Top 7 Schritte für Drittanbieter-Audits

Johannes Humbert
2. Jan.
14 Min. Lesezeit

62 % aller Datenschutzverletzungen entstehen durch Drittanbieter – ein alarmierender Fakt, der zeigt, warum Unternehmen ihre Partner gründlich prüfen müssen. Mit einem Drittanbieter-Audit stellen Sie sicher, dass externe Anbieter Ihre Sicherheitsstandards, rechtlichen Anforderungen und internen Richtlinien einhalten. Das Ziel: Risiken minimieren, sensible Daten schützen und Compliance gewährleisten.

Die 7 Schritte im Überblick:

Audit-Umfang und Ziele definieren: Festlegen, was geprüft wird und welche Ziele erreicht werden sollen.
Risiken bewerten und Anbieter klassifizieren: Anbieter nach ihrem Risikopotenzial einstufen.
Auditplan erstellen: Klare Checklisten und Abläufe definieren.
Dokumentation und Daten sammeln: Relevante Unterlagen systematisch prüfen.
Sicherheitstests durchführen: Automatisierte und manuelle Prüfungen kombinieren.
Schwachstellen identifizieren und dokumentieren: Probleme kategorisieren und bewerten.
Auditbericht erstellen und Maßnahmen planen: Ergebnisse zusammenfassen und konkrete Schritte ableiten.

Warum das wichtig ist:

Kosten von Datenpannen: Durchschnittlich 7,5 Mio. USD pro Vorfall.
Compliance sichern: Standards wie DSGVO, ISO 27001 oder BSI IT-Grundschutz erfüllen.
Geschäftskontinuität schützen: Sicherheitslücken frühzeitig schließen.

Ein Drittanbieter-Audit ist nicht nur eine Prüfung, sondern ein Prozess, der kontinuierliche Verbesserungen ermöglicht. Mit diesen sieben Schritten legen Sie die Basis für mehr Sicherheit und Vertrauen in Ihre Partner.

Die 7 Schritte für effektive Drittanbieter-Audits

Schritt 1: Audit-Umfang und Ziele definieren

Bevor Sie mit einem Audit starten, sollten Sie den genauen Umfang festlegen und klare, messbare Ziele formulieren. Ohne eine solche Grundlage riskieren Sie, wertvolle Ressourcen zu verschwenden oder wichtige Risiken zu übersehen. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) beschreibt es treffend:

„The IS audit is a tool for determining, achieving, and maintaining an appropriate level of security within an organisation."

Beginnen Sie mit einer As-Is-Analyse, indem Sie interne Fragebögen und Interviews durchführen. Diese Bestandsaufnahme hilft, Schwachstellen zu identifizieren und Prozesse aufzudecken, die ein hohes Risiko für Compliance-Verstöße darstellen. Anschließend definieren Sie den Ziel-Zustand, den Sie für Ihr Sicherheits- und Compliance-Niveau erreichen möchten. Planen Sie zudem regelmäßige rotierende Audits ein, um kritische Anbieter kontinuierlich zu überprüfen. Dieser Schritt bildet die Grundlage für alle weiteren Maßnahmen zur Bewertung und Kontrolle Ihrer Drittanbieter.

Kritische Anbieter und Systeme identifizieren

Sobald der Audit-Umfang steht, liegt der Fokus darauf, die kritischen Anbieter und Systeme zu identifizieren. Nicht jeder Drittanbieter stellt dasselbe Risiko dar. Priorisieren Sie solche, die sensible Daten verarbeiten oder geschäftskritische Dienste bereitstellen. Der BSI-Standard 200-3 bietet eine hilfreiche Methode, um risikobasierte Analysen durchzuführen und Hochrisikobereiche zu identifizieren. Besonders wichtig sind Anbieter, die Dienstleistungen wie APT-Response, DDoS-Abwehr oder Penetrationstests anbieten, da sie oft tief in Ihre Infrastruktur eingebunden sind.

Bewerten Sie die operative Bedeutung eines Anbieters, indem Sie analysieren, wie dessen Dienste in Ihre Kerngeschäftsprozesse integriert sind. Nutzen Sie hierfür IT-Grundschutz-Profile, um den Anwendungsbereich zu definieren, und ordnen Sie jeden Anbieter den entsprechenden IT-Grundschutz-Bausteinen zu. Auf diese Weise können Sie die passenden technischen und organisatorischen Sicherheitsanforderungen für die jeweiligen Dienste ableiten.

