Anbieterrisikomanagement: Wie du die Sicherheit von Drittanbietern bewertest

Die meisten Unternehmen verlassen sich nicht nur auf interne Systeme. Sie nutzen Cloud-Plattformen, Gehaltsabrechnungsanbieter, Marketingtools, IT-Partner und Dutzende SaaS-Konten, die den Arbeitsalltag am Laufen halten. Jeder Anbieter löst ein Problem und schafft zugleich eine neue Vertrauensbeziehung.

Anbieterrisikomanagement (VRM) ist der Prozess, Sicherheitsrisiken zu bewerten, zu genehmigen, zu überwachen und zu überprüfen, die aus der Zusammenarbeit mit Drittanbietern entstehen. Es hilft Unternehmen zu verstehen, welche Anbieter auf sensible Systeme oder Daten zugreifen können, welche Kontrollen diese Anbieter einsetzen, ob ihre Sicherheitspraktiken solide genug sind, um diesen Zugriff zu rechtfertigen, und wie schnell der Zugriff geändert werden kann, wenn ein Vertrag endet oder ein Vorfall eintritt.

Wir erklären, wie du Anbieterrisikomanagement in deinem eigenen Unternehmen angehst: wie du die Anbieter bewertest, mit denen du bereits zusammenarbeitest, wie du Risiken durch Drittanbieter klassifizierst, was in eine Sicherheitscheckliste für Anbieter gehört und wie du Anmeldedaten von Anbietern kontrollierst, bevor sie zu einer langfristigen Gefährdung werden.

Was Anbieterrisikomanagement abdeckt

Dein Leitfaden für Anbieterrisikomanagement

Deine Sicherheitscheckliste für Anbieter

Wie Proton Pass for Business die Zugriffskontrolle für Anbieter unterstützt

Was Anbieterrisikomanagement abdeckt

Anbieterrisikomanagement beruht auf einem einfachen Prinzip: Jede externe Partei, die deine Daten, Systeme oder Geschäftsprozesse berührt, verändert dein Risikoprofil.

Die meisten Anbieterrisiken entstehen im Arbeitsalltag. Zum Beispiel wird eine Drittanbieter-Agentur in ein Unternehmensnetzwerk eingebunden, weil ein Team Geschwindigkeit, Fachwissen oder Software benötigt, die das Unternehmen nicht intern hat. Zugriff wird gewährt, Daten werden geteilt und die Beziehung entsteht als Teil der täglichen Arbeit.

Risiken entstehen, wenn nicht klar ist, worauf dieser Anbieter zugreifen kann, welche Kontrollen zwischen diesem Zugriff und einem Datenleck stehen – Multi-Faktor-Authentifizierung (MFA), benannte Konten, Verschlüsselung – oder wie schnell dieser Zugriff gefunden und unterbrochen werden kann. Das Widerrufen erfolgt normalerweise innerhalb des Systems selbst oder über die SCIM-Bereitstellung; der schwierige Teil für die meisten Unternehmen ist zu wissen, wo sie tatsächlich nachsehen müssen.

Der Anbieter kann ein großer Cloud-Anbieter, eine Nischen-SaaS-Plattform, ein freiberuflicher Entwickler oder ein Buchhaltungsunternehmen sein. Die Größe und Branche des Anbieters sind nicht das Hauptproblem. Auf seinen Zugriff kommt es an.

Anbieterrisiken zeigen sich auf verschiedene Weise:

Datenrisiko: Der Anbieter kann Geschäfts- oder personenbezogene Daten einsehen, speichern, verarbeiten, übertragen oder löschen.
Zugriffsrisiko: Der Anbieter kann sich bei Systemen anmelden, Einstellungen verwalten, Integrationen nutzen oder Administratorpanels erreichen.
Operatives Risiko: Das Unternehmen ist für einen kritischen Workflow, eine Dienstleistung oder einen kundenorientierten Prozess vom Anbieter abhängig.
Compliance-Risiko: Die Rolle des Anbieters beeinflusst deine Pflichten aus Datenschutzgesetzen (wie den GDPR-Compliance-Anforderungen), vertraglichen oder branchenspezifischen Vorgaben.
Anmeldedatenrisiko: Der Zugriff von Anbietern wird geteilt, wiederverwendet, nicht dokumentiert oder lässt sich nur schwer widerrufen.

