Ihr Webhoster, Ihr Steuerbüro, Ihr Zahlungs- oder E-Mail-Anbieter: Deren Schwächen können zu Ihren werden. NIS2 verlangt, dass Sie sich um die Sicherheit Ihrer Lieferkette kümmern (Artikel 21 Absatz 2 Buchstabe d; in Deutschland § 30 Abs. 2 Nr. 4 BSIG: „Sicherheit der Lieferkette einschließlich sicherheitsbezogener Aspekte der Beziehungen zu unmittelbaren Anbietern oder Diensteanbietern“). Die Seite Lieferanten verfolgt deren Domains jede Woche, nur mit den öffentlichen Prüfungen, und meldet Ihnen, wenn sich etwas verschlechtert.

Einen Lieferanten hinzufügen

Öffnen Sie Lieferanten und gehen Sie zu Lieferanten hinzufügen.
Geben Sie die Domain des Lieferanten ein (acme-hosting.com) und auf Wunsch einen Namen.
Klicken Sie auf Hinzufügen. Die erste Prüfung dauert einige Minuten.

Nur Inhaber und Administratoren können Lieferanten hinzufügen oder entfernen. Jeder Tarif enthält eine bestimmte Anzahl: 3 im Free-Tarif, 10 im Solo-Tarif, 50 im Agency-Tarif, 200 im Agency-Plus-Tarif. Pro Tag können bis zu zwanzig neue Lieferanten hinzugefügt werden.

Dienste aus Ihrem DNS

Unter der Liste zeigt Dienste, die Sie nutzen die Unternehmen, die die Audits Ihrer nachgewiesenen Domains erkennen lassen: wer Ihre Postfächer (MX-Einträge) und Ihr DNS (Nameserver) betreibt, wer in Ihrem Namen E-Mails senden darf (die include: Ihres SPF-Eintrags), wohin Ihre Subdomains zeigen (CNAME), bei welchen Tools Sie Ihre Domain bestätigt haben (TXT-Bestätigungseinträge) und welche Skripte von Dritten Ihre Startseite lädt. Als Lieferant folgen fügt ihn mit einem Klick hinzu. Die Liste folgt jedem Audit; sonst wird nichts abgefragt.

Was geprüft wird

Ein Lieferant erhält dieselben öffentlichen Prüfungen wie beim kostenlosen Test: E-Mail-Authentifizierung, DNS, Zertifikate, Mailserver und Websites, also das, was jeder im Internet lesen kann. Nichts, was seine Zustimmung erfordert: keine Suche nach Lookalike-Domains, keine Abfrage sensibler Dateien, keine Archiv- oder Datenleck-Daten, wie bei jeder Domain, deren Inhaber sie nicht nachgewiesen hat. Befunde, deren Details einem Angreifer helfen könnten, werden nur mit ihrer Kategorie genannt.

Jeder Lieferant wird einmal pro Woche geprüft. Die Tabelle zeigt seine Punktzahl (und wie sie sich seit der vorherigen Prüfung bewegt hat), seine schwerwiegendsten Befunde und das Datum der letzten Prüfung.

Über Ihren Tarif hinaus

Wechselt Ihr Arbeitsbereich zu einem Tarif mit weniger Lieferanten (zum Beispiel von Solo zu Free), werden die zuerst hinzugefügten Lieferanten weiter geprüft, bis zur Anzahl des neuen Tarifs. Die anderen bleiben mit ihrer letzten Punktzahl in der Tabelle, markiert mit Nicht aktualisiert und dem Datum ihrer letzten Prüfung: Diese Punktzahl bewegt sich nicht mehr, und für sie wird keine Benachrichtigung gesendet. Ein Hinweis oben auf der Seite zählt sie und verlinkt auf die Tarife. Entfernen Sie einige Lieferanten oder wechseln Sie zu einem größeren Tarif, und sie werden innerhalb einer Woche wieder geprüft.

Benachrichtigungen

Sie werden benachrichtigt, wenn die Punktzahl eines Lieferanten um 10 Punkte oder mehr sinkt oder wenn ein kritisches Problem auftaucht, das vorher nicht bestand. Die Benachrichtigung geht an die Kanäle der Seite „Benachrichtigungen“, die nicht auf einen Kunden beschränkt sind.

Ihren Lieferanten informieren

Jeder Lieferant hat einen Link Einladen, den Sie ihm senden können: Er öffnet den kostenlosen Test seiner Domain. Sobald er ein Konto erstellt und nachgewiesen hat, dass die Domain ihm gehört, sieht er jeden Befund und wie er ihn behebt. Sie selbst sehen nie mehr als die öffentlichen Prüfungen.

