkriterien

Entscheiden Sie anhand von vier Kriterien: die Sensibilität der Daten, die das Team berührt, ob der Anbieter Zugang zur Produktion hat, Umfang und Laufzeit des Vertrags und ob Ihr Sektor eigene Vorschriften aufstellt.

Wie Netbase diese Fragen beantwortet

Die Sicherheitspraktiken von Netbase umfassen sicheres Code-Review und Versionskontrolle, TLS bei der Übertragung und AES im Ruhezustand, rollenbasierte Zugriffskontrolle, MFA für Admin-Dashboards, Schwachstellen-Scanning und Penetrationstests sowie Disaster Recovery. Mitwirkende arbeiten unter NDA, und NDAs, Auftragsverarbeitungsverträge und SLAs stehen Kunden auf Anfrage zur Verfügung. Netbase befolgt die DSGVO-Ausrichtung für den Datenschutz in Europa, HIPAA-konforme Methoden für den Umgang mit Gesundheitsdaten und CCPA-Compliance-Praktiken für Kunden mit US-amerikanischer Kundenbasis.

Netbase hält eine ISO-27001-Zertifizierung und eine SOC-2-Type-II-Attestierung. Beide decken die eigenen Abläufe von Netbase ab, nicht das Produkt oder Hosting eines Kunden; Zertifikat-Details werden im Rahmen der Due Diligence geteilt, nicht veröffentlicht. Bei der individuellen Softwareentwicklung von Netbase gehört das erstellte geistige Eigentum dem Kunden, während die produktisierten Module und Produkte der Business Division lizenziert, nicht übertragen werden; unser Leitfaden zum Schutz des geistigen Eigentums beim Outsourcing behandelt diese Klauseln. Die meisten Netbase-Projekte werden nach einer Discovery-Phase zu Festpreisen abgewickelt, und dieselben Sicherheitsbedingungen gelten für dedizierte Entwicklungsteams; die Abwägungen sind unter dediziertes Team vs. Festpreis beschrieben. Die vollständige Erklärung finden Sie unter Sicherheit und Compliance.

Was an Liefernachweisen vorhanden ist – und was nicht

• Was vorhanden ist. Seit 2020 ist Netbase als Offshore-Entwicklungs- und Managing-Partner an einer mandantenfähigen Cloud-ERP-Plattform für einen US-Kunden beteiligt, die als SaaS an kleine und mittelständische Unternehmen verkauft wird; der öffentliche Datensatz enthält den Namen des Kunden nicht. Netbase entwickelt und betreibt außerdem sein eigenes SaaS-Produkt, Printcart.
• Was nicht vorhanden ist. Kein veröffentlichter Netbase-Datensatz enthält Ergebnisse von Penetrationstests, Vorfallhistorien, Auditbefunde oder Reaktionszeiten, und keiner der oben genannten Datensätze ist ein Nachweis für eine bestimmte Kontrolle. Netbase veröffentlicht keine Zertifikatsnummern, Daten, Prüfer oder Scopes.

Grenzen dieses Leitfadens

• Er hilft Ihnen bei der Partnerwahl; er testet nicht Ihre Anwendung. Dafür siehe Application Security Assurance.
• Regulierte Sektoren wie Zahlungsverkehr oder Gesundheitswesen haben eigene Anforderungen; holen Sie spezialisierte Beratung ein.
• Standards ändern sich: Prüfen Sie die aktuellen ASVS-, SSDF- und SBOM-Leitlinien am Tag Ihres Reviews.
• Zur Steuerung der Sicherheit Release für Release nach Projektstart siehe Software-Qualitäts-Governance für ausgelagertes Delivery und die Release-Readiness-Checkliste; Quality Engineering und Testing führt beides durch.

Nächster Schritt

Senden Sie uns Ihren Sicherheitsfragebogen oder die obigen Fragen, und wir werden ein Solution Review buchen, um unsere Antworten gemeinsam mit dem Entwickler durchzugehen, der Ihr Projekt leiten würde. Sie können auch weitere Netbase Insights durchstöbern.

Verwandte Leistungen und Lösungen