Unter dem Risikomanagement in Bezug auf Dritte versteht man die Identifizierung und Minderung von Risiken für ein Unternehmen, die von externen Geschäftspartnern wie Lieferanten, Anbietern, Dienstleistern und Auftragnehmern ausgehen. Dieser Prozess erfordert, dass Unternehmen wissen, mit wem sie Geschäfte tätigen – und damit auch, mit wem diese Unternehmen Geschäfte tätigen –, damit sie Schutzmaßnahmen zur Risikominderung ergreifen können.
Moderne Unternehmen jeder Größe lagern wesentliche Dienstleistungen und Betriebsabläufe aus und vertrauen dabei auf Drittanbieter für Dienstleistungen wie Cloud-Hosting, Lohnabrechnung und Gebäudemanagement. Wenn externe Partner ein Produkt oder eine Dienstleistung nicht liefern, kann dies potenziell verheerende Folgen haben. Nehmen wir ein E-Commerce-Unternehmen, das für das Hosting seiner Website auf Amazon Web Services (AWS) setzt. Sollte es bei AWS zu einer Dienstunterbrechung kommen, würde die Website offline gehen – was für das Unternehmen zu entgangenen Transaktionen führen würde und, falls die Website über einen längeren Zeitraum nicht erreichbar wäre, zu einem Imageverlust bei den Kunden.
Der Zugang Dritter zu den Räumlichkeiten und IT-Systemen eines Unternehmens setzt diese einem erhöhten Risiko aus. Wenn beispielsweise die Kundendaten eines Unternehmens aufgrund einer Sicherheitslücke bei einem Dritten offengelegt werden, haftet das Unternehmen dennoch für den Angriff. Dies ist heutzutage ein zunehmendes Problem für Unternehmen: Laut haben 93 % der Unternehmen aufgrund von Schwachstellen in ihrer Lieferkette oder bei Drittanbietern einen Cybersicherheitsvorfall erlitten.
Auch Dritte lagern Teile ihrer Geschäftstätigkeit an andere Unternehmen aus. Diese Unternehmen werden zu Vertragspartnern der Organisation auf einer übergeordneten Ebene, und die Sicherheitslage jedes einzelnen von ihnen wirkt sich wiederum letztlich auf die Organisation aus, die den Vertrag mit dem Drittunternehmen abgeschlossen hat. Einfach ausgedrückt: Jede weitere Geschäftsbeziehung mit einem Drittunternehmen erhöht das Risiko einer Organisation.
Ein klassisches Beispiel für Risiken durch Dritte ist der Datenmissbrauch bei 2013 ., bei dem Kreditkartendaten von Target-Kunden gestohlen wurden. Die Angreifer hatten es auf einen externen Kühltechnik-Dienstleister von „ “ abgesehen und nutzten eine Phishing-E-Mail, um einen Mitarbeiter dazu zu verleiten, Malware zu installieren, die ihnen Zugriff auf die Anmeldedaten für das Lieferantenportal von „Target“ verschaffte. (Einigen Quellen zufolge soll der Auftragnehmer kostenlose Sicherheitssoftware verwendet haben, die keinen Echtzeitschutz bot.) Die Angreifer installierten Schadsoftware auf dem Kassensystem von Target und stahlen 40 Millionen Kreditkartennummern sowie die persönlichen Daten von 70 Millionen Kunden. Obwohl der Angriff von einem Auftragnehmer ausging, wurde Target zur Verantwortung gezogen und musste eine Vergleichszahlung in Höhe von 18,5 Millionen Dollar leisten.
Für Organisationen ist es unerlässlich, alle Unternehmen, mit denen sie zusammenarbeiten, einer sorgfältigen Prüfung zu unterziehen. Das Risikomanagement in Bezug auf Dritte unterstützt Unternehmen dabei, die von Dritten ausgehenden Risiken zu identifizieren und zu bewerten, und arbeitet anschließend mit diesen zusammen, um entweder diese Risiken zu kontrollieren oder eine sicherere Alternative zu finden.
Welche Rolle spielt ein Dritter?
