Risikomanagement Dritter: Bewertung der Sicherheitslage des Anbieters

Ihre Sicherheit ist nur so stark wie die Ihres schwächsten Anbieters. Der MOVEit-Verstoß im Jahr 2024 betraf über 2.500 Unternehmen, nicht weil ihre Sicherheit unzureichend war, sondern weil die Dateiübertragungssoftware eines einzelnen Anbieters eine kritische Schwachstelle aufwies. Durch den Snowflake-Vorfall wurden Daten von 165 Organisationen durch die Authentifizierungsschwäche eines Cloud-Anbieters offengelegt. In beiden Fällen hatten die betroffenen Organisationen viel in ihre eigene Sicherheit investiert, um dann durch einen vertrauenswürdigen Dritten kompromittiert zu werden.

Moderne Unternehmen sind auf Dutzende bis Hunderte von Drittanbietern angewiesen: SaaS-Anwendungen, Cloud-Infrastruktur, Zahlungsabwickler, Marketingplattformen, Entwicklungstools und Managed Service Provider. Jeder Anbieter mit Zugriff auf Ihre Daten oder Systeme stellt einen potenziellen Angriffsvektor dar, der Ihre sorgfältig aufgebauten Abwehrmaßnahmen umgeht.

Wichtige Erkenntnisse

• 62 % der Datenschutzverletzungen gehen auf Drittanbieter zurück, sodass das Anbieterrisiko für die meisten Unternehmen die am wenigsten adressierte Angriffsfläche darstellt
• SOC 2 Typ II- und ISO 27001-Zertifizierungen sind notwendig, aber nicht ausreichend: Sie bestätigen, dass Kontrollen während des Auditzeitraums vorhanden waren, nicht, dass sie heute existieren
• Kontinuierliche Überwachung durch Sicherheitsbewertungsplattformen erkennt Verschlechterungen der Anbietersicherheit in Echtzeit und nicht jährlich – Sicherheitsklauseln in Lieferantenverträgen bieten rechtlichen Einfluss, jedoch nur, wenn sie ein Recht auf Prüfung, SLAs zur Meldung von Verstößen und Haftungsbedingungen enthalten

---

Warum das Risiko Dritter wichtig ist

Laut einer Prevalent-Studie aus dem Jahr 2025 teilt ein durchschnittliches Unternehmen sensible Daten mit 583 Dritten. Für Unternehmen, die Geschäftsplattformen wie Odoo ERP und Shopify eCommerce betreiben, umfasst das Anbieter-Ökosystem:

• Infrastrukturanbieter (AWS, Azure, GCP, Cloudflare)
• SaaS-Anwendungen (Identitätsanbieter, E-Mail, Zusammenarbeit, CRM)
• Zahlungsabwickler (Stripe, PayPal, Adyen)
• Marktplatz-Konnektoren (Amazon-, eBay-, Shopify-, WooCommerce-Integrationen)
• Entwicklungstools (GitHub, CI/CD, Überwachung, Fehlerverfolgung)
• Managed Service Provider (Hosting, Sicherheit, Backup, IT-Support)
• Professionelle Dienstleistungen (Berater, Auftragnehmer, ausgelagerte Entwicklung)

Jede Lieferantenbeziehung erzeugt eine oder mehrere dieser Risikokategorien:

---

Anbieterbewertungsrahmen

Ein strukturierter Lieferantenbewertungsrahmen gewährleistet eine konsistente, risikogerechte Bewertung aller Dritten. Die Tiefe der Bewertung sollte sich an dem Risiko orientieren, das der Anbieter darstellt.