Compliance- und Sicherheitsziele festlegen

Nach der Identifikation der kritischen Anbieter ist es Zeit, klare Compliance- und Sicherheitsziele zu definieren. Diese Ziele sollten messbar sein und sich an Standards wie der DSGVO, ISO 27001 oder dem BSI IT-Grundschutz orientieren. Überprüfen Sie die technischen und organisatorischen Maßnahmen (TOMs) gemäß Artikel 32 DSGVO, um sicherzustellen, dass das Sicherheitsniveau angemessen ist. Setzen Sie spezifische Ziele, beispielsweise für Reaktionszeiten bei Anfragen Betroffener oder die Einhaltung von Meldepflichten gegenüber Aufsichtsbehörden.

Nutzen Sie Stichprobenverfahren, um bei großen Datenmengen – wie Einwilligungserklärungen oder Verträgen – die Compliance-Rate zu bewerten. Teilen Sie Ihre Ziele in zwei Bereiche auf: rechtliche Aspekte (z. B. Transparenz und Einwilligungsumfang) und technische Aspekte (z. B. die Umsetzung von Sicherheitsmaßnahmen). Das BSI betont hierzu:

„IT-Grundschutz offers a systematic approach to information security that is compatible to ISO/IEC 27001."

Diese Kompatibilität erlaubt es Ihnen, internationale Standards mit deutschen Vorgaben zu vereinen und ein einheitliches Sicherheitsniveau über alle Drittanbieter hinweg sicherzustellen.

Schritt 2: Risiken bewerten und Anbieter klassifizieren

Um Bedrohungen zu verstehen und zu minimieren, ist eine systematische Risikobewertung entscheidend. Sie hilft dabei, Schwachstellen aufzudecken und Anbieter nach ihrem Risikopotenzial einzustufen. Eine alarmierende Zahl zeigt, wie wichtig das ist: 62 % aller Netzwerkeinbrüche in Unternehmen gehen auf Drittanbieter zurück. Das macht deutlich, warum es so wichtig ist, Risiken frühzeitig zu erkennen.

Risikobewertung durchführen

Die Bewertung der Risiken stützt sich auf drei Hauptfaktoren: die Sensibilität der verarbeiteten Daten, die Abhängigkeit von den Diensten und die Einhaltung regulatorischer Vorgaben. Nutzen Sie hierfür Werkzeuge wie Risikomatrizen und Standards wie NIST CSF, ISO/IEC 27005 oder BSI IT-Grundschutz, um die Sicherheitslage, Vorfälle der Vergangenheit und bestehende Zertifizierungen zu analysieren. Besonders hilfreich sind Typ-2-Berichte nach ISAE 3000 oder C5, die die Effektivität von Kontrollen über einen Zeitraum von 6 bis 12 Monaten dokumentieren.

Vergessen Sie nicht, auch sogenannte Fourth-Party-Risiken zu berücksichtigen – also Risiken, die durch Subunternehmer Ihrer Anbieter entstehen. Setzen Sie klare Schwellenwerte, wie ein Mindest-Sicherheitsrating, um Anbieter mit hohem Risiko frühzeitig auszuschließen. Nutzen Sie standardisierte Fragebögen wie CAIQ oder SIG, um die Sicherheitsstandards systematisch zu erfassen. Für Cloud-Dienste bietet der BSI C5-Kriterienkatalog mit seinen 121 Kriterien in 17 Themenbereichen eine umfassende Bewertungsgrundlage.

Anbieter nach Priorität kategorisieren

Nach der Risikobewertung folgt die Priorisierung der Anbieter. Hierbei erfolgt eine sogenannte Tier-Einstufung, die sich an der Geschäftskritikalität und dem Zugriff auf sensible Daten orientiert. High-Tier-Anbieter, die kritische Prozesse unterstützen oder personenbezogene Daten verarbeiten, benötigen ein kontinuierliches Monitoring. Anbieter mit niedrigem Risiko, sogenannte Low-Tier-Anbieter, können hingegen mit jährlichen Überprüfungen verwaltet werden. Diese Priorisierung ermöglicht es, Audit-Ressourcen gezielt einzusetzen und den Fokus auf die Anbieter zu legen, die das größte Risiko darstellen.

