Sicherheitsfragen an einen Softwareentwicklungspartner und die Nachweise hinter guten Antworten

Dieser Leitfaden richtet sich an Gründer, CTOs, Security-Leads und Beschaffungsteams, die einen Partner in die engere Wahl ziehen, der Code für sie schreibt. Unser Leitfaden zur Softwareentwicklung im Outsourcing behandelt Kosten, Teammodelle und die allgemeine Vendor-Checkliste; diese Seite vertieft einen Punkt davon: Sicherheit. Es sind allgemeine Hinweise, kein Sicherheits-Audit.

In diesem Leitfaden

• Warum ein Entwicklungspartner andere Fragen erfordert
• Zwölf Fragen und die einzufordernden Nachweise
• Was Zertifikate beweisen – und was nicht
• So führen Sie die Sicherheitsprüfung durch
• Warnsignale
• KI-Coding-Tools: drei weitere Fragen
• Alternativen und Auswahlkriterien
• Wie Netbase diese Fragen beantwortet
• Welche Liefernachweise existieren – und welche nicht
• Grenzen dieses Leitfadens
• Häufig gestellte Fragen
• Nächster Schritt

Warum ein Entwicklungspartner andere Fragen erfordert

Ein Softwareanbieter verkauft Ihnen ein fertiges Produkt. Ein Entwicklungspartner baut das Produkt gemeinsam mit Ihnen – das verschiebt die Risikoverteilung. Seine Entwickler pushen Code in Ihre Repositories, deployen in Ihre Cloud-Konten, lesen Ihre Spezifikationen und sehen manchmal Produktionsdaten. Ihre Laptops, Konten und Tools werden Teil Ihrer Angriffsfläche, und der Code, den sie schreiben, wird zur Sicherheit Ihres Produkts.

Eine Partnerprüfung hat daher zwei Teile. Der erste ist Enterprise-Sicherheit: wie das Unternehmen sich selbst, seine Mitarbeiter und seine Systeme schützt. Der zweite ist Produktsicherheit: wie die für Sie entwickelte Software entworfen, geprüft, getestet und gewartet wird. CISA und das FBI treffen dieselbe Unterscheidung in ihrem Secure by Demand Guide für Softwarekäufer und betonen Produktsicherheit – nicht nur die eigenen Kontrollen des Anbieters. Die meisten generischen Vendor-Fragebögen decken den ersten Teil gut ab und den zweiten schlecht.

Zwölf Fragen und die einzufordernden Nachweise

Zwei Punkte dieser Liste sind neuer als die meisten Fragebögen. Zu Komponenten: CISA, die NSA, das FBI und internationale Partner haben am 29. Juli 2026 die 2026 Minimum Elements for a Software Bill of Materials veröffentlicht und damit die NTIA-Elemente von 2021 abgelöst; die Anforderung einer SBOM ist inzwischen ein Standard, keine exotische Forderung. Zu KI-Tools: siehe den Abschnitt unten.

Was Zertifikate beweisen – und was nicht

Eine ISO-27001-Zertifizierung und ein SOC-2-Bericht sind nützliche Signale, beantworten aber engere Fragen, als Käufer oft annehmen.

• Sie decken das Unternehmen ab, nicht Ihr Produkt. Ein Informationssicherheits-Managementsystem oder ein Satz geprüfter Kontrollen zeigt, wie der Anbieter sich selbst organisiert. Es zertifiziert nicht die Anwendung, die der Anbieter für Sie entwickelt, und auch nicht Ihr Hosting.
• Der Geltungsbereich zählt. Fragen Sie, welche Unternehmen, Standorte und Dienste das Zertifikat oder der Bericht abdeckt und ob Ihr Lieferteam innerhalb dieses Geltungsbereichs arbeitet.
• Der Typ zählt bei SOC 2. Der illustrative SOC-2-Type-2-Bericht der AICPA zeigt, dass ein Type-2-Bericht die Tests der Kontrollen durch den Prüfer und deren Ergebnisse über einen Zeitraum enthält – nicht nur eine Beschreibung der Kontrollen.
• Das Datum zählt. Ein Zertifikat läuft ab, und ein Bericht deckt einen vergangenen Zeitraum ab; fordern Sie das aktuelle Exemplar an.

Ein Partner ohne Zertifikat kann Sicherheit dennoch gut praktizieren, und ein zertifizierter Partner kann dennoch unsicheren Code liefern. Nutzen Sie Zertifikate, um die Prüfung abzukürzen – niemals, um die Produktfragen zu überspringen.

Warnsignale

• Antworten, die Tools nennen, aber deren Output nicht zeigen können.
• Gemeinsam genutzte Logins oder Zugänge, die nie entfernt werden.
• Ihr Code in den Repositories und Konten des Anbieters statt in Ihren eigenen.
• Kein schriftlicher Prozess für Vorfälle oder niemand, der dafür verantwortlich ist.
• Echte Kundendaten standardmäßig in Testumgebungen kopiert.
• Sicherheitstests nur als optionales Extra am Ende angeboten.
• Ein Zertifikat, das so präsentiert wird, als würde es Ihr Produkt abdecken.

