143 Dienstleister, sauber sortiert nach Vertragsvolumen, mit Laufzeit, Ansprechpartner und einem Häkchen beim AV-Vertrag. Die Liste ist ordentlich, und trotzdem hält sie der ersten Frage eines Prüfers nicht stand: Welcher dieser Dienstleister hält eigentlich Ihren Betrieb am Leben? Warum die meisten Häuser auf diese Frage keine Antwort haben, obwohl sie jeden Vertrag kennen, klären wir in diesem Kommentar.
Die Liste, die alle haben
Ich kenne diese Liste aus fast jedem Haus, in das ich komme. Sie stammt aus dem Einkauf oder aus dem Controlling. Sie ist gepflegt, sie ist vollständig, und sie ist nach Kosten sortiert. Oben stehen der Rechenzentrumsbetreiber, der Softwarehersteller der Kernanwendung und der Telefonanbieter. Unten stehen der Hausmeisterservice, die Aktenvernichtung und der kleine IT-Dienstleister, der seit zwölf Jahren die Abrechnungssoftware betreut.
Sie als Sicherheitsbeauftragte bekommen diese Liste irgendwann zugeschickt, meist mit dem Satz, dass damit die Dienstleistersteuerung erledigt sei. Und ein Stück weit stimmt das sogar. Die Liste ist die Grundlage für alles, was folgt. Nur folgt in den meisten Häusern nichts mehr.
Die Liste beantwortet eine einzige Frage, und sie beantwortet sie gut: Was zahlen wir an wen? Die Frage, die Sie beantworten müssen, lautet anders. Was bricht zusammen, wenn dieser Dienstleister ausfällt, kompromittiert wird oder einfach vom Markt verschwindet? Auf diese Frage schweigt die Liste.
Was die Sortierung verschweigt
Das erste Problem ist die Reihenfolge. Wer nach Vertragsvolumen sortiert, setzt Geld mit Bedeutung gleich. Das ist bequem, denn die Zahlen liegen im Einkauf ohnehin vor. Es ist aber falsch, und der Fehler hat eine Richtung. Die gefährlichsten Dienstleister stehen fast immer unten.
Nehmen Sie den Einzelunternehmer, der die Abrechnungssoftware betreut. Sein Vertrag kostet im Jahr weniger als das Kopierpapier. Er hat aber einen Administratorzugang zum Server, auf dem die Abrechnung läuft. Er ist der Einzige, der die Datenbankstruktur kennt. Und er hat keinen Vertreter. Fällt er drei Wochen aus, steht Ihre Abrechnung. Wird sein Laptop kompromittiert, steht der Angreifer in Ihrem Netz. In der Liste taucht er auf Platz 138 auf.
Das zweite Problem ist der Blickwinkel. Die Liste kennt Verträge, aber keine Zugänge. Genau dort sitzt das Risiko. Der Hersteller der Zutrittskontrolle, der sich per Fernwartung aufschaltet, hat oft gar keinen eigenen Vertrag mit Ihnen, weil die Wartung über den Errichter läuft. Der Support des Softwareherstellers verbindet sich über ein Fernwartungswerkzeug, das vor Jahren installiert wurde und seitdem unbeaufsichtigt läuft. Beide fehlen in der Liste oder stehen dort unter einem Namen, der mit dem tatsächlichen Zugriff nichts zu tun hat.
Das dritte Problem ist die Zeit. Eine Liste ist eine Momentaufnahme. Dienstleister werden übernommen, verlagern ihren Betrieb in eine Cloud, schalten Subunternehmer ein oder verlieren ihren wichtigsten Techniker. Nichts davon ändert eine Zeile in der Liste. Das Risiko ändert sich trotzdem.
Warum das so ist
Man kann das den Kollegen im Einkauf nicht vorwerfen. Sie verwalten Verträge, und das tun sie gut. Vertragsmanagement ist aber kein Risikomanagement. Das eine fragt nach Konditionen, Laufzeiten und Kündigungsfristen. Das andere fragt nach Abhängigkeit, Ersetzbarkeit und Zugriffstiefe.
