62 % der Unternehmen in Deutschland mussten sich 2023 mit Sicherheitsverletzungen bei externen Drittanbietern und direkten Datenschutzfolgen auseinandersetzen, wie IBM für den deutschen Markt beschreibt in seinem Beitrag zu Third Party Risk Management. Das ist keine Randnotiz für die IT. Das ist ein Führungsproblem.
Viele Geschäftsführer behandeln Lieferantenrisiken immer noch wie Einkaufsthemen, Vertragsfragen oder ein technisches Detail für den Admin. Das ist ein Fehler. Wer Cloud-Dienste nutzt, externe IT-Dienstleister einbindet, Software hosten lässt oder Support an Partner auslagert, gibt Dritten Zugang zu Daten, Prozessen und kritischen Abhängigkeiten. Genau dort beginnt das eigentliche Risiko.
Als ISO 27001-zertifizierter IT-Sicherheitsberater sehe ich in deutschen KMU immer wieder dasselbe Muster. Die interne IT wird geprüft, dokumentiert und verbessert. Externe Partner laufen nebenher. Genau diese Lücke wird unter NIS-2 teuer. Third Party Risk Management ist deshalb kein Zusatzmodul für später, sondern ein Überlebensinstrument für Unternehmen, die digital arbeiten und auditfest bleiben wollen.
Warum Drittanbieter-Risiken jetzt Chefsache sind
Drittanbieter-Risiken haben die Chefetage erreicht, weil sie direkt auf Haftung, Betriebsfähigkeit und Compliance durchschlagen. Wenn ein externer Dienstleister ausfällt, falsch konfiguriert oder ein Sicherheitsvorfall bei ihm Ihre Daten betrifft, diskutieren Sie nicht mehr über IT-Details. Sie diskutieren über Meldepflichten, Betriebsunterbrechung, Kundenvertrauen und Verantwortung.
Das betrifft nicht nur grosse Konzerne. Gerade KMU sind stark von externen Spezialisten, Cloud-Plattformen, Softwareanbietern und Managed Services abhängig. Diese Abhängigkeit ist wirtschaftlich sinnvoll. Ohne klare Steuerung wird sie sicherheitskritisch.
Warum die Geschäftsführung nicht delegieren darf
Die klassische Sichtweise lautet: Der Dienstleister ist doch spezialisiert, also wird er seine Sicherheit im Griff haben. Diese Annahme ist bequem, aber sie entlastet Sie rechtlich nicht. Wer Leistungen einkauft, kauft immer auch Risiko ein.
Externe Partner reduzieren internen Aufwand. Sie reduzieren nicht Ihre Verantwortung.
NIS-2 verschärft genau diesen Punkt. Lieferkettensicherheit gehört nicht in die Schublade „machen wir später“. Sie gehört auf die Agenda von Geschäftsführung, IT-Leitung und Compliance-Verantwortlichen. Wer jetzt noch nur auf Einzelfragen beim Onboarding setzt, steuert kein Risiko. Er dokumentiert bestenfalls Hoffnung.
Was Unternehmen sofort ändern sollten
Drei Entscheidungen gehören auf Management-Ebene:
- Verantwortung festlegen. Ein Name, eine Rolle, ein Entscheidungsweg. Ohne klare Zuständigkeit bleibt TPRM Stückwerk.
- Kritische Drittparteien sichtbar machen. Nicht jeder Lieferant ist gleich relevant. Cloud-Hoster, externe Administratoren, ERP-Partner und Support-Dienstleister brauchen eine andere Tiefe als ein Standardlieferant ohne Systemzugriff.
- Betrieb und Sicherheit zusammen denken. Wer Verfügbarkeit auslagert, muss Sicherheits- und Eskalationsprozesse mitdenken. Ein guter Einstieg ist ein strukturierter Blick auf Managed Security Services, weil dort Betrieb, Überwachung und Verantwortlichkeiten zusammenlaufen.
Third Party Risk Management ist deshalb Chefsache, weil der Schaden nicht in der Firewall endet. Er landet in der Bilanz, im Audit und im Posteingang der Aufsicht.
Was ist Third Party Risk Management eigentlich
Third Party Risk Management bedeutet nicht einfach „Lieferanten verwalten“. Es bedeutet, Risiken aus externen Beziehungen systematisch erkennen, bewerten, steuern und überwachen. Der Unterschied ist entscheidend.