KI-Coding-Tools: drei weitere Fragen

KI-gestützte Entwicklung ist heute normal, auch bei Netbase, und wirft drei weitere Fragen auf. Erstens: Welche Tools können Ihren Code einsehen, und sind sie so konfiguriert, dass Ihre Eingaben nicht zum Training geteilter Modelle verwendet werden? Zweitens: Wird jede KI-vorgeschlagene Änderung von einem benannten Entwickler geprüft und denselben Tests und Scans unterzogen wie menschlich geschriebener Code? Drittens: Können Sie die KI-Unterstützung für sensible Repositories abschalten? Ein Partner, der diese Fragen nicht klar beantworten kann, hat nicht darüber nachgedacht, wohin Ihr Code gelangt. Netbase arbeitet mit den wichtigsten kommerziellen und Open-Source-KI-Tools und -Modellen, projektbezogen ausgewählt, und jede KI-gestützte Änderung bleibt unter menschlicher Prüfung.

Alternativen und Auswahlkriterien

Wählen Sie anhand von vier Kriterien: der Sensibilität der Daten, auf die das Team zugreifen wird, ob der Anbieter Produktionszugang erhält, der Größe und Laufzeit des Auftrags und ob Ihre Branche eigene Regeln setzt.

Wie Netbase diese Fragen beantwortet

Die Sicherheitspraktiken von Netbase umfassen Secure Code Review und Versionsverwaltung, TLS bei der Übertragung und AES im Ruhezustand, rollenbasierte Zugriffskontrolle, MFA für Admin-Dashboards, Schwachstellen-Scanning und Penetrationstests sowie Disaster Recovery. Mitwirkende arbeiten unter NDA; NDAs, Auftragsverarbeitungsverträge und SLAs stehen Kunden auf Anfrage zur Verfügung. Netbase folgt der DSGVO-Ausrichtung für den Datenschutz in Europa, HIPAA-konformen Methoden für die Verarbeitung von Gesundheitsdaten und CCPA-Compliance-Praktiken für Kunden mit US-amerikanischer Kundenbasis.

Netbase besitzt eine ISO-27001-Zertifizierung und eine SOC-2-Type-II-Attestierung. Beide decken den Betrieb von Netbase ab, nicht das Produkt oder Hosting eines Kunden; Zertifikatsdetails werden im Rahmen der Due Diligence weitergegeben, nicht veröffentlicht. Bei der Custom-Entwicklung von Netbase gehört das für den Kunden erstellte IP diesem, während Netbase-Produktmodule und Produkte der Business Division lizenziert und nicht übertragen werden; unser Leitfaden zum IP-Schutz beim Outsourcing behandelt diese Klauseln. Die meisten Netbase-Projekte werden als Festpreisprojekte nach der Discovery abgewickelt, und dieselben Sicherheitsbedingungen gelten für dedizierte Entwicklungsteams; siehe dediziertes Team vs. Festpreis für die Abwägungen. Die vollständige Erklärung finden Sie unter Sicherheit und Compliance.

Welche Liefernachweise existieren – und welche nicht

• Was existiert. Seit 2020 ist Netbase als Offshore-Entwicklungs- und Managing-Partner an einem mandantenfähigen Cloud-ERP für einen US-Kunden beteiligt, das als SaaS an kleine und mittlere Unternehmen verkauft wird; der öffentliche Nachweis nennt den Kundennamen nicht. Netbase entwickelt und betreibt außerdem seine eigene SaaS-Lösung, Printcart.
• Was nicht existiert. Kein veröffentlichter Nachweis von Netbase enthält Ergebnisse von Penetrationstests, Vorfallsgeschichte, Audit-Findings oder Reaktionszeiten; keiner der oben genannten Nachweise belegt eine bestimmte Kontrolle. Netbase veröffentlicht keine Zertifikatsnummern, Daten, Prüfer oder Geltungsbereiche.

Grenzen dieses Leitfadens

• Er hilft Ihnen bei der Partnerwahl; er testet nicht Ihre Anwendung. Dafür siehe Application Security Assurance.
• Regulierte Branchen wie Zahlungsverkehr oder Gesundheitswesen haben eigene Anforderungen; holen Sie spezialisierte Beratung ein.
• Standards ändern sich: Prüfen Sie die aktuellen ASVS-, SSDF- und SBOM-Leitlinien am Tag Ihrer Prüfung.
• Für die Release-by-Release-Steuerung der Sicherheit nach Projektbeginn siehe Software-Qualitäts-Governance für ausgelagerte Entwicklung und die Release-Readiness-Checkliste; Quality Engineering und Testing deckt beides ab.

Nächster Schritt

Senden Sie uns Ihren Sicherheitsfragebogen oder die obigen Fragen, und wir vereinbaren ein Solution-Review, in dem der Entwickler, der Ihr Projekt leiten würde, unsere Antworten erläutert. Sie können auch weitere Netbase-Insights durchstöbern.

Verwandte Leistungen und Lösungen