Prüfung externer Dienstleister: So sichern Sie Ihre Lieferkette ab

Warum der Angriff über den Dienstleister kommt

Ein mittelständisches Unternehmen arbeitet heute mit Dutzenden externen Partnern: Cloud-Speicher, Lohnabrechnung, ERP-Betreuung, Fernwartung der Maschinen, Marketing-Tools. Jeder dieser Partner hat einen Zugang in Ihre Systeme oder zu Ihren Daten – und damit eine eigene Angriffsfläche, die Sie nicht selbst kontrollieren.

Für Angreifer ist das attraktiv: Ein kompromittierter Dienstleister öffnet oft gleich mehrere Unternehmen auf einmal. Für Sie bedeutet es: Ihr Sicherheitsniveau ist nur so gut wie das Ihres schwächsten Partners. Und wenn es zum Vorfall kommt, melden und verantworten müssen in der Regel Sie – gegenüber Kunden, Aufsichtsbehörden und Geschäftspartnern.

Was NIS-2 und DORA jetzt konkret verlangen

Seit Dezember 2025 gilt in Deutschland das NIS-2-Umsetzungsgesetz. Rund 29.000 Unternehmen aus 18 Sektoren – darunter Industrie, Logistik, Energie, Gesundheit, Lebensmittel und digitale Dienste – fallen unmittelbar darunter. Das Gesetz verlangt ausdrücklich, dass Sie auch die Sicherheit in Ihrer Lieferkette steuern, also die Risiken aus den Beziehungen zu Ihren unmittelbaren Dienstleistern bewerten und begrenzen.

Zwei Punkte sind für Sie als Geschäftsführer besonders relevant. Erstens: Die Verantwortung für diese Maßnahmen liegt bei der Geschäftsleitung und lässt sich nicht an die IT-Abteilung wegdelegieren. Zweitens: Bei einem erheblichen Sicherheitsvorfall läuft eine erste Meldefrist von 24 Stunden, ein ausführlicherer Bericht folgt nach 72 Stunden. Diese Frist halten Sie nur ein, wenn Ihr Dienstleister Sie unverzüglich informiert. Steht das nicht im Vertrag, erfahren Sie vom Vorfall womöglich erst Tage später. Die Bußgeldrahmen reichen bis in den zweistelligen Millionenbereich.

Für Finanzunternehmen gilt seit Januar 2025 zusätzlich DORA. Die EU-Verordnung schreibt sehr detailliert vor, was in Verträgen mit IT-Dienstleistern stehen muss – von Prüf- und Zugangsrechten über Kündigungsgründe bis zu Ausstiegsstrategien. Außerdem müssen Finanzunternehmen ein vollständiges Register ihrer IT-Dienstleistungsverhältnisse führen.

Unabhängig von Branche und Größe gilt ohnehin: Wer personenbezogene Daten durch Dritte verarbeiten lässt, darf nach der DSGVO nur Dienstleister einsetzen, die ausreichende Sicherheitsgarantien bieten – und muss das belegen können.

Was Sie vor Vertragsschluss prüfen sollten

Fangen Sie nicht bei allen Dienstleistern gleichzeitig an. Sinnvoll ist eine Einteilung nach Kritikalität: Wer hat administrativen Zugriff auf Ihre Systeme? Wessen Ausfall legt Ihre Produktion oder Ihren Vertrieb still? Wer verarbeitet sensible Daten? Diese Gruppe prüfen Sie gründlich, den Rest nach Augenmaß.

Bei kritischen Partnern sollten Sie vor der Beauftragung mindestens klären:

• Gibt es anerkannte Zertifizierungen oder Prüfberichte – und decken diese wirklich die Leistung ab, die Sie einkaufen?
• Wo stehen die Server, und werden Unterauftragnehmer eingesetzt?
• Wie sieht das Notfall- und Wiederanlaufkonzept aus, und wie schnell ist der Betrieb wiederhergestellt?
• Wie wird der Zugriff auf Ihre Systeme abgesichert?

Ein ausgefüllter Fragebogen allein genügt nicht. Lassen Sie sich Nachweise zeigen und dokumentieren Sie, was Sie geprüft haben. Diese Dokumentation ist im Ernstfall Ihr Entlastungsnachweis.

Was in den Vertrag gehört

Der Vertrag ist Ihr wichtigster Hebel – später bekommen Sie kaum noch etwas durchgesetzt. Regeln sollten Sie: verbindliche Sicherheitsstandards statt allgemeiner Absichtserklärungen, eine kurze Informationsfrist bei Sicherheitsvorfällen, die zu Ihren eigenen Meldepflichten passt, Mitwirkungspflichten bei Aufklärung und Behördenmeldung, Prüf- und Auskunftsrechte, klare Vorgaben für Unterauftragnehmer sowie Verfügbarkeitszusagen mit spürbaren Konsequenzen.

Mindestens ebenso wichtig und meistens vergessen: das Vertragsende. Wie kommen Sie an Ihre Daten zurück, in welchem Format, in welcher Zeit – und wann werden sie beim Dienstleister gelöscht? Wer das nicht vorab regelt, ist bei einer Trennung erpressbar.

Was Sie jetzt tun sollten

Verschaffen Sie sich zuerst einen Überblick: Welche Dienstleister haben Zugriff auf Ihre Systeme und Daten, und welche davon sind kritisch? Prüfen Sie dann für diese Partner, ob die bestehenden Verträge den heutigen Anforderungen standhalten – die meisten IT-Verträge aus der Zeit vor 2024 tun das nicht. Nutzen Sie jede Verlängerung und jede Neuausschreibung, um nachzubessern.

Wir unterstützen Sie dabei: bei der Einordnung, ob und wie NIS-2 oder DORA Sie treffen, bei Gestaltung und Nachverhandlung von Dienstleisterverträgen und beim Aufbau einer Dokumentation, die einer behördlichen Prüfung standhält. Sprechen Sie uns an, bevor der erste Vorfall die Antwort erzwingt.