IT-Compliance bei Drittanbietern gehört zu den am meisten unterschätzten Feldern der Unternehmens-IT, weil die eigentlichen Kontrollen nicht mehr im eigenen Haus stattfinden, sondern bei Cloud-Anbietern, Managed-Service-Providern, Softwarelieferanten und deren Subunternehmern. Viele mittelständische Unternehmen haben ihre internen Compliance-Prozesse in den vergangenen Jahren spürbar professionalisiert, während die Steuerung externer IT-Dienstleister häufig noch auf Vertrauen statt auf belastbaren Kontrollmechanismen basiert. Das ist riskant, denn Aufsichtsbehörden, Kunden und Versicherer fragen zunehmend gezielt nach, wie ein Unternehmen die Compliance seiner IT-Lieferkette nachweist. Ein Datenschutzverstoß beim Cloud-Anbieter, eine Sicherheitslücke beim Wartungsdienstleister oder eine unklare Subunternehmerkette bei einem Softwarehaus wirkt sich rechtlich und wirtschaftlich unmittelbar auf das beauftragende Unternehmen aus. Dieser Beitrag zeigt, welcher regulatorische Rahmen greift, wie ein belastbares Third-Party-Compliance-Programm aufgebaut wird und an welchen Stellen in der Praxis besonders häufig Lücken entstehen.
Hinweis: Dieser Beitrag gibt ausschließlich die redaktionellen Ansichten der Redaktion von cyberschutzbetrieb.de wieder. Er stellt keine Rechtsberatung dar und ersetzt nicht die Beratung durch eine qualifizierte Rechtsanwältin oder einen qualifizierten Rechtsanwalt. Für rechtlich verbindliche Auskünfte zu Ihrem konkreten Fall wenden Sie sich bitte an einen zugelassenen Rechtsbeistand.
Titelbild: Foto von Dylan Gillis auf Unsplash.
Warum IT-Compliance bei Drittanbietern zum zentralen Risikofaktor wird
Die durchschnittliche IT-Landschaft eines mittelständischen Unternehmens besteht heute aus einer Vielzahl externer Bausteine: Cloud-Infrastruktur, SaaS-Anwendungen, IT-Support, Softwareentwicklung, Datenverarbeitung im Auftrag und zunehmend auch KI-gestützte Dienste. Jeder dieser Bausteine bringt eigene Subunternehmer, eigene Rechenzentren und eigene Sicherheitsniveaus mit. IT-Compliance bei Drittanbietern bedeutet deshalb nicht nur, den direkten Vertragspartner zu prüfen, sondern die gesamte Kette bis zum tatsächlichen Ort der Datenverarbeitung nachzuvollziehen. Bleibt diese Kette intransparent, verliert das beauftragende Unternehmen die Kontrolle über zentrale Risikofaktoren wie Datenstandort, Zugriffsrechte und Notfallfähigkeit, haftet aber im Ernstfall trotzdem gegenüber Kunden, Aufsichtsbehörden und Vertragspartnern.
Verschärfend kommt hinzu, dass Angreifer diese Struktur gezielt ausnutzen. Statt ein gut gesichertes Zielunternehmen direkt anzugreifen, suchen sie sich den schwächsten Dienstleister in der Kette. Ein kompromittiertes Wartungstool, ein gestohlener Zugang bei einem IT-Systemhaus oder eine unsichere Schnittstelle eines Softwarepartners reicht häufig aus, um in mehrere Kundenumgebungen gleichzeitig einzudringen. Diese Angriffsform, in der Fachliteratur als Lieferketten- oder Supply-Chain-Angriff bezeichnet, hat in den vergangenen Jahren spürbar zugenommen und ist ein zentraler Treiber der regulatorischen Verschärfungen.
Rechtlicher und normativer Rahmen für die Dienstleister-Compliance
Mehrere Regelwerke verpflichten Unternehmen mittlerweile explizit dazu, die IT-Compliance ihrer Drittanbieter aktiv zu steuern statt sie nur vertraglich vorauszusetzen.
DSGVO Art. 28 und die Auftragsverarbeitung
Setzt ein Unternehmen einen IT-Dienstleister ein, der personenbezogene Daten verarbeitet, greift Art. 28 der Datenschutz-Grundverordnung. Der Auftraggeber bleibt datenschutzrechtlich verantwortlich und muss nachweisen können, dass er den Auftragsverarbeiter sorgfältig ausgewählt und mit einem rechtskonformen Auftragsverarbeitungsvertrag (AVV) gebunden hat. Der vollständige Verordnungstext ist über EUR-Lex öffentlich einsehbar und bildet die rechtliche Grundlage für alle vertraglichen Anforderungen an Auftragsverarbeiter.
