Thought Leadership
Der traditionelle Sicherheitsperimeter ist Geschichte. Moderne Unternehmen agieren in weitreichenden Ökosystemen aus Lieferanten, SaaS-Plattformen und externen Dienstleistern. Diese gegenseitigen Abhängigkeiten entwickeln sich zunehmend zu einer Bedrohung für die Cyber-Resilienz.
Laut der Studie „The Ripple Effect: A Hallmark of Cybersecurity“ gaben 68 Prozent der IT-Führungskräfte an, stärker denn je auf Drittparteien angewiesen zu sein – doch weniger als die Hälfte der Unternehmen hat entsprechende Sicherheitskontrollen implementiert. Diese Lücke zwischen Abhängigkeit und Absicherung ist längst bittere Realität: 60 Prozent der Unternehmen erlebten im vergangenen Jahr einen Ausfall, der durch Drittanbieter verursacht wurde. Und 63 Prozent rechnen innerhalb der nächsten zwölf Monate mit einem weiteren Vorfall.
Solche Ausfälle finden nur selten in abgeschlossenen Unternehmensumgebungen statt. Wird ein Lieferant kompromittiert, droht eine Kettenreaktion, die den eigenen Betrieb lahmlegt, sensible Daten exponiert oder kritische Dienste unterbricht. Dennoch beziehen nur 42 Prozent der Unternehmen externe Dienstleister und freiberufliche Mitarbeitende in ihre Cyber-Resilienz-Strategie ein, und lediglich 34 Prozent haben Vertrauen in die Kontrollmechanismen ihrer Lieferkette. Angesichts makroökonomischer und geopolitischer Herausforderungen darf Cyber-Resilienz nicht länger nur nach innen ausgerichtet sein. Vorbei sind die Zeiten, in denen es ausreichte, die Netzwerkgrenzen des Unternehmens zu verteidigen. Echte Widerstandsfähigkeit erfordert heute, dass jede Interaktion – ob intern oder extern – mit höchster Sorgfalt behandelt wird. Die Herausforderung besteht darin, hohe Sicherheitsstandards zu wahren und Datenabflüsse zu verhindern, ohne die effiziente Zusammenarbeit mit Partnern auszubremsen.
Vielfältige Risiken durch Drittparteien
Die Gefahren durch kompromittierte Drittparteien sind vielschichtig und bedrohen die Geschäftskontinuität sowie Datenintegrität auf unterschiedliche Weise. Im klassischen Szenario wird der kompromittierte Lieferant zum direkten Einfallstor für sich lateral ausbreitende Angriffe. Wird beispielsweise ein Dienstleister mit Fernzugriff gehackt, gelangt der Angreifer durch Netzwerkberechtigungen über herkömmliche VPN- oder IPsec-Tunnel mühelos vom Netz des Anbieters direkt in die Umgebung des nächsten Unternehmens. Der Drittanbieter streut den „Blast Radius“ des Angriffs und massive Störungen und Reputationsschäden sind die Folge.
Ein weiteres Bedrohungsszenario basiert auf der Datenpreisgabe durch Dritte. Viele Organisationen gewähren ihren Partnern unwissentlich Zugriff auf weitreichende Informationen. Ob eine gesamte Datenbank geteilt wird, obwohl nur einzelne Datensätze benötigt werden oder systemweiter Zugriff für eine isolierte Funktion gewährt wird: Diese überdimensionierten Berechtigungen bergen Risiken. Wird der Partner angegriffen, fallen dem Hacker sofort Zugriffe auf weitreichende Datensätze in die Hände. Sensibles geistiges Eigentum, Kundendaten oder betriebliche Details gehen auf diese Weise durch die Sicherheitslücken des Partners verloren. Haben die Daten das Unternehmen einmal verlassen, sind Schäden nur schwer einzudämmen.
Hinzu kommen funktionale Betriebsunterbrechungen, bei denen essentielle Dienste ausfallen. Wird eine kritische Cloud-Plattform oder ein SaaS-Dienst durch einen Cyberangriff beeinträchtigt, verliert das angebundene Unternehmen seine Handlungsfähigkeit. Auch ohne direkten Datenabfluss bei angebundenen Unternehmen kann die Geschäftskontinuität beeinträchtigt werden
Mit Blick auf die Zukunft bringen autonome KI-Agenten eine neue Risikodimension ins Spiel. Wenn Unternehmen unzählige dieser synthetischen Mitarbeitenden einsetzen, benötigen diese naturgemäß Daten- und Systemzugriff. Sie bilden faktisch die größte und am schnellsten wachsende Gruppe an „Auftragnehmern“, mit der Organisationen je konfrontiert waren. Ohne klare Sicherheitsprotokolle, Identitätsprüfungen und geklärte Haftungsfragen bergen diese Tools ein unkalkulierbares Risiko.