Ein Drittanbieter stellt eine wesentliche Komponente oder Dienstleistung für ein Unternehmen bereit, beispielsweise Software, Sachgüter oder Verbrauchsmaterialien. Zu den externen Partnern zählen in der Regel:
- Softwareanbieter
- Cloud-Dienstleister
- IT-Management-Dienstleistungen
- Personalvermittlungsagenturen
- Anbieter von Lohnbuchhaltungsdienstleistungen
- Dienstleistungen im Bereich des Treue-Managements
- Steuerfachleute
- Lieferanten und Auftragnehmer
Da Drittunternehmen auf die Daten einer Organisation zugreifen und diese verarbeiten können, ist es von entscheidender Bedeutung, sicherzustellen, dass sie die entsprechenden Sicherheitsstandards gemäß dem „
“ erfüllen.
Was bedeutet das Risiko durch Dritte?
Die meisten Risiken durch Dritte lassen sich einer der folgenden Kategorien zuordnen:
- Cybersicherheit. Drittanbieter sind eine zunehmend verbreitete Quelle für Cyberangriffe. Hacker kompromittieren einen oder mehrere Glieder in der „ “-Lieferkette eines Unternehmens und nutzen ihren Zugriff, um größere Angriffe auf höherwertige Ziele zu starten.
- Einhaltung gesetzlicher Vorschriften. Das Fehlen von Sicherheitsmaßnahmen durch Dritte kann zu Datenverlusten und daraus resultierenden Verstößen gegen die Vorschriften gemäß dem „ “
sowie zu Strafen führen. - Betriebsbereit. Ausfälle bei Drittanbietern können dazu führen, dass ein Unternehmen den Betrieb einstellen muss. So führte beispielsweise ein Cyberangriff auf den Softwareanbieter „ Geographic Solutions“ ( ) zu Störungen bei der Auszahlung von Arbeitslosengeld und der Unterstützung bei der Arbeitssuche für Menschen in den Bundesstaaten, die deren Software nutzten (
).
“„Obwohl der Angriff von einem Auftragnehmer ausging, wurde Target zur Verantwortung gezogen und musste einen Vergleich in Höhe von 18,5 Millionen Dollar zahlen.“
- Strategisch. Wenn die Geschäftsstrategien des Unternehmens und eines Dritten nicht aufeinander abgestimmt sind, werden gesetzliche und sonstige Sicherheitsstandards möglicherweise nicht erfüllt.
- Rufbezogen. Negative Berichterstattung aufgrund von Sicherheitsverletzungen, Verstößen gegen Compliance-Vorschriften oder anderen Problemen bei Dritten kann sich negativ auf das Ansehen der Organisation auswirken, die deren Produkte oder Dienstleistungen nutzt.
- Finanzen. Ein finanzieller Schaden kann dadurch entstehen, dass vertraglich vereinbarte Leistungen nicht erbracht werden können, mangelhafte Produkte geliefert werden oder die Qualität der von einem Dritten erbrachten Leistungen beeinträchtigt wird. Auch Geldbußen oder Anwaltskosten, die einem Dritten entstehen, können das finanzielle Risiko für eine Organisation erhöhen.
In der Praxis wirken sich Ausfälle bei Drittanbietern in der Regel auf vielfältige Weise auf ein Unternehmen aus. So führte beispielsweise der Datenverstoß bei Target zu Betriebsstörungen im Unternehmen, stellte eine Gefahr im Hinblick auf behördliche Auflagen dar und verursachte dem Unternehmen finanzielle Einbußen sowie Reputationsschäden.
Warum bringen Dritte Risiken mit sich?
Eine Organisation verfügt möglicherweise nicht über denselben Einblick in und dieselbe Kontrolle über die Mitarbeiter, das Netzwerk, die Informationstechnologie und die Geschäftspraktiken eines anderen Unternehmens wie über die eigenen. Dadurch ist das Unternehmen einer Vielzahl potenzieller operativer, finanzieller, rufschädigender, regulatorischer und sicherheitsrelevanter Risiken ausgesetzt. Da ein Unternehmen letztendlich für die Handlungen der Dritten verantwortlich ist, die seine Geschäftstätigkeit ermöglichen, kann jeder Vorfall schwerwiegende Folgen für
das Unternehmen haben.
Was sind Beispiele für Risiken durch Dritte?
Zu den üblichen Risiken durch Dritte zählen unter anderem:
- Mangelnde Sicherheit. Angreifer können Sicherheitslücken bei Drittanbietern ausnutzen und diese dazu nutzen, Kundendaten, Finanzinformationen und geistiges Eigentum zu stehlen. Genau das geschah im Jahr 2014 , als die Daten von 15 000 Patienten des Boston Medical Center über die Website des Transkriptionsdienstleisters offengelegt wurden, da die Website des Anbieters keinen Passwortschutz für Patientenakten verwendete.