Wenn Sie einem Handwerker die Schlüssel für Ihr Gebäude geben, prüfen Sie nicht nur, ob er pünktlich ist. Sie wollen wissen, wohin er Zugang hat, was er dort tun darf und wie Sie den Zugang wieder entziehen. Bei digitalen Dienstleistern gilt exakt dieselbe Logik. Nur dass es nicht um einen Gebäudeschlüssel geht, sondern um Administratorrechte, Kundendaten, Schnittstellen, Backups, Cloud-Ressourcen oder Fernwartung.
Wer überhaupt als Drittpartei zählt
Viele KMU denken bei TPRM nur an grosse Cloud-Anbieter. Das ist zu eng. Drittparteien sind alle externen Stellen, die auf Systeme, Daten oder kritische Abläufe Einfluss nehmen. Dazu gehören zum Beispiel:
- Cloud- und Hosting-Anbieter wie IONOS
- IT-Systemhäuser und externe Administratoren
- SaaS-Anbieter für ERP, CRM, DMS oder Kollaboration
- Dienstleister mit Fernzugriff auf Endgeräte, Server oder Netzwerke
- Support- und Wartungspartner
- Rechenzentren, Backup- und Recovery-Anbieter
- Berater oder Implementierungspartner mit Projektzugriff
Entscheidend ist nicht die Branche des Anbieters. Entscheidend ist sein Zugriff und seine Kritikalität für Ihren Betrieb.
Was TPRM von normalem Lieferantenmanagement unterscheidet
Normales Lieferantenmanagement fragt oft: Ist der Preis okay, ist die Leistung erbracht, stimmt die Rechnung?
Third Party Risk Management fragt zusätzlich:
| Frage | Lieferantenmanagement | Third Party Risk Management |
|---|---|---|
| Wirtschaftlichkeit | Ja | Ja |
| Vertragliche Leistung | Ja | Ja |
| Zugriff auf Daten und Systeme | Selten im Fokus | Zentral |
| Sicherheitsniveau des Partners | Oft nur oberflächlich | Pflichtbestandteil |
| Reaktionsfähigkeit bei Vorfällen | Meist unklar | Muss geregelt sein |
| Exit und Offboarding | Häufig vergessen | Muss geplant sein |
Wer nur den Einkauf steuert, steuert noch lange kein Drittparteirisiko.
Woran ein brauchbarer TPRM-Ansatz erkennbar ist
Ein wirksamer Ansatz ist nüchtern und wiederholbar. Er beantwortet vier praktische Fragen:
- Wer hat Zugriff auf was?
- Wie kritisch ist dieser Zugriff für Verfügbarkeit, Vertraulichkeit und Integrität?
- Welche Sicherheitsnachweise und Vertragsklauseln liegen vor?
- Wie wird die Beziehung laufend überwacht und notfalls beendet?
Wenn Ihr Unternehmen diese vier Fragen für die wichtigsten Partner nicht schnell beantworten kann, haben Sie kein belastbares Third Party Risk Management. Dann haben Sie eine Lieferantenliste.
Der rechtliche Rahmen für TPRM in Deutschland
NIS-2 verändert die Debatte grundlegend. Third Party Risk Management ist nicht mehr nur Best Practice. Es wird zur rechtlich relevanten Steuerungsaufgabe. Für viele deutsche Unternehmen ist besonders wichtig, dass Lieferkettensicherheit ausdrücklich zu den zentralen Risikomanagementmassnahmen gehört. Secjur fasst das klar zusammen: Im Rahmen der NIS-2-Richtlinie ist die Lieferkettensicherheit eine der zehn zentralen Risikomanagementmassnahmen. Bei Nichtumsetzung droht für besonders wichtige Einrichtungen ein Bußgeld von bis zu 10 Millionen Euro oder 2 % des weltweiten Jahresumsatzes laut Einordnung der NIS-2-Anforderungen durch Secjur.
Das ist der Punkt, an dem Geschäftsführung nicht mehr fragen sollte, ob TPRM relevant ist. Die richtige Frage lautet: Wie dokumentieren und betreiben wir es prüfbar?
Was NIS-2 unternehmerisch konkret bedeutet
Juristische Formulierungen wirken oft abstrakt. Für KMU-Führungskräfte lassen sie sich auf klare Pflichten herunterbrechen:
- Drittparteien identifizieren. Sie müssen wissen, welche externen Partner kritische Leistungen erbringen oder auf sensible Informationen zugreifen.
- Risiken bewerten. Nicht pauschal, sondern risikobasiert nach Kritikalität des Dienstes, Datenzugriff und möglicher Auswirkung.
- Massnahmen ableiten. Dazu gehören technische, organisatorische und vertragliche Schutzmechanismen.
- Vorfälle beherrschbar machen. Ein Problem beim Dienstleister darf nicht in blinder Abhängigkeit enden.
