An einem Dienstagmorgen meldet das Security Operations Center (SOC) der fiktiven Rheinwerk Logistics AG ungewöhnliche Datenbewegungen. Seit mindestens 72 Stunden fliessen nachweislich sensible Informationen in kleinen, unauffälligen Datenpaketen aus dem ERP-System des Schweizer Logistikkonzerns mit 4’200 Mitarbeitenden ab. Zunächst vermutet das SOC eine Insider-Bedrohung oder ungepatchte Systeme.
Doch die Angriffsspur führt zu einem externen IT-Dienstleister: Cyberkriminelle haben dessen Zugangsdaten erbeutet und sich über ein Serviceportal Zugriff auf die Unternehmenssysteme verschafft. Der Anbieter war einst für die Wartung der Lagerverwaltungssoftware zuständig. Sein Vertrag war abgelaufen. Sein privilegierter Zugang nicht.
Der Fall ist frei erfunden, das zugrunde liegende Risiko real: Unzureichend kontrollierte Drittanbieterzugänge schaffen Angriffsflächen, die über Jahre bestehen bleiben können.
Cyber Third-Party Risk Management (C-TPRM) umfasst die systematische Bewertung, Überwachung und Steuerung von Cybersicherheitsrisiken aus Geschäftsbeziehungen mit externen Dienstleistern, Lieferanten und Geschäftspartnern. Jeder direkte oder indirekte Zugriff auf Unternehmenssysteme, Daten oder Netzwerke erweitert die potenzielle Angriffsfläche.
Besonders kritisch sind Drittanbieterzugänge, deren Berechtigungen und Aktivitäten unzureichend überwacht werden. Ob API-Key, VPN-Zugang oder Leseberechtigung: Solche Zugriffe schaffen zusätzliche Sicherheitsrisiken, wenn Transparenz und klare Verantwortlichkeiten fehlen. Ihre Kontrolle reicht deshalb über die IT hinaus und erfordert abgestimmte Prozesse mit den zuständigen Fachbereichen.
Wie konnte sich der Cybervorfall bei der fiktiven Rheinwerk Logistics AG über einen so langen Zeitraum entwickeln? Die Chronologie zeigt, an welchen Stellen Kontrollen fehlten und wie die Angreifenden davon profitierten.
Jahr 1 |Q2 Onboarding ohne Security Assessment
Ein neuer IT-Dienstleister wird für Lagerverwaltungssoftware eingebunden. Kein standardisiertes Sicherheits-Onboarding, keine Klassifizierung nach Risikostufe, keine Bewertung der Maturität / Sicherheitslage des Dienstleisters.
Das IT-Team richtet dem Anbieter einen persistenten VPN-Zugang und einen privilegierten Service Account für Wartungen des Lagerverwaltungssystems ein. Keine Einschränkung auf bestimmte Systeme oder Zeitfenster, keine MFA, keine SIEM-Anbindung.
Der Wartungsvertrag läuft aus. Im Offboarding-Prozess fehlt eine Checkliste zum Entzug von Zugriffsrechten. Das IT-Team nimmt an, der Anbieter habe «selbst keinen Bedarf mehr». Der Service Account bleibt aktiv.
Jahr 3 | Q1 Kompromittierung des Anbieters
Der Drittanbieter selbst wird Opfer eines Ransomware-Angriffs. Die Angreifer erbeuten dabei auch die Zugangsdaten für die Rheinwerk-Systeme. Da keine kontinuierliche Überwachung besteht, bleibt dies unbemerkt
Angreifer bewegen sich lateral durch das Netzwerk, sammeln Daten. Kein Alarm wird ausgelöst. Der Zugang ist weiterhin als gültig registriert, die Datenbewegungen bleiben unauffällig.
Jahr 3 | Q2 Entdeckung, viel zu spät
Ein ungewöhnliches Datenvolumen wird im Nachtbetrieb bemerkt. Incident Response wird aktiviert. Es dauert 11 weitere Tage, bis das vollständige Ausmass des Vorfalls verstanden wird.
Der Angriff wurde durch einen privilegierten Drittanbieterzugang ermöglicht, der nach Vertragsende aktiv blieb. Fehlende Zugriffsbeschränkungen und unzureichendes Monitoring erschwerten die frühzeitige Erkennung.
