Veröffentlicht: 6. August 2026

Was ist ein Security Rating?

Ein Security Rating übersetzt die IT-Sicherheitslage eines Unternehmens in eine einzelne, vergleichbare Kennzahl. Die Bewertung entsteht aus der Außenperspektive: Analysiert wird, was Angreifer über das Internet sehen und erreichen können. Dieser Beitrag erklärt, wie KPI-basierte Ratings entstehen, wofür Unternehmen sie einsetzen, wo ihre Grenzen liegen und wie sie sich von Audits und Penetrationstests unterscheiden.

Auch die Bezeichnungen Cyber Risk Rating, Cyber Security Rating und IT-Sicherheitsbewertung sind gebräuchlich. Gemeint ist jeweils eine datenbasierte Einordnung des Cyberrisikos; Umfang und Bewertungsmodell können je nach Anbieter abweichen.

Das Wichtigste in Kürze

• Ein Security Rating misst die von außen sichtbare IT-Sicherheit eines Unternehmens und fasst sie in einer vergleichbaren Kennzahl zusammen.
• Die Bewertung entsteht ohne Agenten und ohne Zugriff auf interne Systeme, ausschließlich aus öffentlich erreichbaren Informationen.
• Typische Einsatzfelder sind Lieferantenbewertung, Cyber-Versicherung, Benchmarking und das Reporting an Geschäftsführung und Vorstand.
• Ein Rating ersetzt weder Audit noch Penetrationstest. Es ergänzt beide um eine kontinuierliche, skalierbare Außensicht.
• Regelwerke wie NIS-2 und DORA verlangen die Überwachung von Dienstleisterrisiken. Ratings liefern dafür eine belastbare Datengrundlage.

Definition: Was ein Security Rating aussagt

Ein Security Rating ist eine datenbasierte Bewertung der IT-Sicherheit einer Organisation, verdichtet zu einem Zahlenwert oder einer Note. Vergleichbar mit einer Bonitätsauskunft im Finanzbereich beantwortet es eine einfache Frage: Wie gut ist ein Unternehmen aus Sicht eines Außenstehenden gegen Cyberangriffe aufgestellt.

Die Grundlage bilden ausschließlich Informationen, die über das Internet erreichbar sind. Dazu zählen Domains, IP-Adressen, erreichbare Dienste, Zertifikate und E-Mail-Konfigurationen. Ein Rating benötigt deshalb weder Software-Agenten auf den Systemen noch Zugriff auf interne Netzwerke. Das prüfende und das bewertete Unternehmen müssen dafür nicht einmal in Kontakt stehen.

Genau diese Eigenschaft macht Ratings skalierbar. Während ein Audit Wochen an Vorbereitung erfordert, lässt sich eine außenperspektivische Bewertung für hunderte Lieferanten parallel erstellen. LocateRisk liefert eine solche Analyse innerhalb von 48 Stunden, ohne Installation und ohne Eingriff in laufende Systeme.

Wichtig für die Einordnung: Ein Rating misst die sichtbare Angriffsfläche und deren Pflegezustand. Es misst nicht die Qualität interner Prozesse. Ein gutes Rating ist ein starkes Indiz für funktionierendes Sicherheitsmanagement, aber kein Beweis.

Wie ein KPI-basiertes Security Rating entsteht

Am Anfang steht die Erfassung der Angriffsfläche. Ausgehend von einer Domain identifiziert die Analyse zugehörige Subdomains, IP-Adressen, Server und Dienste. Dieses Vorgehen entspricht dem Ansatz des External Attack Surface Management (EASM). Erst wenn klar ist, welche Systeme zu einer Organisation gehören, lässt sich deren Zustand bewerten.

Im zweiten Schritt prüft die Analyse messbare Sicherheitsindikatoren, unter anderem:

• Verschlüsselung: Protokollversionen, Zertifikatslaufzeiten, schwache Cipher-Suiten
• Erreichbare Dienste: offene Ports, exponierte Verwaltungszugänge, Datenbanken am Netz
• E-Mail-Sicherheit: Konfiguration von SPF, DKIM und DMARC
• Softwarestand: von außen erkennbare Systeme und deren Versionshinweise
• Hygiene: DNS-Konfiguration, veraltete oder vergessene Subdomains

Diese Einzelbefunde werden zu Kennzahlen verdichtet, nach Risiko gewichtet und zu einem Gesamtwert aggregiert. So entsteht ein Score, der sich über Zeiträume und zwischen Unternehmen vergleichen lässt.

Ehrlichkeit gehört zur Methodik: Von außen ist zuverlässig sichtbar, welche Software ein System einsetzt und wie es konfiguriert ist. Ob die konkret installierte Version tatsächlich verwundbar ist, lässt sich ohne Zugriff auf das System nicht in jedem Fall eindeutig feststellen. Seriöse Anbieter kennzeichnen solche Befunde als Hinweise zur Überprüfung.