- Nachweise führen. Im Audit zählt nicht, was gemeint war. Es zählt, was dokumentiert, beschlossen und umgesetzt wurde.
Warum ISO 27001 hilft, aber allein nicht reicht
ISO 27001 ist in Deutschland ein starkes Fundament für saubere Sicherheitsprozesse. Sie zwingt Unternehmen zu Struktur, Verantwortlichkeiten, Risikoanalysen und Kontrollen. Das passt sehr gut zu TPRM. Es ersetzt aber nicht automatisch die gesetzlichen Anforderungen aus NIS-2.
Wer mit Cloud-Leistungen arbeitet, sollte deshalb nicht nur den Sicherheitsstandard des Partners prüfen, sondern auch die vertragliche und operative Ausgestaltung. Gerade bei Beschaffung und Leistungsabgrenzung lohnt ein Blick auf EVB-IT Cloud in der Praxis, weil dort klar wird, wie wichtig belastbare Regelungen zu Leistung, Sicherheit und Verantwortlichkeit sind.
Datenschutz und Lieferkette gehören zusammen
Viele Unternehmen trennen Datenschutz und Third Party Risk Management künstlich voneinander. Das ist unpraktisch. Sobald ein externer Partner personenbezogene Daten verarbeitet oder Zugriff auf verarbeitende Systeme hat, greifen Sicherheits- und Datenschutzpflichten gleichzeitig. Für eine kompakte rechtliche Einordnung ist der Leitfaden zu Informationen zum Datenschutz hilfreich, weil er die Verbindung zwischen Datenverarbeitung und organisatorischer Verantwortung verständlich macht.
Ein Vertrag ohne klare Sicherheits- und Datenschutzpflichten ist kein Schutzschild. Er ist oft nur Papier mit falscher Beruhigungswirkung.
Der TPRM Lebenszyklus in der Praxis
Ein funktionierendes Third Party Risk Management ist kein Formular, das einmal ausgefüllt wird. Es ist ein Lebenszyklus. Wer nur vor Vertragsabschluss prüft und danach nichts mehr tut, betreibt Scheinsicherheit.
Gerade beim Monitoring liegt die grösste Schwäche vieler Unternehmen. 68 % der deutschen Unternehmen bewerten ihre Third-Party-Risiken nur jährlich oder seltener. OMR weist darauf hin, dass das im Widerspruch zur NIS-2-Empfehlung für kontinuierliches Monitoring steht in seinem Beitrag zu Third-Party-Risk-Management im deutschen Kontext.
Phase eins und zwei mit sauberer Vorarbeit
Am Anfang steht Inventur, nicht Technikromantik. Erstellen Sie eine vollständige Liste aller Drittparteien mit Bezug auf IT, Daten oder kritische Geschäftsprozesse. Danach folgt die Klassifizierung. Nicht jeder Partner braucht dieselbe Prüftiefe.
Praktisch funktioniert das meist mit drei Fragen:
- Hat der Partner Zugriff auf sensible Daten?
- Kann ein Ausfall des Partners Ihren Betrieb erheblich stören?
- Erhält der Partner privilegierte oder technische Zugänge?
Wenn eine dieser Fragen mit Ja beantwortet wird, gehört der Anbieter mindestens in eine vertiefte Bewertung.
Due Diligence heisst Nachweise statt Selbstauskunft
Viele KMU schicken einen Fragebogen und haken das Thema dann ab. Das reicht nicht. Ein Fragebogen ist nur der Einstieg. Entscheidend ist, ob die Antworten durch Dokumente, Prozesse oder vertragliche Zusagen abgesichert werden.
Prüfen Sie bei kritischen Partnern zum Beispiel:
- Sicherheitsdokumentation wie Richtlinien, Auditberichte oder Zertifizierungsnachweise
- Betriebsprozesse für Incident Response, Backup, Berechtigungen und Änderungsmanagement
- Verantwortlichkeiten auf Anbieter- und Kundenseite
- Subunternehmer-Einsatz, sofern relevant für Ihre Leistung
Prüfen Sie nicht, ob ein Anbieter professionell klingt. Prüfen Sie, ob er belastbar belegen kann, was er behauptet.
Verträge entscheiden im Ernstfall
Sicherheit scheitert oft nicht an der Technik, sondern an fehlenden Klauseln. Wenn Meldewege, Reaktionszeiten, Haftung, Prüfpflichten, Datenrückgabe und Unterstützungsleistungen im Vorfall nicht geregelt sind, wird aus einem technischen Problem ein organisatorisches Chaos.