Anbieterrisiken sind schwer zu erkennen, weil sie oft durch kleine Zugriffsentscheidungen entstehen, die im Moment sinnvoll erscheinen: Ein Teammitglied gibt eine Anmeldung weiter, die es nicht weitergeben sollte, oder ein Lieferantenkonto behält Berechtigungen aus Bequemlichkeit, oder eine Auftragnehmerberechtigung, die nach Projektende niemand mehr überprüft. Mit der Zeit werden diese Ausnahmen Teil der Unternehmensumgebung, selbst wenn niemand sie aktiv verwaltet.

Wie du einen Prozess für Anbieterrisikomanagement (VRM) aufbaust

Richtig umgesetzt macht Anbieterrisikomanagement nicht jede Entscheidung komplizierter. Es schafft einen verlässlichen Rahmen dafür, wie dein Unternehmen Zugriff mit klareren Grenzen gewährt. Wir sehen uns die wichtigsten Schritte an, mit denen dein Unternehmen die eigenen Anbieterrisiken bewerten und eine Risikomanagementstrategie aufbauen kann.

1. Anbieterverzeichnis erstellen

Statt Anbieterrisikomanagement zu einer reaktiven Aufgabe werden zu lassen, wenn du nach Sicherheitsnachweisen gefragt wirst oder einen Vertrag verlängerst, mache es zu einer proaktiven Aufgabe. Beginne damit, die Anbieter zu verstehen, die bereits in deinen Abläufen stecken.

Die Erstellung eines Anbieterverzeichnisses muss nicht komplex sein. Sie muss klar genug sein, um Folgendes zu zeigen:

Wer für die Beziehung verantwortlich ist
Welche Leistung der Anbieter erbringt
Auf welche Systeme oder Daten sie zugreifen können
Ob personenbezogene Daten betroffen sind
Ob Unterauftragsverarbeiter eingesetzt werden
Wann die nächste Vertrags- oder Sicherheitsprüfung ansteht

Zugriff ist eine entscheidende Komponente, die dokumentiert werden muss, weil Anbieter unterschiedliche Berechtigungen und Zugriffsanforderungen haben. Manche Anbieter verwenden benannte Konten. Andere verlassen sich auf geteilte Anmeldedaten, Administratorzugriff, API-Schlüssel, geteilte Postfächer oder temporäre Anmeldungen, die lange nach dem ursprünglichen Bedarf aktiv bleiben. Diese Unterschiede sind wichtig, weil sie bestimmen, wie schnell der Zugriff beim Offboarding oder bei einem Vorfall geändert werden kann.

Das Verzeichnis sollte auch kleinere Anbieter enthalten, die möglicherweise außerhalb der formellen Beschaffung stehen. Ein Plugin, ein Berater, ein freiberuflicher Entwickler, eine Agentur oder ein spezialisierter SaaS-Dienst können eine erhebliche Gefährdung darstellen, wenn sie sensible Daten oder kritische Workflows berühren.

Der Hauptwert eines Verzeichnisses liegt darin, bessere Zugriffskontrollen zu schaffen. Wenn eine Anbieterbeziehung endet, weiß dein Unternehmen, welche Konten deaktiviert, welche Anmeldedaten rotiert, welche Integrationen entfernt werden müssen und was mit gespeicherten Daten geschehen soll.

2. Anbieter nach Risiko klassifizieren, nicht nach Bequemlichkeit

Nachdem du deine Anbieter erfasst hast, gruppiere sie nach dem Risiko, das sie darstellen. So bleibt der Prozess verhältnismäßig und du vermeidest, jeden Lieferanten entweder als harmlos oder als kritisch zu behandeln.

Anbieter mit hohem Risiko verarbeiten in der Regel sensible Daten, unterstützen wesentliche Betriebsabläufe oder verfügen über privilegierten Zugriff. Dazu können Cloud-Infrastrukturen, Identitätsplattformen, Gehaltsabrechnung, Finanzen, HR-Systeme, verwaltete IT, Sicherheitsdienste oder zentrale SaaS-Plattformen gehören.

Anbieter mit mittlerem Risiko unterstützen wichtige Arbeit, haben aber einen engeren Zugriff. Dazu können Kollaborationsplattformen, Analyse-Tools, Projektmanagementsysteme, Helpdesk-Software oder Agenturen mit eingeschränkten Berechtigungen gehören.

Anbieter mit geringem Risiko haben wenig oder keinen Zugriff auf sensible Daten oder geschäftskritische Systeme. Sie sollten dennoch erfasst werden, benötigen aber nicht dieselbe Prüfungstiefe, solange sich ihre Rolle nicht ändert.

