Die zunehmende Abhängigkeit und das inhärente Risiko
In der heutigen vernetzten Geschäftswelt ist es nahezu unmöglich, ohne die Unterstützung von Drittanbietern auszukommen. Software-as-a-Service (SaaS)-Anbieter, Cloud-Infrastrukturen, Managed Security Services, externe Berater und sogar Lieferanten von physischen Gütern sind integraler Bestandteil der meisten Unternehmensabläufe. Während diese Partnerschaften Effizienz, Skalierbarkeit und Zugang zu spezialisiertem Know-how bieten, führen sie gleichzeitig eine komplexe Schicht von Sicherheitsrisiken ein. Ein einziger Sicherheitsvorfall bei einem Drittanbieter kann weitreichende Folgen für das eigene Unternehmen haben, einschliesslich Datenlecks, Betriebsunterbrechungen, Reputationsschäden und hohen finanziellen Verlusten. Die Verwaltung dieses Risikos ist keine Option mehr, sondern eine strategische Notwendigkeit, die einen systematischen und kontinuierlichen Ansatz erfordert.
Die Angriffsfläche eines Unternehmens erstreckt sich heute weit über die eigenen Systemgrenzen hinaus. Angreifer wissen das und zielen oft auf die schwächsten Glieder in der Lieferkette ab. Prominente Beispiele wie der SolarWinds-Angriff oder die Kaseya-Ransomware-Attacke haben eindrücklich gezeigt, wie ein einziger Kompromiss bei einem Softwarelieferanten Tausende von nachgeschalteten Kunden betreffen kann. Ein effektives Drittanbieter-Risikomanagement ist daher eine Säule der Cyber-Resilienz und erfordert eine proaktive Haltung, die über die reine Compliance hinausgeht.
Robuste Rahmenwerke für die Anbieter-Risikobewertung
Eine fundierte Risikobewertung ist der Eckpfeiler eines jeden Drittanbieter-Sicherheitsmanagements. Sie ermöglicht es Unternehmen, potenzielle Schwachstellen zu identifizieren, das Risikoprofil jedes Anbieters zu verstehen und angemessene Kontrollen zu implementieren. Um Konsistenz und Gründlichkeit zu gewährleisten, greifen viele Organisationen auf etablierte Rahmenwerke zurück.
NIST Cybersecurity Framework (CSF)
Das NIST Cybersecurity Framework (CSF) bietet einen flexiblen und umfassenden Ansatz zur Verbesserung der Cybersicherheit. Obwohl es nicht spezifisch für Drittanbieter entwickelt wurde, lassen sich seine Kernfunktionen –
- Identify: Wie identifiziert der Anbieter eigene Risiken und Assets? Welche Daten des Kunden werden verarbeitet oder gespeichert?
- Protect: Welche Schutzmassnahmen hat der Anbieter implementiert (z.B. Zugriffskontrollen, Verschlüsselung, Schulungen)?
- Detect: Wie erkennt der Anbieter Sicherheitsvorfälle? Gibt es ein SIEM oder IDS/IPS?
- Respond: Wie reagiert der Anbieter auf Vorfälle? Gibt es einen Incident-Response-Plan?
- Recover: Wie stellt der Anbieter den Betrieb nach einem Vorfall wieder her? Existieren Business Continuity- und Disaster Recovery-Pläne?
Die Anwendung des NIST CSF hilft, eine ganzheitliche Sicht auf die Sicherheitsreife eines Anbieters zu erhalten und Lücken systematisch zu adressieren.
ISO 27001/27002
Die Normenreihe ISO 27001/27002 ist weltweit anerkannt für Informationssicherheits-Managementsysteme (ISMS). Ein Anbieter, der nach ISO 27001 zertifiziert ist, hat nachweislich ein strukturiertes System zur Verwaltung von Informationssicherheit etabliert. Besonders relevant ist
- Informationssicherheit in Lieferantenbeziehungen (A.15.1.1)
- Vertragliche Vereinbarungen (A.15.1.2)
- Management der Lieferkette für Informations- und Kommunikationstechnologie (A.15.1.3)
- Überprüfung von Lieferantenleistungen (A.15.1.4)
Die Zertifizierung allein ist jedoch kein Allheilmittel; die tatsächliche Implementierung und Effektivität der Kontrollen muss überprüft werden.
