Dienstleisterzugänge gehören zur eigenen Sicherheitsbetrachtung. So erfassen Unternehmen kritische Schnittstellen, begrenzen Rechte und regeln Vorfälle.
Ein Wartungszugang, ein gemeinsam genutzter Cloud-Dienst oder eine Schnittstelle zur Abrechnungssoftware: Externe Partner sind oft eng mit dem eigenen IT-Betrieb verbunden. Ihre Zugänge können für Geschäftsprozesse notwendig sein und zugleich zusätzliche Risiken schaffen.
Die Sicherheit der eigenen Systeme endet deshalb nicht an der Firewall. Unternehmen sollten wissen, welche Dienstleister auf welche Informationen zugreifen und von welchen Leistungen sie besonders abhängig sind.
Eine Bestandsaufnahme muss nicht mit einem umfassenden Fragenkatalog für jeden Lieferanten beginnen. Praktikabler ist eine Priorisierung nach Datenzugriff, technischer Berechtigung und Bedeutung für den Betrieb. Ein Partner mit administrativem Fernzugang braucht eine andere Betrachtung als ein Lieferant ohne Systemzugriff.
Dienstleister sollten die Rechte erhalten, die für ihren konkreten Auftrag erforderlich sind. Persönlich zuordenbare Konten, geeignete Mehrfaktor-Authentifizierung und zeitliche Begrenzungen können die Kontrolle verbessern. Nicht mehr benötigte Verbindungen müssen verlässlich beendet werden.
Für besonders weitreichende Zugänge sollten Protokollierung und Freigaben geregelt sein. So lässt sich später nachvollziehen, wann ein Zugriff stattfand und welche Änderungen durchgeführt wurden. Pauschale Sammelkonten erschweren diese Zuordnung.
Zu den Maßnahmen nach § 30 BSIG zählt die Sicherheit der Lieferkette einschließlich sicherheitsbezogener Beziehungen zu unmittelbaren Anbietern und Diensteanbietern. Das ist mehr als eine technische Kontrolle einzelner Schnittstellen.
Auch Auswahl, Vereinbarungen und Zusammenarbeit sind relevant. Dazu gehören geeignete Anforderungen an den Schutz von Informationen und erreichbare Ansprechpartner bei einem Vorfall. Welche Tiefe angemessen ist, hängt von der konkreten Risikolage ab.
Nicht jeder Lieferant hat denselben Einfluss auf die eigene IT-Sicherheit. Eine sinnvolle Betrachtung beginnt mit den tatsächlich benötigten Leistungen und Zugriffen. Ein Betreiber einer zentralen Anwendung kann für die Verfügbarkeit entscheidend sein. Ein Wartungspartner kann weitreichende technische Rechte besitzen. Ein anderer Dienstleister verarbeitet sensible Daten ohne direkten Netzzugang. Diese Unterschiede sollten in der Bewertung sichtbar werden. Eine einheitliche sehr lange Selbstauskunft für sämtliche Unternehmen erzeugt dagegen viel Aufwand und hilft bei den wichtigsten Entscheidungen häufig wenig.
Erstellen Sie zuerst eine kleine Übersicht der kritischen Beziehungen. Welche Geschäftsleistung hängt davon ab und welche Folgen hätte ein Ausfall? Welche Daten oder Systeme sind erreichbar? Gibt es Ersatzmöglichkeiten? Wer trägt intern die fachliche Verantwortung? Die Antworten bestimmen, wo vertiefte Fragen und technische Prüfungen notwendig sind. Es geht dabei nicht darum, vollständige Sicherheit eines fremden Unternehmens zu beweisen. Ziel ist, eigene Abhängigkeiten zu verstehen und angemessene Anforderungen sowie Reaktionsmöglichkeiten daraus abzuleiten.