Die erste Klassifizierung sollte bereits beim Onboarding erfolgen und mindestens einmal jährlich oder bei wesentlichen Änderungen in der IT-Umgebung aktualisiert werden. Binden Sie IT-Teams und das Management ein, um die operativen Auswirkungen besser einzuschätzen. Das Three-Lines-of-Defence-Modell hilft dabei, klare Verantwortlichkeiten zu definieren und flexibel auf neue Risiken zu reagieren.

Diese strukturierte Priorisierung schafft die Grundlage für einen effektiven und zielgerichteten Auditprozess.

Schritt 3: Einen Auditplan erstellen

Ein gut durchdachter Auditplan ist der Schlüssel zu einer erfolgreichen Prüfung. Er legt fest, welche Bereiche geprüft werden, welche Ziele erreicht werden sollen und welche Methoden zum Einsatz kommen – sei es durch Stichproben, Interviews oder standardisierte Fragebögen. Anbieter mit höherem Risiko sollten häufiger überprüft werden, etwa vierteljährlich oder halbjährlich, während bei Anbietern mit geringerem Risiko jährliche Audits oft ausreichen.

Ein weiterer wichtiger Punkt ist die Standardisierung der Verfahren. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) hebt hervor, dass standardisierte Prozesse nicht nur eine gleichbleibend hohe Qualität gewährleisten, sondern auch eine langfristige Nachverfolgung des Sicherheitsstatus erleichtern. Planen Sie Auditzyklen, die sowohl den Risikoprofilen Ihrer Anbieter als auch gesetzlichen Vorgaben gerecht werden. Im nächsten Schritt erfahren Sie, wie Sie spezifische Checklisten für die Prüfungen erstellen und die Zusammenarbeit mit internen Teams optimieren.

Anbieterspezifische Checklisten entwickeln

Basierend auf der Risikobewertung können Sie maßgeschneiderte Checklisten erstellen, die auf die jeweiligen Anbieter und deren Dienstleistungen abgestimmt sind. Für IT-Dienstleister könnten Aspekte wie der Software Development Life Cycle (SDLC) oder die Datenverschlüsselung im Vordergrund stehen, während bei HR-Dienstleistern Themen wie Hintergrundüberprüfungen und Datenschutzprotokolle entscheidend sind. Nutzen Sie frühere Audit-Ergebnisse, um gezielt Schwachstellen zu identifizieren, und legen Sie messbare Kriterien fest – etwa finanzielle Kennzahlen oder spezifische Sicherheitsstandards. So schaffen Sie eine objektive Grundlage für Ihre Bewertungen.

„Audit-Checklisten dienen als hilfreiche Dokumentationswerkzeuge, die alle während eines Audits durchgeführten Schritte festhalten. Diese Dokumentation erleichtert nicht nur die interne Kommunikation innerhalb einer Organisation, sondern liefert auch den Nachweis der Sorgfaltspflicht für externe Stakeholder wie Regulierungsbehörden oder Investoren." – Bizmanualz

Mit internen Teams und Anbietern koordinieren

Nachdem der Auditplan und die Checklisten stehen, ist eine enge Abstimmung mit allen Beteiligten notwendig. Stellen Sie ein Team aus Experten verschiedener Bereiche wie Beschaffung, IT und Recht zusammen, um unterschiedliche Perspektiven einzubringen. Studien zeigen, dass 81 % der IT-Führungskräfte Datensilos als Hindernis für Transformationen sehen. Deshalb ist es wichtig, frühzeitig die Unterstützung des Managements zu sichern, damit der Auditrahmen in die strategischen Ziele des Unternehmens eingebettet wird.

Auch die Anbieter sollten von Anfang an eingebunden werden, idealerweise schon im RFP-Prozess. So können Sicherheitserwartungen und Datenschutzanforderungen direkt geklärt werden. Nutzen Sie sichere Kommunikationswege und digitale Audit-Management-Plattformen, um den Austausch effizienter zu gestalten. Eine klare Kommunikation und die Audit-Checkliste als gemeinsamer Bezugspunkt helfen, Missverständnisse zu vermeiden. Digitale Plattformen können nicht nur die Vorbereitungszeit um bis zu 60 % verkürzen, sondern auch die Qualität der Audits deutlich steigern.