Einen Sicherheitsfragebogen senden

Öffnen Sie ab dem Solo-Tarif einen Lieferanten (klicken Sie in der Tabelle auf seinen Namen) und gehen Sie zu Sicherheitsfragebogen senden:

Geben Sie Name und E-Mail-Adresse Ihrer Ansprechperson beim Lieferanten, die Sprache des Fragebogens (Englisch, Französisch oder Deutsch) und das Fälligkeitsdatum ein, 3 bis 90 Tage in der Zukunft. Die Adresse muss auf der eigenen Domain des Lieferanten oder einer ihrer Subdomains liegen: Der Fragebogen geht nur an den Lieferanten. Ein Lieferant, der unter einem Freemail-Dienst (gmail.com, outlook.com, web.de …) erfasst ist, kann keinen erhalten: Fügen Sie ihn unter der eigenen Domain seines Unternehmens hinzu.
Fügen Sie auf Wunsch eine kurze persönliche Nachricht hinzu: höchstens 300 Zeichen und 5 Zeilen, reiner Text, ohne Webadresse, Domainnamen, E-Mail-Adresse oder Telefonnummer. Sie wird in der E-Mail und in den Erinnerungen als Nachricht Ihres Arbeitsbereichs zitiert.
Klicken Sie auf Fragebogen senden. Ihre Ansprechperson erhält eine E-Mail in dieser Sprache, im Namen Ihres Arbeitsbereichs über Perimetry, mit einem persönlichen Link. Antwortet sie auf die E-Mail, geht die Antwort an Sie (oder, wenn Sie den Arbeitsbereich verlassen haben, an niemanden). Sie braucht kein Konto. Ein Name des Arbeitsbereichs oder Lieferanten, der wie eine Webadresse oder ein Domainname aussieht, wird abgelehnt: Benennen Sie ihn zuerst um.

Etwa zwanzig kurze Fragen behandeln Governance, Zugriffe und Multi-Faktor-Authentifizierung, Datensicherung, Verschlüsselung, E-Mail-Sicherheit, Schwachstellenmanagement, Sicherheitsvorfälle (eine Erstmeldung innerhalb von 24 Stunden, eine Meldung innerhalb von 72 Stunden, wie in § 32 Abs. 1 BSIG), Unterauftragnehmer, Datenstandort, die DSGVO und den Auftragsverarbeitungsvertrag, Zertifizierungen und Notfallvorsorge. Die Antworten lauten Ja, Teilweise oder Nein, ein Text oder ein Datum, jeweils mit optionalem Kommentar, und wo es hilft eine Datei (ein Zertifikat, die Liste der Unterauftragnehmer, ein AVV): PDF, PNG oder JPEG, höchstens 1,5 MB.

Vorausgefüllt mit dem, was wir sehen. Wo Perimetry die Antwort von außen sehen kann (gültiges HTTPS, Weiterleitung und HSTS, alte TLS-Versionen, Sicherheits-Header, security.txt, SPF und DMARC), sieht Ihr Lieferant neben der Frage, was beobachtet wurde, und die Antwort ist entsprechend vorausgefüllt: Er bestätigt oder korrigiert sie. Multi-Faktor-Authentifizierung ist von außen nicht sichtbar; diese Antwort bleibt daher leer.

Die Seite speichert die Antworten, während Ihr Lieferant tippt. Der Link funktioniert bis zum Fälligkeitsdatum und 7 Tage darüber hinaus; sind die Antworten gesendet, sind sie gesperrt. Erinnerungen gehen von selbst 7 Tage nach dem Versand und 2 Tage vor dem Fälligkeitsdatum hinaus, höchstens zwei pro Fragebogen, neue Links eingeschlossen. Auf der Seite des Lieferanten sperrt Abbrechen den Link eines Fragebogens sofort, und Neuen Link senden sendet ihn erneut (an dieselbe oder eine andere Adresse, bei Bedarf mit neuem Fälligkeitsdatum): Der vorherige Link funktioniert dann nicht mehr, und das bereits Eingegebene bleibt erhalten.

Der Solo-Tarif enthält 5 Fragebögen pro Monat, der Agency-Tarif 30 und der Agency-Plus-Tarif 100. In den Agency-Tarifen können Sie unter Fragen ansehen oder ändern Standardfragen ausschalten und eigene hinzufügen; sonst werden die Standardfragen gesendet.

Die Antworten lesen

Sendet ein Lieferant seine Antworten, erhält die Person, die den Fragebogen gesendet hat, eine E-Mail, und die nicht auf einen Kunden beschränkten Kanäle der Seite „Benachrichtigungen“ erhalten eine Nachricht. Die Seite der Antworten zeigt:

die Antwortpunktzahl: Jede Ja/Nein-Frage gibt 1 Punkt für Ja, ½ für Teilweise, 0 für Nein oder keine Antwort; widerspricht das, was Perimetry beobachtet, einer Antwort, zählt das Beobachtete. Text- und Datumsantworten zählen nur für die Vollständigkeit. 80 oder mehr ist stark, 50 bis 79 ist zu besprechen, unter 50 ist schwach. Sie misst, was der Lieferant angibt, und ist keine Zertifizierung;
die Abweichungen: Antworten, denen das von Perimetry Beobachtete widerspricht (zum Beispiel „Verschlüsselung bei der Übertragung: Ja“, während die Website kein gültiges HTTPS hat), und eine angegebene Zertifizierung, deren Ablaufdatum überschritten ist;
jede Frage mit Vom Lieferanten angegeben und Von Perimetry beobachtet nebeneinander, mit den Kommentaren und Anhängen.

Exportieren Sie die Antworten als PDF oder CSV. Die Fragebögen sind im Datenexport Ihres Arbeitsbereichs enthalten und werden mit dem Lieferanten oder mit dem Arbeitsbereich gelöscht. Anhänge werden 12 Monate nach dem Senden der Antworten aufbewahrt; bei einem nie beantworteten Link werden der Entwurf und die Adresse Ihrer Ansprechperson 30 Tage nach seinem Ende gelöscht.

Um einen Lieferanten nicht mehr zu verfolgen, klicken Sie auf Entfernen: Seine Fragebögen und ihre Antworten werden mit ihm gelöscht.