Allgemeine Formulierungen wie „der Dienstleister arbeitet sicher“ sind schwer zu steuern. Besser sind auf die Leistung bezogene Fragen: Wie werden administrative Zugänge vergeben? Wer wird bei einem relevanten Vorfall informiert? Wie werden Änderungen abgestimmt? Welche Informationen stehen für eine Untersuchung bereit? Solche Anforderungen sollten von den zuständigen fachlichen, technischen und vertraglichen Rollen gemeinsam bewertet werden. Die konkrete Ausgestaltung muss zur Leistung passen. Eine technische Checkliste allein ersetzt keine Betrachtung von Verantwortung und Zusammenarbeit.
Auch vorhandene Zertifikate sollten im Zusammenhang betrachtet werden. Welcher Bereich ist erfasst und betrifft er die bezogene Leistung? Welche Aufgaben verbleiben beim Kunden? Ein Nachweis kann wichtige Hinweise liefern, beantwortet aber nicht automatisch sämtliche Fragen zur eigenen Schnittstelle. Halten Sie fest, worauf sich die Bewertung stützt und welche offenen Punkte bestehen. So bleibt die Auswahlentscheidung nachvollziehbar, auch wenn später andere Personen die Betreuung übernehmen oder die Leistung in einem veränderten Umfang genutzt wird.
Ein Zugang sollte einen erkennbaren Zweck und Verantwortlichen haben. Persönlich zuordenbare Konten erleichtern die Nachvollziehbarkeit, wenn sie zum vorgesehenen Verfahren passen. Für gemeinsam genutzte technische Konten braucht es andere geeignete Kontrollen. Wichtig ist, dass Verwaltung und Nutzung nicht dauerhaft unklar bleiben. Werden Leistungen beendet oder Zuständigkeiten geändert, müssen Verbindungen geprüft werden. Gerade solche Übergänge können sonst zu alten Zugängen führen, die weiterhin funktionieren, obwohl niemand mehr einen aktuellen Bedarf benennen kann.
Prüfen Sie auch, ob der technische Umfang noch dem Auftrag entspricht. Ein für die Einführung eingerichteter weitreichender Zugang wird im Regelbetrieb möglicherweise nicht mehr benötigt. Eine später erweiterte Schnittstelle kann dagegen neue Risiken schaffen, die bei der ursprünglichen Freigabe nicht betrachtet wurden. Änderungen sollten deshalb Anlass für eine erneute Bewertung sein. Ein periodischer Abgleich zwischen beauftragter Leistung und vorhandenen Berechtigungen hilft, solche Unterschiede sichtbar zu machen und mit den verantwortlichen Rollen gezielt zu bearbeiten.
Ein vereinfachtes Szenario: Ein externer Partner betreut eine Fachanwendung. Der interne Serviceverantwortliche beschreibt, wann und wofür ein Zugriff erforderlich ist. Die IT setzt den vereinbarten technischen Weg um. Für Wartungen werden Zuständigkeiten und gegebenenfalls Freigaben festgelegt. Aktivitäten sind im vorgesehenen Umfang nachvollziehbar. Nach einer wesentlichen Änderung werden Funktion und Zugriffsbedarf überprüft. Dieses Beispiel beschreibt einen möglichen Sollprozess, keine allgemeine Verpflichtung zu einer bestimmten technischen Lösung oder einer starren Freigabefolge.
Wird ein ungewöhnlicher Zugriff beobachtet, ist bereits klar, wer den Partner erreicht und wer intern entscheiden darf. Die Verbindung kann nach einem abgestimmten Verfahren eingeschränkt werden. Anschließend wird gemeinsam geklärt, ob die Aktivität legitim war oder eine Untersuchung erfordert. Ohne diese Vorbereitung müsste die Organisation im ungünstigsten Moment erst Verträge, Telefonnummern und technische Zuständigkeiten zusammensuchen. Der Nutzen liegt deshalb nicht nur in Prävention, sondern auch in einer schnelleren und besser koordinierten Bearbeitung von Unsicherheit.