Shared Assessments Standardized Information Gathering (SIG)
Das Shared Assessments Standardized Information Gathering (SIG)-Fragebogen-Set ist ein branchenweit anerkannter Standard, der die Effizienz bei der Bewertung von Drittanbieter-Risiken erheblich steigert. Anstatt dass jeder Kunde eigene Fragebögen erstellt, können Anbieter einen SIG-Fragebogen einmal ausfüllen und diesen an mehrere Kunden weitergeben. Es gibt verschiedene Versionen:
- SIG Lite: Eine kürzere Version für Anbieter mit geringerem Risiko oder wenn weniger detaillierte Informationen benötigt werden.
- SIG Core: Eine umfassendere Version, die die meisten typischen Anwendungsfälle abdeckt.
- SIG Full: Die detaillierteste Version für Hochrisiko-Anbieter, die eine sehr gründliche Bewertung erfordern.
SIG-Fragebögen decken eine breite Palette von Sicherheitsdomänen ab, von Governance und Richtlinien über technische Kontrollen bis hin zu Incident Response und Business Continuity. Die Nutzung standardisierter Tools wie SIG reduziert den Aufwand für beide Seiten und ermöglicht einen besseren Vergleich zwischen Anbietern.
Effektive Sicherheitsfragebögen und Due Diligence
Sicherheitsfragebögen sind ein primäres Werkzeug in der initialen Due Diligence-Phase. Sie ermöglichen es, Informationen über die Sicherheitslage eines potenziellen Drittanbieters zu sammeln und seine Fähigkeit zu bewerten, die eigenen Sicherheitsanforderungen zu erfüllen.
Entwicklung und Anpassung von Fragebögen
Ein effektiver Fragebogen sollte:
- Risikobasiert sein: Die Tiefe und Breite der Fragen sollte sich nach dem potenziellen Risiko richten, das der Anbieter für das Unternehmen darstellt. Ein Cloud-Anbieter, der kritische Kundendaten verarbeitet, erfordert einen wesentlich detaillierteren Fragebogen als ein Anbieter von Büromaterial.
- Umfassend sein: Er sollte alle relevanten Sicherheitsbereiche abdecken, einschliesslich Governance, Richtlinien, physische Sicherheit, Netzwerksicherheit, Anwendungssicherheit, Datenmanagement, Incident Response und Compliance.
- Klar und präzise sein: Die Fragen sollten eindeutig formuliert sein, um Missverständnisse zu vermeiden.
Beispiele für kritische Fragen:
„Verfügt Ihr Unternehmen über eine gültige ISO 27001-Zertifizierung oder ein vergleichbares Informationssicherheits-Managementsystem (ISMS)? Bitte legen Sie bei Bedarf einen Auditbericht vor.“
„Welche Massnahmen ergreifen Sie, um die Vertraulichkeit, Integrität und Verfügbarkeit der von Ihnen verarbeiteten Daten des Kunden zu gewährleisten? Beschreiben Sie Ihre Verschlüsselungsstrategien für Daten im Ruhezustand und während der Übertragung.“
„Wie wird der Zugriff auf Kundendaten in Ihrer Umgebung kontrolliert und überwacht? Bitte beschreiben Sie Ihre Zugriffsmanagementprozesse (z.B. Least Privilege, Multi-Faktor-Authentifizierung).“
„Haben Sie einen Incident-Response-Plan und wird dieser regelmässig getestet? Welche Benachrichtigungsfristen gelten im Falle eines Sicherheitsvorfalls, der Kundendaten betrifft?“
„Wo werden die Daten des Kunden gespeichert und verarbeitet (geografische Region)? Welche Datenschutzgesetze und -vorschriften halten Sie ein (z.B. DSGVO, CCPA)?“
Bewerten der Antworten und Evidenzsammlung
Die Antworten auf einen Fragebogen allein reichen oft nicht aus. Es ist entscheidend, die bereitgestellten Informationen kritisch zu hinterfragen und, wo immer möglich,
- Auditberichte (z.B. SOC 2 Type II, ISO 27001-Zertifikate)
- Penetrationstest-Zusammenfassungen und Schwachstellen-Scans
- Sicherheitsrichtlinien und -verfahren
- Business Continuity- und Disaster Recovery-Pläne
- Nachweise über Mitarbeiterschulungen
Für Hochrisiko-Anbieter können
Kontinuierliches Monitoring von Drittanbietern
Die Risikobewertung ist kein einmaliges Ereignis. Die Sicherheitslage eines Drittanbieters kann sich jederzeit ändern – durch neue Schwachstellen, Änderungen in der Infrastruktur, Personalfluktuation oder sogar durch die Übernahme durch ein anderes Unternehmen. Daher ist ein kontinuierliches Monitoring unerlässlich.
