Drittanbieter als wachsende Sicherheitslücke

Fast jede zweite Organisation hat in den vergangenen zwölf Monaten eine Datenschutzverletzung durch Dritte erlebt, so eine aktuelle Ponemon/Imprivata-Studie. Besonders problematisch ist dabei, dass viele Unternehmen den Zugriff externer Partner kaum kontrollieren. [...]

Die aktuelle Studie des Ponemon Institute in Zusammenarbeit mit Imprivata namens „The state of third-party access in cybersecurity“ beleuchtet die Risiken, die durch privilegierten Netzwerkzugriff Dritter bzw. sogenannte Drittanbieter entstehen. An der Untersuchung nahmen insgesamt 1.942 IT- und IT-Sicherheitsverantwortliche aus den USA, Großbritannien, Deutschland und Australien teil. Im Fokus stehen sowohl externe Partner – wie Lieferanten, Dienstleister und Auftragnehmer – als auch interne Nutzer mit privilegierten Rechten.

Drittparteien als Angriffsvektor

Insgesamt berichten 47 Prozent der Befragten von mindestens einem Sicherheitsvorfall im vergangenen Jahr, bei dem der Zugriff Dritter auf das Unternehmensnetzwerk eine Rolle spielte. In 34 Prozent dieser Fälle war übermäßiger Zugriff der Auslöser. Weitere 35 Prozent der Betroffenen konnten gar nicht mit Sicherheit sagen, ob zu weitreichende Zugriffsrechte ursächlich waren – ein deutliches Zeichen für mangelnde Transparenz und Kontrolle.

Im Vergleich zu 2022, als noch 70 Prozent der Sicherheitsverletzungen auf zu weit gefasste Zugriffsrechte zurückgeführt wurden, zeigt sich ein positiver Trend – doch das Problem bleibt bestehen. Besonders kritisch: 64 Prozent der Befragten rechnen damit, dass solche Vorfälle in den kommenden zwölf bis vierzehn Monaten zunehmen oder auf dem aktuellen Niveau bleiben werden.

Konkrete Folgen von Sicherheitsverletzungen

Die Konsequenzen von Sicherheitsvorfällen, die durch Drittzugriffe ausgelöst wurden, reichen weit: 53 Prozent berichten vom Verlust sensibler oder vertraulicher Informationen, 50 Prozent mussten regulatorische Strafen zahlen, und 49 Prozent trennten sich infolgedessen von den betroffenen Partnern. Weitere Konsequenzen umfassten Geschäftseinbußen, Kundenverluste und in 41 Prozent der Fälle rechtliche Auseinandersetzungen. Der durchschnittliche finanzielle Schaden pro Vorfall wird mit 88.000 US-Dollar beziffert.

Mehr als 20 Drittparteien mit Zugriff – häufig ohne Inventarisierung

Laut Studie haben Unternehmen im Durchschnitt 20 externe Anbieter mit Zugang zum Unternehmensnetzwerk. Ein Viertel der Befragten nennt sogar über 30 zugriffsberechtigte Partner. Doch nur die Hälfte verfügt über eine vollständige Liste dieser externen Zugriffe – was auf eine potenziell deutlich höhere reale Zahl schließen lässt. Gründe für das Fehlen einer solchen Übersicht sind unter anderem fehlende Ressourcen (45 Prozent), keine zentrale Verwaltung der Drittbeziehungen (37 Prozent), die Komplexität der Partnerbeziehungen (27 Prozent) sowie hohe Fluktuation bei Dienstleistern (22 Prozent). Diese Faktoren behindern ein effektives Identitäts- und Zugriffsmanagement (Identity and Access Management, IAM) erheblich.

Sicherheitsmaßnahmen: vorhanden, aber oft ineffektiv

Zwar nutzen 73 Prozent der befragten Organisationen eine Lösung für „Vendor Privileged Access Management“ (VPAM), doch nur 55 Prozent dieser Gruppe geben an, dass sie von der Effektivität dieser Lösung überzeugt sind. 58 Prozent verfügen über keine durchgehend angewendete Strategie zur Absicherung von Drittzugriffen; 13 Prozent geben sogar an, keinerlei formelle Strategie zu verfolgen.

Zudem verfügen nur 34 Prozent über Sicherheitslösungen, die sowohl Drittparteien als auch interne privilegierte Nutzer adressieren – ein deutlicher Hinweis auf mangelnde ganzheitliche Ansätze.