Anbieterstufen

Nicht alle Anbieter tragen das gleiche Risiko. Ordnen Sie Ihre Lieferanten nach Datenzugriff und betrieblicher Kritikalität an:

Kriterien zur Risikobewertung von Anbietern

Bewerten Sie für Tier-1- und Tier-2-Anbieter die folgenden Bereiche:

---

Zertifizierungs- und Compliance-Anforderungen

SOC 2 Typ II

SOC 2 Typ II ist der Goldstandard für die Sicherheitsbewertung von SaaS-Anbietern. Es bewertet die Kontrollen eines Anbieters anhand von fünf Trust-Service-Kriterien über einen Zeitraum von 6 bis 12 Monaten:

• Sicherheit --- Schutz vor unbefugtem Zugriff (erforderlich)
• Verfügbarkeit --- Systemverfügbarkeit und Wiederherstellungsverpflichtungen
• Verarbeitungsintegrität --- Genaue und vollständige Datenverarbeitung
• Vertraulichkeit --- Schutz vertraulicher Informationen
• Datenschutz --- Umgang mit personenbezogenen Daten gemäß Datenschutzgrundsätzen

Was SOC 2 Ihnen sagt: Die Kontrollen wurden während des Auditzeitraums angemessen konzipiert und effektiv durchgeführt. Der Prüfer überprüfte Nachweise, testete Kontrollen und dokumentierte Ausnahmen.

Was Ihnen SOC 2 nicht sagt: Die Kontrollen sind auch heute noch wirksam (der Bericht ist 6–12 Monate alt). Die Prüfung umfasste alle Systeme, die mit Ihren Daten in Berührung kommen (der Umfang kann eingeschränkt sein). Seit dem Audit sind keine neuen Schwachstellen aufgetreten.

ISO 27001

ISO 27001 bescheinigt, dass eine Organisation ein Informationssicherheits-Managementsystem (ISMS) implementiert hat, das der Norm entspricht. Es ist international anerkannt und deckt einen größeren Anwendungsbereich als SOC 2 ab.

Hauptunterschiede zu SOC 2:

• ISO 27001 ist eine Zertifizierung (bestanden/nicht bestanden), kein Bericht mit detaillierten Ergebnissen
• Die Zertifizierung ist 3 Jahre gültig mit jährlichen Überwachungsaudits
• Es umfasst das Managementsystem, nicht spezifische technische Kontrollen
• Internationale Anerkennung macht es wertvoll für globale Lieferantenbeziehungen

PCI DSS

Für Anbieter, die Zahlungskartendaten verarbeiten, speichern oder übertragen, ist die Einhaltung des PCI DSS zwingend erforderlich. Fordern Sie die Konformitätsbescheinigung (AoC) des Anbieters an und klären Sie dessen SAQ-Ebene. Stellen Sie sicher, dass der PCI-Umfang des Anbieters die spezifischen Dienste abdeckt, die er Ihnen anbietet.

Zertifizierungsvergleich

---

Kontinuierliche Überwachung

Jährliche Bewertungen liefern punktuelle Momentaufnahmen, das Lieferantenrisiko besteht jedoch kontinuierlich. Sicherheitsbewertungsplattformen und laufende Überwachung schließen die Lücke zwischen den Bewertungen.

Sicherheitsbewertungsplattformen

Sicherheitsbewertungsplattformen scannen kontinuierlich die externe Infrastruktur des Anbieters und liefern eine quantifizierte Sicherheitsbewertung:

• BitSight --- Marktführer, über 2.100 Datenpunkte, Versicherungsintegration
• SecurityScorecard --- Wettbewerbsfähige Alternative, starke Visualisierung
• UpGuard --- Anbieterrisiko plus Erkennung von Datenlecks
• RiskRecon (Mastercard) --- Starker Fokus auf Finanzdienstleistungen
• Panorays --- KMU-freundlicher, automatisierter Fragebogen + Bewertungen

Diese Plattformen bewerten:

• Netzwerksicherheit --- Offene Ports, Fehlkonfigurationen, veraltete Dienste
• Anwendungssicherheit --- Schwachstellen in Webanwendungen, SSL/TLS-Konfiguration
• DNS-Zustand --- DNSSEC-, SPF-, DKIM-, DMARC-Konfiguration
• Patching-Rhythmus --- Wie schnell der Anbieter Sicherheitsupdates anwendet
• IP-Reputation --- Assoziation mit böswilliger Aktivität, Botnet-Beteiligung
• Erkennung von Datenlecks --- Anmeldeinformationen, Dokumente oder Code, die im Dark Web oder in öffentlichen Repositories offengelegt werden
• E-Mail-Sicherheit --- Anti-Spoofing-Kontrollen, E-Mail-Authentifizierung