Technisches Monitoring und Threat Intelligence
Moderne Tools und Dienste ermöglichen ein fortlaufendes technisches Monitoring der externen Sicherheitslage von Drittanbietern.
- Offene Ports und Dienste
- Patching-Kadenz und Schwachstellenmanagement
- Reputation von IP-Adressen und Domains
- Malware-Infektionen
- Konfiguration der E-Mail-Sicherheit (SPF, DKIM, DMARC)
- DNS-Sicherheit
- Dark-Web-Erwähnungen und Datenlecks
Diese Dienste liefern eine objektive, datengestützte Bewertung und ermöglichen es, Trends über die Zeit zu verfolgen und bei signifikanten Änderungen proaktiv zu handeln. Die Integration von
Regelmässige Überprüfungen und Audits
Neben dem technischen Monitoring sollten regelmässige, planmässige Überprüfungen stattfinden:
- Jährliche Re-Assessments: Erneute Durchführung von Fragebögen und Anforderung aktueller Evidenz.
- Trigger-basierte Überprüfungen: Bei signifikanten Änderungen im Dienstleistungsumfang, Infrastrukturänderungen, Fusionen oder Übernahmen des Anbieters oder bei bekanntgewordenen Sicherheitsvorfällen, die den Anbieter betreffen.
- Leistungskontrolle: Überprüfung, ob der Anbieter die vertraglich vereinbarten Sicherheitsanforderungen und SLAs einhält.
Ein dediziertes Team oder eine Verantwortlichkeit für das Drittanbieter-Risikomanagement ist entscheidend, um sicherzustellen, dass diese Prozesse kontinuierlich und effektiv durchgeführt werden.
Sicherheitsanforderungen in Service Level Agreements (SLAs)
Die besten Bewertungen und Überwachungen sind nur so gut wie die vertraglichen Grundlagen, die die Sicherheitsbeziehung mit dem Drittanbieter regeln. Service Level Agreements (SLAs) und andere vertragliche Vereinbarungen müssen präzise und durchsetzbare Sicherheitsanforderungen enthalten.
Wesentliche Sicherheitsklauseln
Wichtige Klauseln, die in SLAs oder separaten Sicherheitsanhängen enthalten sein sollten:
- Datenschutz und -sicherheit: Detaillierte Anforderungen zum Schutz von Kundendaten, einschliesslich Verschlüsselung, Zugriffskontrollen und Einhaltung relevanter Datenschutzgesetze (z.B. DSGVO, HIPAA).
- Incident Response: Klare Definitionen von Sicherheitsvorfällen, Benachrichtigungsfristen (oft in Stunden gemessen), Kommunikationskanäle und die Verpflichtung zur Zusammenarbeit bei der Untersuchung und Behebung.
- Auditrechte: Das Recht des Kunden, den Anbieter zu auditieren oder unabhängige Prüfungen der Sicherheitskontrollen des Anbieters anzufordern.
- Geografische Datenresidenz: Anforderungen an den Speicherort und die Verarbeitung von Daten, insbesondere wenn bestimmte Ländergrenzen nicht überschritten werden dürfen.
- Sicherheitsstandards: Verpflichtung zur Einhaltung bestimmter Standards (z.B. ISO 27001, SOC 2) und zur Bereitstellung entsprechender Nachweise.
- Penalties und Haftung: Vertragliche Strafen oder Haftungsregelungen bei Nichteinhaltung der Sicherheitsanforderungen oder bei einem Sicherheitsvorfall, der auf Fahrlässigkeit des Anbieters zurückzuführen ist.
- Recht auf Kündigung: Klare Bedingungen, unter denen der Vertrag bei schwerwiegenden Sicherheitsverstössen gekündigt werden kann.