Ein wirksames C-TPRM setzt an sechs Kontrollbereichen an: Onboarding, laufende Risikobewertung, Zugriffskontrolle, Monitoring, Offboarding und vertragliche Sicherheitsanforderungen. Entscheidend ist, Sicherheitslücken entlang der gesamten Dienstleisterbeziehung zu erkennen und mit gezielten Massnahmen zu schliessen.
|
Strukturelle Lücken |
Lösungsansätze |
|
|
Onboarding / Due Diligence |
Keine Klassifizierung und kein initiales Security Assessment des Dienstleisters |
Vollständiges Drittanbieterinventar führen. Risikoklassifizierung (Kritikalität × Zugriffstiefe) vor Vertragsabschluss beispielsweise in vier Stufen: kritisch, hoch, mittel und niedrig. |
|
Laufende Bewertung |
Einmaliges Assessment beim Onboarding, danach keine Wiederholung |
Jährliche oder anlassbezogene Neubewertung, Monitoring von Vorfällen beim Anbieter, regelmässige Rezertifizierung von Konten und Berechtigungen. Bei kritischen Dienstleistern zusätzlich Audits, Zertifizierungsnachweise (z. B. ISO 27001) oder SOC-2-Prüfberichte einfordern |
|
Zugriffskontrolle |
Dauerhafter, breiter Zugang ohne Least-Privilege und ohne MFA |
Just-in-Time Access, MFA-Pflicht, Beschränkung auf erforderliche Systeme und minimale Zugriffsrechte, Credential-Rotation bei kritischen Meilensteinen (z. B. Go-live). Privileged Access Management (PAM) zur Kontrolle privilegierter Zugriffe einsetzen. |
|
Monitoring |
Drittanbieteraktivitäten nicht ins SIEM integriert, keine Anomalieerkennung |
Protokollierung sicherheitsrelevanter Drittanbieter-Aktivitäten, SIEM-Anbindung, verhaltensbasierte Analysen. Externe Threat Intelligence nutzen, um Hinweise auf Kompromittierungen bei Dienstleistern frühzeitig zu erkennen. |
|
Offboarding |
Kein formaler Prozess zum Entzug von Zugriffsrechten bei Vertragsende |
Offboarding-Checkliste und klare Verantwortlichkeiten; definierte Vertragsverantwortung für den Zugangsentzug; automatisierte, vollständige Deprovisionierung bei Vertragsende. Zugangsdaten rotieren, bereitgestellte Assets zurückfordern und den Abschluss des Offboardings dokumentieren. |
|
Vertragliche Anforderungen |
Keine verbindlichen Sicherheitsklauseln (z. B. MFA-Pflicht, Meldefristen bei Vorfällen, Auditrechte) im Vertrag verankert |
Verpflichtende Security-Klauseln, einschliesslich Sicherheits-SLAs, Meldepflichten bei Vorfällen sowie Audit- und Prüfrechten. Konkrete Meldefristen (z. B. innerhalb von 24 Stunden ab Kenntniserlangung) und Kündigungsrechte bei schwerwiegenden Verstössen gegen vereinbarte Mindestsicherheitsanforderungen festlegen. |
Ein Cyberangriff über Drittanbieter trifft weit mehr als die IT. Regulatorische Konsequenzen, Vertrauensverluste und Betriebsunterbrüche können das gesamte Unternehmen belasten – auch lange nach der Bewältigung des eigentlichen Vorfalls.
Regulatorische Konsequenzen: DORA, NIS2, FINMA-Vorgaben und Datenschutzgesetze stellen je nach Branche und Rechtsraum Anforderungen an den Umgang mit Drittparteirisiken. Wer angemessene Sicherheitskontrollen und deren Umsetzung nicht nachweisen kann, riskiert aufsichtsrechtliche Massnahmen und gegebenenfalls Bussgelder.
Reputationsschaden: Für Kunden, Investoren und Partner spielt es kaum eine Rolle, ob das Unternehmen selbst oder einer seiner Dienstleister gehackt wurde. Entscheidend ist für sie, dass ihre Daten beim betroffenen Unternehmen nicht ausreichend geschützt waren.
Der fiktive Fall der Rheinwerk Logistics AG zeigt, wie aus einem versäumten Offboarding ein ernstes Cyberrisiko entstehen kann. Entscheidend ist deshalb, externe Dienstleister über die gesamte Geschäftsbeziehung hinweg im Blick zu behalten – von der ersten Risikobewertung über die Kontrolle privilegierter Zugriffe bis zum nachweisbaren Entzug sämtlicher Berechtigungen.
Ein wirksames Cyber Third-Party Risk Management schafft Transparenz über bestehende Abhängigkeiten, macht kritische Zugriffe kontrollierbar und hilft, Sicherheitslücken frühzeitig zu schliessen. Dafür müssen Einkauf, Fachbereiche und IT-Sicherheit ihre Verantwortlichkeiten und Prozesse aufeinander abstimmen.
Wer Drittparteirisiken kontinuierlich steuert, reduziert die Angriffsfläche und stärkt die Widerstandsfähigkeit des gesamten Unternehmens.
Wie gut sind die Zugriffe und Cyberrisiken Ihrer externen Dienstleister kontrolliert? Sprechen Sie mit unseren Cybersecurity-Expert:innen über die gezielte Bewertung und Absicherung Ihrer Drittparteirisiken.
Bildlegende: mit KI generiertes Bild