Die Dynamik der Bedrohungslage macht laufende Messung nötig. Laut BSI-Lagebericht 2025 wurden im Berichtszeitraum von Juli 2024 bis Juni 2025 durchschnittlich 119 neue Schwachstellen pro Tag bekannt. Ein Rating, das monatlich oder kontinuierlich aktualisiert wird, bildet solche Veränderungen ab. Eine einmalige Prüfung kann das nicht leisten.

Für die Aktualität eines Ratings ist entscheidend, wie früh neue Schwachstellenhinweise einfließen. LocateRisk nutzt Preemptive Intelligence, um Meldungen aus mehreren Quellen bereits dann mit der Angriffsfläche abzugleichen, wenn noch keine abschließende NVD-Bewertung vorliegt. Dadurch kann die technische Einordnung früher beginnen; ein solcher Hinweis bleibt dennoch ein Prüfhinweis und ist nicht automatisch eine bestätigte Verwundbarkeit.

Wofür Unternehmen Security Ratings nutzen

Security Ratings haben sich in vier Einsatzfeldern etabliert.

Lieferantenbewertung: Cyberangriffe treffen Unternehmen häufig über Dienstleister und Zulieferer. Wer dutzende oder hunderte Partner steuert, kann nicht jeden einzeln auditieren. Ratings schaffen eine laufend aktualisierte Übersicht über das Sicherheitsniveau aller Partner und zeigen, wo Nachfragen nötig sind. Wie sich das organisatorisch aufsetzen lässt, zeigt unsere Seite zum Vendor Risk Management. Für Unternehmen unter NIS-2 kommt hinzu, dass die Sicherheit der Lieferkette ausdrücklich zu den Pflichtmaßnahmen gehört.

Cyber-Versicherung: Versicherer prüfen vor Abschluss einer Cyber-Police den Stand der IT-Sicherheit, meist über Fragebögen und Mindestanforderungen. Ein aktuelles Rating hilft, die eigene Lage vor dem Antrag realistisch einzuschätzen und sichtbare Schwachpunkte vorab zu beheben. Das reduziert das Risiko von Rückfragen im Antragsprozess und von Deckungsdiskussionen im Schadenfall.

Benchmarking: Ein Score gewinnt an Aussagekraft, wenn er einen Bezugspunkt hat. Der Vergleich mit Wettbewerbern oder dem Branchendurchschnitt zeigt, ob das eigene Sicherheitsniveau über oder unter dem üblichen Stand liegt, und liefert Argumente für Budgetentscheidungen.

Vorstands-Reporting: Geschäftsführung und Vorstand benötigen eine Kennzahl, die ohne technisches Vorwissen verständlich ist und sich über Quartale verfolgen lässt. Ein Rating leistet genau das: Es macht Fortschritt und Rückschritt sichtbar und dokumentiert die Wirksamkeit von Sicherheitsinvestitionen. Das gewinnt an Gewicht, weil NIS-2 die Geschäftsleitung verpflichtet, Risikomanagementmaßnahmen zu billigen und deren Umsetzung zu überwachen.

Grenzen von Security Ratings

Ein Rating misst, was von außen sichtbar ist. Daraus folgen klare Grenzen, die seriöse Anbieter offen benennen.

Erstens bleibt die Innensicht verborgen. Ob Backups funktionieren, Netze segmentiert sind, Mitarbeitende Phishing erkennen oder ein Notfallplan existiert, lässt sich außenperspektivisch nicht messen. Ein sehr gutes Rating kann mit schwachen internen Prozessen zusammenfallen, der umgekehrte Fall ebenso.

Zweitens hat die Versionserkennung Grenzen. Von außen ist erkennbar, welche Software ein System einsetzt. Ob die konkret installierte Version verwundbar ist, lässt sich ohne Systemzugriff nicht immer eindeutig bestimmen, etwa wenn Hersteller Sicherheitskorrekturen in ältere Versionsstände zurückportieren. Solche Befunde sind Prüfhinweise, keine bestätigten Schwachstellen.

Drittens hängt die Aussagekraft an der korrekten Zuordnung. Wird ein fremdes System fälschlich dem Unternehmen zugerechnet, verzerrt das den Score. Gute Anbieter validieren den Untersuchungsumfang gemeinsam mit dem Kunden und korrigieren Zuordnungen.

Viertens ersetzt ein Rating keine Tiefenprüfung. Es zeigt, wo Risiken wahrscheinlich sind, aber nicht, ob sie sich tatsächlich ausnutzen lassen. Für diese Aussage braucht es einen Penetrationstest, für die Bewertung von Prozessen ein Audit. Die Stärke des Ratings liegt in Breite, Geschwindigkeit und Wiederholbarkeit, nicht in der Tiefe des Einzelbefunds.

Security Rating, Audit und Pentest im Vergleich

Rating, Audit und Penetrationstest beantworten unterschiedliche Fragen und schließen einander nicht aus. Ein Audit bewertet, ob Sicherheitsprozesse definiert und gelebt werden. Ein Penetrationstest prüft an konkreten Zielen, ob Angriffe technisch gelingen. Ein Rating beobachtet die gesamte Außenfläche, laufend und ohne Aufwand für die geprüfte Organisation. Die folgende Tabelle ordnet die drei Verfahren ein.

