Supply-Chain-Angriffe
Über deine Fernzugänge und Tools können Angreifer deine Kunden erreichen. Ein einziger kompromittierter Zugang wird zum Risiko für dutzende Unternehmen.
Du schützt andere.
Wer schützt dich?
Als IT-Dienstleister verwaltest du häufig Zugänge und Abhängigkeiten anderer Unternehmen. Prüfe deshalb Zuständigkeiten, Freigaben, Notfallkontakte und Wiederanlaufabläufe.
Cyber-Bereitschaft prüfen
Allgemeine Orientierung · ohne Kontaktdaten
Warum IT-Dienstleister ein Hochrisiko-Ziel sind
Wer einen Dienstleister kompromittiert, erreicht auf einen Schlag dessen ganze Kundenbasis. Genau deshalb sind Supply-Chain-Angriffe auf IT-Dienstleister so beliebt – und so gefährlich.
Die 3 größten Risiken:
Drittschäden & Haftung
Entsteht durch einen Vorfall bei dir ein Schaden beim Kunden, können Haftungsfragen entstehen. Zuständigkeiten und Vertragsanforderungen sollten deshalb vorab geklärt werden.
Reputationsverlust
Dein Geschäft basiert auf Vertrauen in deine Sicherheit. Wird bekannt, dass du selbst gehackt wurdest, ist das ein schwer kalkulierbarer Schaden.
6
grundlegende Vorsorgethemen im Bereitschaftscheck.
0
Kontaktdaten für die erste Einordnung erforderlich.
1
freiwillige Kontaktanfrage erst nach dem Ergebnis.
Branchen-Ratgeber · IT-Dienstleister
Cybervorsorge für IT-Dienstleister: die wichtigsten Fragen im Alltag
IT-Dienstleister tragen eine besondere Verantwortung, weil ihre Zugänge und Werkzeuge mehrere Kundensysteme berühren können. Cybervorsorge muss deshalb die eigene Infrastruktur, Fernzugriffe, Berechtigungen, Lieferkette, Verträge und die Kommunikation im Vorfall zusammen betrachten. Diese Seite ist ein Gesprächsleitfaden, keine technische Prüfung und keine Rechts- oder Versicherungsberatung.
Fernzugriff und privilegierte Konten
Erstelle eine Übersicht aller administrativen Zugänge, Werkzeuge und Notfallkonten. Persönliche Konten, Mehrfaktor-Anmeldung und zeitlich begrenzte Rechte sollten die Regel sein.
Kundentrennung und Protokollierung
Prüfe, wie Kundenumgebungen voneinander getrennt sind, wer Änderungen freigibt und welche Protokolle im Vorfall verfügbar sind. Dokumentation muss auch außerhalb der betroffenen Systeme erreichbar sein.
Abhängigkeiten und Lieferkette
Liste Cloud-, Hosting-, Software- und Subdienstleister auf. Halte fest, wer bei einer Störung informiert, welche Eskalationsstufe gilt und welche Zusagen vertraglich tatsächlich vereinbart sind.
Eigener Wiederanlauf
Ein Dienstleister kann nur helfen, wenn seine eigenen Identitäts-, Backup- und Kommunikationssysteme verfügbar sind. Teste daher auch den eigenen Notfallbetrieb und eine alternative Kontaktmöglichkeit.
Praxisbeispiel
Beispiel: Ein Admin-Konto zeigt ungewöhnliche Aktivitäten
Ein kompromittiertes Konto kann Auswirkungen auf mehrere Kunden haben. Ein vorbereiteter Ablauf verhindert hektische Änderungen und sorgt für nachvollziehbare Entscheidungen.
Zugang kontrollieren
Konto und betroffene Sitzungen nach dem dokumentierten Notfallprozess absichern; keine Beweise unnötig überschreiben.
Betroffene Kunden abgrenzen
Prüfen, welche Umgebungen und Werkzeuge erreichbar waren, und die zuständigen Ansprechpartner nach der vereinbarten Kette informieren.
Forensik und Vertrag trennen
Technische Analyse, Datenschutz, Haftung und Kundenkommunikation durch die jeweils zuständigen Fachpersonen koordinieren.
Vorbereitung
Diese Fragen solltest du mit deinem Team klären
Die Antworten müssen zu deinen Systemen, Rollen und Abläufen passen. Nutze die Punkte als Gesprächsleitfaden und dokumentiere, was bereits geregelt ist.
Welche Zugänge müssen besonders geschützt werden?
Beginne mit Fernwartung, Identitätsverwaltung, Backup-Konsolen, Cloud-Administrationen und Notfallkonten. Prüfe persönliche Konten, Mehrfaktor-Anmeldung und regelmäßige Rechteüberprüfung.
Wie werden Kunden im Vorfall informiert?
Lege Rollen, Kommunikationswege und einen abgestimmten Informationsumfang fest. Vertragliche Meldepflichten und Datenschutzfragen müssen anhand des konkreten Vorfalls geprüft werden.
Was gehört in die Dienstleisterverträge?
Erreichbarkeit, Zuständigkeiten, Datenzugriffe, Sicherung, Mitwirkung und Eskalation sollten verständlich geregelt sein. Eine Rechtsprüfung ersetzt keine Website-Checkliste.
Wie grenzt sich eine Versicherung ab?
Eigenes Risiko, Drittschäden, Berufshaftung und Cyberleistungen können unterschiedliche Prüfungen erfordern. Bedingungen und Haftungsfragen gehören in ein individuelles Gespräch mit den zuständigen Fachleuten.
Sofort umsetzbar
Cybervorsorge-Checkliste für den Betrieb
Arbeite die Punkte in der Reihenfolge ab, die zu deinem Alltag passt. Vollständigkeit und Zuständigkeit sind wichtiger als eine bestimmte Tool-Auswahl.
- Privilegierte Zugänge und Fernwartungswerkzeuge inventarisieren.
- Kundensysteme, Rollen und Freigaben nachvollziehbar trennen.
- Backups, Protokolle und Notfallkontakte außerhalb der Primärsysteme sichern.
- Kompromittiertes Admin-Konto als Szenario praktisch durchspielen.
- Kundenkommunikation und Eskalationsstufen vertraglich abstimmen.
- Haftungs- und Versicherungsfragen anhand konkreter Verträge prüfen lassen.
Weiterführende Quellen
Die folgenden offiziellen Stellen bieten allgemeine Informationen. Sie sind keine individuelle Prüfung deines Betriebs.
Redaktionelle Orientierung, Stand Juli 2026. Inhalte ersetzen keine technische, rechtliche, datenschutzrechtliche oder versicherungsbezogene Beratung.
Technik, Organisation und Verträge greifen zusammen. Der Bereitschaftscheck strukturiert grundlegende Fragen; Haftung, Verträge und fachliche Prüfungen gehören in die Hände der zuständigen Fachpersonen.
Dein Geschäft basiert auf Vertrauen.
Ordne grundlegende Vorsorgethemen deines Dienstleistungsbetriebs ein.