Warum Unternehmen heute auch die Informationssicherheit ihrer Dienstleister bewerten müssen

Cyber­an­grif­fe stop­pen nicht an den Gren­zen des Unter­neh­mens. IT-Dienst­leis­ter, Cloud- und Ser­vice-Anbie­ter erhal­ten häu­fig Zugriff auf sen­si­ble Sys­te­me und Daten. WICHTIG: Infor­ma­ti­ons­si­cher­heit ent­lang der gesam­ten Lie­fer­ket­te kon­se­quent mitdenken.

Hohen­brunn, 29.07.2026

Die digi­ta­le Zusam­men­ar­beit mit exter­nen Part­nern gehört heu­te zum Unter­neh­mens­all­tag. Mana­ged Ser­vices, Cloud-Lösun­gen, exter­ne Admi­nis­tra­to­ren oder spe­zia­li­sier­te IT-Dienst­leis­ter ermög­li­chen effi­zi­en­te Pro­zes­se und hohe Fle­xi­bi­li­tät. Gleich­zei­tig erwei­tern sie jedoch auch die Angriffs­flä­che für Cyberkriminelle.

Immer häu­fi­ger rich­ten Angrei­fer ihren Fokus des­halb nicht direkt auf das eigent­li­che Ziel­un­ter­neh­men, son­dern auf des­sen Dienst­leis­ter oder Lie­fe­ran­ten. Gelingt dort ein erfolg­rei­cher Angriff, kön­nen sich Cyber­kri­mi­nel­le über bestehen­de Ver­trau­ens­be­zie­hun­gen oder Fern­zu­grif­fe Zugang zu wei­te­ren Sys­te­men verschaffen.

„Unter­neh­men inves­tie­ren viel in den Schutz ihrer eige­nen IT-Infra­struk­tur. Das ist rich­tig und wich­tig“, erklärt Bernd Ochs­mann, CTO der AER­Asec Net­work Ser­vices and Secu­ri­ty GmbH. „Gleich­zei­tig soll­ten sie sich jedoch die Fra­ge stel­len, nach wel­chen Sicher­heits­stan­dards ihre exter­nen IT-Part­ner arbei­ten. Denn deren Sicher­heits­ni­veau kann unmit­tel­ba­re Aus­wir­kun­gen auf die eige­ne Unter­neh­mens­si­cher­heit haben.“

Infor­ma­ti­ons­si­cher­heit endet nicht an der Unternehmensgrenze

Des­halb gewinnt das The­ma Third-Par­ty Risk Manage­ment zuneh­mend an Bedeu­tung. Unter­neh­men müs­sen heu­te nicht nur ihre eige­nen Risi­ken bewer­ten, son­dern auch nach­voll­zie­hen kön­nen, wie exter­ne Dienst­leis­ter mit Infor­ma­ti­ons­si­cher­heit umgehen.

Dabei spie­len doku­men­tier­te Pro­zes­se, kla­re Ver­ant­wort­lich­kei­ten und regel­mä­ßig über­prüf­te Sicher­heits­maß­nah­men eine ent­schei­den­de Rol­le. Inter­na­tio­na­le Stan­dards wie die ISO/IEC 27001:2022 schaf­fen hier­für einen struk­tu­rier­ten Rah­men und unter­stüt­zen Unter­neh­men dabei, Infor­ma­ti­ons­si­cher­heit sys­te­ma­tisch und nach­voll­zieh­bar umzusetzen.

Für Auf­trag­ge­ber wird die­ser Nach­weis immer wich­ti­ger. Im Rah­men von Aus­schrei­bun­gen, Com­pli­ance-Anfor­de­run­gen oder Lie­fe­ran­ten­be­wer­tun­gen wird zuneh­mend hin­ter­fragt, wel­che Maß­nah­men Dienst­leis­ter zum Schutz sen­si­bler Infor­ma­tio­nen eta­bliert haben und wie die­se kon­ti­nu­ier­lich wei­ter­ent­wi­ckelt werden.

Ver­trau­en braucht nach­voll­zieh­ba­re Prozesse

Infor­ma­ti­ons­si­cher­heit basiert auf Ver­trau­en. Die­ses Ver­trau­en ent­steht jedoch nicht allein durch moder­ne Tech­no­lo­gien, son­dern vor allem durch trans­pa­ren­te und audi­tier­ba­re Prozesse.

„Wer einem exter­nen Dienst­leis­ter Zugriff auf geschäfts­kri­ti­sche Sys­te­me gewährt, soll­te sicher sein kön­nen, dass Infor­ma­ti­ons­si­cher­heit dort nicht nur ver­spro­chen, son­dern im täg­li­chen Betrieb kon­se­quent gelebt wird“, so Ochs­mann. „Nach­voll­zieh­ba­re Pro­zes­se und inter­na­tio­nal aner­kann­te Stan­dards schaf­fen dafür eine wich­ti­ge Grundlage.“

Für Unter­neh­men bedeu­tet dies, Infor­ma­ti­ons­si­cher­heit nicht iso­liert zu betrach­ten, son­dern über die gesam­te digi­ta­le Lie­fer­ket­te hin­weg. Denn Cyber­se­cu­ri­ty endet heu­te nicht an der eige­nen Fire­wall – sie umfasst alle Part­ner, Sys­te­me und Pro­zes­se, die für den Geschäfts­be­trieb rele­vant sind.

Über AER­Asec:

Die AER­Asec Net­work Ser­vices and Secu­ri­ty GmbH wur­de im Jahr 2000 gegrün­det und hat ihren Sitz in Hohen­brunn bei Mün­chen. Als auf IT-Sicher­heits­lö­sun­gen spe­zia­li­sier­tes Unter­neh­men unter­stützt AER­Asec mit­tel­stän­di­sche Unter­neh­men und inter­na­tio­na­le Kon­zer­ne bei der Pla­nung, Imple­men­tie­rung und dem Betrieb moder­ner Cybersecurity-Lösungen.

Das Leis­tungs­spek­trum umfasst die Berei­che Netz­werk­si­cher­heit, Authen­ti­fi­zie­rung, siche­rer Remo­te Access, Mal­wa­re- und Con­tent-Fil­te­rung sowie Fire­wall Poli­cy & Chan­ge Orchestra­ti­on. Ergänzt wird das Port­fo­lio durch fun­dier­te Bera­tung, pra­xis­na­he Trai­nings und qua­li­fi­zier­te Sup­port- und Managed-Services-Leistungen.

AER­Asec ist nach ISO/IEC 27001 zer­ti­fi­ziert und erfüllt damit inter­na­tio­nal aner­kann­te Stan­dards für ein wirk­sa­mes Infor­ma­ti­ons­si­cher­heits-Manage­ment­sys­tem (ISMS). Die Zer­ti­fi­zie­rung unter­streicht den hohen Anspruch des Unter­neh­mens an Qua­li­tät, Sicher­heit und den ver­ant­wor­tungs­vol­len Umgang mit sen­si­blen Informationen.

Wei­te­re Infor­ma­tio­nen zu AER­Asec fin­den Sie unter https://AERAsec.de.

Kon­takt:

AER­Asec Net­work Ser­vices and Secu­ri­ty GmbH
Dr. Mat­thi­as Leu
Wagen­ber­ger Stra­ße 1
85662 Hohenbrunn
Tele­fon (08102) 895 190
Tele­fax (08102) 895 199
E‑Mail: info@AERAsec.de