Fragebogen-Tool Kaufberatung: Umfrage- oder Antwort-Tool?

Die wichtigste Entscheidung in jeder Fragebogen-Tool-Kaufberatung fällt vor dem ersten Anbietervergleich: Wollen Sie Fragebögen versenden und auswerten, oder bekommen Sie Fragebögen von Kunden und sollen sie beantworten? Für den ersten Fall sind Umfrage-Tools gebaut, für den zweiten Antwort-Tools für Sicherheitsfragebögen. Wer beides verwechselt, kauft Vorlagen und Diagramme, obwohl er Belege, eine Freigabesteuerung und einen sauberen Excel-Export braucht.

Umfrage-Tool oder Antwort-Tool: Die Weiche vor jedem Vergleich

Die meisten Suchergebnisse zu Fragebogen-Tools zeigen Umfrage-Software. Typisch sind Vorlagenbibliotheken wie die Marktforschungs-Vorlage von SurveyMonkey oder die Produkt-Umfragevorlagen von LimeSurvey. Diese Werkzeuge lösen ein klares Problem: Sie formulieren Fragen, verteilen sie an viele Menschen und werten die Antworten statistisch aus.

Ein Sicherheitsfragebogen läuft umgekehrt. Ein Kunde oder Einkäufer schickt Ihnen eine Liste mit oft mehreren hundert Fragen zu Zugriffskontrolle, Verschlüsselung, Backups oder Lieferanten, meist als Excel-Datei oder in einem Kundenportal. Gefragt ist keine Statistik, sondern eine belegbare Aussage pro Zeile.

Ranglisten kostenloser Umfrage-Tools helfen beim ersten Fall. Für den zweiten sind sie das falsche Raster.

Drei Fragen, die Ihren Fall klären

1. Kommt der Fragebogen von außen, mit festen Spalten, die Sie nicht ändern dürfen? Dann brauchen Sie ein Antwort-Tool.
2. Wollen Sie Meinungen oder Bewertungen von vielen Personen sammeln? Dann brauchen Sie ein Umfrage-Tool.
3. Prüfen Sie selbst Lieferanten und schicken ihnen Fragebögen? Dann reicht für kleine Mengen oft ein Formular-Tool; ab einigen Dutzend Lieferanten lohnt ein Blick auf Vendor-Risk-Software.

Der Rest dieser Kaufberatung gilt Fall 1.

Die Scorecard: Sechs Kriterien mit Gewichtung

Wer Antwort-Tools vergleicht, landet schnell bei Funktionslisten, die bei allen Anbietern ähnlich aussehen. Aussagekräftiger ist eine gewichtete Scorecard. Die folgende Gewichtung ist ein Vorschlag für Teams, die 10 bis 50 Fragebögen pro Jahr erhalten; passen Sie sie an Ihre Lage an.

Summe: 100 Punkte. Als Faustregel schlagen wir vor: Unter 70 Punkten kommt ein Tool nicht in die engere Wahl, egal wie gut die Demo wirkte.

Belegbindung: Zitat statt Behauptung

Ein Belegzitat ist der Verweis einer Antwort auf die Textstelle in Ihrer Richtlinie, aus der sie stammt. Ohne Zitat prüft Ihr Team jede KI-Antwort gegen das Gedächtnis; mit Zitat gegen ein Dokument. Fragen Sie im Test nicht, ob das Tool zitiert, sondern ob das Zitat die Aussage tatsächlich stützt. Ein Verweis auf die richtige Datei, aber den falschen Absatz, zählt als Fehler.

Prüfgate: Blockiert es den Export?

Ein Prüfgate ist eine Sperre, die Antworten erst nach menschlicher Freigabe in den Export lässt. Viele Tools zeigen einen Prüfstatus an. Entscheidend ist, ob der Export ohne Freigabe technisch möglich bleibt. Wie man das gezielt testet, steht in Fragebogen-Automatisierung mit Prüfgate: So testen Sie es.

