An einem Dienstagmorgen meldet das Security Operations Center (SOC) der fiktiven Rheinwerk Logistics AG ungewöhnliche Datenbewegungen. Seit mindestens 72 Stunden fliessen nachweislich sensible Informationen in kleinen, unauffälligen Datenpaketen aus dem ERP-System des Schweizer Logistikkonzerns mit 4’200 Mitarbeitenden ab. Zunächst vermutet das SOC eine Insider-Bedrohung oder ungepatchte Systeme.

Doch die Angriffsspur führt zu einem externen IT-Dienstleister: Cyberkriminelle haben dessen Zugangsdaten erbeutet und sich über ein Serviceportal Zugriff auf die Unternehmenssysteme verschafft. Der Anbieter war einst für die Wartung der Lagerverwaltungssoftware zuständig. Sein Vertrag war abgelaufen. Sein privilegierter Zugang nicht.

Der Fall ist frei erfunden, das zugrunde liegende Risiko real: Unzureichend kontrollierte Drittanbieterzugänge schaffen Angriffsflächen, die über Jahre bestehen bleiben können.

Was ist C-TPRM und warum ist es mehr als eine IT-Aufgabe?

Cyber Third-Party Risk Management (C-TPRM) umfasst die systematische Bewertung, Überwachung und Steuerung von Cybersicherheitsrisiken aus Geschäftsbeziehungen mit externen Dienstleistern, Lieferanten und Geschäftspartnern. Jeder direkte oder indirekte Zugriff auf Unternehmenssysteme, Daten oder Netzwerke erweitert die potenzielle Angriffsfläche.

Besonders kritisch sind Drittanbieterzugänge, deren Berechtigungen und Aktivitäten unzureichend überwacht werden. Ob API-Key, VPN-Zugang oder Leseberechtigung: Solche Zugriffe schaffen zusätzliche Sicherheitsrisiken, wenn Transparenz und klare Verantwortlichkeiten fehlen. Ihre Kontrolle reicht deshalb über die IT hinaus und erfordert abgestimmte Prozesse mit den zuständigen Fachbereichen.

Supply-Chain-Angriffe: Wenn Zugänge aktiv bleiben und Kontrollen versagen

Wie konnte sich der Cybervorfall bei der fiktiven Rheinwerk Logistics AG über einen so langen Zeitraum entwickeln? Die Chronologie zeigt, an welchen Stellen Kontrollen fehlten und wie die Angreifenden davon profitierten.

• Jahr 1 |Q2   Onboarding ohne Security Assessment

Ein neuer IT-Dienstleister wird für Lagerverwaltungssoftware eingebunden. Kein standardisiertes Sicherheits-Onboarding, keine Klassifizierung nach Risikostufe, keine Bewertung der Maturität / Sicherheitslage des Dienstleisters.

• Jahr 1 | Q4   Dauerzugang ohne Scope-Begrenzung

Das IT-Team richtet dem Anbieter einen persistenten VPN-Zugang und einen privilegierten Service Account für Wartungen des Lagerverwaltungssystems ein. Keine Einschränkung auf bestimmte Systeme oder Zeitfenster, keine MFA, keine SIEM-Anbindung.

• Jahr 2 | Q3   Vertragsende, Zugang bleibt bestehen    

Der Wartungsvertrag läuft aus. Im Offboarding-Prozess fehlt eine Checkliste zum Entzug von Zugriffsrechten. Das IT-Team nimmt an, der Anbieter habe «selbst keinen Bedarf mehr». Der Service Account bleibt aktiv.

• Jahr 3 | Q1   Kompromittierung des Anbieters

Der Drittanbieter selbst wird Opfer eines Ransomware-Angriffs. Die Angreifer erbeuten dabei auch die Zugangsdaten für die Rheinwerk-Systeme. Da keine kontinuierliche Überwachung besteht, bleibt dies unbemerkt

• Jahr 3 | Q1 – Q2   34 Tage unentdeckte Exfiltration

Angreifer bewegen sich lateral durch das Netzwerk, sammeln Daten. Kein Alarm wird ausgelöst. Der Zugang ist weiterhin als gültig registriert, die Datenbewegungen bleiben unauffällig.