Die Regulierung hat das Missverständnis eher verstärkt. Die Datenschutz-Grundverordnung verlangt nach Artikel 28 einen Vertrag mit jedem Auftragsverarbeiter. Das Ergebnis ist in vielen Häusern ein Aktenordner voller AV-Verträge, der das Gefühl erzeugt, die Dienstleister seien im Griff. DORA verlangt nach Artikel 28 Absatz 3 ein Informationsregister über alle vertraglichen Vereinbarungen zu IKT-Dienstleistungen. Das Register ist Pflicht, und es muss vollständig sein. Es bleibt aber ein Register. Wer es befüllt hat, hat inventarisiert, nicht gesteuert.
Bruce Schneier hat diesen Irrtum schon vor über 20 Jahren auf den Punkt gebracht: Sicherheit ist ein Prozess und kein Produkt. Die Dienstleisterliste ist ein Produkt. Sie wird erstellt, abgelegt und beim nächsten Audit vorgezeigt. Der Prozess dahinter fehlt.
Meine Position
Dienstleisterrisiko ist abgeleitetes Risiko. Ein Dienstleister ist nicht an sich kritisch. Er wird kritisch durch den Prozess, den er trägt. Deshalb beginnt die Bewertung nicht bei der Liste, sondern bei Ihrer Business-Impact-Analyse. Dort steht, welche Prozesse nach vier Stunden, nach einem Tag oder nach drei Tagen Ausfall ernsthaften Schaden anrichten. Jeder Dienstleister, der einen dieser Prozesse trägt oder technisch erreicht, erbt diese Kritikalität.
Daraus folgt eine These, die in manchen Häusern Widerspruch auslöst. Zwölf gründlich bewertete Dienstleister sind mehr wert als 143 gelistete. Die Energie, die heute in die gleichmäßige Pflege aller Einträge fließt, gehört in die wenigen, an denen Ihr Betrieb tatsächlich hängt.
Das ist kein Freibrief für Nachlässigkeit, sondern genau das, was die Regelwerke verlangen. DORA unterscheidet ausdrücklich zwischen IKT-Dienstleistungen, die kritische oder wichtige Funktionen unterstützen, und allen anderen. Für die ersten gelten nach Artikel 30 Absatz 3 zusätzliche Vertragsinhalte, etwa uneingeschränkte Zugangs- und Prüfrechte, Notfallpläne und Ausstiegsstrategien. NIS2 verlangt in der deutschen Umsetzung nach § 30 BSIG Maßnahmen zur Sicherheit der Lieferkette, also zu den sicherheitsbezogenen Aspekten der Beziehungen zu unmittelbaren Anbietern und Diensteanbietern. Auch hier gilt der risikobasierte Ansatz. ISO 27001 regelt die Lieferantenbeziehungen in den Controls 5.19 bis 5.22 und lässt Ihnen bei der Tiefe ausdrücklich Spielraum.
Keines dieser Regelwerke verlangt, dass Sie jeden Dienstleister gleich intensiv prüfen. Die gleichmäßige Liste ist unsere eigene Erfindung. Sie fühlt sich gründlich an und ist in Wahrheit das Gegenteil, weil sie die Aufmerksamkeit dort verteilt, wo sie konzentriert gehört.
Der berechtigte Einwand
An dieser Stelle kommt meist der Einwand, dass der Prüfer die vollständige Liste sehen will. Das stimmt. Für Finanzunternehmen ist das Informationsregister nach DORA vollständig zu führen, und auch jeder andere Prüfer fragt nach einem Überblick. Die Liste bleibt also.
Entscheidend ist die Unterscheidung zwischen Inventar und Steuerung. Das Inventar ist vollständig und flach. Die Steuerung ist gestuft und tief. Wer beides verwechselt, pflegt entweder ein Inventar, das niemand steuert, oder er versucht, 143 Dienstleister gleich tief zu steuern, und scheitert an der eigenen Gründlichkeit. Beides habe ich oft genug gesehen.