Kontinuierliches Überwachungsprogramm

Implementieren Sie über die Sicherheitsbewertungen hinaus die folgenden laufenden Überwachungsaktivitäten:

1. Sicherheitsnachrichtenwarnungen von Anbietern --- Google Alerts, herstellerspezifische RSS-Feeds und Aggregation von Sicherheitsnachrichten für alle Tier-1-Anbieter
2. Dark-Web-Überwachung --- Überwachen Sie Untergrundforen auf Anmeldeinformationen, Daten oder Infrastrukturreferenzen von Anbietern
3. Zertifikatüberwachung --- Verfolgen Sie den Ablauf von SSL/TLS-Zertifikaten des Anbieters und Konfigurationsänderungen
4. Benachrichtigungen über Änderungen an Unterauftragsverarbeitern --- Viele SaaS-Anbieter führen Listen von Unterauftragsverarbeitern mit Änderungsbenachrichtigungen (die DSGVO erfordert dies). Abonnieren Sie alle Benachrichtigungen von Anbietern der Stufe 1
5. Überwachung behördlicher Maßnahmen --- Verfolgen Sie Durchsetzungsmaßnahmen, Klagen und behördliche Untersuchungen, an denen Ihre Lieferanten beteiligt sind

---

Vertragssicherheitsklauseln

Anbieterverträge sind Ihr rechtlicher Durchsetzungsmechanismus für Sicherheitsanforderungen. Ohne vertragliche Verpflichtungen besteht für Anbieter keine gesetzliche Verpflichtung, Sicherheitsstandards nach Vertragsabschluss einzuhalten.

Wesentliche Vertragsklauseln

Recht auf Prüfung. Das Recht, mit angemessener Vorankündigung Sicherheitsbewertungen des Anbieters durchzuführen, entweder direkt oder durch einen externen Prüfer. Dies ist Ihr Durchsetzungsmechanismus für alles andere.

SLA zur Benachrichtigung über Sicherheitsverletzungen. Spezifischer Zeitrahmen für die Benachrichtigung über einen Sicherheitsvorfall, der Ihre Daten betrifft. Best Practice: 24–48 Stunden für die erste Benachrichtigung, mit regelmäßigen Updates bis zur Lösung. Die DSGVO erfordert eine Benachrichtigung innerhalb von 72 Stunden.

Datenverarbeitung und -rückgabe. Legen Sie fest, wie der Anbieter Ihre Daten bei Vertragsbeendigung verarbeitet, speichert und letztendlich zurückgibt oder vernichtet. Berücksichtigen Sie Datenformat, Aufbewahrungsfristen und zertifizierte Vernichtungsnachweise.

Einhaltung von Sicherheitsstandards. Fordern Sie spezifische Zertifizierungen (SOC 2 Typ II, ISO 27001) und definieren Sie die Folgen eines Zertifizierungsverlusts.

Kontrollen durch Unterauftragsverarbeiter. Erfordert eine Benachrichtigung und Genehmigung, bevor der Anbieter neue Unterauftragsverarbeiter einstellt. Definieren Sie Ihr Widerspruchsrecht gegenüber Unterauftragsverarbeitern, die Ihren Sicherheitsanforderungen nicht entsprechen.

Haftung und Entschädigung. Definieren Sie die finanzielle Haftung für Verstöße, die durch Fahrlässigkeit des Anbieters verursacht werden. Stellen Sie sicher, dass die Anforderungen an die Cyberversicherung festgelegt sind (Mindestdeckungssummen, Sie als zusätzlicher Versicherter).

SLA und Verfügbarkeit. Definieren Sie Verfügbarkeitsverpflichtungen, RPO/RTO und finanzielle Strafen für SLA-Verstöße.

