Der Cloud-Provider, bei dem ein Unternehmen seine komplette Buchhaltung betreibt, meldet Insolvenz an. Die Plattform ist ab sofort nur noch eingeschränkt verfügbar. Ein Datenexport ist theoretisch möglich, aber die Exportfunktion funktioniert nicht zuverlässig. Das Unternehmen hat weder ein lokales Backup der Buchhaltungsdaten noch eine Exit-Strategie. Der Wechsel zu einer neuen Lösung dauert drei Monate — drei Monate mit eingeschränkter Finanzbuchhaltung.
Kaum eine Organisation arbeitet heute ohne externe Dienstleister. Cloud-Provider, IT-Dienstleister, Gehaltsabrechner, Hosting-Anbieter, Softwareentwickler — die Abhängigkeit von Dritten wächst stetig. Das BSI führt den Ausfall oder die Störung von Dienstleistern als elementare Gefährdung G 0.11, und mit 21 zugeordneten ISO-Kontrollen ist sie die am breitesten adressierte Gefährdung in dieser Gruppe.
Was steckt dahinter?
Wenn Teile der eigenen Leistungserbringung von externen Dienstleistern abhängen, wird deren Verfügbarkeit zum eigenen Geschäftsrisiko. Die Organisation gibt einen Teil der Kontrolle ab — behält aber die volle Verantwortung für das Ergebnis.
Ausfallursachen
- Insolvenz — Der Dienstleister stellt den Betrieb ein. Besonders kritisch bei Cloud-Diensten und SaaS-Plattformen, wo die eigenen Daten auf der Infrastruktur des Anbieters liegen.
- Einseitige Vertragskündigung — Der Dienstleister kündigt den Vertrag mit Frist oder stellt Konditionen, die wirtschaftlich untragbar sind. Der Wechsel zu einem Alternativanbieter erfordert Zeit.
- Betriebliche Probleme — Personalausfall, technische Störungen, Cyberangriffe oder Naturereignisse beim Dienstleister beeinträchtigen dessen Leistungsfähigkeit.
- Qualitätsmängel — Die erbrachten Leistungen entsprechen nicht den Anforderungen. Schleichende Qualitätsverschlechterung wird oft erst bemerkt, wenn ein konkreter Vorfall eintritt.
- Unterauftragnehmer-Probleme — Viele Dienstleister greifen auf Subunternehmer zurück. Deren Störungen oder Ausfälle wirken indirekt auf den Auftraggeber durch — oft ohne Transparenz über die Subunternehmer-Kette.
Die Rückholung ausgelagerter Prozesse kann extrem aufwändig sein. Fehlende Dokumentation, proprietäre Datenformate, mangelnde Kooperation des bisherigen Dienstleisters und fehlendes internes Know-how erschweren die Transition. Im schlimmsten Fall sind ausgelagerte Prozesse faktisch nicht rückholbar, weil das interne Wissen über Jahre verloren gegangen ist.
Schadensausmass
Der Ausfall eines Dienstleisters bedroht alle drei Schutzziele gleichzeitig. Die Verfügbarkeit leidet durch den Leistungsausfall. Die Vertraulichkeit ist gefährdet, wenn ein insolventer Dienstleister die Kontrolle über Kundendaten verliert oder diese an Dritte gelangen. Die Integrität kann beeinträchtigt werden, wenn Qualitätsmängel zu fehlerhafter Datenverarbeitung führen.
Praxisbeispiele
Cloud-Provider mit Datenverlust. Ein Unternehmen nutzt einen Cloud-Speicherdienst für das Projektmanagement. Der Provider erleidet einen schweren Hardwareausfall und verliert einen Teil der gespeicherten Daten. Die Wiederherstellung dauert Wochen, und einige Daten sind endgültig verloren. Das Unternehmen hatte sich auf die Backup-Versprechen des Providers verlassen und kein eigenes Backup erstellt.
