Diese Seite erklärt, wie Suploris die Note eines Lieferanten berechnet.
Prüfer und Lieferanten sehen so, worauf eine Note beruht. Jede Note in der App lässt sich bis zur einzelnen Messung zurückverfolgen.
Bewertungsschemata und Version
- Suploris Sicherheit v1 (security-v1)
- Note allein aus der Außenprüfung. Sie gilt, solange kein Fragebogen und keine Nachweise vorliegen.
- Suploris Sicherheit v2 (security-v2)
- Note aus Außenprüfung, Fragebogen und Nachweisen. Das ist der Standard für bewertete Lieferanten.
Jede festgehaltene Bewertung speichert die verwendete Version. Eine neue Regel bekommt eine neue Version.
Von Punkten zur Note
Die Rechnung ergibt 0 bis 100 Punkte. Daraus folgt die Note A bis E.
| Note | Punkte | Bedeutung |
|---|---|---|
| A | ab 90 Punkten | sehr gut |
| B | ab 75 Punkten | gut |
| C | ab 60 Punkten | mit Lücken |
| D | ab 40 Punkten | schwach |
| E | unter 40 Punkten | kritisch |
Außenprüfung: Bereiche und Prüfungen
Die Außenprüfung misst nur öffentliche Daten: DNS-Einträge, den TLS-Handshake und öffentliche Webseiten.
Jeder Bereich hat ein Gewicht. Innerhalb eines Bereichs zählt jede Prüfung nach ihrem Gewicht.
E-Mail: Gewicht 40 %
| Prüfung | Gewicht | Warum |
|---|---|---|
| Mailserver | ohne Punkte, Grundlage für andere Prüfungen | Zeigt, ob die Domain E-Mails empfängt. Davon hängen weitere Prüfungen ab. |
| Erlaubte Absender (SPF) | 3 | SPF legt fest, welche Server Mails im Namen der Domain senden dürfen. |
| Schutz vor gefälschten Absendern (DMARC) | 3 | DMARC sagt Empfängern, was mit gefälschten Mails im Namen der Domain passiert. |
| Verschlüsselte Zustellung (MTA-STS) | 1 | MTA-STS verhindert, dass eingehende Mails unverschlüsselt umgeleitet werden. |
| Berichte zur Mailverschlüsselung (TLS-RPT) | 0.5 | TLS-RPT meldet Ihnen, wenn verschlüsselte Zustellung scheitert. |
Web: Gewicht 40 %
| Prüfung | Gewicht | Warum |
|---|---|---|
| Verschlüsselte Website (HTTPS) | 4 | Ohne HTTPS können Dritte mitlesen und Inhalte verändern. |
| Weiterleitung auf HTTPS | 1 | Besucher, die „http“ eingeben, sollen automatisch verschlüsselt verbinden. |
| Zertifikat | 4 | Ein gültiges Zertifikat beweist Besuchern, dass sie auf der echten Website sind. |
| Veraltete Verschlüsselung (TLS 1.0 und 1.1) | 2 | TLS 1.0 und 1.1 gelten als unsicher und sollten abgeschaltet sein. |
| HTTPS erzwingen (HSTS) | 2 | HSTS sagt Browsern, die Website nur verschlüsselt aufzurufen. |
| Sicherheits-Header | 2 | Diese Header schützen Besucher vor eingeschleusten Skripten und fremden Rahmen. |
| Versionsangaben des Servers | 0.5 | Versionsnummern helfen Angreifern, passende Lücken zu finden. |
| Meldestelle für Sicherheitslücken (security.txt) | 1 | Finder von Lücken wissen damit, wohin sie sich wenden. |
DNS: Gewicht 20 %
| Prüfung | Gewicht | Warum |
|---|---|---|
| Signierte DNS-Einträge (DNSSEC) | 2 | DNSSEC schützt davor, dass Besucher auf gefälschte Server umgeleitet werden. |
| Erlaubte Zertifizierungsstellen (CAA) | 1 | CAA legt fest, wer Zertifikate für die Domain ausstellen darf. |
| Ablauf der Domain | 1 | Läuft die Domain ab, sind Website und E-Mail weg. |
Regeln der Rechnung
- Ein Bereich, der sich nicht messen lässt, fällt aus der Rechnung. Die übrigen Gewichte werden hochgerechnet.
- Lassen sich HTTPS, SPF und DMARC nicht messen, gibt es keine Note. Die App zeigt dann „nicht bewertbar“.
- Für manche Unternehmensarten gelten Ausnahmen. Ein Hoster darf etwa mehrere Zertifizierungsstellen erlauben.
- Eine angenommene Antwort zählt 100 %, eine noch offene 50 %. Abgelehnte oder nachgefragte Antworten zählen nicht.
Schema v2: drei Teile
Im Schema v2 setzt sich die Note aus drei Teilen zusammen. Fehlt ein Teil, fällt er aus der Rechnung.
| Teil | Gewicht | Inhalt |
|---|---|---|
| Außenprüfung | 40 % | Passive Messung der Hauptdomain, wie oben beschrieben. |
| Fragebogen | 40 % | Antworten des Lieferanten zu den zehn Themen aus § 32 Abs. 4 NISG 2026. Jedes Thema zählt gleich. |
| Nachweise | 20 % | Anteil der Nachweise laut Profil des Tiers, die angenommen und gültig sind. |
Vertrauensgrad
- Außenprüfung: Die Note beruht nur auf der Messung von außen.
- Selbstauskunft: Dazu kommt ein Fragebogen ohne geprüfte Nachweise.
- Belegt: Alle Nachweise, die das Tier verlangt, sind angenommen und gültig.
Prüfrhythmus
Tier 1 wird täglich geprüft, Tier 2 wöchentlich, alle anderen monatlich. Je Domain gibt es höchstens eine Messung pro Tag.
Was die Außenprüfung nicht sieht
- Offene Ports und Dienste: Suploris sucht nicht danach.
- Interne Systeme, Prozesse und Menschen.
- Subdomains außer der Adresse mit www.
Diese Lücken schließen Fragebogen und Nachweise. Darum zeigt die App den Vertrauensgrad neben der Note.
Künstliche Intelligenz
Suploris nutzt derzeit keine KI für Bewertungen. Noten entstehen nur aus den Regeln auf dieser Seite.
Für Vorschläge zu Registerdaten nutzt Neuralis GmbH i.G. Claude von Anthropic, USA. Gesendet werden nur öffentliche Registerangaben, keine Kundendaten. Ein Mensch prüft jeden Vorschlag Feld für Feld. Ein Vorschlag ändert keine Note.
Kommt KI dazu, nennt diese Seite Anbieter, Ort der Verarbeitung und Kennzeichnung. Eine KI ändert nie eine Note ohne Bestätigung durch einen Menschen.
Fair zum Lieferanten
Lieferanten sehen ihre Befunde, können sie richtigstellen und Nachweise liefern. Ergebnisse über Dritte macht Suploris nicht öffentlich.
Was die Außenprüfung abruft und wie Sie widersprechen: Info zum Selbsttest.
Fragen zur Methodik oder einen Messfehler melden Sie an security@suploris.com.