Praktisches Beispiel für eine SLA-Klausel
// Beispiel für eine SLA-Klausel zur Incident Response "Im Falle eines Sicherheitsvorfalls, der die Vertraulichkeit, Integrität oder Verfügbarkeit der durch den Anbieter verarbeiteten Daten des Kunden beeinträchtigt, verpflichtet sich der Anbieter, den Kunden unverzüglich, spätestens jedoch innerhalb von vier (4) Stunden nach Kenntnisnahme des Vorfalls, schriftlich zu informieren. Die Benachrichtigung muss mindestens folgende Informationen enthalten: Art des Vorfalls, betroffene Daten, mögliche Auswirkungen, bereits ergriffene oder geplante Gegenmassnahmen sowie einen Zeitplan für die weitere Kommunikation. Der Anbieter verpflichtet sich ferner, bei der Untersuchung und Behebung des Vorfalls vollumfänglich mit dem Kunden zu kooperieren und alle angemessenen Schritte zu unternehmen, um weiteren Schaden zu verhindern und zukünftige Vorfälle zu vermeiden. Die Nichteinhaltung dieser Benachrichtigungsfrist kann zu vertraglich vereinbarten Strafen führen." Solche detaillierten Klauseln stellen sicher, dass die Erwartungen an die Sicherheit klar definiert und rechtlich bindend sind, was im Ernstfall von entscheidender Bedeutung ist.
Das Risiko der vierten Partei (Fourth-Party Risk)
Das Management von Drittanbieter-Risiken ist komplex genug, aber die Realität ist, dass viele Drittanbieter selbst auf Subunternehmer oder Sub-Prozessoren angewiesen sind. Diese als
Transparenz und Kaskadierung von Anforderungen
Die grösste Herausforderung beim Viertparteien-Risiko ist die mangelnde Transparenz. Oft wissen Unternehmen nicht, welche Subunternehmer ihre Drittanbieter nutzen. Es ist daher entscheidend, vertraglich von Ihren Drittanbietern zu verlangen, dass sie:
- Alle Sub-Prozessoren oder kritischen Subunternehmer offenlegen, die Zugang zu Ihren Daten haben oder kritische Dienste erbringen.
- Ihre eigenen Sicherheitsanforderungen an diese Viertparteien weitergeben und deren Einhaltung überwachen (sogenannte „Flow-Down“-Klauseln).
- Sie über wesentliche Änderungen in ihrer Subunternehmerkette informieren.
Dies schafft eine Kaskade von Sicherheitsverpflichtungen, die entlang der gesamten Lieferkette verläuft.
Strategien zur Minderung des Viertparteien-Risikos
- Fokus auf Kritikalität: Konzentrieren Sie sich auf die Viertparteien, die Zugang zu den kritischsten Daten oder Systemen haben. Nicht jede Viertpartei kann oder muss direkt bewertet werden.
- Vertragliche Verpflichtungen: Stellen Sie sicher, dass Ihre Drittanbieter vertraglich verpflichtet sind, eine angemessene Due Diligence und Überwachung ihrer eigenen Subunternehmer durchzuführen.
- Due Diligence des Drittanbieters: Fragen Sie Ihre Drittanbieter während der Risikobewertung explizit nach ihrem eigenen Viertparteien-Risikomanagement-Programm. Wie bewerten und überwachen sie ihre Subunternehmer?
- Technisches Monitoring: Manchmal können Security Rating Services auch Einblicke in die Lieferkette eines Drittanbieters geben, indem sie die Sicherheitslage der von ihm genutzten Dienste bewerten.
Das Management des Viertparteien-Risikos erfordert eine strategische Partnerschaft mit Ihren Drittanbietern und ein hohes Mass an Vertrauen, das durch vertragliche Vereinbarungen und Überprüfungsmassnahmen gestützt wird.
Fazit: Ein kontinuierlicher Prozess für die Cyber-Resilienz
Das Management von Drittanbieter-Sicherheitsrisiken ist keine einmalige Aufgabe, sondern ein dynamischer, kontinuierlicher Prozess, der tief in die Geschäftsstrategie und die Sicherheitskultur eines Unternehmens integriert sein muss. Es erfordert eine Kombination aus robusten Rahmenwerken, sorgfältiger Due Diligence, vertraglicher Absicherung und kontinuierlicher Überwachung.
Unternehmen müssen eine klare Verantwortlichkeit für das Drittanbieter-Risikomanagement definieren und die notwendigen Ressourcen bereitstellen, um diesen komplexen Bereich effektiv zu steuern. Nur durch einen ganzheitlichen und proaktiven Ansatz kann die Cybersicherheit der gesamten Lieferkette gestärkt und die Resilienz des eigenen Unternehmens gegenüber externen Bedrohungen gewährleistet werden. Die Investition in ein starkes Third-Party Risk Management ist eine Investition in die zukünftige Sicherheit und den langfristigen Erfolg des Unternehmens.
Benötigen Sie Cybersecurity-Beratung?
Unser Team hilft Ihnen, Ihre IT-Infrastruktur zu sichern und Bedrohungen proaktiv zu erkennen.
Kontakt aufnehmen