Outsourcing-Dienstleister kündigt. Ein IT-Outsourcing-Dienstleister kündigt den Vertrag mit sechsmonatiger Frist, weil der Auftrag für ihn nicht mehr wirtschaftlich ist. Die ausgelagerten Systeme sind über Jahre gewachsen und schlecht dokumentiert. Die Rückholung erfordert Know-how, das im eigenen Haus nicht mehr vorhanden ist. Die Suche nach einem Nachfolge-Dienstleister und die Transition dauern deutlich länger als sechs Monate.
Qualitätsmängel beim Rechenzentumsbetreiber. Ein Unternehmen hat seine Server in einem externen Rechenzentrum untergebracht. Der Betreiber spart an der Wartung der Klimaanlage. Bei einem Hitzerekord im Sommer fällt die unterdimensionierte Kühlung aus. Die Server des Unternehmens überhitzen und fallen aus. Der Betreiber hatte keine SLA-Vereinbarung zur Klimatisierung, und das Unternehmen hatte die Infrastruktur des Rechenzentrums seit der Inbetriebnahme nie geprüft.
Relevante Kontrollen
Die folgenden ISO-27001-Kontrollen wirken dieser Gefährdung entgegen. (Die vollständige Liste der 21 zugeordneten Kontrollen findest du unten im Abschnitt „Abdeckende ISO-27001-Kontrollen”.)
Prävention:
- A.5.19 — Informationssicherheit in Lieferantenbeziehungen: Sicherheitsanforderungen vertraglich mit Dienstleistern vereinbaren.
- A.5.21 — Steuerung der ICT-Lieferkette: Transparenz über Subunternehmer und deren Sicherheitsniveau.
- A.5.22 — Überwachung, Überprüfung und Änderungsmanagement von Lieferantendienstleistungen: Regelmäßige Überprüfung der Dienstleistungsqualität und Sicherheit.
- A.5.20 — Berücksichtigung der Informationssicherheit in Lieferantenvereinbarungen: Sicherheitsklauseln, SLAs und Exit-Strategien in Verträgen.
Erkennung:
- A.5.23 — Informationssicherheit bei Nutzung von Cloud-Diensten: Spezifische Anforderungen und Überwachung für Cloud-Dienstleister.
- A.8.21 — Sicherheit von Netzwerkdiensten: Überwachung extern erbrachter Netzwerk- und Kommunikationsdienste.
Reaktion:
- A.5.24 — Planung der Informationssicherheitsvorfallreaktion: Incident-Response-Pläne, die Dienstleisterausfälle einschließen.
- A.5.29 — Informationssicherheit bei Störungen: Business-Continuity-Maßnahmen für den Fall eines Dienstleisterausfalls.
- A.8.14 — Redundanz von informationsverarbeitenden Einrichtungen: Ausweichkapazitäten und alternative Dienstleister.
BSI IT-Grundschutz
G 0.11 verknüpft der BSI-Grundschutzkatalog mit den folgenden Bausteinen:
- OPS.2.3 (Nutzung von Outsourcing) — Anforderungen an die Steuerung ausgelagerter IT-Dienstleistungen.
- OPS.3.2 (Anbieten von Outsourcing) — Anforderungen an Dienstleister, die Outsourcing-Leistungen erbringen.
- OPS.2.2 (Cloud-Nutzung) — Spezifische Anforderungen an die Nutzung von Cloud-Diensten.
- DER.4 (Notfallmanagement) — Business-Continuity-Planung unter Einbeziehung kritischer Dienstleister.
Quellen
- BSI: Die Lage der IT-Sicherheit in Deutschland — Jahreslagebericht mit aktuellen Bedrohungsstatistiken
- BSI IT-Grundschutz: Elementare Gefährdungen, G 0.11 — Originalbeschreibung der elementaren Gefährdung
- ISO/IEC 27002:2022 Abschnitt 5.19–5.22 — Umsetzungshinweise zur Informationssicherheit in Lieferantenbeziehungen