Dateitreue und Datenstandort

Laden Sie eine echte Kundendatei mit verbundenen Zellen, Dropdowns und versteckten Spalten hoch. Wenn der Export die Struktur verändert, sitzt jemand später eine Stunde an der Nacharbeit. Beim Datenstandort genügt kein Logo auf der Website: Lassen Sie sich Region, Hosting-Anbieter und Unterauftragnehmer schriftlich nennen und gleichen Sie die Angaben mit dem Auftragsverarbeitungsvertrag ab. Ob ein bestimmter Standort für Ihre Kunden ausreicht, ist eine rechtliche Frage, die Sie mit Ihrer Beratung klären.

Der 30-Fragen-Probelauf mit Abbruchregeln

Eine Demo zeigt, was der Anbieter zeigen will. Ein Probelauf mit Ihren eigenen Daten zeigt, was im Alltag passiert. So läuft er ab:

1. Wählen Sie 30 Fragen aus einem echten, bereits beantworteten Fragebogen. Mischen Sie 10 einfache Ja/Nein-Fragen, 10 Fragen mit Erläuterung und 10 Fragen, zu denen Ihre Dokumente keine oder nur eine Teilantwort liefern.
2. Laden Sie dieselben Richtlinien bei jedem Kandidaten hoch.
3. Vergleichen Sie die Entwürfe mit Ihren alten, freigegebenen Antworten.
4. Exportieren Sie in die Originaldatei und öffnen Sie sie in Excel.

Die zehn Fragen ohne Dokumentgrundlage sind der eigentliche Test. Ein brauchbares Tool kennzeichnet sie als offen oder unbelegt. Ein riskantes Tool füllt sie mit plausibel klingendem Text.

Abbruchregeln, die wir vorschlagen:

• Mehr als 3 von 30 Belegen zeigen auf eine Stelle, die die Antwort nicht stützt: Raus.
• Eine der 10 unbelegten Fragen erhält eine Antwort ohne Unsicherheitsmarkierung: Raus.
• Der Export lässt sich ohne Freigabe auslösen: Raus.
• Die exportierte Datei weicht in Spalten oder Zellformaten vom Original ab: Nur weiter, wenn der Anbieter einen Termin für die Korrektur nennt.

Eine ausführlichere Liste mit 14 Punkten finden Sie im Kaufrahmen für Compliance-Fragebogen-Software.

Kostenrechnung: Lizenz plus Prüferstunden

Prüfzeit ist meist der größere Posten

Rechnen Sie zuerst die Zeit, die Ihr Team für die Prüfung braucht, denn sie fällt unabhängig vom Tool an. Ein fiktives Beispiel: 24 Fragebögen im Jahr mit je 180 Fragen ergeben 4.320 Antworten. Bei 1,5 Minuten Prüfzeit pro Antwort sind das 108 Prüferstunden pro Jahr. Senkt ein Tool die Prüfzeit durch gute Belegzitate auf 1 Minute, bleiben 72 Stunden; erhöht es sie durch falsche Zitate auf 2,5 Minuten, werden es 180 Stunden. Der Unterschied zwischen zwei Tools liegt damit schnell bei über 100 Stunden, also deutlich über typischen Lizenzunterschieden.

Messen Sie die Minuten pro Antwort im Probelauf mit der Uhr, statt sie zu schätzen.

Sitzlizenz oder Abrechnung pro Fragebogen

Die Break-even-Formel ist einfach: Jahreskosten Sitzmodell ÷ Preis pro Fragebogen = Fragebogenmenge, ab der das Sitzmodell günstiger wird.

Mit fiktiven Zahlen (keine Anbieterpreise): 4 Sitze à 100 € im Monat ergeben 4.800 € pro Jahr. Kostet ein Fragebogen im Mengenmodell 150 €, liegt der Break-even bei 32 Fragebögen. Wer 24 im Jahr erhält, fährt mit dem Mengenmodell günstiger; wer 50 erhält, mit dem Sitzmodell. Setzen Sie die aktuellen Preise von den Preisseiten der Anbieter ein und rechnen Sie mit der Menge der letzten zwölf Monate, nicht mit einer Wachstumsprognose.

