SaaS in der Produktion: Die Sicherheitsfragen, die die Konzern-IT stellen muss

Die Schutzbedarfsanalyse für SOP-Software wird oft wie für ein beliebiges Dokumentationstool geführt — das unterschätzt die Datenklasse. Ein Prozessvideo enthält drei Schichten schützenswerter Information: das sichtbare Anlagenlayout (relevant für Sabotage- und Spionageszenarien), Prozessparameter wie Drehmomente, Temperaturen und Prüfmaße (das eigentliche Fertigungs-Know-how) und Personen (DSGVO und Mitbestimmung).

Daraus folgen konkrete Anforderungen: Verschlüsselung at rest und in transit ist Grundrauschen. Entscheidend sind Mandantentrennung (sieht Werk A die Prozesse von Werk B?), Schlüsselverwaltung, EU-Datenresidenz mit belastbarer Auftragsverarbeitung und die Frage, ob Videodaten für das Training von KI-Modellen verwendet werden — und falls ja, mit welcher vertraglichen Zusicherung der Kunde das ausschließen kann.

Zwei EU-Rechtsakte verschieben gerade die Beweislast. NIS2 verpflichtet wesentliche und wichtige Einrichtungen — darunter weite Teile des verarbeitenden Gewerbes — die Cybersicherheit ihrer Lieferkette aktiv zu managen. Praktisch heißt das: Die IT muss die Sicherheit jedes SaaS-Anbieters bewerten und dokumentieren. Ein Anbieter, der auf Assessment-Fragen ausweichend antwortet, ist damit nicht mehr nur ein schlechter Vertragspartner, sondern ein Compliance-Risiko in der eigenen NIS2-Dokumentation.

Der Cyber Resilience Act ergänzt die Produktseite: Produkte mit digitalen Elementen brauchen künftig eine Software Bill of Materials — eine maschinenlesbare Stückliste aller Komponenten und Abhängigkeiten. Der Hintergrund ist die Erfahrung aus Log4Shell und den Supply-Chain-Angriffen der letzten Jahre: Ohne SBOM weiß im Ernstfall niemand, welche Systeme eine verwundbare Bibliothek überhaupt enthalten. Für den Einkauf bedeutet das: Ein Anbieter, der heute auf Anfrage keine SBOM liefern kann, hat sein Dependency-Management nicht im Griff — unabhängig davon, wann die Übergangsfristen formal greifen.

Die folgenden acht Punkte trennen in der Praxis Anbieter mit gelebter Sicherheitsarbeit von Anbietern mit Compliance-Folien. Die jeweils zweite Spalte nennt den Nachweis, den die IT anfordern sollte — nicht die Selbstauskunft.

„Wir machen regelmäßig Pentests“ ist die häufigste und zugleich leerste Antwort im Vendor-Assessment. Belastbar wird sie durch drei Merkmale: Erstens den Prüfer — ein etabliertes, unabhängiges Testhaus mit Reputation, nicht der Scan-Dienst des eigenen Hosters. Zweitens den Scope — Webanwendung, APIs und Infrastruktur inklusive Mandantentrennung, nicht nur ein automatisierter Schwachstellenscan. Drittens den Umgang mit Ergebnissen — Findings, Behebung und Re-Test müssen für Kunden nachvollziehbar sein; die Bereitstellung des Berichts unter NDA ist im B2B-Umfeld der übliche und seriöse Weg.

Soperion hat diesen Weg kürzlich selbst durchlaufen: einen mehrwöchigen Penetrationstest durch die SySS GmbH, eines der etabliertesten unabhängigen Testhäuser Deutschlands, über Anwendung, APIs und Infrastruktur. Den Ergebnisbericht stellen wir Kunden-IT-Abteilungen im Assessment unter NDA zur Verfügung — aus unserer Sicht die einzige Form, in der die Aussage „wir wurden getestet“ überhaupt einen Prüfwert hat.

Produktionsnahe SaaS scheitert selten an der Technik und öfter an der Mitbestimmung. Wo Videos am Arbeitsplatz entstehen, sind §87 BetrVG und die DSGVO berührt — und damit der Betriebsrat zustimmungspflichtig. Wer das Thema erst nach der Tool-Auswahl adressiert, verliert Monate. Die Anbieter-seitige Antwort darauf ist technisch wie organisatorisch: automatische Gesichtsanonymisierung by default, keine Leistungs- oder Verhaltensauswertung einzelner Personen, und vorbereitete Unterlagen für die Betriebsvereinbarung, die die IT nicht selbst schreiben muss.