ISO 27001 und die Lieferantenbeziehungen
Die Norm ISO 27001 widmet dem Thema Lieferantenbeziehungen einen eigenen Kontrollbereich. Zertifizierte Unternehmen müssen dokumentieren, wie sie Informationssicherheitsanforderungen an Lieferanten stellen, überwachen und bei Änderungen anpassen. Für Unternehmen, die selbst nicht zertifiziert sind, dient die Norm häufig als informelles Referenzmodell für die eigene Dienstleistersteuerung.
NIS2 und die Lieferkettensicherheit
Für Unternehmen im Anwendungsbereich der NIS2-Richtlinie ist die Absicherung der Lieferkette explizit Teil der gesetzlichen Mindestmaßnahmen. Betroffene Unternehmen müssen Risiken bei Zulieferern und Diensteanbietern systematisch bewerten und in ihr Risikomanagement integrieren, nicht nur punktuell prüfen.
Branchenspezifische Anforderungen
In regulierten Branchen kommen weitere Vorgaben hinzu, etwa DORA für den Finanzsektor mit sehr detaillierten Anforderungen an das IKT-Drittparteirisikomanagement, oder branchenspezifische Sicherheitsstandards wie B3S im Gesundheitswesen. Auch wenn ein Unternehmen selbst nicht direkt reguliert ist, wirken diese Anforderungen indirekt, sobald es als Zulieferer eines regulierten Unternehmens auftritt.
Der Lebenszyklus des Drittanbieter-Risikomanagements
Ein tragfähiges Programm für IT-Compliance bei Drittanbietern folgt idealerweise einem durchgängigen Lebenszyklus, der weit vor der Vertragsunterschrift beginnt und mit der Beendigung der Zusammenarbeit nicht endet.
Due-Diligence vor Vertragsschluss
Vor der Auswahl eines neuen IT-Dienstleisters sollte eine strukturierte Sicherheits- und Compliance-Prüfung stehen. Dazu gehören die Sichtung vorhandener Zertifikate (etwa ISO 27001 oder SOC 2), eine Bewertung des Datenstandorts, die Klärung der Subunternehmerkette sowie ein Fragebogen zu technischen und organisatorischen Maßnahmen. Kritische Dienstleister, etwa solche mit Zugriff auf sensible Kundendaten oder produktionskritische Systeme, sollten einer vertieften Prüfung unterzogen werden, während für unkritische Standarddienste ein schlankeres Verfahren ausreicht.
Vertragliche Absicherung
Der Vertrag ist das zentrale Steuerungsinstrument. Neben dem Auftragsverarbeitungsvertrag gehören dazu klar definierte Service-Level-Agreements, Meldepflichten bei Sicherheitsvorfällen, Auditrechte des Auftraggebers sowie Regelungen zum Umgang mit Subunternehmern. In der Praxis empfiehlt es sich, Meldefristen für Sicherheitsvorfälle konkret in Stunden statt in unbestimmten Formulierungen wie „unverzüglich“ festzulegen, da nur so eine belastbare eigene Reaktionsfrist kalkuliert werden kann.
Laufendes Monitoring und Reassessment
Die Prüfung endet nicht mit der Vertragsunterschrift. Zertifikate laufen aus, Subunternehmer wechseln, Sicherheitsvorfälle bei Dienstleistern werden bekannt. Ein risikobasiertes Reassessment, etwa jährlich für kritische Dienstleister und alle zwei bis drei Jahre für weniger kritische, hält die Bewertung aktuell. Viele Unternehmen ergänzen dies um automatisierte Signale wie Sicherheitswarnungen, Ratingdienste oder Presseauswertungen zu bekannten Vorfällen bei ihren Dienstleistern.
