Kennen Sie alle Dienstleister, die Zugriff auf Ihre Systeme haben?
Ehrlich gesagt: Wahrscheinlich nicht. Und das liegt nicht an Ihnen.
Als CISO oder ISB tragen Sie die Verantwortung für die Informationssicherheit. Aber Dienstleister kommen über viele Türen ins Unternehmen. Die IT beauftragt den Cloud-Anbieter, die Entwicklung holt sich externe Programmierer, der Betrieb engagiert den Wartungstechniker, und die Personalabteilung nutzt eine Software für die Lohnabrechnung. Jede Abteilung hat ihre eigenen Dienstleister, ihre eigenen Prioritäten und ihre eigene Vorstellung davon, was „sicher“ bedeutet.
Das Ergebnis kennen Sie: ein Flickenteppich.
Das eigentliche Problem beim Dienstleistermanagement liegt zwischen Einkauf und Betrieb
In einem aktuellen Projekt haben wir eine Unternehmensgruppe aus dem IT-Umfeld mit rund 15 Gesellschaften begleitet. Die Ausgangslage war typisch: Es gab kein koordiniertes Vorgehen, jede Gesellschaft steuerte ihre Dienstleister anders.
Die größte Hürde war dabei nicht die Technik, sondern die Organisation. Der Einkauf verhandelt den Vertrag. Die Fachabteilung arbeitet später mit dem Dienstleister zusammen. Dazwischen gehen Sicherheitsanforderungen verloren, weil der Einkauf nicht weiß, welche Rechte der Dienstleister später braucht, und weil die Fachabteilung nicht weiß, was im Vertrag steht.
Kommt Ihnen das bekannt vor?
Die ISO 27001 fordert in den Controls A.5.19 bis A.5.23 ein strukturiertes Management der Lieferantenbeziehungen. NIS-2 legt nach und rückt die Sicherheit der Lieferkette ausdrücklich in den Fokus. Spätestens im nächsten Audit stellt sich deshalb die Frage: Wie stellen Sie sicher, dass jeder Dienstleister die Anforderungen erfüllt, die seiner Kritikalität entsprechen?
Nicht jeder Dienstleister ist gleich kritisch
Hier liegt der Denkfehler vieler Unternehmen. Entweder werden alle Dienstleister gleich behandelt, was Aufwand ohne Wirkung erzeugt. Oder es wird nach Bauchgefühl unterschieden, was Lücken ohne Nachvollziehbarkeit erzeugt.
Die Lösung ist ein Kategorisierungsschema, das Dienstleister anhand objektiver Kriterien in Sicherheitskategorien einordnet. Für unseren Kunden haben wir ein Schema mit fünf bis sechs Dimensionen entwickelt. Eine davon möchten wir Ihnen konkret zeigen, denn Sie können sie sofort auf Ihren eigenen Dienstleisterbestand anwenden.
Beispiel: Nutzerrechte von Dienstleistern bewerten
Stellen Sie sich bei jedem Dienstleister eine einfache Frage: Welche Rechte hat er in Ihren Systemen?
Die Antwort lässt sich in klare Stufen gliedern:
- Kein Zugang: Der Dienstleister liefert eine Leistung, ohne Ihre Systeme zu berühren. Ein Beispiel ist der Caterer oder die Druckerei.
- Eingeschränkter Zugang: Die Zusammenarbeit findet innerhalb eines klar definierten Bereichs statt, etwa wenn ein externer Support ausschließlich Tickets in einem bestimmten System bearbeitet.
- Erweiterter Zugang: Mehrere Systeme oder sensible Bereiche gehören zum Arbeitsumfang. Ein Beispiel ist ein Entwicklungsdienstleister, der auf Testumgebungen und weitere Entwicklungsressourcen zugreifen kann.
- Privilegierter Zugang: Der Dienstleister hat Administrations- oder Root-Rechte. Ein Beispiel ist der Managed-Service-Provider, der Ihre Server betreibt.
