Viele Sicherheitsvorfälle beginnen nicht im eigenen Netzwerk, sondern bei einem Dienstleister, einer verwendeten Software oder einem Zulieferer. Ein externer IT-Betreuer benötigt beispielsweise Administrationszugriff, ein Cloud-Dienst verarbeitet Geschäftsdaten und eine Softwarebibliothek kann Schwachstellen enthalten. Wird ein solcher Zugang missbraucht, kann ein Angreifer den Schutz des eigenen Betriebs umgehen.
Eine Lieferkette besteht dabei nicht nur aus Waren und Transportwegen. Zur digitalen Lieferkette gehören auch Hosting-Anbieter, Steuerberater mit Onlinezugang, Zahlungsdienstleister, Telekommunikationsunternehmen, Wartungsfirmen, Softwarehersteller, Managed-Service-Provider und Anbieter von Fernzugriffen. Auch Unterauftragnehmer können beteiligt sein, ohne dass der eigene Betrieb mit ihnen direkt kommuniziert.
Das Risiko entsteht durch mehrere Abhängigkeiten:
Für kleine Betriebe ist eine vollständige Kontrolle der Lieferkette kaum realistisch. Ziel ist deshalb eine nachvollziehbare Risikosteuerung: Kritische Abhängigkeiten werden erkannt, Zugriffe begrenzt, Anforderungen vertraglich festgelegt und Ausweichmöglichkeiten vorbereitet.
Eine belastbare Bewertung beginnt mit der Unterscheidung verschiedener Risikotypen. Dadurch lassen sich Maßnahmen gezielter auswählen, statt jeden Dienstleister gleich zu behandeln.
| Risikokategorie | Typisches Beispiel | Geeignete Gegenmaßnahme |
|---|---|---|
| Zugriffsrisiko | Fernwartung mit dauerhaftem Administratorkonto | Personengebundene Konten, Mehrfaktor-Authentisierung, zeitliche Freigabe und Protokollierung |
| Verfügbarkeitsrisiko | Cloud-Anwendung oder Zahlungsdienst fällt aus | Notfallverfahren, Datenexporte, alternative Kommunikations- oder Arbeitswege |
| Vertraulichkeitsrisiko | Externer Anbieter verarbeitet Personal- oder Kundendaten | Datenminimierung, Verschlüsselung, klare Verantwortlichkeiten und geprüfte Vereinbarungen |
| Integritätsrisiko | Manipuliertes Update oder veränderte Stammdaten | Signatur- und Freigabeprozesse, getrennte Kontrollen, Wiederherstellung aus geprüften Sicherungen |
| Unternehmerrisiko | Unterauftragnehmer oder wirtschaftliche Probleme beim Anbieter | Transparenz über weitere Beteiligte, Kündigungs- und Übergaberegeln, Exit-Plan |
Besonders kritisch sind Kombinationen. Ein Anbieter mit Zugriff auf Identitätsverwaltung, Backups und zentrale Server stellt ein deutlich höheres Risiko dar als ein Dienstleister, der nur öffentlich zugängliche Informationen erhält. Entscheidend sind daher nicht allein der Name oder die Größe eines Anbieters, sondern die tatsächlichen Daten, Berechtigungen und Abhängigkeiten.
Der erste praktische Schritt ist ein Verzeichnis externer Abhängigkeiten. Dafür müssen keine komplexen Spezialwerkzeuge eingeführt werden. Eine strukturierte Tabelle kann aus Rechnungen, Verträgen, Zugangsdaten, Softwarelisten und den Aussagen der Beschäftigten aufgebaut werden.
Für jeden Anbieter sollten mindestens diese Angaben erfasst werden:
Anschließend wird jeder Eintrag nach Auswirkung und Eintrittswahrscheinlichkeit bewertet. Eine qualitative Einstufung mit niedrig, mittel und hoch reicht für den Anfang aus, wenn die Begründung dokumentiert wird. Hohe Priorität haben beispielsweise Anbieter mit Zugriff auf Identitätskonten, Finanzdaten, Produktionssteuerung, Sicherungen oder zentrale Kommunikationssysteme.
Die Übersicht sollte regelmäßig aktualisiert werden. Ein Anlass ist nicht nur ein Vertragswechsel. Auch ein neues Softwaremodul, eine geänderte Fernwartung, ein Wechsel der Ansprechperson oder die Einführung einer neuen Schnittstelle kann das Risiko verändern.
Externe Zugänge sind ein häufiger Ansatzpunkt für Angriffe. Ein Konto darf daher nicht mehr Rechte besitzen, als für die vereinbarte Aufgabe erforderlich sind. Dieses Prinzip der geringsten Berechtigung gilt auch dann, wenn ein Dienstleister als vertrauenswürdig gilt.