Was daraus für Sie folgt
Der Weg aus der Liste heraus ist kürzer, als er aussieht. Er besteht aus drei Bewegungen, und keine davon braucht ein neues Werkzeug.
Drehen Sie die Blickrichtung um. Nehmen Sie die zehn kritischsten Prozesse aus Ihrer Business-Impact-Analyse und fragen Sie bei jedem, wer daran mitarbeitet, wer die Technik betreibt und wer von außen darauf zugreifen kann. Die Antworten sind Ihre eigentliche Dienstleisterliste. Sie ist kurz, und sie ist fast nie identisch mit den oberen Plätzen der Kostenliste.
Machen Sie den Zugriff zur Pflichtspalte. Jeder Dienstleister mit technischem Zugang zu Ihren Systemen steigt in der Bewertung mindestens eine Stufe auf, unabhängig vom Vertragsvolumen. Wer sich per Fernwartung aufschalten kann, gehört nicht auf Platz 138.
Staffeln Sie die Prüftiefe. Kritische Dienstleister bewerten Sie jährlich mit Nachweisen, also Zertifikaten, Prüfberichten oder einem eigenen Gespräch. Wichtige Dienstleister liefern alle zwei Jahre eine Selbstauskunft. Alle übrigen bleiben im Inventar und werden bei Vertragsänderungen angesehen. Für die meisten Häuser reicht diese Staffel, und mehr schafft ohnehin niemand.
Für die Umsetzung brauchen Sie Verbündete. Der Einkauf behält seine Liste, Sie ergänzen zwei Spalten, nämlich den getragenen Prozess und die Zugriffsart. Damit wird aus der Vertragsliste ein gemeinsames Werkzeug, ohne dass jemand sein Revier abgeben muss. Der Geschäftsführung legen Sie keine Liste vor, sondern eine Seite mit den fünf Dienstleistern, deren Ausfall den größten Schaden anrichten würde, und der Frage, ob es für jeden einen Plan B gibt. Diese Frage bleibt im Gedächtnis.
Der beiliegende Dienstleister-Bewertungsbogen nimmt Ihnen die Rechenarbeit ab. Er übernimmt die Kritikalität des getragenen Prozesses, bewertet Zugriff und Ersetzbarkeit und leitet daraus die Stufe und den Prüfrhythmus ab. Nach einer Woche sollten Ihre zehn wichtigsten Dienstleister darin stehen. Wenn Ihnen das gelingt, wissen Sie mehr über Ihr Dienstleisterrisiko als die meisten Häuser nach Jahren der Listenpflege.
Die eigentliche Frage
Eine Dienstleisterliste ist kein Fehler. Sie ist ein Anfang, der sich als Ende ausgibt. Die eigentliche Frage lautet nicht, ob Sie Ihre Dienstleister kennen, sondern ob Sie wissen, an welchen von ihnen Ihr Betrieb hängt. Wer diese Frage in einem Satz beantworten kann, hat Risikomanagement. Wer dafür die Liste aufschlagen muss, hat Verwaltung.
Fangen Sie bei den Prozessen an, nicht bei den Verträgen. Die Liste wird dadurch nicht kürzer, aber sie wird endlich lesbar.
Weiterlesen
Die Grundlage für jede Dienstleisterbewertung ist die Kritikalität Ihrer Prozesse. Wie Sie diese belastbar ermitteln, zeigt der Beitrag „In 6 Schritten zur belastbaren Business-Impact-Analyse“ aus Ausgabe 20.
Die regulatorischen Anforderungen an die Dienstleistersteuerung unter NIS2 finden Sie im entsprechenden Beitrag aus Ausgabe 16.
Wie Sie die technischen Zugänge Ihrer Dienstleister kontrollieren, beschreibt der Beitrag „So behalten Sie die Fernwartungszugänge Ihrer Dienstleister im Griff“ aus Ausgabe 21.