Schritt 4: Dokumentation und Daten sammeln

Nach der Erstellung Ihres Auditplans geht es nun darum, alle relevanten Unterlagen systematisch zu erfassen und zu prüfen. Eine strukturierte Vorgehensweise spart nicht nur Zeit, sondern stellt auch sicher, dass keine wichtigen Informationen übersehen werden. Im Folgenden erfahren Sie, welche Dokumente benötigt werden und wie Sie diese effektiv überprüfen.

Wichtige Dokumente vom Anbieter anfordern

Beginnen Sie mit einer klaren Liste der benötigten Unterlagen, die auf Ihre Risikobewertung und die Dienstleistungen des Anbieters abgestimmt ist. Besonders wichtig sind Audit-Berichte wie SOC 2, C5 oder ISO 27001-Zertifikate. Achten Sie darauf, Typ-2-Berichte anzufordern, da diese die Wirksamkeit der Kontrollen über einen Zeitraum von 6 bis 12 Monaten dokumentieren. Typ-1-Berichte hingegen beziehen sich nur auf einen bestimmten Stichtag.

„In the BSI's view, an effectiveness test (type 2) is required to achieve an appropriate informative value."

Weitere wichtige Unterlagen umfassen Systembeschreibungen, Sicherheitsrichtlinien, Compliance-Zertifikate, Testergebnisse, Auftragsverarbeitungsverträge (AVV) und Asset-Register. Der C5-Katalog des BSI mit seinen 121 Kriterien in 17 Themenbereichen bietet eine umfassende Grundlage für die Bewertung von Cloud-Dienstleistern. Verlangen Sie auch Dokumentationen zu Unterauftragnehmern, um sicherzustellen, dass deren Auditkriterien ebenfalls erfüllt werden. Sobald Sie die Unterlagen erhalten haben, prüfen Sie diese sorgfältig auf Richtigkeit und Vollständigkeit.

Überprüfung der bereitgestellten Informationen

Die Verifizierung der Dokumente ist ein zentraler Schritt, um deren Echtheit und Aussagekraft sicherzustellen. Achten Sie darauf, dass die Audit-Berichte eine unabhängige Prüfermeinung sowie eine schriftliche Erklärung der Geschäftsführung enthalten. Überprüfen Sie außerdem die Qualifikationen des Prüfers, der die Berichte unterzeichnet hat.

Nutzen Sie Referenztabellen, wie sie beispielsweise vom BSI bereitgestellt werden, um Zertifizierungen mit Ihren Auditkriterien abzugleichen. So können Sie mögliche Lücken identifizieren.

„Auditors cannot rely on the reference tables provided, but must investigate on a contextual and case-by-case basis whether or not the requirements are indeed fulfilled."

Für besonders kritische Anbieter sollten Sie zusätzliche Nachweise wie Log-Dateien oder Monitoring-Protokolle anfordern, um sicherzustellen, dass Sicherheitsmaßnahmen tatsächlich aktiv sind. Ein gut organisiertes Dokumentenmanagementsystem mit automatischer Versionierung hilft Ihnen dabei, die Aktualität und Authentizität der Unterlagen zu gewährleisten und einen lückenlosen Prüfpfad aufzubauen.

Schritt 5: Sicherheitstests durchführen

Nachdem die relevanten Dokumente gesammelt und überprüft wurden, ist es an der Zeit, die Sicherheitsmaßnahmen in der Praxis zu testen. Sicherheitstests dienen dazu, die Wirksamkeit der implementierten Schutzmaßnahmen zu überprüfen und Schwachstellen aufzudecken. Die besten Ergebnisse erzielt man durch eine Kombination aus automatisierten Scans und manuellen Tests.

Automatisierte Sicherheitsscans nutzen

Automatisierte Tools sind eine effektive Möglichkeit, bekannte Schwachstellen schnell und systematisch aufzuspüren. Ein Beispiel ist der BSI IS-Webcheck, der häufige Sicherheitslücken in webbasierten Schnittstellen erkennt. Diese Scans decken unter anderem fehlende Updates, veraltete Softwareversionen und Konfigurationsfehler auf. Für Bundesbehörden stellt das BSI diese Tests kostenlos zur Verfügung, während andere Organisationen – insbesondere Betreiber kritischer IT-Systeme – für die Nutzung zahlen müssen.

