Illustration Absmeier foto freepik

Unternehmen agieren heutzutage in komplexen Lieferketten, um effektiv und erfolgreich zu sein. Dazu zählen Lieferanten, Zulieferer, Subunternehmer, Dienstleister und andere Partner. Oft sind gerade diese sogenannten Drittanbieter die Verursacher von Cybervorfällen.

Mehr als die Hälfte aller befragten deutschen Unternehmen ist von Cybervorfällen aus der Lieferkette betroffen.
Umfrage unter fast 600 Unternehmen ermittelt das Cybersicherheitsrisiko durch Zugriff von Externen.

Eine Studie des Ponemon Institutes gemeinsam mit Imprivata ergab, dass 51 Prozent der befragten deutschen Unternehmen einen Datenverlust oder eine Cyberattacke als Folge eines Drittanbieterzugriffs erlebt haben. Die Zahl liegt um 4 Prozent höher als im Durchschnitt der Befragten aus Unternehmen in Australien, Deutschland, Vereinigtes Königreich (UK) und den USA. Ein Drittel der Befragten aus Deutschland führte die Cybervorfälle auf zu umfassende und weitreichende Zugriffsrechte der Externen zurück. Das Problem: 68 Prozent der deutschen Befragten erwarten, dass dieses Risiko in den nächsten ein bis zwei Jahre anhält oder sogar noch steigt. 47 Prozent halten den Fernzugriff durch Externe sogar für das größte IT-Sicherheitsrisiko.

Eine Vielzahl von nicht fest angestellten Mitarbeitern aus der Lieferkette greift tagtäglich auf die IT-Ressourcen eines Unternehmens zu. Dabei handelt es sich zum Beispiel um Arbeitskräfte von Lieferanten, Zulieferern, Dienstleistern, Subunternehmern, Zeitarbeitsfirmen oder selbstständige Berater, oder sonstige freie Mitarbeitende, zusammengefasst als sogenannte Drittanbieter.

Viele Zugriffe von Externen, aber keine Strategie und Dokumentation dafür

Dirk Wahlefeld, Manager Unimate Tech Services der Imprivata GmbH, erläutert: »Ohne den Zugriff von Externen auf das IT-Netzwerk einer Firma kann heute praktisch kein Unternehmen mehr erfolgreich arbeiten. Aus IT-Sicherheitsperspektive gelten für sie nicht die gleichen Richtlinien und Regularien wie für Mitarbeitende eines Unternehmens, da sie nicht fest angestellt sind. Dieser fehlende Durchgriff erschwert auch die Durchsetzung der Richtlinien für digitale Identitäten, auf denen der Zugriff auf Unternehmens-IT-Netzwerke basiert.« 50 Prozent der Befragten aus Deutschland gaben an, dass ihr Unternehmen keine einheitliche Strategie für das Zugriffsmanagement von Externen hat, was die Verwaltung und Sicherung der Zugänge erheblich erschwert.

Über die Hälfte der deutschen Teilnehmenden, 56 Prozent, berichtete, dass ihr Unternehmen eine umfassende Dokumentation aller Drittanbieter mit Zugriff auf ihr Netzwerk verfügt. Auf der Basis wurde ermittelt, dass 67 Prozent der befragten deutschen Unternehmen bis zu 20 externen Personen Zugriff gewähren, bei 25 Prozent sind es sogar 30 und mehr.

Die Konsequenzen der mangelnden Kontrolle des Zugriffs für Dritte ist erheblich: 53 Prozent der befragten Unternehmen verzeichneten einen Verlust oder Diebstahl vertraulicher Daten, 50 Prozent wurden mit Geldstrafen belegt und 49 Prozent mussten ihre Zusammenarbeit mit den Externen daraufhin beenden.

Mangelnde Ressourcen verhindern optimalen Technologieeinsatz

Wahlefeld weiter: »Es gibt auch gute Nachrichten: 77 Prozent der Befragten aus Deutschland berichten, dass ihr Unternehmen eine sogenannte Vendor-Privileged-Access-Management-Lösung einsetzt, das heißt, eine IT-Lösung zur Verwaltung der Zugriffe von Externen. Allerdings sind nur 52 Prozent davon überzeugt, dass diese Lösung den Missbrauch beim Zugriff von Externen verhindert. Angesichts des geringen Vertrauens in die Wirksamkeit der Lösung, der mangelnden Transparenz und der Zahl der Sicherheitsverletzungen wird jedoch deutlich, dass VPAM-Lösungen einfach und intuitiv zu nutzen sein müssen. Vor dem Hintergrund fehlender Ressourcen und konkurrierender Prioritäten müssen sie wichtige Aufgaben automatisiert erledigen, so dass sie effektiv skalieren und Mitarbeitende der IT-Abteilung entlasten.«

Der Grund, warum Technik alleine nicht ausreicht liegt darin, dass sich IT-Abteilungen mit der Verwaltung der Zugänge Externer überfordert und überlastet fühlen, das gaben 43 Prozent der deutschen Befragten an. Die Studie ermittelte, dass IT-, Sicherheits- und andere Teams in den befragten deutschen Unternehmen durchschnittlich 150 Stunden pro Woche mit der Analyse und Untersuchung der Sicherheit von Drittanbieter- und privilegierten Zugriffen verbringen. Die Ursachen für die Überlastung der IT-Abteilungen mit diesen liegen in fehlendem Personal, manuellen Prozessen und fehlender zentraler Kontrolle.

[1] Das Ponemon Institut befragte Ende 2024 1.942 IT- und IT-Sicherheitsverantwortliche in den USA (733), Großbritannien (398), Deutschland (573) und Australien (238), die der Verwaltung von privilegierten Zugängen sowohl von Dritten als auch von internen Benutzern in ihren Unternehmen bzw. ihrer Organisation vertraut sind. Die Befragten gehören Unternehmen aus folgenden Branchen an: Gesundheitswesen (11 %), öffentlicher Sektor (23 %), Industrie und Fertigung (32 %) sowie Finanzdienstleistungen (34 %). Die Ergebnisse sind nicht repräsentativ.

Ein Kurzversion der Studie mit den Ergebnissen für Deutschland kann hier heruntergeladen werden: https://info.imprivata.com/viewer/a58a551339d048e8785d6959b80f117e#1

Der vollständige Bericht »The state of third-party access in cybersecurity« mit allen Zahlen der Studie kann bei Imprivata nach Registrierung heruntergeladen werden: https://www.imprivata.com/de/2025-ponemon-report

Grafiken Quelle Imprivata

1409 Artikel zu „Lieferkette Sicherheit“

News | Trends Security | IT-Security | Strategien | Tipps

So gehen Unternehmen Sicherheitsrisiken innerhalb der KI- und Softwarelieferketten an

24. Januar 2025

Die Anzahl der Unternehmen, die sogenannte Adversarial Tests (Angriffsfälle) durchführen, hat sich im Vergleich zum Vorjahr verdoppelt. Die Anzahl der Unternehmen, die eine Software Composition Analysis (SCA) für Code-Repositorien nutzen, ist um 67 % gestiegen. Die Zahl der Firmen, die Forschungsgruppen beschäftigen, um neue Angriffsmethoden zu entwickeln, hat sich um 30 % erhöht. Die Zahl…