Musterklausel zur Meldung von Verstößen

Eine strenge Klausel zur Meldung von Verstößen umfasst Folgendes:

• Benachrichtigung innerhalb von 24 Stunden nach Entdeckung eines bestätigten oder vermuteten Verstoßes gegen Ihre Daten
• Schriftliche Mitteilung an einen bestimmten Sicherheitskontakt (keine allgemeine E-Mail)
• Die Erstmeldung muss Folgendes enthalten: Art des Vorfalls, betroffene Datenkategorien, geschätzte Anzahl der Datensätze, ergriffene Abhilfemaßnahmen
• Regelmäßige Updates (mindestens alle 24 Stunden), bis der Vorfall behoben ist
• Vollständiger Bericht zur Ursachenanalyse innerhalb von 30 Tagen nach Behebung des Vorfalls
• Mitarbeit bei Ihrem Incident-Response-Prozess und Ihrer forensischen Untersuchung

---

SaaS-Risikobewertung

Für Unternehmen, die Dutzende von SaaS-Anbietern verwalten, ermöglicht ein quantifiziertes Risikobewertungssystem eine konsistente Priorisierung und Ressourcenzuweisung.

Risikobewertungsrahmen

Bewerten Sie jeden Anbieter auf einer Skala von 1 bis 5 in den folgenden Dimensionen:

Zusammengesetzter Risikoscore = gewichteter Durchschnitt aller Dimensionen (1,0 bis 5,0)

---

Aufbau eines TPRM-Programms

Von Null beginnen

Für Organisationen ohne formelles TPRM-Programm (Third Party Risk Management):

1. Inventarisieren Sie alle Anbieter, die auf Ihre Daten zugreifen oder eine Verbindung zu Ihren Systemen herstellen. Die meisten Unternehmen zählen ihre Lieferantenbeziehungen deutlich zu wenig.
2. Stufen Sie das Inventar anhand der oben genannten Kriterien. Konzentrieren Sie sich zunächst auf die kritischen und hohen Stufen.
3. Bewerten Sie Tier-1-Anbieter mithilfe des vollständigen Bewertungsrahmens. Fordern Sie SOC 2-Berichte an, führen Sie Fragebogenbewertungen durch und richten Sie eine kontinuierliche Überwachung ein.
4. Vertragsstandards umsetzen, indem Sie Sicherheitsklauseln zu neuen Verträgen hinzufügen und bestehende Verträge bei Verlängerung ändern.
5. Etablieren Sie eine Governance mit einem Anbieter-Risikoausschuss, der Bewertungen überprüft, Hochrisikoanbieter genehmigt und Abhilfemaßnahmen verfolgt.

Skalierung mit Automatisierung

Wenn Ihr Lieferantenportfolio wächst, werden manuelle Bewertungen nicht mehr nachhaltig. Automatisieren Sie mit:

• Risikomanagementplattformen von Anbietern (Prevalent, OneTrust, ProcessUnity) für zentralisiertes Fragebogenmanagement, automatisiertes Scoring und Workflow
• Integration von Sicherheitsbewertungen für kontinuierliche externe Überwachung ohne manuellen Aufwand
• Automatisierte Beweiserfassung, indem SOC 2-Berichte, Zertifikate und Compliance-Dokumentation direkt aus Anbieterportalen abgerufen werden
• Risikogesteuerte Arbeitsabläufe, die automatisch eskalieren, wenn die Sicherheitsbewertung eines Anbieters sinkt oder ein Verstoß gemeldet wird

---

Häufig gestellte Fragen

Wie bewerten wir Anbieter, die sich weigern, SOC 2-Berichte weiterzugeben oder Sicherheitsfragebögen zu beantworten?

Wenn ein Anbieter sich weigert, Sicherheitsnachweise bereitzustellen, betrachten Sie dies als Warnsignal, das im Verhältnis zu seiner Risikostufe steht. Für Anbieter der Stufe 4 (geringes Risiko) kann eine Ablehnung akzeptabel sein, wenn ihre Sicherheitsbewertung angemessen ist. Für Tier-1-2-Anbieter ist die Weigerung, grundlegende Sicherheitsnachweise bereitzustellen, disqualifizierend. Zu den Alternativen gehören das Anfordern von SOC 3-Berichten (öffentliche Zusammenfassungen), das Überprüfen der veröffentlichten Sicherheitsseite, die Verwendung von Sicherheitsbewertungsplattformen für die externe Bewertung und die Durchführung einer eigenen externen Sicherheitsbewertung ihrer öffentlich zugänglichen Systeme.