In der Praxis bewährt sich die Kombination: Das Rating liefert die kontinuierliche Übersicht und priorisiert. Audits und Penetrationstests setzen dort an, wo Tiefe erforderlich ist. Gerade bei der Bewertung vieler Dritter ist das Rating oft das einzige Verfahren, das sich wirtschaftlich auf das gesamte Portfolio anwenden lässt.

Regulatorischer Rahmen: NIS-2 und DORA

Zwei europäische Regelwerke machen die Überwachung von Dienstleisterrisiken zur Pflicht (Stand: August 2026).

NIS-2: Das deutsche NIS-2-Umsetzungsgesetz ist laut BSI am 6. Dezember 2025 in Kraft getreten. Nach Schätzungen aus dem Gesetzgebungsverfahren fallen rund 29.500 Unternehmen und Einrichtungen unter die neuen Pflichten des BSI-Gesetzes. Dazu gehören Risikomanagementmaßnahmen, Meldepflichten und ausdrücklich auch die Sicherheit der Lieferkette. Einen Einstieg bietet unser Überblick zur NIS-2-Richtlinie.

DORA: Für den Finanzsektor gilt seit dem 17. Januar 2025 die Verordnung (EU) 2022/2554, kurz DORA. Sie verpflichtet Banken, Versicherer und weitere Finanzunternehmen laut BaFin zu einem strukturierten Management von IKT-Risiken, einschließlich der Risiken aus Verträgen mit IKT-Dienstleistern. Details dazu finden Sie in unserem Beitrag zum IKT-Drittparteirisiko unter DORA.

In beiden Fällen gilt: Ein Security Rating erfüllt die Pflichten nicht allein. Verträge, Ausstiegsstrategien und interne Prozesse bleiben notwendig. Ratings liefern jedoch die kontinuierliche, objektive Datengrundlage, mit der sich die geforderte Überwachung von Dienstleistern auch bei großen Portfolios praktikabel umsetzen lässt.

Häufige Fragen

---

Ist ein Security Rating dasselbe wie ein Schwachstellenscan?

Nein. Ein Schwachstellenscan listet technische Einzelbefunde für ein System auf. Ein Security Rating geht zwei Schritte weiter: Es identifiziert extern erreichbare Systeme und verdichtet die Befunde anschließend zu gewichteten Kennzahlen und einem Gesamtwert. Dadurch entsteht Vergleichbarkeit über Zeit und zwischen Organisationen.

---

Wie schnell liegt ein Security Rating vor?

Bei LocateRisk liegen erste Analyseergebnisse innerhalb von 48 Stunden vor. Benötigt wird lediglich die Hauptdomain des Unternehmens. Eine Installation oder Mitwirkung der IT-Abteilung ist nicht erforderlich, da die Messung ausschließlich außenperspektivisch erfolgt.

---

Kann ein Security Rating einen Penetrationstest ersetzen?

Nein. Ein Penetrationstest prüft in der Tiefe, ob sich konkrete Schwachstellen ausnutzen lassen, und deckt dabei auch Logikfehler in Anwendungen auf. Ein Rating liefert die Breite: Es überwacht die gesamte Angriffsfläche kontinuierlich und priorisiert, wo sich eine tiefe Prüfung lohnt. In Kombination ergänzen sich beide Verfahren.

---

Dürfen Unternehmen ihre Lieferanten ohne deren Zustimmung bewerten?

Ratings werten ausschließlich Informationen aus, die ohnehin über das Internet erreichbar sind. Zugangsschutz wird dabei nicht überwunden, Systeme werden nicht verändert. Viele Unternehmen informieren ihre Lieferanten dennoch aktiv über die Bewertung, denn Transparenz erleichtert die gemeinsame Behebung von Befunden und stärkt die Geschäftsbeziehung.

---

Welche Rolle spielt der Datenschutz bei Security Ratings?

Da die Analyse öffentlich erreichbare technische Informationen auswertet, fallen kaum personenbezogene Daten an. LocateRisk verarbeitet alle Analysedaten DSGVO-konform und hostet die Plattform in zertifizierten deutschen Rechenzentren. Für Unternehmen mit strengen Compliance-Vorgaben ist das ein relevantes Auswahlkriterium.

Fazit: Der schnellste Weg zur eigenen Kennzahl

Ein Security Rating zeigt in kurzer Zeit, wie Ihr Unternehmen aus Sicht eines Angreifers wirkt, und liefert eine Kennzahl, mit der Sie IT-Sicherheit steuern und gegenüber Geschäftsführung, Versicherern und Kunden belegen können. Den einfachsten Einstieg bietet der Blick auf die eigene Organisation: LocateRisk erstellt Ihnen ein kostenloses Security Rating Ihrer extern sichtbaren Angriffsfläche, ohne Installation und innerhalb von 48 Stunden. So sehen Sie, was Angreifer sehen, bevor diese es tun.