Montagmorgen, kurz nach acht. In der Ereignisanzeige steht eine Anmeldung von Samstag, drei Uhr zwölf. Das Konto heißt Wartung. Niemand im Haus hat am Wochenende gearbeitet, und der Dienstleister, dem das Konto gehört, ist seit zwei Jahren nicht mehr für Sie tätig.
Ich erzähle solche Geschichten nicht, um Ihnen den Schlaf zu rauben. Ich erzähle sie, weil sie so gewöhnlich sind. Jedes Haus arbeitet heute mit dutzenden Dienstleistern. Sie betreiben die Software, warten die Telefonanlage, hosten die Daten und schalten sich auf, wenn etwas klemmt. Das ist richtig so, denn niemand kann alles selbst machen. Mit jedem Dienstleister holen Sie sich aber auch sein Risiko ins Haus. Seine Kennwörter, seine Laptops, seine Subunternehmer und seine schlechten Tage.
Im zweiten Teil des „Paten“ gibt Michael Corleone den berühmten Rat, man solle seine Freunde nah halten und seine Feinde noch näher. Für Sie als Sicherheitsbeauftragte gilt eine friedlichere Fassung. Ihre Dienstleister sind keine Feinde. Halten Sie sie aber trotzdem so nah, dass Sie jederzeit wissen, wer von ihnen gerade in Ihrem Netz ist und woran Ihr Betrieb hängt, wenn einer ausfällt.
Wie dünn das Eis sein kann, habe ich im Spätsommer selbst erlebt. Bei einem Träger, den ich betreue, schlug das Sicherheitssystem Alarm, höchste Stufe, ein echter Angriff auf ein Benutzerkonto. Die Technik hatte alles richtig gemacht. Gelesen hat die Meldung stundenlang aber niemand, und auf die Frage, wer dafür zuständig sei, gab es keine Antwort. Nicht beim Träger, nicht beim Dienstleister. Die Geschichte erzähle ich in der Best Practice unter dem Titel „Der Angriff wurde erkannt – nur hat es niemand gemerkt“ Sie handelt weniger von einem Angreifer als von einer Aufgabe, die in keinem Vertrag stand.
Die unbequeme Wahrheit dieser Ausgabe lautet deshalb, dass Ihre Dienstleisterliste Ihnen kaum hilft. Sie verrät, was Sie zahlen, aber nicht, wovon Sie abhängen. Die gefährlichsten Zugänge stehen oft gar nicht darin, und die wichtigsten Zuständigkeiten auch nicht. Wer die Frage nach der Abhängigkeit ernst nimmt, landet bei der Business-Impact-Analyse aus der letzten Ausgabe. Genau dort knüpfen wir an.
Weil ein Dienstleister im Zweifel schneller in Ihrem Netz ist als Sie an Ihrem Schreibtisch, steht das Wichtigste dieser Ausgabe gleich hier unten im Schnellüberblick.
Bleiben Sie wachsam.
Ihr Andreas Hessel
Warum Ihre Dienstleisterliste noch kein Risikomanagement ist
Die übliche Liste ist nach Kosten sortiert, das Risiko hängt aber am getragenen Prozess und am Zugriff. Zwölf gründlich bewertete Dienstleister sind mehr wert als hundert gelistete.
So behalten Sie die Fernwartungszugänge Ihrer Dienstleister im Griff
Kein Zugang ohne Ablaufdatum, kein Direktzugang, keine Sitzung ohne Protokoll und kein Vertragsende ohne Entzug. Mit Bordmitteln und Apache Guacamole setzen Sie das in wenigen Tagen um.
Der Angriff wurde erkannt. Nur hat es niemand gemerkt.
Das Sicherheitssystem erkannte einen echten Angriff sofort, gelesen hat die Meldung stundenlang niemand. Die gefährlichste Lücke war keine Technik, sondern eine Zuständigkeit, die in keinem Vertrag stand.
Wann ist ein Dienstleister wirklich geprüft?
Der AV-Vertrag ist die Voraussetzung, nicht die Prüfung. Ein Zertifikat zählt nur, wenn Geltungsbereich und Erklärung zur Anwendbarkeit Ihren Dienst tatsächlich abdecken.
Dienstleister-Bewertungsbogen (Excel) ermittelt Stufe, Prüfart und nächsten Prüftermin aus Kritikalität, Zugriff und Ersetzbarkeit, mit Übersicht für die Geschäftsführung.
Prüfpfad in sieben Fragen (im selben Bogen) zeigt für jeden Dienstleister, welche Pflichten aus DSGVO, DORA, MaRisk oder VAG und NIS2 greifen.