- Mitarbeiter. Angreifer setzen häufig Social-Engineering-Techniken nach dem „ “-Prinzip ein, um Mitarbeiter von Drittunternehmen ins Visier zu nehmen. Mitarbeiter erhalten in der Regel eine E-Mail oder eine SMS, die scheinbar von einer vertrauenswürdigen Quelle stammt und darauf abzielt, sie dazu zu verleiten, ihre Anmeldedaten preiszugeben oder Malware zu installieren, die Anmeldedaten abfängt. Der Datenverstoß bei Target ist ein Beispiel dafür, wie die Täuschung durch Mitarbeiter eine katastrophale Kettenreaktion auslösen kann.
- Strategische Diskrepanz. Wird es versäumt, die Geschäftsstrategien Dritter und der von ihnen unterstützten Organisationen aufeinander abzustimmen, kann dies eine Vielzahl von Risiken nach sich ziehen. This was the cause of the 2020 Health Share of Oregon data breach. Angreifer legten die personenbezogenen Daten von mehr als 650 000 Mitgliedern offen, als beim medizinischen Transportdienstleister GridWorks ein Laptop gestohlen wurde. Der Anbieter hatte es versäumt,
die Richtlinien von Health Share einzuhalten, wonach Geschäftspartner verpflichtet sind, alle tragbaren Geräte, die „
“-Patientendaten enthalten, zu verschlüsseln.
Inwiefern unterscheiden sich Risiken durch Dritte von internen Risiken?
Interne Risiken entstehen durch Probleme innerhalb Ihres Unternehmens – nachlässige Sicherheitskontrollen, veraltete IT-Systeme, unzureichende Mitarbeiterschulungen –, die zu Sicherheitslücken und Datenpannen führen können. Risiken durch Dritte ergeben sich aus vielen der gleichen Probleme, haben ihren Ursprung jedoch in den Systemen, Prozessen und Mitarbeitern eines Geschäftspartners.
“„Eine Organisation trägt letztendlich die Verantwortung für die Handlungen der Dritten, die ihre Geschäftstätigkeit ermöglichen.“
Der entscheidende Unterschied zwischen internen Risiken und Risiken durch Dritte liegt in dem Ausmaß an Kontrolle, das eine Organisation über die Risikominderung ausübt. Zwar hat ein Unternehmen die Kontrolle über seine eigenen Sicherheitsmaßnahmen, doch hat es kaum Einblick in die Sicherheitsmaßnahmen von Drittpartnern und ausgelagerten Dienstleistern. Dies vergrößert die Angriffsfläche eines Unternehmens und verschleiert zugleich die Ursprünge der Risiken.
Was versteht man unter einer Due-Diligence-Prüfung durch Dritte?
Unternehmen führen vor der Aufnahme einer Geschäftsbeziehung mit einem Geschäftspartner eine Sorgfaltsprüfung durch. Dieser wesentliche Prozess des Lieferantenrisikomanagements umfasst die Erstellung eines Verzeichnisses potenzieller Drittanbieter sowie die Bewertung des Risikos, das diese für eine Partnerschaft darstellen. Im Rahmen dieses Prozesses erhebt das Unternehmen Informationen über die Eigentumsverhältnisse, die Organisationsstruktur, die Finanzlage, die Geschäftstätigkeit und den Ruf des Dritten.
Anhand dieser Informationen kann das Unternehmen feststellen, ob ein Dritter die mit seinem Produkt oder seiner Dienstleistung verbundenen Risiken mindern kann. Die Sorgfaltspflicht liegt in der Verantwortung des Vorstands und der Geschäftsleitung und sollte vor der Unterzeichnung eines Vertrags sowie während der gesamten Dauer der Geschäftsbeziehung wahrgenommen werden, um sicherzustellen, dass neue Risiken bei ihrem Auftreten angemessen berücksichtigt werden.
[Lesen Sie auch: 6 Fragen zur Cybersicherheit, die ich den Vorständen stets empfehle zu stellen]
Welche Vorteile bietet das Risikomanagement in Bezug auf Dritte?
Das Risikomanagement in Bezug auf Dritte bietet zahlreiche Vorteile, darunter:
- Bessere Transparenz in Umgebungen von Drittanbietern. Ein detaillierter Einblick in die Beziehungen zu Lieferanten, Dienstleistern und anderen Drittunternehmen ermöglicht es Unternehmen, die Verflechtungen zwischen den Beteiligten sowie die Lage potenzieller Risiken besser zu verstehen.