Bewährte Kontrollen umfassen:
Ein Fernwartungszugang sollte nicht permanent offen bleiben. Vor einem Wartungsfenster wird der Zugang freigeschaltet und danach wieder gesperrt. Wenn eine dauerhafte Verbindung technisch erforderlich ist, sollten Quelladressen, erreichbare Systeme und erlaubte Protokolle möglichst stark eingeschränkt werden.
Die Protokolle müssen nicht rund um die Uhr manuell geprüft werden. Auffällige Anmeldungen, fehlgeschlagene Zugriffe, Änderungen an privilegierten Konten und Aktivitäten außerhalb vereinbarter Zeiten sollten jedoch automatisch gemeldet oder regelmäßig kontrolliert werden. Ein Zugang ohne Protokollierung erschwert die Aufklärung eines Vorfalls erheblich.
Technische Maßnahmen verlieren an Wirkung, wenn die Verantwortlichkeiten unklar bleiben. Verträge und Leistungsbeschreibungen sollten deshalb Sicherheitsanforderungen verständlich und überprüfbar festhalten. Dabei geht es nicht darum, möglichst viele allgemeine Formulierungen aufzunehmen, sondern um konkrete Pflichten.
Je nach Dienstleistung können folgende Punkte relevant sein:
Bei personenbezogenen Daten sind zusätzlich die datenschutzrechtlichen Anforderungen zu beachten. Die zuständige Datenschutzaufsicht und die Datenschutz-Grundverordnung unterscheiden je nach Verarbeitung zwischen verschiedenen Verantwortlichkeiten und verlangen passende Vereinbarungen. Eine juristische Prüfung kann erforderlich sein, besonders bei sensiblen Daten, internationalen Verarbeitungen oder weitreichenden Unterauftragnehmerketten.
Nachweise wie ein Prüfbericht, ein Zertifikat oder eine Sicherheitsbeschreibung sind hilfreiche Bausteine, ersetzen aber keine eigene Risikobewertung. Ein Nachweis kann veraltet sein, einen anderen Geltungsbereich besitzen oder die konkrete Nutzung im eigenen Betrieb nicht abdecken.
Software wird selten vollständig von einem einzigen Hersteller entwickelt. Anwendungen greifen auf Bibliotheken, Programmpakete, Container, Schnittstellen und Update-Dienste zurück. Eine Schwachstelle in einer solchen Komponente kann viele betroffene Systeme erreichen. Zusätzlich besteht das Risiko, dass ein Updateprozess oder ein Softwarekonto kompromittiert wird.
Für kleine und mittlere Betriebe sind folgende Kontrollen praktikabel:
Eine Software-Stückliste, häufig als Software Bill of Materials bezeichnet, kann Abhängigkeiten transparenter machen. Nicht jeder Betrieb kann sie selbst für jedes Produkt erzeugen. Bei besonders kritischen Anwendungen lohnt es sich jedoch, beim Anbieter nach verfügbaren Angaben zu Komponenten, Updateprozessen und Schwachstellenmanagement zu fragen.
Manipulierte Installationsdateien oder gefälschte Updatehinweise sind ein weiteres Problem. Downloads sollten deshalb über festgelegte Quellen erfolgen. Hinweise per E-Mail, die zu einer angeblichen Sicherheitsaktualisierung auffordern, dürfen nicht ungeprüft verwendet werden.
Die sicherste externe Datenverarbeitung ist jene, die nicht erforderlich ist. Vor einer Übermittlung sollte geprüft werden, welche Informationen der Dienstleister wirklich benötigt. Vollständige Datenbestände, alte Dokumente oder interne Notizen gehören nicht automatisch in ein externes System.
Hilfreich sind abgestufte Maßnahmen:
Verschlüsselung schützt nicht gegen jede Bedrohung. Wenn ein Anbieter die Daten im Klartext verarbeitet, kann eine Kompromittierung seines Systems weiterhin problematisch sein. Bei besonders vertraulichen Informationen muss daher zusätzlich geklärt werden, wer Zugriff auf Schlüssel und entschlüsselte Inhalte besitzt.
Bei einem Sicherheitsvorfall zählt die Abstimmung. Ohne vorbereitete Kontaktwege kann wertvolle Zeit verloren gehen. Für jeden kritischen Dienstleister sollte feststehen, wer im eigenen Betrieb informiert wird, welche Meldestelle beim Anbieter zuständig ist und welche Informationen für eine erste Bewertung benötigt werden.
Ein gemeinsames Verfahren sollte mindestens diese Fragen beantworten:
Für den Notfall sollten Ansprechpartner nicht ausschließlich im betroffenen Cloud-System gespeichert werden. Eine aktuelle, offline verfügbare Kontaktliste ist wertvoll. Ebenso wichtig sind unabhängige Sicherungen, die vom Administrationskonto des Dienstleisters nicht verändert oder gelöscht werden können.