Gerade Service Levels gehören nicht in juristische Fussnoten. Sie müssen zu Ihrem Risiko passen. Wer tiefer in die operative Bedeutung solcher Regelungen einsteigen will, sollte sich mit Service Level Agreements im IT-Betrieb beschäftigen. Dort zeigt sich schnell, warum Verfügbarkeit, Reaktionszeit und Eskalation zwingend zusammen gedacht werden müssen.
Monitoring und Exit sind die Reifeprüfung
Nach dem Onboarding beginnt die eigentliche Arbeit. Risiken verändern sich laufend. Der Anbieter wechselt Personal, baut seine Plattform um, schaltet Subdienstleister dazu oder verändert seine Sicherheitsarchitektur. Genau deshalb ist kontinuierliches Monitoring notwendig.
Ein praxistauglicher Ansatz für KMU sieht so aus:
- Feste Review-Termine für alle kritischen Partner
- Anlassbezogene Neubewertung bei Vorfällen, Vertragsänderungen oder erweitertem Zugriff
- Dokumentierte Eskalation bei Abweichungen
- Exit-Plan mit Datenrückgabe, Zugangsabschaltung und Verantwortlichkeiten
Viele Unternehmen denken beim Exit erst nach Kündigung darüber nach. Dann ist es zu spät. Offboarding muss vor Vertragsabschluss geplant sein. Sonst bleiben Daten liegen, Zugänge aktiv oder Betriebswissen beim falschen Partner.
Praktische Umsetzung für KMU Schritt für Schritt
Die meisten KMU brauchen keinen überkomplexen TPRM-Apparat. Sie brauchen einen belastbaren, einfachen und prüfbaren Prozess. Das BSI ordnet die technische Umsetzung der NIS-2-Compliance an anerkannten Standards wie ISO 27001:2022 aus. Zudem müssen betroffene Unternehmen eine umfassende Risikoanalyse durchführen und sich beim BSI registrieren, wie in den NIS-2-Risikomanagementmassnahmen des BSI beschrieben wird.
Das klingt gross. In der Praxis lässt es sich auf vier disziplinierte Schritte herunterbrechen.
Schritt eins mit einer ehrlichen Bestandsaufnahme
Drucken Sie Ihre Lieferantenliste aus und streichen Sie alles an, was IT, Daten oder Betriebsprozesse betrifft. Dann ergänzen Sie, was oft fehlt: externe Admins, Cloud-Plattformen, Fernwartungsanbieter, Backup-Dienstleister, SaaS-Tools, Druckdienstleister mit Zugriff auf Systeme, ausgelagerte Support-Prozesse.
Am Ende brauchen Sie keine perfekte Taxonomie. Sie brauchen Transparenz.
Schritt zwei mit einfacher Risikoklasse
Teilen Sie alle relevanten Drittparteien in hoch, mittel und niedrig ein. Die Einstufung erfolgt nicht nach Bauchgefühl, sondern nach Zugriff und Kritikalität.
Eine einfache Arbeitslogik:
| Risikostufe | Typisches Merkmal | Sofortmassnahme |
|---|---|---|
| Hoch | Zugriff auf sensible Daten oder kritische Systeme | Vertiefte Prüfung, enges Monitoring, klare Eskalation |
| Mittel | Relevanter Betriebsbezug, aber begrenzter Zugriff | Standardprüfung, definierte Review-Zyklen |
| Niedrig | Kaum oder kein IT- und Datenbezug | Basisdokumentation, vereinfachte Kontrolle |
Schritt drei mit Standards statt Einzelaktionen
Jetzt standardisieren Sie. Nicht jeder Anbieter bekommt ein improvisiertes Prüfgespräch. Legen Sie ein kleines Set verbindlicher Elemente fest:
- Ein Kurzfragebogen für alle relevanten Drittparteien
- Ein Prüfpfad für kritische Anbieter
- Ein Vertragsanhang mit Sicherheitsanforderungen
- Ein Review-Protokoll für wiederkehrende Bewertungen
Dieser Schritt spart später enorm viel Reibung. Vor allem sorgt er dafür, dass Auditfähigkeit nicht vom Gedächtnis einzelner Mitarbeitender abhängt.
Schritt vier mit klarer Betriebsverantwortung
TPRM scheitert oft an der Frage, wer den Prozess führt. Einkauf sieht nur den Vertrag. IT sieht nur die Technik. Datenschutz sieht nur personenbezogene Daten. Die Geschäftsführung geht davon aus, dass sich schon jemand kümmert.