- Geringeres Risiko. Die Sorgfaltsprüfung ermöglicht es Führungskräften, fundiertere Entscheidungen über die Organisationen zu treffen, mit denen sie geschäftlich zusammenarbeiten. Von Beginn der Geschäftsbeziehung an können Risiken identifiziert und kontrolliert werden, und zwar durch regelmäßige Due-Diligence-Prüfungen und sofortige Abhilfemaßnahmen während des gesamten Lebenszyklus des Drittanbieters.
- Bessere Einhaltung gesetzlicher Vorschriften. Das Risikomanagement in Bezug auf Dritte ist eine Anforderung zahlreicher Branchenstandards und Vorschriften, darunter FISMA, HIPAA, HITECH, SOX, GLBA und das NIST-Rahmenwerk für Cybersicherheit. Durch die regelmäßige Überprüfung der Beziehungen zu Dritten wird sichergestellt, dass Unternehmen die Vorschriften der Aufsichtsbehörden einhalten und kostspielige Bußgelder und Sanktionen vermeiden.
- Kosteneinsparungen. Zwar stellt das Risikomanagement in Bezug auf Dritte nach wie vor eine Vorabinvestition dar, doch spart es Kosten ein, indem es das Risiko von Datenschutzverletzungen verringert, die Unternehmen durchschnittlich 4,2 Millionen US-Dollar
pro Vorfall kosten.
Was sind bewährte Verfahren im Risikomanagement bei Drittanbietern?
Führungskräfte können das Risiko durch Dritte minimieren, indem sie die folgenden Ratschläge beachten:
- Machen Sie eine Bestandsaufnahme. Um zu verstehen, woher Ihre Risiken durch Dritte stammen, müssen Sie wissen, mit wem Sie geschäftlich zu tun haben. Erstellen Sie eine vollständige Übersicht über die von Ihnen beauftragten Drittanbieter. Dazu könnten sowohl große Organisationen als auch einzelne Auftragnehmer gehören, ebenso wie jedes Unternehmen, an das diese Unternehmen Dienstleistungen untervergeben. Achten Sie außerdem darauf, die Systeme, Anwendungen und Daten zu ermitteln und zu dokumentieren, auf die die jeweilige Partei Zugriff hat.
- Risiken klassifizieren. Prüfen Sie jeden Drittanbieter einzeln, um die Wahrscheinlichkeit und die möglichen Folgen eines Hackerangriffs zu ermitteln, und stufen Sie ihn anschließend entsprechend dem von ihm ausgehenden Risiko ein. Sie sollten Ihre Maßnahmen zur Risikominderung zunächst auf die Parteien mit dem höchsten Risiko konzentrieren.
- Berücksichtigen Sie alle Arten von Risiken. Zu den Risiken gehört mehr als nur Hacking. Eine Vorgeschichte mit mangelhaftem Umgang mit Kunden, eine schlechte Bonität, verspätete Lieferungen und ähnliche Warnsignale geben Aufschluss darüber, wie ein Drittunternehmen seine Geschäfte führt und welche Risiken damit verbunden sind.
- Informationen von Dritten einholen. Senden Sie jeder Partei einen Fragebogen, um Informationen über deren Organisationsstruktur und Unternehmensführung, die von ihr
umgesetzten Cybersicherheitsmaßnahmen, die Netzwerke und digitalen Ressourcen, auf die sie Zugriff benötigt,
sowie die Sicherheitsmaßnahmen zu erfassen, die sie beim Zugriff auf die Ressourcen Ihres Unternehmens ergreifen wird. - Minimieren Sie die Risiken. Sobald Sie alle Ihre Drittparteien und die mit ihnen verbundenen Risiken ermittelt haben, können Sie daran arbeiten, diese zu mindern oder zu steuern. Je nach Risiko kann die Risikominderung die Umsetzung von Sicherheitsmaßnahmen erfordern, wie beispielsweise die Beschränkung des Zugriffs auf bestimmte Ressourcen. Möglicherweise muss der Drittanbieter zudem Sicherheitslücken beheben oder strengere Sicherheitsmaßnahmen einführen. In Situationen, in denen sich Risiken nicht in angemessener Weise verringern lassen, können Sie sich entscheiden, Ihre Beziehung zu beenden.