Regelmäßige automatisierte Scans helfen dabei, ein umfassendes Bild der Sicherheitslage zu erhalten. Zusätzlich sollten Sie Dienste wie Bürger-CERT abonnieren, um in Echtzeit über neue Schwachstellen informiert zu werden, die Drittanbietersysteme betreffen könnten. Wenn Sie externe Prüfer beauftragen, achten Sie darauf, dass diese nach offiziellen Zertifizierungsstandards qualifiziert sind. Das BSI führt entsprechende Listen zertifizierter IT-Sicherheitsdienstleister. Da automatisierte Scans jedoch nicht alle Schwachstellen abdecken können, sind manuelle Tests eine unverzichtbare Ergänzung.

Manuelle Tests für kritische Bereiche

Manuelle Tests sind besonders wichtig, um komplexe Konfigurationsfehler zu identifizieren. Penetrationstests, die aus der Perspektive eines potenziellen Angreifers durchgeführt werden, bewerten die tatsächliche Effektivität der Sicherheitsmaßnahmen. Der Fokus sollte hier auf externen Schnittstellen liegen, da diese oft die Hauptangriffsziele darstellen.

Arbeiten Sie bei manuellen Tests eng mit den Systemadministratoren des Anbieters zusammen. Dabei können sicherheitsrelevante Konfigurationen und Regelwerke stichprobenartig überprüft werden – ein Ansatz, den das BSI als „technisches Audit“ bezeichnet. Für besonders kritische Systeme empfiehlt sich eine umfassende Vor-Ort-Prüfung, bei der unter Aufsicht direkter Zugriff auf die Systeme erfolgt. Nutzen Sie etablierte Rahmenwerke wie die BSI-Richtlinien für IT-Sicherheits-Penetrationstests, um eine gleichbleibend hohe Qualität sicherzustellen. Die Ergebnisse dieser Tests sollten direkt in das ISMS (Informationssicherheits-Managementsystem) einfließen, um kontinuierliche Verbesserungen zu ermöglichen.

Schritt 6: Schwachstellen identifizieren und dokumentieren

Nach den durchgeführten Sicherheitstests ist es nun an der Zeit, alle erkannten Schwachstellen systematisch zu erfassen und zu bewerten. Eine gut strukturierte Dokumentation ist hier entscheidend. Sie dient nicht nur als Grundlage für weitere Maßnahmen, sondern hilft auch dabei, Ressourcen gezielt auf die dringendsten Probleme zu lenken. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) fasst es treffend zusammen:

„Die Prüfungstätigkeit zielt darauf ab, die Informationssicherheit zu verbessern, unerwünschte Entwicklungen in diesem Bereich zu vermeiden und die Wirtschaftlichkeit von Sicherheitsmaßnahmen und Sicherheitsprozessen zu optimieren."

Schwachstellen nach Schweregrad einordnen

Die Bewertung der Schwachstellen erfolgt anhand zweier zentraler Faktoren: dem potenziellen Schaden und der Wahrscheinlichkeit einer Ausnutzung. Dabei ist es wichtig, den Einfluss auf Geschäftsprozesse zu berücksichtigen. Wie lange könnte beispielsweise eine Unterbrechung toleriert werden? Eine Schwachstelle in einem System, das Kundendaten verarbeitet, wiegt deutlich schwerer als ein Problem in einer isolierten Testumgebung.

Hier hilft eine Risikomatrix, um Schwachstellen in die Kategorien gering, mittel und hoch einzuteilen. Auch rechtliche Aspekte spielen eine wesentliche Rolle: Datenschutzverletzungen oder Verstöße gegen gesetzliche Vorgaben gelten in der Regel als hochkritisch. Zusätzlich sollten Sie die Bedrohungslage und den Schutzbedarf der betroffenen Informationen berücksichtigen. Standards wie der BSI IT-Grundschutz oder ISO/IEC 27001 bieten dabei hilfreiche Leitlinien für eine konsistente und nachvollziehbare Bewertung.

Nachweise und Ergebnisse dokumentieren

Eine gründliche Dokumentation aller Schwachstellen ist unerlässlich. Ergänzen Sie Ihre Aufzeichnungen mit Nachweisen wie Screenshots, Logdateien oder Ergebnissen aus Schwachstellenscans. Die Nutzung eines SIEM-Systems (Security Information and Event Management) kann hierbei besonders nützlich sein. Es sorgt für eine zentrale Protokollierung von Datenzugriffen und Systemänderungen, was nicht nur die Nachvollziehbarkeit erhöht, sondern auch forensische Analysen nach einem Vorfall erleichtert.