Legen Sie deshalb verbindlich fest:
- Wer bewertet neue Drittparteien
- Wer genehmigt Hochrisiko-Beziehungen
- Wer überwacht Fristen und Nachweise
- Wer den BSI- und NIS-2-Bezug in der Dokumentation sicherstellt
Ein einfaches, eingehaltenes Verfahren ist besser als ein grosses Regelwerk, das niemand lebt.
Häufige Fallstricke und wie Sie sie vermeiden
Der teuerste Fehler ist die Einmalprüfung. Viele Unternehmen prüfen einen Anbieter vor Vertragsbeginn gründlich und fassen ihn danach kaum noch an. Das ist bequem, aber riskant. Sicherheitslage, Personal, Infrastruktur und Subdienstleister ändern sich. Wenn Ihre Kontrolle am ersten Vertragstag endet, entsteht ein blinder Fleck.
Der zweite Fallstrick ist juristische Unschärfe. Es gibt Verträge, die Leistung beschreiben, aber Sicherheitsverantwortung offenlassen. Dann fehlt im Vorfall genau das, was gebraucht wird: Meldepflicht, Reaktionszeit, Mitwirkung, Nachweis, Datentrennung, Offboarding.
Das unterschätzte Konzentrationsrisiko
Der dritte Fehler ist besonders tückisch. Unternehmen glauben, sie seien sicher, weil sie einen grossen und bekannten Cloud-Anbieter gewählt haben. Genau darin kann das Problem liegen. Laut einer BSI-Studie sind 42 % der deutschen Cloud-Nutzer von nur einem einzigen Anbieter abhängig. Das wird als kritisches Vulnerabilitätsrisiko für die NIS-2-Compliance beschrieben in der Auswertung zum Abhängigkeitsrisiko bei Cloud-Nutzung.
Ein vertrauenswürdiger Anbieter ist noch keine Risikostrategie. Wenn Betrieb, Backup, Identität, Kommunikation und Geschäftsanwendungen an einem einzigen Provider hängen, haben Sie keinen Ausweichraum mehr. Dann genügt nicht einmal ein Sicherheitsvorfall. Schon ein längerer Ausfall, ein Vertragskonflikt oder eine Compliance-Abweichung kann kritisch werden.
Drei Gegenmassnahmen, die funktionieren
- Second Source mitdenken. Nicht für alles parallel, aber zumindest für die kritischsten Funktionen.
- Exit-Pläne schriftlich festhalten. Datenexport, Verantwortlichkeiten, Übergangsfristen und Zugangsabschaltung müssen vorab geklärt sein.
- Abhängigkeiten sichtbar machen. Prüfen Sie nicht nur den Hauptanbieter, sondern auch dessen Rolle im gesamten Betriebsmodell.
Wer nur den stärksten Anbieter auswählt, aber keinen Plan B hat, verwechselt Vertrauen mit Resilienz.
Fazit TPRM als strategischer Wettbewerbsvorteil
Third Party Risk Management ist kein Bürokratieprojekt. Es ist ein Steuerungsinstrument für Unternehmen, die digital arbeiten und dabei belastbar bleiben wollen. Wer seine Drittparteien sauber inventarisiert, risikobasiert bewertet, vertraglich sauber einbindet und laufend überwacht, reduziert nicht nur Angriffsflächen. Er verbessert auch Reaktionsfähigkeit, Auditfähigkeit und Verlässlichkeit im Tagesgeschäft.
Das wird unter NIS-2 zum klaren Unterschied zwischen Unternehmen, die vorbereitet sind, und Unternehmen, die im Vorfall improvisieren. Kunden, Partner, Prüfer und Aufsichtsstellen erkennen schnell, ob Lieferkettenrisiken professionell geführt werden oder ob nur einzelne Dokumente existieren.
Meine klare Empfehlung lautet deshalb: Warten Sie nicht auf das nächste Audit und nicht auf den ersten Vorfall beim Dienstleister. Bauen Sie jetzt einen einfachen, verbindlichen TPRM-Prozess auf. Nicht maximal komplex. Aber vollständig, dokumentiert und wiederholbar.
Wer Third Party Risk Management ernst nimmt, schützt nicht nur Daten. Er schützt Handlungsfähigkeit. Und genau das wird in den nächsten Jahren zum echten Wettbewerbsvorteil.
Wenn Sie Ihr Third Party Risk Management praxisnah an NIS-2 und ISO 27001 ausrichten wollen, unterstützt Sie Deeken.Technology GmbH mit technischer, organisatorischer und compliance-orientierter Beratung für deutsche KMU. Der sinnvolle erste Schritt ist ein strukturierter Blick auf Ihre kritischen Drittparteien, Ihre vertraglichen Lücken und Ihre operativen Abhängigkeiten.
