Lieferantensicherheit nach NIS2: ein praktischer Einstieg

Ein großer Teil schwerer Vorfälle beginnt nicht beim Opfer, sondern bei einem Lieferanten: einem IT-Dienstleister, dessen Fernwartungswerkzeug kompromittiert wurde, einem Lohnabrechnungsdienst, dessen Datenbank geleakt ist, einer E-Mail-Marketing-Plattform, deren Konto übernommen und für Phishing an Ihre Kunden in Ihrem Namen genutzt wurde. NIS2 nimmt das ernst. Artikel 21 Absatz 2 Buchstabe d (im BSIG § 30) zählt „die Sicherheit der Lieferkette einschließlich sicherheitsbezogener Aspekte der Beziehungen zwischen den einzelnen Einrichtungen und ihren unmittelbaren Anbietern oder Diensteanbietern“ zu den Maßnahmen, die jede erfasste Einrichtung treffen muss.

Dieser Leitfaden zeigt einen Einstieg, der für ein kleines oder mittleres Unternehmen verhältnismäßig bleibt.

Schritt 1: Lieferanten auflisten, die Ihre Systeme oder Daten berühren

Nicht jeder Lieferant zählt. Der Kaffeemaschinenservice nicht. Stellen Sie zu jedem drei Fragen:

Hat er unsere Daten? Buchhaltung, Lohnabrechnung, CRM, Cloud-Speicher, Backup.
Kann er unsere Systeme erreichen? IT-Betreuung, Fernwartung, Hosting, Webagentur.
Handelt er in unserem Namen? E-Mail-Versand, Newsletter, Zahlungsseiten, Registrar und DNS-Anbieter.

Ein Ja auf eine dieser Fragen setzt den Lieferanten auf die Liste. Bei den meisten kleinen Unternehmen stehen dort zehn bis vierzig Namen.

Ihr DNS verrät bereits einen guten Teil davon. Ihre MX-Einträge nennen Ihren Postfachanbieter, die include: Ihres SPF-Eintrags jeden Dienst, der für Sie senden darf, Ihre Nameserver Ihren DNS-Anbieter, und die Bestätigungseinträge Ihrer Domain die Tools, bei denen Sie sich angemeldet haben. Perimetry Cloud liest all das aus den Audits Ihrer Domains und listet diese Dienste für Sie auf.

Schritt 2: einordnen

Ordnen Sie jeden Lieferanten einer von drei Gruppen zu:

Kritisch: Wird er kompromittiert oder fällt er aus, stehen Sie still oder Ihre Kunden nehmen Schaden (E-Mail, Hosting, IT-Betreuung, Lohnabrechnung).
Wichtig: Eine Kompromittierung würde schaden, aber Sie könnten sie umgehen.
Nachrangig: der Rest der Liste.

Konzentrieren Sie Ihren Aufwand auf die kritische Gruppe.

Schritt 3: prüfen, was von außen sichtbar ist

Bevor Sie einen Lieferanten etwas fragen, sehen Sie sich an, was er allen zeigt. Einige öffentliche Signale sagen viel darüber, wie ein Unternehmen mit seiner eigenen Sicherheit umgeht:

Veröffentlicht seine Domain eine durchgesetzte DMARC-Richtlinie, oder kann jeder in seinem Namen E-Mails senden?
Sind seine Zertifikate gültig, seine Websites mit aktuellem TLS ausgeliefert, seine Sicherheits-Header gesetzt?
Stellen seine Server Dienste mit bekannten, aktiv ausgenutzten Schwachstellen bereit?
Veröffentlicht er eine security.txt, die sagt, wie man eine Schwachstelle meldet? Der security.txt-Check liest sie und sagt, ob sie gültig ist.

Nichts davon beweist, dass er sicher ist, aber ein Lieferant, der überall durchfällt, ist kaum dort stark, wo Sie nicht hinsehen können. Diese Prüfungen sind passiv: Sie lesen nur, was jeder Besucher lesen kann, Sie brauchen also niemandes Erlaubnis.

Schritt 4: die kritischen befragen

Schicken Sie kritischen Lieferanten einmal im Jahr einen kurzen Fragebogen. Halten Sie ihn kurz; lange Fragebögen bekommen kopierte Antworten. Fragen Sie nach Multi-Faktor-Authentifizierung für das Personal, nach Backups und wie oft sie getestet werden, wie und wie schnell Sie über einen Vorfall informiert werden, wo Ihre Daten liegen und ob eine Zertifizierung besteht (ISO 27001, SOC 2, BSI IT-Grundschutz). Ihn mit dem vorauszufüllen, was Sie bereits von außen gesehen haben, spart dem Lieferanten Zeit und macht die Antworten leichter überprüfbar.

Schritt 5: in den Vertrag schreiben

Ergänzen Sie neue Verträge mit kritischen Lieferanten um Klauseln zur Meldung von Vorfällen (mit einer Frist, die es Ihnen erlaubt, Ihre eigene 24-Stunden-Pflicht einzuhalten), zur Unterbeauftragung und zum Verbleib Ihrer Daten am Ende.

Schritt 6: weiter beobachten

Die Sicherheit eines Lieferanten ändert sich. Ein jährlicher Fragebogen übersieht das Zertifikat, das im März abgelaufen ist, oder den Server, der seit Juni eine Datenbank offenlegt. Die öffentlichen Signale laufend zu beobachten und benachrichtigt zu werden, wenn die Punktzahl eines Lieferanten sinkt, macht aus einer Liste Lieferkettensicherheit.

Wie Perimetry hilft

Die Seite „Lieferanten“ von Perimetry Cloud überwacht die Domains Ihrer Lieferanten jede Woche nur mit öffentlichen Prüfungen, benachrichtigt Sie, wenn sich einer verschlechtert, und verschickt Sicherheitsfragebögen, vorausgefüllt mit dem, was sie bereits sieht. Sie listet auch die Dienste auf, die sie in Ihrem eigenen DNS gefunden hat, damit Sie jedem mit einem Klick folgen können. Siehe auch NIS2 für den Mittelstand.