Für jede Schwachstelle sollten folgende Punkte festgehalten werden: betroffene Systeme, mögliche Folgen und Auswirkungen auf kritische Geschäftsprozesse. Überlegen Sie, welche Konsequenzen es hätte, wenn die entsprechenden Informationen in die falschen Hände geraten würden. Diese detaillierte Erfassung ermöglicht es, die gewonnenen Erkenntnisse direkt in Ihr Informationssicherheits-Managementsystem (ISMS) einzubinden und kontinuierliche Verbesserungen voranzutreiben.

Die dokumentierten Schwachstellen bilden schließlich die Grundlage für den abschließenden Auditbericht sowie die Erstellung eines Plans zur Behebung der Probleme.

Schritt 7: Auditbericht erstellen und Maßnahmenplan entwickeln

Schritt 7 bringt alle Ergebnisse zusammen, indem ein Auditbericht erstellt und ein Maßnahmenplan entwickelt wird. Diese dienen als Grundlage für Verbesserungen und nachhaltige Sicherheit.

Auditbericht erstellen

Der Auditbericht beginnt mit einer Executive Summary, die die wichtigsten Erkenntnisse zusammenfasst. Eine Gap-Analyse zeigt auf, wo geforderte und tatsächlich umgesetzte Schutzmaßnahmen voneinander abweichen. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) empfiehlt, eine Zusammenfassung entweder am Anfang oder als Anhang hinzuzufügen, damit Prüfer und Beteiligte sich schnell orientieren können.

Im Hauptteil sollten die Sicherheitsmaßnahmen des Anbieters detailliert beschrieben und die Prüfungsergebnisse klar dokumentiert werden. Dazu gehört auch die Definition der Benutzerkontrollen, also der internen Sicherheitsmaßnahmen, die Ihr Unternehmen selbst umsetzen muss, um Risiken bei der Nutzung des Dienstes zu minimieren.

Komplexe Informationen sollten so aufbereitet werden, dass sie für verschiedene Zielgruppen verständlich sind. Technische Details können in Anhängen untergebracht werden, während die Hauptaussagen prägnant bleiben. Auch die Vertragseinhaltung ist ein wichtiger Punkt: Werden die vereinbarten Leistungskennzahlen (KPIs) und Zahlungsbedingungen eingehalten?

Berichtsabschnitt	Wesentliche Inhalte
Vertragsüberprüfung	Vertragsbeginn, Änderungen, relevante Klauseln, Compliance
Richtlinienkonformität	Datenschutz, Vertraulichkeit, Sicherheitsprotokolle
Risikobewertung	Gefahrenanalyse, Priorisierung von Maßnahmen
Empfehlungen	Umsetzbare Schritte, evidenzbasierte Vorschläge

Die Ergebnisse des Auditberichts bilden die Grundlage für den Maßnahmenplan.

Maßnahmenplan für Anbieter entwickeln

Ein effektiver Maßnahmenplan setzt auf Risikogewichtung und Priorisierung. Ordnen Sie die Audit-Ergebnisse den relevanten Regularien zu, wie etwa dem Lieferkettensorgfaltspflichtengesetz (LkSG), der DSGVO oder branchenspezifischen Standards.

Die Verantwortlichkeiten müssen klar definiert sein. Eine RACI-Matrix (Responsible, Accountable, Consulted, Informed) hilft dabei, Aufgaben eindeutig zuzuweisen. Das LkSG verlangt bei akuten oder bereits eingetretenen Verstößen „unverzügliche" Abhilfemaßnahmen. Bei Nichteinhaltung drohen erhebliche Bußgelder, die bis zu 400 Millionen Euro oder 2 % des durchschnittlichen Jahresumsatzes betragen können.

„Unternehmen müssen ein angemessenes und wirksames Risikomanagementsystem einrichten, um der Sorgfaltspflicht nachzukommen … Das Risikomanagement muss durch geeignete Maßnahmen in allen relevanten Geschäftsprozessen verankert sein." – Lieferkettensorgfaltspflichtengesetz (LkSG), § 4

Verankern Sie diese Anforderungen vertraglich: Legen Sie Fristen, Berichtspflichten und Kontrollmechanismen fest. Definieren Sie Risikoschwellenwerte, bei deren Überschreitung automatisch Maßnahmen ausgelöst werden. Dokumentieren Sie jeden Schritt sorgfältig, denn das LkSG schreibt eine Aufbewahrungsfrist von mindestens sieben Jahren vor.