Die Einstufung sollte sich nach dem tatsächlichen Zugriff richten, nicht nach dem Ruf, der Größe oder dem Preis des Anbieters. Eine bekannte Plattform kann zu einem hohen Risiko werden, wenn sie sensible Daten speichert. Ein kleiner Auftragnehmer kann ein hohes Risiko darstellen, wenn er Administratorrechte besitzt.

Nutze die Risikoeinstufung, um zu entscheiden, wie eingehend der Anbieter bewertet wird, wie oft die Beziehung überprüft wird und welche Mindestkontrollen gelten.

3. Sicherheitsanforderungen festlegen, bevor Zugriff gewährt wird

Anbieterbewertungen funktionieren am besten, wenn das Unternehmen seine Mindestanforderungen kennt, bevor der Zugriff genehmigt wird.

Für Anbieter mit hohem Risiko sollten diese Anforderungen die Kontrollen abdecken, die Daten schützen und den Zugriff nachvollziehbar halten: MFA, Verschlüsselung bei Übertragung und im Ruhezustand, rollenbasierte Zugriffskontrolle, Audit-Protokolle, Verfahren zur Reaktion auf Vorfälle, Schwachstellenmanagement, Kontrollen für Unterauftragsverarbeiter, Verpflichtungen zur Datenlöschung und Planung der Geschäftskontinuität.

Sicherheitsnachweise können diese Prüfung unterstützen. ISO 27001, SOC 2, nationale Programme wie Cyber Essentials im Vereinigten Königreich, Zusammenfassungen von Penetrationstests oder Sicherheits-Whitepaper können alle helfen, abhängig von der Rolle des Anbieters und der Sensibilität der Beziehung.

Zertifizierungen und Audit-Berichte beschreiben, wie ein Anbieter arbeitet. Sie sagen viel weniger darüber aus, wer der Anbieter tatsächlich ist. Eine aktuelle Untersuchung zur Sicherheit von Passwork belegt, dass dieser Unterschied wichtig ist: Eine europäische Registrierung, eine polierte Website und die Botschaft „für Vertrauen gebaut“ reichten aus, um die Hürde bei Organisationen zu nehmen, die nie die Eigentümerschaft, die Gerichtsbarkeit oder die Herkunft des Codes nachverfolgt hatten, den sie installierten.

Bei jedem Anbieter mit sensiblem Zugriff gehören zwei Fragen neben die Kontrollcheckliste: Wem gehört das Unternehmen und wer kontrolliert es, und nach den Gesetzen welches Landes es arbeitet; und können unabhängige Fachleute den Code prüfen, oder vertraut das Unternehmen einem geschlossenen System allein auf das Wort des Anbieters?

Anbieter mit mittlerem Risiko benötigen möglicherweise eine weniger tiefgehende Prüfung, sollten aber dennoch erklären können, wie sie Konten schützen, den Zugriff von Mitarbeitenden einschränken, mit Daten umgehen, Kundinnen und Kunden über Vorfälle informieren und den Zugriff entfernen, wenn die Beziehung endet.

Bei Anbietern mit geringem Risiko besteht die Hauptprüfung möglicherweise darin, ob sie wirklich keinen Zugriff auf sensible Systeme oder personenbezogene Daten haben. Wenn sich das ändert, sollte der Anbieter erneut bewertet werden.

Ein guter Prozess ist streng, wo das Risiko hoch ist, und leichtgewichtig, wo das Risiko wirklich gering ist. Er sollte nicht jede Lieferantenprüfung in ein Unternehmensaudit verwandeln, aber verhindern, dass sensibler Zugriff allein auf Vertrauen genehmigt wird.

4. Anbieter nach dem Onboarding überwachen

Anbieter ändern ihre Systeme, Unterauftragsverarbeiter, Richtlinien, Personalausstattung und Sicherheitskontrollen. Dein Unternehmen kann ihnen mit der Zeit auch mehr Zugriff gewähren. Ohne Überwachung wird deine ursprüngliche Bewertung veraltet.

Ein praktischer Überwachungsprozess kann jährliche Überprüfungen für Anbieter mit hohem und mittlerem Risiko, Prüfungen vor Vertragsverlängerungen, Neubewertungen bei erweitertem Zugriff und Überprüfungen nach einem gemeldeten Vorfall umfassen. Kritische Anbieter benötigen möglicherweise häufigere Zugriffsprüfungen.