„Die größte Schwachstelle in der Dienstleisterkette ist selten der Vertrag selbst, sondern das Fehlen einer verantwortlichen Stelle, die den Vertrag über die Laufzeit hinweg aktiv nachhält.“ (anonymisierte Einschätzung eines IT-Compliance-Verantwortlichen aus einem mittelständischen Industrieunternehmen)
Kritikalitätsstufen als Steuerungsinstrument
Nicht jeder Dienstleister erfordert denselben Prüfaufwand. Eine bewährte Praxis ist die Einteilung aller IT-Dienstleister in Kritikalitätsstufen, die den Umfang der Prüfung und die Häufigkeit des Reassessments bestimmen.
| Kritikalitätsstufe | Typisches Beispiel | Prüftiefe | Reassessment-Zyklus |
|---|---|---|---|
| Kritisch | Cloud-Infrastruktur mit Kundendaten | Vollprüfung inkl. Vor-Ort-Audit oder Zertifikatsprüfung | Jährlich |
| Hoch | Managed-Service-Provider mit Systemzugriff | Fragebogen plus Zertifikatsprüfung | Alle 12 bis 18 Monate |
| Mittel | Fachsoftware ohne personenbezogene Daten | Standardfragebogen | Alle 2 Jahre |
| Niedrig | Reine Hardwarelieferanten ohne Netzwerkzugang | Vertragliche Grundprüfung | Bei Vertragsverlängerung |
Rollen und Verantwortlichkeiten im Third-Party-Compliance-Programm
Ein häufig übersehener Erfolgsfaktor für IT-Compliance bei Drittanbietern ist die klare Zuordnung von Verantwortlichkeiten. In vielen mittelständischen Unternehmen ist unklar, wer eigentlich für die Prüfung und laufende Überwachung eines Dienstleisters zuständig ist: die IT-Abteilung, der Einkauf, die Rechtsabteilung oder die jeweilige Fachabteilung, die den Dienstleister ursprünglich beauftragt hat. Fehlt eine eindeutige Zuordnung, bleibt die Dienstleisterprüfung in der Praxis regelmäßig liegen, weil sich niemand konkret zuständig fühlt. Bewährt hat sich ein Modell mit drei klar getrennten Rollen: Der Fachbereich, der den Dienstleister operativ nutzt und dessen Leistung inhaltlich beurteilen kann; die IT- oder Informationssicherheitsabteilung, die die technische Prüfung und Risikoeinstufung übernimmt; und eine zentrale Compliance- oder Einkaufsfunktion, die den Gesamtüberblick über alle Dienstleister behält und die Wiedervorlagen steuert. Diese drei Rollen sollten nicht nur benannt, sondern auch in einer verbindlichen internen Richtlinie mit klaren Eskalationswegen dokumentiert werden, damit im Tagesgeschäft nicht bei jedem Einzelfall neu geklärt werden muss, wer handelt.
Gerade bei international tätigen Konzernstrukturen oder Unternehmen mit mehreren Standorten kommt eine weitere Herausforderung hinzu: Häufig beauftragen einzelne Standorte oder Tochtergesellschaften eigenständig IT-Dienstleister, ohne die zentrale Compliance-Funktion einzubeziehen. Ein zentrales, aber standortübergreifend gepflegtes Dienstleisterregister verhindert, dass sich redundante oder widersprüchliche Vertragsbeziehungen zum selben Anbieter mit unterschiedlichen Konditionen und Sicherheitsauflagen entwickeln.
Exit-Management als unterschätzter Baustein
Während Auswahl und laufende Überwachung von Dienstleistern in vielen Unternehmen inzwischen zumindest ansatzweise geregelt sind, fehlt häufig ein durchdachtes Exit-Management. Endet die Zusammenarbeit mit einem IT-Dienstleister, etwa durch Vertragsende, Anbieterwechsel oder Insolvenz des Dienstleisters, müssen Daten vollständig und nachweisbar zurückgegeben oder gelöscht, Zugänge deaktiviert und Übergangsprozesse zu einem Nachfolgeanbieter geregelt werden. Fehlt eine vertragliche Exit-Klausel, kann sich die Datenrückgabe erheblich verzögern oder im Streitfall sogar rechtlich erzwungen werden müssen. Besonders kritisch wird es, wenn ein insolventer Dienstleister nicht mehr in der Lage ist, vertraglich zugesicherte Rückgabe- oder Löschpflichten aktiv umzusetzen. Für kritische Dienstleister empfiehlt sich deshalb, bereits beim Vertragsschluss ein Exit-Konzept mit klaren Fristen, Datenformaten und Ansprechpartnern festzulegen, statt dieses erst bei der tatsächlichen Beendigung der Zusammenarbeit zu entwickeln.