Von Least Privilege zu Least Information
Um diese Risiken zu minimieren, müssen sich Sicherheitsstrategien vom reinen „Least Privilege“-Ansatz zu einem datenzentrierten Modell weiterentwickeln, das auf minimaler Informationspreisgabe und verbesserter Verifizierung basiert. Das traditionelle Least Privilege-Prinzip von Zero Trust regelt lediglich, wer (User/Gerät) auf was (Applikation/Netzwerksegment) zugreifen darf. Die geforderte Weiterentwicklung heißt „Least Information by Design“ und schränkt ein, welche Daten nach einer erfolgreichen Authentifizierung tatsächlich eingesehen oder bearbeitet und bewegt werden dürfen.
Richtlinien basieren hierbei auf Datenkontext und Absicht und ermöglichen einen granularen Zugriff. So könnte ein externer Auftragnehmer zwar auf das ERP-System zugreifen, jedoch durch Richtlinien gezielt davon abgehalten werden, Finanz- oder M&A-Daten einzusehen. Dieser Ansatz verfeinert die Kontrolle zudem auf die „Least Function“: Muss der User im Rahmen seiner Funktion Daten lesen, schreiben oder löschen? Eine Reduzierung auf Leserechte minimiert beispielsweise das Risiko böswilliger oder versehentlicher Datenschäden. Ergänzend können Unternehmen KI-gestützte, absichtsbasierte Richtlinien implementieren, um die Intention einer User-Aktion oder eines Prompts zu analysieren. Solche Schutzmechanismen greifen gegen anormales oder risikobehaftetes Verhalten, unabhängig von den Basisberechtigungen des Users.
Zero Knowledge Proofs: Verifizierung ohne Datenoffenlegung
Over-Sharing von Informationen entsteht dann, wenn umfangreiche Datensätze angefordert werden, obwohl eine einfache Bestätigung ausreichen würde. Hier bieten Zero Knowledge Proofs eine kryptografische Lösung für das Problem. Das Grundprinzip besteht im Nachweis um das Wissen über eine Information, ohne die Information selbst preiszugeben.
Für die Interaktion mit externen Partnern ist das ein Paradigmenwechsel des Datenaustausches. Anstelle einem Lieferanten den kompletten Lagerbestand zu übermitteln, erlaubt das System lediglich funktionsbasierte Abfragen wie: „Sind von Artikel X mehr als 500 Stück auf Lager?“. Das System liefert ein simples Ja oder Nein, ohne das ERP-System oder exakte Zahlen zu exponieren. Analog funktioniert dieses Prinzip bei der Identitätsprüfung. Ein User kann nachweisen, dass er die Berechtigung für die Nutzung eines Services besitzt, ohne sensible personenbezogene Daten wie Name, Adresse oder Geburtsdatum offenzulegen. Durch diese Methode wird sichergestellt, dass mit den Zugangsdaten eines kompromittierten Partners nur spezifische Faktenabfragen möglich sind, nicht aber die Extraktion von Rohdaten. Der potenzielle Schaden eines Third Party-Vorfalls wird damit minimiert.
Zero Trust für das gesamte Ökosystem
Der Schlüssel zu übergeordneter Resilienz gegen Supply Chain- und Drittparteien-Risiken liegt in der Überwindung der künstlichen Trennung zwischen Insidern und Outsidern. In der Realität bestehen geschäftliche Ökosysteme aus Mitarbeitenden, Auftragnehmern, externen Dienstleistern und automatisierten Agenten. Die logische Konsequenz eines Zero Trust-Ansatzes lautet daher, jeden Akteur gleichermaßen wie eine Drittpartei zu behandeln. Warum sollte einem potenziell nachlässigen internen Mitarbeitenden per se mehr Vertrauen geschenkt werden als einem überprüften, externen Dienstleister?
Indem Unternehmen dieselben strengen Prinzipien auf Basis von geringsten Berechtigungen, geringsten Informationen und strenger Zugriffsvermittlung auf jede Entität im Netzwerk (inklusive KI-Agenten) anwenden, schaffen sie ein konsistentes Sicherheitsfundament. Resilienz im Zeitalter der Hypervernetzung erfordert die Kontrolle von Zugriffen, die strikte Limitierung von Informationen und die kontinuierliche Überprüfung von Absichten – für jeden User und jede Funktion im gesamten erweiterten Unternehmen. Das blinde Vertrauen in einen starken Netzwerkperimeter hat heute ausgedient.