Interne Bedrohungen bleiben relevant

Auch privilegierte interne Nutzer stellen ein Risiko dar: 44 Prozent der Organisationen erlebten in den vergangenen zwölf Monaten Angriffe oder Sicherheitsverletzungen, bei denen interne Nutzer mit zu weitgehenden Rechten involviert waren. Im Gegensatz zu Drittparteien haben Unternehmen hierbei jedoch meist eine bessere Sicht auf die Aktivitäten – nur 11 Prozent wussten nicht, ob übermäßiger Zugriff die Ursache war. Dennoch fehlt es auch bei internen Nutzern oft an strategischer Steuerung: Nur die Hälfte der Unternehmen verfügt über ein vollständiges Inventar privilegierter Nutzer. Die häufigsten Hürden sind komplexe interne Systemlandschaften, fehlende Ressourcen und kein zentrales Zugriffsmanagement.

Knappe Ressourcen und organisatorische Hürden

Ein zentrales Problem beim Management privilegierter Zugriffe ist der hohe Zeit- und Personalaufwand: Im Durchschnitt investieren IT- und Sicherheitsteams 134 Stunden pro Woche in Analyse, Prüfung und Überwachung entsprechender Zugriffe. Die größten Hindernisse für eine effektive Risikoreduzierung sind laut Umfrage:

• Fehlende Governance (50 Prozent),
• Komplexität regulatorischer Anforderungen (48 Prozent),
• Mangelnde Ressourcen oder Budget (41 Prozent),
• Schwierigkeiten bei der Personalgewinnung und -qualifizierung (40 Prozent).

Die Verantwortlichkeit für das Drittzugriffsmanagement ist zudem uneinheitlich verteilt – je nach Unternehmen liegt sie bei IT, Compliance, interner Revision, HR, Fachabteilungen oder Risikomanagement. Diese Zersplitterung erschwert klare Zuständigkeiten und einheitliche Strategien.

Vertrauensvorschuss statt Kontrolle

Trotz der bekannten Risiken verzichten 55 Prozent der Organisationen darauf, vor Beginn einer Zusammenarbeit mit Drittanbietern deren Datenschutz- und Sicherheitspraktiken zu evaluieren. Die Hauptgründe dafür: Vertrauen in die Sicherheitskompetenz der Partner (62 Prozent) sowie fehlende interne Ressourcen zur Überprüfung (61 Prozent). Nur 45 Prozent führen eine Bewertung durch – meist in Form von Richtlinienprüfungen, vertraglicher Absicherung oder Audits.

Auch bei der laufenden Überwachung hapert es: 59 Prozent der Unternehmen kontrollieren den Zugriff ihrer Drittanbieter nicht. Der Anteil ist damit gegenüber 2022 (50 Prozent) gestiegen. Wiederum berufen sich viele auf mangelnde Ressourcen und Vertrauen in den Partner – Argumente, die laut Studie keine belastbare Sicherheitsstrategie darstellen.

KI und maschinelles Lernen: Potenzial vorhanden, aber wenig genutzt

Nur 40 Prozent der Unternehmen nutzen künstliche Intelligenz oder maschinelles Lernen zur Unterstützung beim Management privilegierter Zugriffe. Dabei sehen diejenigen, die solche Technologien einsetzen, klare Vorteile: effizientere Verwaltung (59 Prozent), weniger menschliche Fehler (51 Prozent) und Unterstützung des IT-Sicherheitsteams (50 Prozent). Der geringe Verbreitungsgrad dieser Technologien deutet darauf hin, dass ihr Potenzial zur Automatisierung und Risikominimierung noch nicht ausgeschöpft ist. Allerdings warnen die Autoren davor, KI als Allheilmittel zu betrachten – vielmehr müsse der Einsatz zielgerichtet und strategisch erfolgen.

Best Practices: Selten durchgängig umgesetzt

Laut Bericht setzen viele Organisationen einzelne Maßnahmen zur Risikoreduktion um, jedoch selten alle systematisch und flächendeckend. Zu den am häufigsten genannten Taktiken gehören:

• Netzwerksegmentierung (58 Prozent),
• Entfernung von Zugriffsrechten bei Bedarf (56 Prozent),
• Prüfung der Notwendigkeit des Zugriffs (56 Prozent),
• Schulung privilegierter Nutzer (45 Prozent),
• Einschränkung des Netzwerkzugriffs (44 Prozent).

Maßnahmen wie physische Zugangsbeschränkungen, moderne IAM-Techniken oder funktionsbasierte Zugriffsvergabe finden hingegen seltener Anwendung.
Eines ist klar: Vertrauen allein ist keine wirksame Sicherheitsmaßnahme. Ohne eine vollständige Sicht auf Nutzer, deren Rechte und deren Aktivitäten können Sicherheitslücken nicht zuverlässig geschlossen werden. Automatisierte Lösungen wie KI-gestützte Analyseverfahren könnten hier Abhilfe schaffen, werden jedoch bislang zu wenig genutzt.