Der Rahmenvertrag liegt beim Vertrieb. Vorne die Leistung, hinten ein Anhang zur Informationssicherheit, Unterschrift bis Monatsende, weil der Abschluss noch ins Quartal soll. Die Sicherheitsklauseln im Kundenvertrag liest in vielen KMU niemand, der sie später einhalten muss. Das ist selten ein juristisches Problem, sondern ein operatives: Es entstehen Zusagen, von denen der Betrieb erst erfährt, wenn ein Kunde sie einfordert.
Ab dann ist die Meldefrist eine Frist und die Zertifizierung ein Datum, und verhandelt wird darüber nichts mehr.
Sicherheitsklauseln im Kundenvertrag erzeugen Pflichten, die Monate später im Betrieb auftauchen: Meldefristen, Auditrechte, Zertifikate mit Stichtag, Zustimmungspflichten für Subunternehmer. Vor der Unterschrift sind das Verhandlungspunkte. Danach sind es Kosten. Die teuerste Sicherheitsmassnahme im KMU ist oft ein Satz, den niemand aus der Sicherheit gesehen hat.
Eine Vertragsklausel ist eine Sicherheitsmassnahme ohne Budget
Wenn ein KMU Geld für Sicherheit ausgibt, läuft das über eine Beschaffung: Angebot, Vergleich, Freigabe, Budgetposition. Eine Sicherheitsklausel im Kundenvertrag läuft anders. Sie kommt über den Vertrieb ins Haus, sie hat keinen Preis und keinen Budgetposten, und sie erzeugt trotzdem Arbeit über die ganze Vertragsdauer. Ein Auditrecht kostet Vorbereitung und Begleitung durch Leute, die auch die normale IT betreiben. Hinter einer Zertifizierungspflicht steckt ein Aufbauprogramm plus Auditkosten, hinter einer Meldepflicht jemand, der ausserhalb der Bürozeiten entscheiden darf.
Unangenehm daran ist, dass diese Pflichten oft sinnvoll sind. Ein Kunde, der Anforderungen stellt, tut etwas Richtiges. Nur werden sie an der einen Stelle im Unternehmen entschieden, an der niemand die Betriebsfolgen abschätzen kann.
Nach der Unterschrift kaufen viele Firmen ein Tool, das die Zusage abdecken soll. Meistens ist das die falsche Richtung. Die Klausel verlangt keine Software, sondern eine Zuständigkeit: jemanden, der im Ernstfall entscheidet, berichtet und unterschreibt. Mehr Schutz, weniger Tools, weniger Kosten gilt auch hier, aber nur, wenn du vorher weisst, was du zusagst.
Welche Sicherheitsklauseln im Kundenvertrag kosten am meisten?
Am teuersten sind die Klauseln, die eine laufende Leistung verlangen und nicht einen Zustand. Ein Satz über Verschlüsselung ist in der Regel schnell erfüllt. Eine 24-Stunden-Meldefrist, ein jährliches Auditrecht vor Ort und ein Zertifikat mit Stichtag binden dagegen jedes Jahr Zeit und Geld von Leuten, die ihr nicht doppelt habt.
| Klausel | Was sie im Betrieb auslöst |
|---|---|
| Meldung eines Vorfalls innert 24 oder 48 Stunden | Erkennung, Einschätzung und Entscheidungsweg rund um die Uhr. Die Frist läuft auch am Samstag. |
| Auditrecht des Kunden vor Ort | Vorbereitung, Begleitung, Nachweise, Nachbearbeitung. Zwei bis drei Arbeitstage pro Audit, in unserer Erfahrung mehr beim ersten Mal. |
| Zertifikat bis zu einem Datum | Ein ISMS-Aufbau plus externe Auditkosten plus Überwachungsaudits in den Folgejahren. |
| Zustimmung vor dem Einsatz von Subunternehmern | Jeder Wechsel eines Cloud-Dienstes oder Dienstleisters braucht eine Freigabe des Kunden. |
| Löschung und Rückgabe aller Daten am Vertragsende | Ihr müsst wissen, wo die Daten dieses Kunden liegen. Inklusive Backups und Archive. |
| Technische Mindestanforderungen mit Fristen | Patchfristen und Härtungsvorgaben, die über den heutigen Betrieb hinausgehen können. |
Die letzte Zeile fällt beim Lesen am wenigsten auf und hält im Alltag am schlechtesten. Eine Klausel, die Patches für kritische Lücken innert sieben Tagen verlangt, ist schnell zugesagt. Sie bedeutet aber, dass ein Produktionssystem an einem Mittwoch neu startet, auch wenn gerade Hochsaison ist. Diese Abwägung gehört in die Geschäftsleitung und nicht ins Vertragsarchiv.