Schon diese eine Dimension verändert den Blick. Plötzlich wird sichtbar, dass der „kleine“ IT-Dienstleister einer einzelnen Gesellschaft womöglich kritischer ist als der große Rahmenvertragspartner. Ebenso wird
sichtbar, dass privilegierte Zugänge Anforderungen nach sich ziehen müssen, die ein Dienstleister ohne Systemzugang nie erfüllen muss: Mehr-Faktor-Authentifizierung, protokollierte Sitzungen, regelmäßige Rezertifizierung der Berechtigungen.
Unser Tipp: Nehmen Sie Ihre Dienstleisterliste und ordnen Sie jeden Eintrag einer dieser vier Stufen zu. Sie werden überrascht sein, wie oft die Antwort lautet: „Das wissen wir nicht genau.“
Erst das Zusammenspiel ergibt eine belastbare Dienstleisterbewertung
Eine Dimension allein reicht nicht. Erst die Kombination aller Dimensionen ergibt eine belastbare Sicherheitskategorie. Dabei spielen etwa die verarbeiteten Daten, physische Zutritte, der Standort und die Art der IT-Leistung eine Rolle. Gerade Cloud-Services und Software-Entwicklung bringen eigene Risiken mit, die gesondert betrachtet werden müssen.
Der entscheidende Schritt folgt danach: Aus der Kategorie leiten sich automatisch die vertraglichen Anforderungen ab. Der Einkauf muss dann nicht mehr raten, welche Sicherheitsklauseln in den Vertrag gehören. Die Kategorie sagt es ihm. So schließt sich die Lücke zwischen Einkauf und Fachabteilung.
Der Mehrwert, mit dem niemand gerechnet hat
Was als ISO-27001-Maßnahme begann, zahlte sich für unseren Kunden doppelt aus.
Dasselbe Schema liefert die Grundlage für Datenschutzanforderungen: Wer braucht einen Auftragsverarbeitungsvertrag? Wo drohen Drittlandtransfers?
Und es stärkt die Business Resilience: Welche Dienstleister sind so kritisch, dass ihr Ausfall den Betrieb gefährdet? Wo brauchen Sie Exit-Strategien und Notfallpläne?
Eine Einstufung erfüllt damit drei Anforderungen und vermeidet dreifachen Aufwand.
Wie gut ist Ihr Dienstleistermanagement aufgestellt?
Wenn Sie beim Lesen an den einen oder anderen Dienstleister gedacht haben, bei dem Sie nicht sicher sind, welche Rechte er hat, welche Daten er sieht oder welche Sicherheitsanforderungen vertraglich geregelt sind, lohnt sich ein genauerer Blick.
Wir unterstützen Unternehmen dabei, gewachsene Dienstleisterlandschaften zu strukturieren, relevante Berührungspunkte zu identifizieren und daraus nachvollziehbare Sicherheitsanforderungen abzuleiten.
Sprechen Sie uns an und erfahren Sie, wie sich dieser Ansatz auf Ihre Organisation übertragen lässt.
FAQ zum Dienstleistermanagement im ISMS
Eine Dienstleisterbewertung im ISMS ist die strukturierte Einschätzung, welche Berührungspunkte, Zugriffsrechte und Risiken aus einer Dienstleisterbeziehung für die Informationssicherheit entstehen. Auf dieser Grundlage lassen sich angemessene Sicherheitsanforderungen für den jeweiligen Dienstleister ableiten.
Grundsätzlich sollten alle Dienstleister betrachtet werden, die Berührungspunkte mit schützenswerten Informationen, IT-Systemen, Unternehmensbereichen oder kritischen Geschäftsprozessen haben. Dabei muss nicht jeder Dienstleister gleich umfangreich bewertet werden. Entscheidend sind die tatsächlichen Zugriffe, Rechte und Abhängigkeiten
Die Bewertung sollte zunächst die tatsächlichen Berührungspunkte, Zugriffsrechte und Abhängigkeiten eines Dienstleisters sichtbar machen. Daraus lässt sich eine Sicherheitskategorie ableiten, die als Grundlage für angemessene Anforderungen dient – beispielsweise an Berechtigungen, Authentifizierung, Protokollierung oder die vertragliche Gestaltung.
Dieser Beitrag wurde mit Unterstützung von KI erstellt.