- Monitor. Da sich das Verhalten von Dritten im Laufe der Zeit ändert und dadurch möglicherweise neue Risiken entstehen, ist es wichtig, regelmäßige Bewertungen durchzuführen. Die Überwachung kann mithilfe einer Plattform für das Lieferantenrisikomanagement kontinuierlich in Echtzeit erfolgen.
- Wiederholen Sie diesen Vorgang für jeden neuen Drittanbieter. Die oben genannten Vorgehensweisen sollten jedes Mal befolgt werden, wenn Sie eine Geschäftsbeziehung mit einem neuen Lieferanten, Anbieter, Dienstleister oder Auftragnehmer eingehen. Durch ständige Wachsamkeit wird sichergestellt, dass Dritte nur in dem Umfang Zugriff auf das Netzwerk und die Daten erhalten, der für die Abwicklung ihrer Geschäfte mit Ihnen erforderlich ist.
Welche Herausforderungen birgt das Risikomanagement bei Dritten?
Die meisten Organisationen haben kaum eine Vorstellung davon, welchen Risiken sie durch ihre Beziehungen zu Dritten ausgesetzt sind. Zu den Gründen zählen unter anderem folgende:
- Komplexe Lieferantennetzwerke. Moderne Unternehmen arbeiten mit Hunderten von Anbietern, Lieferanten und Dienstleistern zusammen, von denen jeder wiederum Aufgaben an sein eigenes Netzwerk von Drittanbietern auslagert und untervergeben lässt. Risiken können jederzeit und überall in diesem Netzwerk auftreten. Den meisten Organisationen fehlt ein ausreichend detaillierter Einblick in die gesamte Struktur ihrer Geschäftsbeziehungen, um ihre Risiken zu verstehen und zu steuern.
- Manuelle Prozesse. Unternehmen nutzen häufig Tabellenkalkulationen, Fragebögen und andere manuelle Verfahren, um Risiken durch Dritte zu steuern. Ein ineffizienter Ansatz kann den Zeitaufwand für das Aufspüren und Beheben von Problemen erhöhen.
- Mangelnde Skalierbarkeit. Manuelle Prozesse lassen sich nur unter unverhältnismäßig großem Aufwand erweitern, wenn Netzwerke von Drittanbietern wachsen, was zusätzliche Risiken mit sich bringen kann.
- Organisatorische Silos. Die Aufteilung in Unternehmensabteilungen, Funktionsbereiche und Geschäftsbereiche kann es erschweren, umfassende Risikoinformationen unternehmensweit zu erfassen.
- Zunehmender regulatorischer Druck. Zahlreiche Vorschriften auf Bundes- und Landesebene schreiben vor, dass sich die Risikomanagementrichtlinien auch auf die externen Geschäftspartner einer Organisation erstrecken müssen. Diese Einheiten unterliegen jedoch nicht der direkten Kontrolle einer Organisation, was die Umsetzung erschwert.
Was versteht man unter dem Lebenszyklus des Risikomanagements bei Drittanbietern?
Unternehmen durchlaufen im Rahmen einer Geschäftsbeziehung mit Dritten eine Reihe von Schritten, die vom Vertragsabschluss bis zur Vertragsauflösung reichen. Es gibt keine verbindliche Darstellung des Lebenszyklus, und die Abläufe variieren von Organisation zu Organisation. Der Lebenszyklus lässt sich jedoch grob in drei Risikophasen unterteilen, die gesteuert werden müssen:
- Phase vor Vertragsabschluss. Bevor die Organisation einen Vertrag mit einem Dritten abschließt, bewertet sie das mit diesem Dritten verbundene Risiko, ermittelt die vertraulichen Informationen , auf die dieser Zugriff benötigt, und klärt ab, ob das andere Unternehmen einen Teil der von ihm erbrachten Dienstleistungen an Subunternehmer weitervergeben wird.
- Vertragsphase. In der Vereinbarung werden die Risiken, die beide Parteien übernehmen, sowie die Art und Weise, wie sie diese gemeinsam mindern werden, zusammen mit weiteren Bedingungen der Partnerschaft dargelegt.
- Phase nach Vertragsabschluss. Die laufende Steuerung der Beziehungen zu Dritten erfolgt durch Überwachung, Berichterstattung und Überprüfungen. Die Offboarding-Verfahren treten auch bei Beendigung des Arbeitsverhältnisses in Kraft.