Nachdem Sofortmaßnahmen festgelegt wurden, ist ein kontinuierliches Monitoring entscheidend.

Überwachungsmechanismen etablieren

Ein Audit ist keine einmalige Angelegenheit. Wie Arne Schönbohm, ehemaliger Präsident des BSI, betont:

„Informationssicherheitsmanagement … ist ein kontinuierlicher Prozess, in dem Strategien und Schutzmaßnahmen ständig überprüft und an sich ändernde Anforderungen angepasst werden."

Statt auf jährliche Stichproben sollten Sie auf kontinuierliches Monitoring setzen. Automatisierte Systeme können Veränderungen in Echtzeit erfassen – beispielsweise durch Sicherheitsscans oder SIEM-Dienste, die Netzwerkverkehr und Systemprotokolle analysieren. Vendor Scorecards sind ebenfalls hilfreich, da sie mehrere KPIs wie Liefertreue, Fehlerquoten und Compliance-Status in einem übersichtlichen Dashboard zusammenfassen.

Regelmäßige quartalsweise Reviews ermöglichen es, Leistungskennzahlen zu verfeinern und mit Anbietern zu besprechen. Besonders kleinere Drittanbieter können ein Einfallstor für Cyberangriffe sein. Ein Beispiel: Ein Ransomware-Angriff auf einen Softwareanbieter führte zu massiven Betriebsstörungen bei rund 15.000 Autohändlern.

Behandeln Sie Drittanbieter-Risiken mit derselben Priorität wie interne Risiken. Die zuvor definierten Risikobewertungen helfen dabei, Überwachungsprioritäten festzulegen. Ein Zero-Trust-Ansatz ist hier sinnvoll: Er geht davon aus, dass externe Partner potenzielle Schwachstellen nicht beheben. Fordern Sie von Ihren Anbietern Transparenz über deren Subunternehmer, denn die Überwachung der vierten Partei wird immer wichtiger. Etablieren Sie klare Kommunikationswege und regelmäßige Feedback-Schleifen, um Probleme frühzeitig zu erkennen und gemeinsam zu lösen.

Fazit

Die sieben Schritte für Drittanbieter-Audits können Ihr Risikomanagement grundlegend verändern – weg von einer reaktiven hin zu einer vorausschauenden Herangehensweise. Angesichts der Tatsache, dass 62 % der Datenschutzverletzungen auf Drittanbieter zurückzuführen sind, mit durchschnittlichen Kosten von 7,5 Millionen US-Dollar, ist ein systematischer Ansatz unverzichtbar. Dieser Prozess zeigt, wie wichtig kontinuierliche Überwachung und gezielte Maßnahmen sind.

Ein klar strukturierter Ablauf, der von der Zielsetzung bis zur fortlaufenden Überprüfung reicht, hilft, Ihre Ressourcen auf die kritischsten Anbieter zu fokussieren. Sicherheitsmaßnahmen werden dabei nicht nur durch Selbstauskünfte geprüft, sondern durch Tests und Dokumentenanalysen verifiziert – ein Ansatz, der ein objektives Bild der tatsächlichen Sicherheitslage liefert.

„Effective third-party vendor risk management is more than just a compliance checkbox. It is an essential safeguard against operational disruptions, reputational harm, and legal pitfalls." – HITRUST

Ein solcher strukturierter Ansatz erleichtert es, komplexe Regularien wie die DSGVO, das LkSG oder branchenspezifische Standards messbar einzuhalten. Gleichzeitig sorgt die Standardisierung für wiederholbare Prozesse, die auch bei einer wachsenden Anzahl von Geschäftspartnern – 60 % der Unternehmen arbeiten inzwischen mit über 1.000 Drittanbietern – praktikabel bleiben. So bleibt der Auditprozess selbst bei steigendem Partneraufkommen überschaubar.

Wichtig ist, dass dieser Prozess nicht bei einer einmaligen Prüfung endet. Die sieben Schritte fördern einen kontinuierlichen Verbesserungszyklus, der regelmäßiges Monitoring, klare Pläne zur Behebung von Schwachstellen und definierte Risikoschwellen umfasst. Damit werden Schwachstellen nicht nur dokumentiert, sondern aktiv beseitigt. Diese konsequente und dauerhafte Überwachung minimiert das Risiko von Reputationsschäden und Betriebsunterbrechungen erheblich.