Was eine 24-Stunden-Meldefrist im Betrieb verlangt
Die bekannteste Sicherheitsklausel im Kundenvertrag ist die Meldefrist. Sie wirkt harmlos, weil eine Meldung schnell geschrieben ist. Kurz sind diese Fristen, weil sie bei den Kunden selbst aus Regulierung stammen und von dort in die Lieferkette weitergegeben werden. In der Schweiz gilt eine 24-Stunden-Frist gesetzlich nur für Betreiber kritischer Infrastrukturen, die Cyberangriffe seit dem 1. April 2025 innert 24 Stunden nach Entdeckung an das BACS melden müssen (Quelle: Informationen zur Meldepflicht des Bundesamts für Cybersicherheit). Im Datenschutz steht keine Stundenzahl im Gesetz. Nach Art. 24 des revidierten Datenschutzgesetzes meldet der Verantwortliche eine Verletzung der Datensicherheit mit hohem Risiko "so rasch als möglich" an den EDÖB (Quelle: Datenschutzgesetz auf Fedlex).
Dein Vertrag darf strenger sein als beides, und oft ist er es. Das ist legitim, nur verschiebt es die eigentliche Schwierigkeit. Die 24 Stunden sind nicht das Problem. Das Problem ist der Weg zur Meldung. Wer merkt am Freitagabend, dass etwas passiert ist, wer darf entscheiden, dass es meldepflichtig ist, und wer darf einem Grosskunden schreiben, dass seine Daten betroffen sein könnten. Sind diese drei Fragen vorher geklärt, ist die Frist einhaltbar. Sind sie es nicht, hilft auch kein zusätzliches Monitoring, weil die Zeit in der Abstimmung verloren geht und nicht in der Technik.
Dasselbe Muster taucht bei EU-Kunden auf, wenn Anforderungen aus der NIS2-Richtlinie über den Vertrag weitergereicht werden. Wie das in Schweizer KMU ankommt, steht in NIS2 und Schweizer KMU.
Wer prüft die Sicherheitsklauseln, bevor unterschrieben wird?
Eine Person mit Mandat, kein Gremium. In KMU funktioniert das, wenn der Vertrieb genau eine Adresse hat, an die ein Vertrag mit Sicherheitsanhang geht, und wenn diese Adresse innert zwei Arbeitstagen antwortet. Alles Schwerfälligere umgeht der Vertrieb, weil der Abschluss drängt. Zuständigkeit ohne Reaktionszeit ist keine Zuständigkeit, sondern ein Flaschenhals.
Die Prüfung einer Sicherheitsklausel ist kein Rechtsgutachten. Sie liefert drei mögliche Antworten, und ihr Wert liegt darin, dass sie überhaupt vor der Unterschrift fällt:
- Können wir heute halten. Die Zusage deckt sich mit dem, was ohnehin läuft.
- Können wir halten, kostet aber. Erfüllbar, verlangt jedoch Aufwand, Budget oder eine zusätzliche Rolle. Tragbar ist die Zusage, sobald Kosten und Besitzer benannt sind.
- Können wir nicht halten. Entweder nachverhandeln oder bewusst als Risiko akzeptieren, dokumentiert und von der Geschäftsleitung getragen. Nicht stillschweigend hoffen.
Der dritte Fall ist der wichtigste, und er ist eine Geschäftsentscheidung, keine IT-Entscheidung. Ein Auftrag kann es wert sein, eine Zusage einzugehen, die heute nicht gedeckt ist. Dann weiss die Geschäftsleitung aber, dass sie gerade ein Projekt gekauft hat und nicht nur einen Kunden.
Ein Beispiel, wie das in der Praxis aussieht
Nimm einen Maschinenbauer im Aargau mit 130 Mitarbeitenden, der einen Rahmenvertrag mit einem grossen Industriekunden abschliesst. Der Sicherheitsanhang verlangt drei Dinge: ISO 27001 innert zwölf Monaten, Meldung von Vorfällen innert 24 Stunden, ein Auditrecht des Kunden einmal jährlich.
Der Vertrag ist attraktiv, der Anhang wirkt wie Formalität. Zwei Monate später merkt die IT, was die Firma zugesagt hat. Die Zertifizierung ist kein Dokument, sondern ein Aufbauprogramm mit Scope-Entscheidung, Richtlinien, Risikoregister und externem Audit. Die Meldefrist setzt voraus, dass am Wochenende jemand erreichbar und entscheidungsfähig ist. Das Auditrecht bedeutet, dass ein Kunde Fragen stellen darf, die bisher niemand gestellt hat.
Das Aufräumen danach ist teurer, als die Prüfung vorher gewesen wäre. Realistisch bleiben drei Wege: das Zertifikat als Programm aufsetzen und budgetieren, den Stichtag mit dem Kunden auf einen machbaren Termin verschieben, oder die Zusage auf ein aufgebautes ISMS nach ISO 27001 reduzieren und die Zertifizierung an den Zeitpunkt knüpfen, an dem der Kunde sie braucht. Alle drei sind gangbar. Nur stehen sie nach der Unterschrift unter schlechteren Bedingungen offen, weil die andere Seite nichts mehr davon hat, euch zu entlasten.