• Jahr 3 | Q2   Entdeckung, viel zu spät

Ein ungewöhnliches Datenvolumen wird im Nachtbetrieb bemerkt. Incident Response wird aktiviert. Es dauert 11 weitere Tage, bis das vollständige Ausmass des Vorfalls verstanden wird.

Der Angriff wurde durch einen privilegierten Drittanbieterzugang ermöglicht, der nach Vertragsende aktiv blieb. Fehlende Zugriffsbeschränkungen und unzureichendes Monitoring erschwerten die frühzeitige Erkennung.

6 Kontrolllücken im C-TPRM und wie Unternehmen sie schliessen

Ein wirksames C-TPRM setzt an sechs Kontrollbereichen an: Onboarding, laufende Risikobewertung, Zugriffskontrolle, Monitoring, Offboarding und vertragliche Sicherheitsanforderungen. Entscheidend ist, Sicherheitslücken entlang der gesamten Dienstleisterbeziehung zu erkennen und mit gezielten Massnahmen zu schliessen.

Was auf dem Spiel steht: Die echten Kosten

Ein Cyberangriff über Drittanbieter trifft weit mehr als die IT. Regulatorische Konsequenzen, Vertrauensverluste und Betriebsunterbrüche können das gesamte Unternehmen belasten – auch lange nach der Bewältigung des eigentlichen Vorfalls.

• Regulatorische Konsequenzen: DORA, NIS2, FINMA-Vorgaben und Datenschutzgesetze stellen je nach Branche und Rechtsraum Anforderungen an den Umgang mit Drittparteirisiken. Wer angemessene Sicherheitskontrollen und deren Umsetzung nicht nachweisen kann, riskiert aufsichtsrechtliche Massnahmen und gegebenenfalls Bussgelder.
• Reputationsschaden: Für Kunden, Investoren und Partner spielt es kaum eine Rolle, ob das Unternehmen selbst oder einer seiner Dienstleister gehackt wurde. Entscheidend ist für sie, dass ihre Daten beim betroffenen Unternehmen nicht ausreichend geschützt waren.
• Operative Disruption: Incident Response, forensische Untersuchungen, Systemabschaltungen und Neuverhandlungen mit Dienstleistern können über Monate interne Ressourcen binden und das Unternehmen vom Kerngeschäft ablenken.

Fazit: Drittparteirisiken enden nicht mit dem Vertragsabschluss

Der fiktive Fall der Rheinwerk Logistics AG zeigt, wie aus einem versäumten Offboarding ein ernstes Cyberrisiko entstehen kann. Entscheidend ist deshalb, externe Dienstleister über die gesamte Geschäftsbeziehung hinweg im Blick zu behalten – von der ersten Risikobewertung über die Kontrolle privilegierter Zugriffe bis zum nachweisbaren Entzug sämtlicher Berechtigungen.

Ein wirksames Cyber Third-Party Risk Management schafft Transparenz über bestehende Abhängigkeiten, macht kritische Zugriffe kontrollierbar und hilft, Sicherheitslücken frühzeitig zu schliessen. Dafür müssen Einkauf, Fachbereiche und IT-Sicherheit ihre Verantwortlichkeiten und Prozesse aufeinander abstimmen.

Wer Drittparteirisiken kontinuierlich steuert, reduziert die Angriffsfläche und stärkt die Widerstandsfähigkeit des gesamten Unternehmens.

Wie gut sind die Zugriffe und Cyberrisiken Ihrer externen Dienstleister kontrolliert? Sprechen Sie mit unseren Cybersecurity-Expert:innen über die gezielte Bewertung und Absicherung Ihrer Drittparteirisiken.

C-TPRM gezielt stärken