Die Überwachung sollte die Ebene der Anmeldedaten umfassen. Prüfe, ob Anbieterkonten noch zu aktiven Kontakten gehören, ob Berechtigungen zum aktuellen Umfang passen, ob geteilte Anmeldedaten noch existieren und ob Integrationen oder API-Schlüssel noch benötigt werden.

Hier finden viele Unternehmen vermeidbare Angriffsflächen: alte Agenturkonten, ungenutzte Auftragnehmer-Anmeldungen, geteilte Passwörter, die niemand verantwortet, Integrationen, die für ein vergangenes Projekt erstellt wurden, und Administratorberechtigungen, die aus Bequemlichkeit erteilt wurden.

Anbieterrisiken gehören auch zur Kontinuitätsplanung. Wenn ein kritischer Lieferant nicht verfügbar wird, ein Datenleck meldet oder Notfalländerungen beim Zugriff erzwingt, braucht dein Unternehmen einen Weg, um wichtige Arbeit am Laufen zu halten. Protons Leitfaden zu Strategien für die Geschäftskontinuität⁠ erklärt, warum Resilienz von mehr als Sicherungen abhängt, insbesondere wenn Zugriff und Anmeldedaten betroffen sind.

5. Anmeldedaten von Drittanbietern kontrollieren

Viele Anbieterrisikoprogramme wirken auf dem Papier solide und scheitern dann auf der Ebene der Anmeldedaten. Ein Anbieter kann auf dem Papier konform erscheinen und dennoch eine Angriffsfläche schaffen, weil der Zugriff im Alltag falsch gehandhabt wird.

Das Risiko liegt in der Lücke zwischen dem formalen und dem realistischen Prozess: Anmeldedaten, die außerhalb genehmigter Systeme gespeichert sind, geteilte Konten ohne klaren Eigentümer oder API-Schlüssel, die nach einer Änderung der Anbieterbeziehung aktiv bleiben.

Wenn diese Zugriffspfade nicht überprüft und widerrufen werden, kann dein Unternehmen noch lange nach Abschluss der ursprünglichen Arbeit Anbieterrisiken tragen.

Der Zugriff von Drittanbietern sollte derselben Disziplin folgen und dieselben Passwortrichtlinien wie interner Zugriff verwenden:

Gib Anbietern nur den Zugriff, den sie benötigen
Verwende nach Möglichkeit benannte Konten
Vermeide geteilte Anmeldedaten, sofern es keine Alternative gibt
Speichere geteilte Anmeldedaten in einem kontrollierten Anmeldedaten-Management-System
Teile Dateien mit Anbietern über verschlüsselten Cloud-Speicher für Unternehmen mit ablaufenden Links, nicht als E-Mail-Anhänge
Zugriff regelmäßig überprüfen
Zugriff widerrufen, wenn die Arbeit endet
Anmeldedaten nach Personalwechseln beim Anbieter oder Vorfällen rotieren
MFA verlangen, wo immer der Dienst sie unterstützt

Ein Passwort-Manager für Unternehmen macht diese Regeln leicht umsetzbar. Er bietet Teams einen sicheren Ort, um Anbieter-Anmeldedaten zu speichern, Zugriff zu teilen, ohne Passwörter über Chat oder E-Mail zu senden, Passwörter zu rotieren und Zugriff zu entfernen, wenn eine Anbieterbeziehung endet.

Deine Anbieter-Sicherheitscheckliste

Eine Anbieter-Sicherheitscheckliste sollte deinem Unternehmen helfen, neue Anbieter sicher einzubinden.

Nutze sie, um die Beziehung klar zu verstehen:

Auf welche Daten wird der Anbieter zugreifen, sie verarbeiten oder speichern?
Wird der Anbieter personenbezogene Daten in unserem Auftrag verarbeiten?
Wird der Anbieter eine Datenverarbeitungsvereinbarung (DPA) unterzeichnen und unsere Daten löschen, wenn der Vertrag endet?
Wo werden Daten gespeichert und verarbeitet?
Setzt der Anbieter Unterauftragsverarbeiter ein?
Erzwingt der Anbieter MFA?
Wie kontrolliert der Anbieter den Mitarbeiterzugriff auf Kundendaten?
Kann dein Unternehmen rollenbasierte Berechtigungen vergeben?
Kann der Zugriff sofort entfernt werden?
Stellt der Anbieter Audit-Protokolle oder Administrator-Aktivitätsberichte bereit?
Wie verschlüsselt der Anbieter Daten?
Wie schnell wird der Anbieter uns über einen Sicherheitsvorfall informieren?
Verfügt der Anbieter über Verfahren zur Geschäftskontinuität oder Notfallwiederherstellung?
Kann der Anbieter Sicherheitsdokumentationen, Zertifizierungen oder Audit-Zusammenfassungen bereitstellen?
Hat der Anbieter einen öffentlich gemeldeten Sicherheitsvorfall erlebt, und wie ist er damit umgegangen?
Wer besitzt und kontrolliert das Unternehmen, und unter welcher Gerichtsbarkeit ist es tätig?
Ist das Produkt Open Source oder unabhängig auditiert, sodass seine Sicherheitsversprechen überprüft werden können?