Was ihr zusagen könnt, ohne es zu bereuen
Tragfähig sind Sicherheitsklauseln im Kundenvertrag, die an etwas hängen, das ihr sowieso tut. Eine Meldefrist ist haltbar, wenn es eine Rufbereitschaft und einen Entscheidungsweg gibt, weil beides für den eigenen Ernstfall ohnehin nötig ist. Ein Auditrecht ist verkraftbar, wenn die Nachweise dort liegen, wo sie für Kundenfragebögen gebraucht werden. Ein Zertifikat ist sinnvoll, wenn es mehrere Kunden überzeugt und nicht nur einen.
Teuer wird es, sobald eine Klausel eine Sonderwelt verlangt: einen Prozess nur für diesen Kunden, ein Nachweispaket nur für diesen Vertrag, eine Technikvorgabe, die zum restlichen Betrieb nicht passt. Zwei solche Verträge, und ihr betreibt drei Sicherheitsstandards parallel. Das ist dasselbe Dimensionierungsproblem wie bei den Tools, nur über Verträge eingekauft. Wer die Anforderungen mehrerer Kunden auf einen Satz von Nachweisen zusammenführt, antwortet beim nächsten Fragebogen schneller und ehrlicher. Wie das ohne Raten geht, steht in Kundenfragebogen zur Sicherheit. Was wir davon im Mandat übernehmen, inklusive Audit-Begleitung, steht bei den Paketen und Festpreisen.
Wann lohnt sich das Nachverhandeln?
Nachverhandeln lohnt sich fast immer dann, wenn die Klausel aus einer Vorlage stammt und nicht aus einer Pflicht des Kunden. Erkennen lässt sich das an einer einzigen Frage: Woher kommt diese Anforderung. Stammt sie aus einem Standardanhang des Einkaufs, ist die Chance gut, dass ein Stichtag oder eine Frist beweglich ist. Stammt sie aus einer Regulierung oder aus einem Audit, dem der Kunde selbst unterliegt, wird er sie nicht streichen, weil er sie weitergeben muss.
Der Unterschied bestimmt, was du überhaupt verlangen kannst. Im ersten Fall geht es um Termine und Umfang. Im zweiten Fall nur noch darum, wie ihr die Anforderung erfüllt, und da ist der Kunde oft kooperativ, weil er den Auftrag ebenfalls will. Das Argument, man sei zu klein dafür, zieht selten. Ein konkreter Gegenvorschlag mit Datum zieht oft.
Häufige Fragen
Können wir eine Zertifizierungspflicht aus dem Vertrag streichen lassen?
Manchmal ja, meist nur in abgeschwächter Form. Üblich ist, die Pflicht an den Nachweis zu binden statt an das Zertifikat: ein ISMS nach ISO 27001 mit Auditbericht oder Selbstdeklaration, mit der Option auf Zertifizierung später. Entscheidend ist, dass ihr einen Termin nennt, den ihr halten könnt, statt den vorgeschlagenen stillschweigend zu übernehmen.
Was passiert, wenn wir eine Sicherheitsklausel brechen?
Selten sofort eine Klage. Häufiger eine Eskalation im Tagesgeschäft: Der Einkauf verlangt einen Massnahmenplan, das nächste Audit wird unangenehm, die Vertragsverlängerung verzögert sich. Teuer wird es, wenn der Bruch zusammen mit einem Vorfall sichtbar wird. Dann verhandelt ihr Haftung und Vertrauen gleichzeitig, in einer Woche, in der ihr beides nicht habt.
Muss jeder Vertrag durch eine Sicherheitsprüfung?
Nein, und dieser Anspruch bringt die Prüfung zum Scheitern. Sinnvoll ist eine Schwelle, die der Vertrieb selbst anwenden kann: Verträge mit einem Sicherheitsanhang, mit Zugriff auf Kundendaten oder mit einer Anbindung an Kundensysteme. Der Rest läuft wie bisher. Eine Prüfung, die nur für diese wenigen Verträge gilt und dort zuverlässig funktioniert, ist mehr wert als eine Richtlinie für alle, die niemand befolgt.
Die meisten dieser Zusagen wären haltbar gewesen, wenn jemand sie vor der Unterschrift gelesen hätte. Es fehlt seltener an Kontrollen als an einer Zuständigkeit, die früh genug im Prozess sitzt. Was steht im letzten Vertrag, den ihr unterschrieben habt, an Sicherheitszusagen? Die Antwort sagt mehr über eure Sicherheitsorganisation als jede Toolliste.