Umgang mit Sicherheitsvorfällen bei Dienstleistern
Auch das beste Third-Party-Compliance-Programm verhindert nicht jeden Sicherheitsvorfall bei einem Dienstleister, entscheidend ist deshalb die Reaktionsfähigkeit im Ernstfall. Vertraglich vereinbarte Meldefristen nützen wenig, wenn im eigenen Unternehmen keine klare Eskalationskette existiert, die eingehende Vorfallmeldungen von Dienstleistern zeitnah bewertet und an die richtigen Stellen weiterleitet. Sinnvoll ist ein standardisierter Ablauf: Eingang der Meldung dokumentieren, Betroffenheit der eigenen Systeme und Daten innerhalb eines festen Zeitfensters bewerten, gegebenenfalls eigene Meldepflichten gegenüber Aufsichtsbehörden oder Kunden prüfen und den Vorfall nach Abschluss strukturiert nachbereiten. Unternehmen, die diesen Ablauf nie unter realistischen Bedingungen getestet haben, stellen im tatsächlichen Ernstfall häufig fest, dass die theoretisch vereinbarten Fristen in der Praxis kaum einzuhalten sind.
Typische Stolperfallen bei der Drittanbieter-Compliance
In der praktischen Umsetzung von IT-Compliance bei Drittanbietern treten immer wieder dieselben Fehler auf. Erstens werden Zertifikate zum Vertragsbeginn geprüft, aber nie wieder aktualisiert, sodass ein Unternehmen jahrelang mit einem abgelaufenen Nachweis arbeitet. Zweitens bleibt die Subunternehmerkette unklar, weil Verträge Unterbeauftragung erlauben, ohne dass der Auftraggeber informiert werden muss. Drittens fehlt häufig eine zentrale Übersicht aller IT-Dienstleister im Unternehmen, sodass Fachabteilungen eigenständig SaaS-Tools beauftragen, ohne die IT- oder Compliance-Abteilung einzubeziehen (sogenannte Schatten-IT). Viertens werden Meldepflichten bei Sicherheitsvorfällen vertraglich zwar vereinbart, aber nie getestet, sodass im Ernstfall unklar ist, wer wen wie schnell informiert.
Ressourcenplanung: Was ein Third-Party-Compliance-Programm im Mittelstand realistisch kostet
Viele mittelständische Unternehmen scheuen den Aufbau eines strukturierten Programms für IT-Compliance bei Drittanbietern, weil sie den Aufwand überschätzen. In der Praxis lässt sich der initiale Aufbau in überschaubaren Schritten realisieren, wenn zunächst nur die kritischen Dienstleister vollständig erfasst und geprüft werden, während unkritische Dienstleister zunächst nur inventarisiert und erst nach und nach vertieft geprüft werden. Der laufende Betrieb erfordert danach in der Regel keine zusätzliche Vollzeitstelle, sondern lässt sich als klar abgegrenzter Aufgabenbereich innerhalb bestehender Compliance-, Einkaufs- oder IT-Sicherheitsfunktionen integrieren, sofern die Prozesse und Wiedervorlagen ausreichend standardisiert sind. Größere Unternehmen mit einer entsprechend hohen Anzahl kritischer Dienstleister setzen häufig auf spezialisierte Third-Party-Risk-Management-Software, die Fragebögen, Zertifikatsprüfungen und Wiedervorlagen automatisiert verwaltet. Für kleinere Mittelständler mit einer überschaubaren Anzahl von zehn bis zwanzig relevanten Dienstleistern reicht in vielen Fällen zunächst eine strukturierte Tabellenlösung mit klaren Verantwortlichkeiten und festen Terminwiedervorlagen aus, bevor in spezialisierte Software investiert wird.
Schritt-für-Schritt: Aufbau eines Third-Party-Compliance-Programms
- Inventarisierung: Vollständige Liste aller IT-Dienstleister erstellen, inklusive Art der Datenverarbeitung und Systemzugriff.
- Klassifizierung: Jeden Dienstleister einer Kritikalitätsstufe zuordnen (siehe Tabelle oben).
- Prüfprozess definieren: Für jede Stufe einen standardisierten Prüfprozess mit klaren Verantwortlichkeiten festlegen.
- Vertragsklauseln standardisieren: Musterklauseln für AVV, Auditrechte und Meldepflichten erarbeiten und in neue Verträge übernehmen.