Ein geplanter Test muss keine aufwendige Großübung sein. Der Betrieb kann anhand eines Szenarios prüfen, was geschieht, wenn ein Dienstleister nicht erreichbar ist, ein Fernzugang gesperrt werden muss oder ein Cloud-Konto verdächtige Aktivitäten zeigt. Die festgestellten Lücken werden dokumentiert und nach Priorität bearbeitet.
Eine Lieferkette wird dann besonders gefährlich, wenn ein einzelner Anbieter einen zentralen Prozess vollständig kontrolliert. Das gilt für Daten, Kommunikation, Authentisierung und Zahlungsabläufe. Eine Ausweichplanung muss nicht für jede Anwendung einen zweiten Anbieter vorsehen. Sie sollte jedoch zeigen, wie die wichtigsten Geschäftsprozesse bei einem Ausfall weitergeführt werden können.
Zu prüfen sind unter anderem:
Sicherungen müssen nicht nur vorhanden, sondern wiederherstellbar sein. Regelmäßige Wiederherstellungstests zeigen, ob Dateien vollständig, lesbar und für den Geschäftsbetrieb verwendbar sind. Dabei sollte auch geprüft werden, ob die benötigten Verschlüsselungsschlüssel, Lizenzen und Administrationskonten verfügbar sind.
Ein angemessener Sicherheitsprozess kann in aufeinanderfolgenden Schritten aufgebaut werden:
Die Reihenfolge hilft, knappe Ressourcen auf die größten Risiken zu konzentrieren. Ein veralteter Zugang mit weitreichenden Rechten verdient meistens mehr Aufmerksamkeit als ein Dienst, der nur öffentlich verfügbare Informationen empfängt. Entscheidungen sollten mit Datum, Verantwortlichkeit und Begründung dokumentiert werden. So bleibt nachvollziehbar, warum eine Maßnahme umgesetzt oder zurückgestellt wurde.
Eine häufige Fehlannahme lautet, dass ein Vertrag jede technische Kontrolle ersetzt. Vertragliche Pflichten schaffen Verbindlichkeit, verhindern aber keinen kompromittierten Zugang. Deshalb müssen vertragliche und technische Maßnahmen zusammenwirken.
Auch ein bekanntes oder zertifiziertes Unternehmen ist nicht automatisch risikofrei. Sicherheitsnachweise sind nützlich, müssen jedoch zum konkreten Dienst, Zeitraum und Schutzbedarf passen. Eine weitere Fehlannahme besteht darin, dass nur große Anbieter ein Risiko darstellen. Kleine Unterauftragnehmer mit einem einzigen Fernwartungskonto können ebenfalls einen wichtigen Zugang besitzen.
Problematisch ist außerdem die unkontrollierte Weitergabe von Administrationsdaten. Wenn Dienstleister Zugangsdaten untereinander teilen oder ehemalige Beschäftigte weiterhin Zugriff besitzen, verliert die eigene Rechteverwaltung ihre Wirkung. Personengebundene Konten, regelmäßige Überprüfung und ein geregeltes Offboarding reduzieren dieses Risiko.
Schließlich sollte nicht nur der Eintritt eines Angriffs betrachtet werden. Die Folgen eines Ausfalls, einer fehlerhaften Datenlöschung oder einer verzögerten Reaktion können ebenso schwerwiegend sein. Eine gute Bewertung berücksichtigt daher Vertraulichkeit, Integrität und Verfügbarkeit.
Vorrang haben Anbieter mit Administrationsrechten, Zugriff auf Sicherungen, Identitätsverwaltung, Finanzdaten, Personalinformationen oder zentrale Geschäftsprozesse. Danach folgen Dienste, deren Ausfall den Betrieb unmittelbar unterbrechen würde.
Ein VPN verschlüsselt die Verbindung und begrenzt den Zugang, ersetzt aber keine personengebundenen Konten, Mehrfaktor-Authentisierung und Protokollierung. Auch innerhalb eines VPNs sollten nur die benötigten Systeme erreichbar sein.
Eine feste Prüfung in regelmäßigen Abständen ist sinnvoll. Zusätzlich muss eine Kontrolle bei Personalwechsel, Vertragsänderung, neuem Dienst, Sicherheitswarnung oder auffälliger Aktivität erfolgen. Der genaue Rhythmus sollte sich an der Kritikalität orientieren.
Dann sollte die Entscheidung anhand des Risikos getroffen werden. Mögliche Maßnahmen sind eine Einschränkung der verarbeiteten Daten, zusätzliche technische Kontrollen, ein alternativer Anbieter oder eine dokumentierte Risikoakzeptanz durch die zuständige verantwortliche Stelle.
Das Bundesamt für Sicherheit in der Informationstechnik veröffentlicht Empfehlungen und Grundlagen, unter anderem im IT-Grundschutz. Diese Veröffentlichungen können als Orientierung für Schutzbedarf, Organisation, Zugriffskontrolle und Notfallvorsorge dienen. Sie ersetzen keine Prüfung der konkreten Lieferkette.
