Ein Sicherheitslogo beantwortet selten genau die Frage, die dein Unternehmen gerade stellt. Es kann sich auf einen Infrastrukturbetreiber, eine Organisation oder einen abgegrenzten Dienst beziehen. Daraus folgt nicht automatisch, dass jede Funktion einer darauf betriebenen Diktier-App geprüft ist.
Die entscheidenden Informationen stehen nicht auf dem Badge, sondern im Geltungsbereich des Nachweises.
Vier Dinge, die vor dem Logo kommen
Lass dir benennen, wer geprüft wurde, welches System der Nachweis abdeckt, für welchen Zeitraum er gilt und welche Annahmen über den Betrieb bestehen. Erst dann lässt sich beurteilen, ob das Dokument zu eurem Einsatz passt.
Die Aussage „Unser Rechenzentrum ist geprüft“ ist nicht dasselbe wie „Unsere gesamte Anwendung einschließlich Inferenz, Supportzugriff und Löschverfahren war Gegenstand dieser Prüfung“. Beide können wertvoll sein. Sie beantworten unterschiedliche Fragen.
Ein konkretes Beispiel: C5 richtig benennen
Das BSI erklärt, dass C5-Testierungen von externen Stellen beauftragt und durchgeführt werden. Es handelt sich nicht um eine Zertifizierung des BSI. Das BSI weist außerdem darauf hin, dass ein Testat allein nicht für jede Anforderung seines Mindeststandards genügt. R01
Für eine Beschaffung heißt das: Lass den Begriff im Angebot präzise stehen. Ein C5-Testat sollte nicht als beliebiges „BSI-zertifiziert“-Versprechen umgeschrieben werden. Die genauere Formulierung ist keine Schwäche, sondern macht den Nachweis prüfbar.
Die Nachweiskarte für dein Einkaufsteam
Nach rechts scrollen, um alle Spalten zu vergleichen.
| Feld | Was du eintragen solltest |
|---|---|
| Dokument | Exakter Titel und Art des Nachweises. |
| Inhaber | Geprüfte Gesellschaft oder Organisation. |
| Geltungsbereich | Dienst, Komponenten und Standorte. |
| Zeitraum | Datum, Prüfperiode oder Gültigkeit. |
| Einschränkungen | Ausnahmen und offene Punkte. |
| Kundenpflichten | Maßnahmen, die ihr selbst umsetzen müsst. |
| Produktbezug | Welche Diktierfunktion davon tatsächlich erfasst ist. |
Das Formular verhindert, dass verschiedene Dokumente zu einer einzigen unpräzisen Aussage zusammenfallen.
Warum Datenschutz und Sicherheit nicht dasselbe sind
Eine technische Sicherheitsprüfung kann relevante Kontrollen untersuchen. Sie beantwortet nicht automatisch jede Frage nach der zulässigen Nutzung eurer konkreten Daten. Ebenso bedeutet Verschlüsselung nicht, dass keine Speicherung stattfindet.
Für Diktieren müssen deshalb weiterhin Datenklassen, Retention, Zugriffe und Verarbeitungswege betrachtet werden. Ein guter Nachweis ergänzt diese Prüfung. Er ersetzt sie nicht durch ein grünes Häkchen.
Dieser Artikel ist eine technische Beschaffungshilfe. Die rechtliche Bewertung des konkreten Einsatzes gehört zu den zuständigen Personen im Unternehmen.
Was bei eigener Cloud und Hardware anders wird
Wenn ihr Komponenten selbst betreibt, können Verantwortlichkeiten von der Anbieterseite auf euch übergehen. Ein Nachweis für einen Anbieterdienst lässt sich dann nicht automatisch auf eure veränderte Konfiguration übertragen.
Kläre deshalb, welche Kontrollen der Hersteller liefert und welche ihr betreiben müsst. Dazu können Updateprozesse, Zugriffsschutz, Backups und Überwachung gehören. Welche davon tatsächlich erforderlich sind, ergibt sich aus der gewählten Architektur und euren Anforderungen.
Bei einem Hardwarepartner kommt eine weitere Zuordnung hinzu. Ein geprüftes Rechenzentrum, ein vertrauenswürdiger Gerätehersteller und eine geprüfte Anwendung sind drei unterschiedliche Aussagen.
Eine faire Regel für Herstellervergleiche
Nicht öffentlich sichtbare Dokumente sind nicht automatisch nicht vorhanden. Ein Anbieter kann bestimmte Berichte auf Anfrage bereitstellen. Schreibe in eine Vergleichstabelle daher „Nachweis anfordern“, wenn genau das der Kenntnisstand ist.
Umgekehrt genügt ein öffentliches Logo nicht, um den Geltungsbereich zu behaupten. Für einen direkten Produktvergleich muss der tatsächlich relevante Nachweis vorliegen oder die Lücke sichtbar bleiben.
Unser Maßstab für 
Eine allgemeine Formulierung wie „alles zertifiziert“ wäre ohne genaue Dokumente keine belastbare Produktinformation. Für sollen Sicherheitsangaben deshalb auf benennbare Nachweise und einen konkreten Betriebsumfang zurückgeführt werden.
Bis solche Nachweise für eine bestimmte Konfiguration bestätigt sind, gehört keine entsprechende Zusage in das Angebot. Das gilt auch dann, wenn einzelne technische Partner bereits eigene Prüfungen besitzen.
Vertrauen entsteht nicht dadurch, dass man möglichst viele Siegel nebeneinanderstellt. Es entsteht dadurch, dass ein Kunde jede wichtige Aussage einem passenden Nachweis zuordnen kann.
Weiterführende Ratgeber
- Zero Data Retention bei Diktiersoftware: Was genau bleibt nicht gespeichert?
- Diktiersoftware in eigener Cloud oder On-Premises: Was Unternehmen prüfen sollten
- Diktiersoftware einkaufen: Die Checkliste für IT, Datenschutz und Fachbereich
Quellen und Einordnung
- R01: BSI: FAQ zum Mindeststandard für externe Cloud-Dienste. C5-Testate werden extern beauftragt und sind keine BSI-Zertifizierung. Testat allein bestätigt nicht jede Kundenanforderung.
Beispiel: Einkaufsleiterin Frau Sommer prüft, was hinter dem Sicherheitslogo wirklich steht
Frau Sommer hat ein Diktier-Tool gefunden, das mit einem prominenten Sicherheitszertifikat wirbt. Bevor sie es dem Datenschutz vorlegt, will sie wissen: Bezieht sich der Nachweis auf die gesamte Anwendung – oder nur auf das Rechenzentrum, in dem sie läuft? Sie prüft den Geltungsbereich, den Zeitraum und die getroffenen Annahmen. Dann vergleicht sie mit : Hier werden Sicherheitsangaben auf konkrete, benennbare Nachweise zurückgeführt und der genaue Betriebsumfang transparent gemacht. Frau Sommer erkennt: Erst wenn ein Anbieter präzise sagt, was geprüft wurde und was nicht, kann sie eine verantwortbare Einkaufsentscheidung treffen.
Ein Sicherheitslogo ist erst der Anfang der Prüfung, nicht das Ende. setzt auf Transparenz statt auf Siegel-Sammlung: Sicherheitsangaben werden auf konkrete Nachweise und einen klar benannten Betriebsumfang zurückgeführt – nicht auf allgemeine Versprechen. Wenn Ihr Unternehmen Diktiersoftware einkauft, verdienen Sie Antworten, denen Sie jede relevante Aussage eindeutig zuordnen können. Prüfen Sie und entscheiden Sie auf Basis dessen, was wirklich geprüft ist. prüfen