Kauf im November und Dezember: Was der Zeitpunkt verändert

Wer jetzt evaluiert, hat zwei praktische Hürden. Erstens laufen in vielen Unternehmen zum Jahresende Budgetrunden für das Folgejahr; ein Tool, das bis dahin keinen Probelauf hinter sich hat, rutscht häufig ins nächste Quartal. Zweitens sind Prüfer und Richtlinienverantwortliche zwischen den Jahren oft nicht erreichbar. Planen Sie den 30-Fragen-Probelauf so, dass die Auswertung vor Mitte Dezember steht.

Ein dritter Punkt betrifft Verträge: Prüfen Sie bei Jahreslizenzen, ob Laufzeit und Kündigungsfrist zum Rhythmus Ihrer Fragebögen passen. Monatlich kündbare Modelle senken das Risiko, falls sich die Menge im neuen Jahr anders entwickelt als erwartet.

Wo Compliance Concierge passt und wo nicht

Compliance Concierge ist ein Antwort-Tool. Sie laden Ihre Richtlinien und den Fragebogen hoch, erhalten KI-Entwürfe mit Belegzitat aus Ihren eigenen Dokumenten, und nichts wird ohne menschliche Prüfung exportiert. Gehostet wird in Frankfurt, abgerechnet pro Fragebogen statt pro Sitz, mit monatlich kündbaren Plänen.

Es passt zu Teams, die eingehende Fragebögen in Formaten wie CAIQ, ISO 27001, NIS2- oder DORA-bezogenen Kundenfragebögen oder eigenen Excel-Listen beantworten und keine komplette GRC-Plattform einführen wollen. Der CAIQ (Consensus Assessments Initiative Questionnaire) ist ein standardisierter Cloud-Sicherheitsfragebogen der Cloud Security Alliance. Ob ein bestimmtes Format für Ihr Unternehmen regulatorisch relevant ist, klären Sie mit Ihrer Rechtsberatung; das Tool entscheidet das nicht.

Es passt nicht, wenn Sie Umfragen versenden wollen, und nicht, wenn Sie kontinuierliche Kontrollüberwachung über viele Systeme suchen. Dafür sind gebündelte GRC-Plattformen gebaut. Für junge Unternehmen mit wenigen Fragebögen lohnt zusätzlich die Kaufberatung für Start-ups.

Häufige Fragen

Ein potenzieller Kunde schickt uns einen IT-Sicherheitsfragebogen. Wie füllen wir ihn aus?

Sammeln Sie zuerst die Dokumente, aus denen sich Antworten belegen lassen: Sicherheitsrichtlinie, Zertifikate, Backup- und Zugriffskonzepte. Beantworten Sie jede Frage nur so weit, wie ein Dokument sie stützt, und markieren Sie Lücken offen, statt sie zu überspielen. Lassen Sie jede Antwort vor dem Versand von der verantwortlichen Person freigeben.

Welche Software eignet sich für Sicherheitsfragebögen, und für welche Fälle?

Eine allgemein überlegene Software gibt es nicht; die Eignung hängt von Menge, Format und Datenstandort ab. Für eingehende Fragebögen eignen sich Antwort-Tools mit Belegbindung und Prüfgate, für versendete Umfragen klassische Umfrage-Tools. Entscheiden Sie anhand der Scorecard und eines 30-Fragen-Probelaufs mit Ihren eigenen Dokumenten.

Lohnt sich die Automatisierung von Sicherheitsfragebögen?

Das hängt vor allem von Ihrer Menge und der Prüfzeit pro Antwort ab. Rechnen Sie Lizenzkosten plus Prüferstunden für zwölf Monate und vergleichen Sie das mit der heutigen Handarbeit. Unter einer Handvoll Fragebögen im Jahr reicht oft eine gepflegte Antwortbibliothek in einer Tabelle.

Welche Software passt für Start-ups mit wenigen Fragebögen?

Start-ups profitieren meist von Modellen ohne Sitzgebühren und ohne lange Vertragsbindung, weil die Fragebogenmenge schwer planbar ist. Achten Sie trotzdem auf Belegbindung und Prüfgate, denn gerade frühe Antworten werden später oft wiederverwendet. Ein Probelauf mit 30 Fragen zeigt schnell, ob ein Tool zu Ihrem Dokumentenstand passt.