IT-Lieferantenrisiken: So prüfen Sie, wem Sie Ihre Daten anvertrauen

Lieferantenrisiken sind zu einem zentralen Thema geworden, da externe Dienstleister oft weitreichendere Rechte besitzen als eigene Mitarbeiter. NIS2 adressiert dies explizit, und Audits prüfen zunehmend genau diesen Bereich.

TL;DR — Wichtige Eckpunkte

• Erfassen Sie alle Lieferanten mit Zugriff auf Systeme oder Daten.
• Klassifizieren Sie diese nach Kritikalität und passen Sie die Anforderungen an.
• Zugriffe sollten zeitlich begrenzt, personengebunden und mit MFA gesichert sein.
• Der Vertrag muss eine Meldepflicht bei Vorfällen enthalten.

Was bedeutet IT-Lieferantenrisikomanagement?

Es handelt sich um eine systematische Überprüfung, welche externen Partner auf Ihre Daten oder Systeme zugreifen können, was im Falle eines Ausfalls oder Einbruchs passieren würde und wie dieses Risiko begrenzt werden kann. Das Ergebnis ist ein Lieferantenregister mit Bewertung und erforderlichen Maßnahmen.

Für kritische Lieferanten (IT-Support, ERP-Anbieter, Hosting) sind zusätzliche Anforderungen sinnvoll: Nachweise über Sicherheitspraktiken, ein Business Continuity Plan, ein Ansprechpartner für Vorfälle und eine regelmäßige Überprüfung der Zugriffsrechte.

Warum dies immer wichtiger wird

Angreifer dringen immer häufiger über Partner ein, anstatt den direkten Weg zu wählen.

• Ein kompromittierter Anbieter ermöglicht den Zugriff auf Dutzende seiner Kunden gleichzeitig.
• Zugänge externer Dienstleister bleiben oft nach Projektende aktiv.
• NIS2 fordert das Management der Sicherheit in der Lieferkette.
• Bei einem Vorfall beim Lieferanten bleibt die Verantwortung gegenüber Ihren Kunden bei Ihnen.

Vorgehensweise — Empfohlener Prozess

1. Erstellen Sie ein Lieferantenregister mit Beschreibung des Zugriffs und der verarbeiteten Daten.
2. Legen Sie für jeden die Kritikalitätsstufe und die erforderlichen Maßnahmen fest.
3. Führen Sie personengebundene Zugänge mit MFA und Zeitbegrenzung anstelle von Gemeinschaftskonten ein.
4. Nehmen Sie Sicherheitsklauseln und Meldefristen für Vorfälle in die Verträge auf.
5. Prüfen Sie einmal jährlich die aktiven Zugänge und entfernen Sie unnötige.
6. Legen Sie für kritische Lieferanten eine Ersatzlösung für den Ausfall fest.

Anforderungen nach Kritikalität des Lieferanten

Häufige Fehler

Der häufigste Fehler sind dauerhafte Gemeinschaftskonten für externe Dienstleister. Bei einem Vorfall lässt sich nicht feststellen, wer zugegriffen hat, und der Zugang bleibt oft über Jahre offen.

Ein weiterer Fehler ist das Vertrauen auf Fragebögen ohne Prüfung. Verlangen Sie zumindest bei kritischen Lieferanten Nachweise statt bloßer Erklärungen.

Wie VitalIT unterstützt

VitalIT unterstützt Sie beim Aufbau eines Lieferantenregisters, der Verwaltung von Zugriffen und der Erstellung vertraglicher Bestimmungen. Besuchen Sie IT-Beratung und Cybersecurity.

Ähnliche Themen: NIS2-Richtlinie und So wählen Sie einen IT-Partner.

Häufig gestellte Fragen (FAQ)

Wie oft sollten Zugriffe überprüft werden?

Bei kritischen Lieferanten vierteljährlich, ansonsten einmal im Jahr.

Benötigen wir einen AV-Vertrag mit allen?

Mit allen, die in Ihrem Auftrag personenbezogene Daten verarbeiten — auch wenn der Zugriff nur technischer Natur ist.

Was tun, wenn ein Lieferant Sicherheitsanforderungen ablehnt?

Dies ist an sich bereits eine Risikoinformation; bei kritischen Diensten ist dies ein Grund, nach Alternativen zu suchen.

Wie prüft man kleinere Anbieter?

Durch einen kurzen Fragebogen zu Backups, MFA, Zugriffen und dem Vorgehen bei Vorfällen sowie durch Referenzen.

Reicht das ISO 27001 Zertifikat des Lieferanten aus?

Es ist ein gutes Zeichen, aber prüfen Sie den Geltungsbereich des Zertifikats — oft umfasst es nur einen Teil der Organisation.