Drittanbieter: Verantwortung lässt sich nicht wegdelegieren

Unternehmen lagern IT-Dienstleistungen aus, um Risiken loszuwerden. Studien und Praxisfälle zeigen jedoch, dass Haftung, Aufsichtspflichten und Reputationsschäden immer beim auslagernden Unternehmen bleiben.

Viele Unternehmen gehen davon aus, dass sie beim Outsourcing mit der Vergabe von IT-Dienstleistungen an externe Anbieter auch das damit verbundene Risiko abgeben. Cloud-Betrieb, Softwareentwicklung, Netzwerküberwachung oder Rechenzentrumsbetrieb werden an Spezialisten übertragen, in der Annahme, dass diese Spezialisten auch für Fehler, Ausfälle oder Sicherheitsvorfälle geradestehen. Diese Annahme hält der Realität nicht stand. Regulatorische Rahmenwerke, Gerichtsentscheidungen und zahlreiche dokumentierte Vorfälle der vergangenen Jahre zeigen ein durchgängiges Muster: Die operative Aufgabe lässt sich auslagern, die Verantwortung dafür nicht.

Besonders deutlich wird dieser Grundsatz im Finanzsektor. Die EBA-Leitlinien zu Auslagerungen halten fest, dass die Auslagerung von Funktionen nicht zur Delegierung der Verantwortung der Geschäftsleitung führt. Diese bleibt in vollem Umfang für die ausgelagerten Bereiche verantwortlich und rechtspflichtig. Mit der seit Januar 2025 unmittelbar geltenden EU-Verordnung DORA (Digital Operational Resilience Act) wurde dieser Grundsatz für den Umgang mit IKT-Dienstleistern noch einmal verschärft und konkretisiert. Institute müssen ein zentrales Auslagerungsregister führen, Exit-Strategien für jeden kritischen Dienstleister vorhalten und die digitale Resilienz ihrer gesamten Lieferkette nachweisen. Wichtig ist dabei: Auch wenn ein Cloud-Anbieter oder ein IT-Dienstleister die eigentliche Leistung erbringt, bleibt die Verantwortung stets beim auslagernden Institut.

Was Studien über Drittanbieter-Risiken zeigen

Die Zahlen zur tatsächlichen Risikoverteilung sind eindeutig. Nach aktuellen Studien sind 61 Prozent der Datenschutzverletzungen mit Drittanbietern verbunden. Der IBM Cost of a Data Breach Report 2025 kommt für Deutschland zu einem ähnlichen Bild: In 16 Prozent der untersuchten Fälle erfolgte der Erstzugriff über die Lieferkette oder Drittanbieter-Systeme, mit durchschnittlichen Kosten von 4,52 Millionen Euro pro Vorfall.

Die BlueVoyant-Studie The State of Supply Chain Defense aus dem Jahr 2024 fand heraus, dass 81 Prozent der befragten IT-Entscheider bereits mindestens einmal von einer Supply-Chain-bezogenen Sicherheitsverletzung betroffen waren. Laut Angaben internationaler Sicherheitsanbieter verzeichneten 2025 bereits rund 97 Prozent ausgewählter global agierender Unternehmen spürbare Betriebsstörungen infolge von Angriffen auf ihre Lieferkette, ein deutlicher Anstieg gegenüber 81 Prozent im Jahr zuvor. Die folgende Übersicht fasst zentrale Kennzahlen zusammen:

Diese Zahlen belegen, dass Auslagerung keine Risikoreduktion, sondern eine Risikoverlagerung ist. Das Risiko verschwindet nicht, es wandert lediglich an eine Stelle, die das auslagernde Unternehmen selbst schwerer kontrollieren kann.

Der Fall Target: Wie ein Klima-Dienstleister zum Einfallstor wurde

Einer der bekanntesten Fälle, in denen mangelhafte Kontrolle über einen Drittanbieter zu einem der größten Datenschutzvorfälle im Einzelhandel führte, betrifft die US-Handelskette Target. Ende 2013 verschafften sich Angreifer über gestohlene Netzwerkzugangsdaten des Kälte- und Klimatechnik-Dienstleisters Fazio Mechanical Services Zugang zum Netzwerk des Konzerns. Der Dienstleister hatte lediglich einen Zugang für Projektmanagement, Rechnungsstellung und verwandte administrative Aufgaben, keinen Bezug zur Zahlungsabwicklung.