FAQs

Warum sind Drittanbieter-Audits entscheidend für Unternehmen?

Drittanbieter-Audits spielen eine zentrale Rolle dabei, Risiken im Zusammenhang mit externen Partnern wie Lieferanten oder Dienstleistern frühzeitig zu erkennen und gezielt zu minimieren. Sie unterstützen Unternehmen dabei, Compliance-Lücken, Schwachstellen in der IT-Sicherheit sowie potenzielle finanzielle oder reputationsbezogene Gefahren zu vermeiden.

Ein durchdachtes und klar strukturiertes Audit-Programm zeigt nicht nur Aufsichtsbehörden und Kunden, dass ein Unternehmen die geltenden Sicherheitsstandards einhält, sondern stärkt auch das Vertrauen in die Organisation. Durch regelmäßige Audits können Schwachstellen erkannt, Schutzmaßnahmen verbessert und die Wettbewerbsfähigkeit langfristig gesichert werden.

Wie identifiziere ich kritische Anbieter und IT-Systeme effizient?

Um herauszufinden, welche Anbieter und IT-Systeme für Ihr Unternehmen besonders kritisch sind, sollten Sie zunächst ein vollständiges Inventar aller Drittparteien und der von ihnen eingesetzten IT-Komponenten erstellen. Danach bewerten Sie diese anhand klar definierter Risikokriterien. Dazu gehören Aspekte wie strategische Bedeutung, finanzielle Stabilität, regulatorische Vorgaben, Informations- und Cybersicherheit sowie mögliche Auswirkungen auf die Geschäftskontinuität.

Ein strukturierter Ansatz besteht darin, Vertrags- und Leistungsdaten zu erfassen und diese anschließend nach Schadenshöhe (z. B. in Millionen €) und Eintrittswahrscheinlichkeit (hoch, mittel, niedrig) zu bewerten. Um Sicherheits- und Kontrolllücken zu identifizieren, können Sie auf bewährte Methoden wie die BSI-Leitlinie für IS-Audits oder die ISA-315-Checkliste zurückgreifen. Diese helfen dabei, die Kritikalität der Systeme systematisch einzuordnen.

Die Plattform Makematiq begleitet Sie durch den gesamten Prozess: von der Erstellung eines detaillierten Inventars über die Definition geeigneter Bewertungskriterien bis hin zur Anwendung erprobter Methoden. Damit können Sie kritische Anbieter frühzeitig erkennen, Risiken reduzieren und Ihre Lieferkette nachhaltig absichern.

Welche Schritte sind erforderlich, wenn bei einem Drittanbieter Schwachstellen entdeckt werden?

Wenn bei einem Drittanbieter Sicherheitslücken entdeckt werden, ist ein strukturiertes und durchdachtes Vorgehen entscheidend. Der erste Schritt besteht darin, die Risiken zu bewerten. Dabei wird die Kritikalität jeder Schwachstelle anhand von Faktoren wie Auswirkung und Eintrittswahrscheinlichkeit priorisiert. So lassen sich die dringendsten Maßnahmen schnell identifizieren.

Gemeinsam mit dem Drittanbieter sollte dann ein klarer Plan entwickelt werden, der folgende Punkte umfasst:

Fristen und Verantwortlichkeiten: Klare Deadlines und Zuständigkeiten festlegen.
Kurzfristige Maßnahmen: Dazu zählen das Einspielen von Sicherheits-Patches oder die Isolation gefährdeter Netzwerke.
Langfristige Lösungen: Zum Beispiel Anpassungen an der IT-Architektur oder die Aktualisierung des Sicherheits-Frameworks.

Es ist wichtig, den Fortschritt regelmäßig zu überwachen und alle Schritte sorgfältig zu dokumentieren. Sollte der Anbieter nicht innerhalb der vereinbarten Fristen handeln, können vertragliche Konsequenzen folgen – bis hin zur Beendigung der Zusammenarbeit. Eine lückenlose Dokumentation ist dabei unerlässlich, um die Wirksamkeit der Maßnahmen nachzuweisen und zukünftige Audits zu erleichtern.

makematiq unterstützt Unternehmen dabei, solche Prozesse effizient zu gestalten. Mit Expertise in Bereichen wie IT-Architektur, digitaler Transformation und automatisierten Sicherheits-Workflows bietet makematiq wertvolle Unterstützung für eine nachhaltige Sicherheitsstrategie.