Wie oft sollten wir Anbieter neu bewerten?

Kritische Anbieter (Tier 1) sollten jährlich neu bewertet werden, wobei zwischen den Bewertungen eine kontinuierliche Überwachung der Sicherheitsbewertung erfolgen sollte. Jährlich hohe (Tier-2-)Anbieter ohne kontinuierliche Überwachung. Mittlere Anbieter (Stufe 3) alle zwei Jahre. Low-Anbieter (Tier 4) alle drei Jahre. Darüber hinaus sollten Sie jeden Anbieter unmittelbar nach einem gemeldeten Verstoß, einer erheblichen Änderung der Infrastruktur, einer Übernahme oder einer Verschlechterung der Sicherheitsbewertung neu bewerten.

Was sollen wir tun, wenn ein Anbieter verletzt wird?

Führen Sie das Verfahren zur Reaktion auf Vorfälle Ihres Anbieters durch: Wenden Sie sich an das Sicherheitsteam des Anbieters, um Einzelheiten zu erfahren, beurteilen Sie, ob Ihre Daten betroffen waren, aktivieren Sie Ihren eigenen Plan zur Reaktion auf Vorfälle, wenn die Offenlegung der Daten bestätigt wird, benachrichtigen Sie betroffene Personen und Aufsichtsbehörden nach Bedarf, dokumentieren Sie alles aus rechtlichen und versicherungstechnischen Gründen und führen Sie eine Überprüfung nach dem Vorfall durch, um festzustellen, ob die Beziehung mit dem Anbieter fortgeführt werden soll.

Wie verwalten wir das Risiko Dritter (die Lieferanten unserer Lieferanten)?

Fordern Sie Tier-1-Anbieter auf, ihre kritischen Unterauftragsverarbeiter offenzulegen und ihren Bewertungsprozess für Unterauftragsverarbeiter zu beschreiben. Nehmen Sie die Benachrichtigungs- und Genehmigungsrechte für Unterauftragsverarbeiter in Verträge auf. Überwachen Sie die Subprozessorlisten auf Änderungen. Führen Sie für die Beziehungen mit dem höchsten Risiko unabhängige Bewertungen kritischer Unterauftragsverarbeiter durch. Dies ist besonders wichtig für Cloud-Sicherheit, wo Ihr Anbieter möglicherweise auf einer gemeinsam genutzten Infrastruktur läuft.

---

Was kommt als nächstes?

Das Risikomanagement Dritter ist kein Compliance-Kontrollkästchen, sondern eine betriebliche Notwendigkeit in einem vernetzten Geschäftsökosystem. Beginnen Sie mit der Bestandsaufnahme und Einstufung Ihrer Anbieter, bewerten Sie Ihre kritischen Anbieter anhand eines strukturierten Rahmens, betten Sie Sicherheitsanforderungen in Verträge ein und implementieren Sie eine kontinuierliche Überwachung. Jeder Schritt verringert die Wahrscheinlichkeit erheblich, dass Ihr nächster Verstoß durch einen vertrauenswürdigen Dritten erfolgt.

ECOSIRE wendet bei jeder von uns bereitgestellten Integration eine strenge Sicherheitsbewertung des Anbieters an. Unsere [Odoo ERP-Marktplatz-Konnektoren] (https://ecosire.com/services/odoo) werden vor der Bereitstellung auf Sicherheit überprüft, unsere [OpenClaw AI-Integrationen] (https://ecosire.com/services/openclaw) implementieren eine HMAC-signierte Webhook-Verifizierung und unsere [Shopify-Implementierungen] (https://ecosire.com/services/shopify) prüfen den Berechtigungsbereich jeder installierten App. Kontaktieren Sie unser Team, um ein Lieferantenrisikomanagementprogramm zu erstellen, das Ihr Unternehmen schützt.

---

Veröffentlicht von ECOSIRE --- unterstützt Unternehmen bei der Skalierung mit KI-gestützten Lösungen in Odoo ERP, Shopify eCommerce und OpenClaw AI.