Dennoch gelang es den Angreifern, sich von dort aus lateral durch das Netzwerk zu bewegen und Schadsoftware auf den Kassensystemen zu platzieren. Insgesamt wurden rund 40 Millionen Kredit- und Debitkartendaten sowie persönliche Daten von bis zu 70 Millionen Kunden entwendet. Nach jahrelangen Verhandlungen mit den Justizministerien mehrerer US-Bundesstaaten zahlte Target am Ende 18,5 Millionen US-Dollar Strafe, zusätzlich zu Kosten für Untersuchungen, Vergleiche und Sicherheitsverbesserungen in dreistelliger Millionenhöhe.

Der Fall British Airways: Kompromittierte Zugangsdaten eines Partners

Auch der Fall British Airways zeigt, wie Schwachstellen bei Partnerunternehmen zum Ausgangspunkt für größere Vorfälle werden können. Im Sommer 2018 verschafften sich Angreifer über kompromittierte Konten des Bodenverkehrsdienstleisters Swissport Zugriff auf eine Citrix-Sitzung im Netzwerk der Fluggesellschaft. Von dort aus schleusten sie Werkzeuge ein, um Netzwerke auszuspähen, was letztlich zur Manipulation eines Skripts auf der Buchungswebsite führte. Kunden wurden beim Online-Kauf von Flugtickets auf eine betrügerische Seite umgeleitet, über die persönliche Daten und Zahlungsinformationen von mehr als 400.000 Kunden abgegriffen wurden.

Die britische Datenschutzbehörde ICO kündigte zunächst ein Bußgeld von 183 Millionen Pfund an, reduzierte es aufgrund der Kooperation des Unternehmens und der wirtschaftlichen Lage während der Corona-Pandemie später auf rund 20 Millionen Pfund. Die damalige Datenschutzbeauftragte Elizabeth Denham erklärte dazu: „Die persönlichen Daten der Menschen sind genau das, persönlich.“ Für die Aufsichtsbehörde war unerheblich, dass der eigentliche Einbruch über einen Partnerzugang erfolgte. Verantwortlich blieb die Fluggesellschaft.

CrowdStrike-Ausfall: Wenn ein einzelner Dienstleister ganze Branchen lahmlegt

Nicht jeder Fall, der die Grenzen des Outsourcings aufzeigt, ist ein klassischer Hackerangriff. Am 19. Juli 2024 verursachte ein fehlerhaftes Update des Sicherheitsanbieters CrowdStrike für seine Falcon-Sensor-Software weltweit Systemabstürze auf rund 8,5 Millionen Windows-Rechnern. Betroffen waren Fluggesellschaften, Krankenhäuser, Banken und Behörden in zahlreichen Ländern. Mehr als 2.000 Flüge wurden weltweit gestrichen, Krankenhäuser in Deutschland und Großbritannien mussten geplante Operationen absagen, Geschäfte blieben zeitweise geschlossen.

Die finanziellen Schäden wurden auf mindestens 5,4 bis 10 Milliarden US-Dollar geschätzt. Die Fluggesellschaft Delta Air Lines verklagte CrowdStrike später auf 500 Millionen US-Dollar Schadenersatz für die eigenen Verluste. Der Vorfall zeigt eine andere Facette desselben Grundproblems: Selbst wenn ein Zulieferer die alleinige technische Ursache eines Ausfalls setzt, tragen die Kunden dieses Zulieferers die operativen und häufig auch die vertraglichen Konsequenzen gegenüber ihren eigenen Kunden und Patienten.

Warum eine interne Steuerungsstruktur unverzichtbar bleibt

Aus diesen Fällen und der Studienlage lässt sich ein gemeinsamer Kern ableiten. Auslagerung funktioniert nur dann sicher, wenn das auslagernde Unternehmen selbst über eine belastbare Governance-Struktur verfügt, mit der es Dienstleister auswählt, vertraglich bindet, laufend überwacht und im Ernstfall schnell ersetzen kann. Die EBA-Leitlinien verlangen dafür unter anderem ein zentrales Auslagerungsregister, eine dokumentierte Risikobewertung nach Wesentlichkeit, klare Kontroll- und Kündigungsrechte in den Verträgen sowie eine kontinuierliche Berichterstattung an die Geschäftsleitung. Ohne eine solche interne Struktur bleibt für ein Unternehmen unsichtbar, wo in der eigenen Lieferkette Risiken entstehen, bis ein Vorfall wie bei Target, British Airways oder CrowdStrike sie sichtbar macht.