Die Zusammenarbeit sollte auch bei einem Ausfall des Partners handlungsfähig bleiben. Welche Informationen benötigt das Unternehmen, um kritische Leistungen weiterzuführen? Welche Abhängigkeiten könnten eine Wiederherstellung behindern? Nicht jede Leistung lässt sich kurzfristig ersetzen. Gerade dann lohnt ein realistischer Umgang mit Notfalloptionen. Prüfen Sie, ob benötigte Daten und Ansprechpartner verfügbar sind und ob wichtige Entscheidungen intern getroffen werden können. Diese Betrachtung sollte anhand wesentlicher Geschäftsprozesse erfolgen, statt lediglich alle Lieferanten gleich zu behandeln.
Bei der Beendigung einer Leistung müssen Zugriffe, Datenübergaben und verbleibende Aufgaben geklärt werden. Technische Konten sollten nicht allein deshalb bestehen bleiben, weil eine mögliche spätere Rückfrage denkbar ist. Gleichzeitig darf ein unkoordinierter Entzug keine wichtigen Übergabeschritte verhindern. Ein geplanter Abschluss bringt beide Ziele zusammen. Dokumentieren Sie, welche Verbindungen beendet und welche Informationen übernommen wurden. So bleibt nach einem Wechsel nachvollziehbar, welche Verantwortung beim bisherigen Partner endete und wie der neue Betrieb eingerichtet wurde.
Beginnen Sie mit einer wichtigen Beziehung und prüfen Sie die gesamte Verbindung zur eigenen Organisation. Technischer Zugriff, fachliche Verantwortung und vereinbarte Reaktion sollten zusammenpassen. Die folgende Liste dient als praktische Gesprächsgrundlage. Sie ist kein abschließender gesetzlicher Anforderungskatalog. Für den konkreten Umfang sind Leistung, Daten und mögliche Auswirkungen zu berücksichtigen. Offene Fragen werden mit Verantwortlichen versehen, damit die Bewertung nicht bei einer allgemeinen Einschätzung stehen bleibt.
Prüfen Sie, ob die vorgesehenen Ansprechpartner einen realistischen Fall gemeinsam bearbeiten könnten. Eine bekannte Telefonnummer allein reicht nicht, wenn unklar bleibt, welche Informationen ausgetauscht werden dürfen und wer Maßnahmen freigibt. Umgekehrt müssen nicht alle Details in einer umfangreichen gemeinsamen Richtlinie stehen. Ein kurzer abgestimmter Ablauf kann den wichtigsten Handlungsspielraum bereits deutlich verbessern.
Halten Sie fest, welche Unterlagen und Beobachtungen der Bewertung zugrunde liegen. So kann eine spätere Änderung gezielt überprüft werden. Wenn neue Zugriffe hinzukommen, muss nicht die gesamte Beziehung ohne Bezug von vorn betrachtet werden. Die bestehende Grundlage erleichtert die Frage, welche Annahmen noch gelten und welche Risiken neu beurteilt werden sollten.
Eine risikobezogene Betrachtung unterscheidet Leistungen und Abhängigkeiten. Die notwendige Tiefe sollte daraus abgeleitet werden. Einheitliche Grundinformationen können helfen, ersetzen aber keine vertiefte Prüfung der besonders relevanten Beziehungen. Der Aufwand muss eine konkrete Entscheidung oder Kontrolle unterstützen.
Ein regelmäßiger Rhythmus ist nützlich. Wesentliche Änderungen, neue Zugriffe oder Vorfallhinweise können jedoch eine frühere Neubewertung erforderlich machen. Die Betreuung sollte deshalb nicht ausschließlich an einen Kalendertermin gebunden sein. Informationen aus dem laufenden Betrieb müssen in die Einschätzung einfließen können.
Klären Sie im Voraus, wie Hinweise auf einen Sicherheitsvorfall ausgetauscht werden. Wer kann externe Zugänge im Notfall sperren? Welche Informationen werden für die Bewertung benötigt? Wie wird eine sichere Wiederaufnahme abgestimmt?
DSP unterstützt bei der Prüfung externer IT-Zugänge und der zugehörigen Abläufe. Der Einstieg kann eine überschaubare Liste der kritischsten Verbindungen sein, aus der konkrete Verbesserungen abgeleitet werden.
Sie möchten Ihre nächsten Schritte konkret planen? Sprechen Sie mit den Experten von DSP.