- Bestandsverträge nachrüsten: Bestehende Verträge priorisiert nach Kritikalität überarbeiten, statt alle gleichzeitig anzugehen.
- Monitoring etablieren: Wiedervorlagen für Zertifikatsprüfungen und Reassessments in einem zentralen System hinterlegen.
- Notfallübung durchführen: Mindestens einmal jährlich testen, ob Meldewege bei einem Sicherheitsvorfall bei einem Dienstleister tatsächlich funktioniert.
Zusammenspiel mit dem internen Risikomanagement
Ein Third-Party-Compliance-Programm entfaltet seine volle Wirkung erst, wenn es nicht isoliert neben dem übrigen Risikomanagement des Unternehmens steht, sondern systematisch mit ihm verzahnt ist. Die Risikoeinstufung eines Dienstleisters sollte in dasselbe Bewertungsschema einfließen, mit dem auch andere operative Risiken erfasst werden, damit Geschäftsführung und Aufsichtsgremien ein konsistentes Gesamtbild erhalten statt isolierter Einzelbetrachtungen. In Unternehmen mit einem etablierten internen Kontrollsystem lässt sich die Dienstleisterprüfung zudem als eigener Kontrollpunkt definieren, der im Rahmen der ohnehin stattfindenden internen Revision regelmäßig stichprobenartig geprüft wird. Diese Verzahnung erleichtert es auch, gegenüber externen Prüfern, Kunden oder Versicherern nachzuweisen, dass die Steuerung der IT-Lieferkette kein isoliertes Compliance-Feigenblatt ist, sondern integraler Bestandteil der Unternehmenssteuerung.
Checkliste für die praktische Umsetzung
- Zentrales Verzeichnis aller IT-Dienstleister mit Kritikalitätseinstufung vorhanden
- Auftragsverarbeitungsverträge für alle relevanten Dienstleister aktuell und vollständig
- Subunternehmerketten bekannt und dokumentiert
- Zertifikate (ISO 27001, SOC 2 oder vergleichbar) nicht älter als der vereinbarte Prüfzyklus
- Meldefristen für Sicherheitsvorfälle konkret in Stunden vertraglich fixiert
- Verantwortliche Person für das laufende Dienstleistermonitoring benannt
- Exit-Klauseln und Datenrückgabe- beziehungsweise Löschregelungen vertraglich geregelt
FAQ
Wie oft sollte die Compliance eines IT-Dienstleisters überprüft werden?
Für kritische Dienstleister mit Zugriff auf sensible Daten empfiehlt sich eine jährliche Prüfung, für weniger kritische Dienstleister reicht ein Zyklus von zwei bis drei Jahren, ergänzt um anlassbezogene Prüfungen bei bekannten Vorfällen.
Reicht ein ISO-27001-Zertifikat des Dienstleisters als Nachweis aus?
Ein gültiges Zertifikat ist ein starkes Indiz, ersetzt aber nicht die eigene vertragliche Absicherung und die Prüfung, ob der zertifizierte Geltungsbereich tatsächlich die beauftragte Leistung abdeckt.
Wer haftet, wenn ein Datenschutzvorfall beim Dienstleister passiert?
Datenschutzrechtlich bleibt in der Regel der Auftraggeber als verantwortliche Stelle in der Pflicht, kann sich aber vertraglich über Regressklauseln beim Dienstleister absichern.
Was gehört zwingend in einen Auftragsverarbeitungsvertrag?
Neben Gegenstand und Dauer der Verarbeitung gehören dazu technische und organisatorische Maßnahmen, Weisungsbindung, Regelungen zur Unterbeauftragung, Unterstützungspflichten sowie Lösch- und Rückgabepflichten nach Vertragsende.
Muss auch bei kleinen IT-Dienstleistern ein vollständiger Prüfprozess durchlaufen werden?
Nein, der Prüfaufwand sollte sich nach der Kritikalitätsstufe richten. Für unkritische Standarddienste genügt eine schlanke vertragliche Grundprüfung.
Welche Rolle spielt NIS2 für Unternehmen, die selbst nicht direkt betroffen sind?
Auch nicht direkt betroffene Unternehmen spüren die Auswirkungen indirekt, wenn sie als Zulieferer eines regulierten Unternehmens strengere Sicherheitsnachweise vorlegen müssen.