Die Checkliste sollte alle Risiken aufzeigen, die dein Unternehmen eingeht. Ein Anbieter ohne formale Zertifizierung kann für Arbeiten mit geringem Risiko dennoch geeignet sein. Ein Anbieter mit Administratorzugriff, schwacher Authentifizierung, vagen Vorfallzeitplänen oder ohne klaren Löschprozess ist eine ganz andere Entscheidung.

Bei Anbietern, die bereits im Einsatz sind, solltest du die Checkliste bei Vertragsverlängerungen und geplanten Überprüfungen erneut heranziehen. Die ursprüngliche Genehmigung spiegelt möglicherweise nicht mehr wider, wie das Tool heute genutzt wird. Ein Anbieter, der für ein kleines Projekt ins Haus geholt wurde, kann still und leise Teil von Kundenprozessen, Finanzworkflows oder kritischen Integrationen werden.

Wie Proton Pass for Business die Zugriffskontrolle für Anbieter unterstützt

Anbieterrisikomanagement wird deutlich schwieriger, wenn der Zugriff von Drittanbietern außerhalb eines kontrollierten Systems verwaltet wird. Ein Anbieter kann genehmigt, dokumentiert und vertraglich abgedeckt sein, doch die tatsächliche Angriffsfläche hängt oft von alltäglichen Zugriffspfaden ab: geteilte Anmeldedaten, Berechtigungen, Passkeys, Wiederherstellungscodes, API-Schlüssel und Konten, die überprüft oder entfernt werden müssen, wenn sich die Beziehung ändert.

Ein Passwort-Manager für Unternehmen wie Proton Pass for Business⁠ hilft Unternehmen, diesen Zugriff in einen sichereren und prüfbaren Prozess zu überführen. Teams können Anbieter-Anmeldedaten in Ende-zu-Ende-verschlüsselten Tresoren speichern, starke und einzigartige Passwörter generieren, Automatisches Ausfüllen verwenden, um manuelle Bearbeitung zu reduzieren, Passkeys verwalten und Zugriff teilen, ohne Passwörter über E-Mail, Chat oder Projektdokumente zu senden.

Speziell für den Anbieterzugriff können geteilte Tresore helfen, Anmeldedaten nach Lieferant, Projekt, Team oder Sensibilitätsstufe zu trennen. So lässt sich der Zugriff leichter organisiert halten, leichter überprüfen, wer Zugriff auf was hat, und leichter entfernen, wenn ein Vertrag endet, sich ein Anbieterkontakt ändert oder ein Vorfall eine schnelle Eindämmung erfordert.

Ein Passwort-Manager für IT-Teams⁠ fügt die administrative Ebene hinzu, die benötigt wird, wenn der Prozess formeller wird. Richtlinien, Berichte, Protokolle, rollenbasierte Zugriffskontrolle, SCIM-Bereitstellung und Single-Sign-on-Integration helfen Unternehmen, den Zugriff teamübergreifend konsistent zu verwalten, anstatt sich auf individuelle Gewohnheiten zu verlassen.

Proton Pass for Business unterstützt dein Unternehmen, indem es die Anmeldedaten und Zugriffspfade kontrolliert, die Anbieter für die Zusammenarbeit mit deinem Unternehmen nutzen. Es ist außerdem Open Source und unabhängig auditiert und besteht damit dieselbe Checkliste, die wir dir empfehlen, auf deine eigenen Anbieter anzuwenden. Wenn der Lieferantenzugriff in einer kontrollierten Umgebung gespeichert, geteilt, überprüft und widerrufen wird, lässt sich das Anbieterrisiko über die erste Bewertung hinaus leichter verwalten.

Kontrolliere den Zugriff von Drittanbietern auf Anmeldedaten sicher mit einem Passwort-Manager für Unternehmen⁠.