„Unsere IT macht der Dienstleister.“ – und wer macht die Informationssicherheit?

Der Geschäftsführer ist zufrieden. Die Frage nach der IT-Abteilung kann er in der ISO 27001-Gap-Analyse schnell beantworten: „Haben wir nicht. Unsere komplette IT macht der Dienstleister. Wenn Sie dazu etwas wissen wollen, müssen Sie die anrufen. Das ist alles komplett außerhalb unserer Verantwortlichkeit!“

Das klingt zunächst bequem. Der Dienstleister betreut die Notebooks, verwaltet Microsoft 365, richtet Benutzer ein, kümmert sich um Backups und löst die Tickets. Damit hat das Unternehmen seine IT ausgelagert.

Nur leider hat es gedanklich gleich die Verantwortung mit auf den Transporter geladen.

Auf die nächsten Fragen folgen häufig erstaunlich lange Pausen: Wer besitzt administrative Rechte? Wo liegen die Daten? Was wird gesichert – und wurde eine Wiederherstellung schon einmal getestet? Wie schnell wird ein ausgeschiedener Mitarbeiter gesperrt? Welche Unterauftragnehmer nutzt der Dienstleister? Welche Sicherheitsvorfälle muss er melden? Und woran erkennt das Unternehmen eigentlich, ob der Dienstleister seine Arbeit sicher erledigt?

Die unbequeme Antwort lautet: Ein Unternehmen kann viele IT-Aufgaben auslagern. Nach ISO 27001 muss es die sicherheitsrelevanten Abhängigkeiten und Leistungen trotzdem selbst verstehen und steuern.

Die kurze Antwort: Betrieb auslagern ja, Verantwortung auslagern nein

Niemand verlangt, dass jedes kleine Unternehmen eigene Administratoren, ein Rechenzentrum und eine rund um die Uhr besetzte Sicherheitsabteilung unterhält. Ein guter IT-Dienstleister kann professioneller, stabiler und sicherer arbeiten, als ein Unternehmen es mit einer halben internen Stelle jemals könnte.

Die ISO 27001 verbietet Outsourcing nicht. Sie verlangt aber, dass das Unternehmen weiß, wovon es abhängig ist, welche Anforderungen gelten, welche Risiken daraus entstehen und wie externe Leistungen kontrolliert werden.

Der Dienstleister kann Benutzer anlegen, Systeme patchen, Backups betreiben und Alarme bearbeiten. Das Unternehmen muss jedoch entscheiden, welche Benutzer welche Rechte brauchen, wie lange ein Ausfall tragbar ist, welche Daten besonders schützenswert sind und welche Nachweise es vom Dienstleister erwartet.

Anders gesagt: Der Dienstleister kann die Arbeit übernehmen. Er kann dem Unternehmen aber nicht abnehmen, zu wissen, was es braucht.

Schon beim Anwendungsbereich kommt der Dienstleister wieder herein

Manchmal lautet die Idee: „Unsere IT liegt außerhalb des Anwendungsbereichs, weil sie von einem anderen Unternehmen betrieben wird.“ Das funktioniert nicht automatisch.

Abschnitt 4.3 c) der ISO 27001 verlangt bei der Festlegung des ISMS-Anwendungsbereichs, die Schnittstellen und Abhängigkeiten zwischen den eigenen Tätigkeiten und den Tätigkeiten anderer Organisationen zu berücksichtigen. Genau das ist ein externer IT-Dienstleister.

Wenn die im Scope liegende Dienstleistung ohne Microsoft 365, das Rechenzentrum, den extern betriebenen Helpdesk oder das vom Dienstleister verwaltete Identitätsmanagement nicht erbracht werden kann, besteht eine relevante Abhängigkeit. Der Anbieter muss deshalb nicht selbst Teil des zertifizierten Unternehmens werden. Seine Leistung verschwindet aber auch nicht aus dem ISMS.

Der Anwendungsbereich darf sinnvoll begrenzt werden. Aber die wichtigen Abhängigkeiten müssen trotzdem im Blick behalten werden.

Der letzte Satz aus 8.1 ist ziemlich eindeutig

Abschnitt 8.1 behandelt die betriebliche Planung und Steuerung des ISMS. Sein letzter Satz verlangt sinngemäß, dass extern bereitgestellte Prozesse, Produkte oder Dienstleistungen, die für das ISMS relevant sind, gesteuert werden.

Die Formulierung ist bewusst breit. Es geht nicht nur um einen vollständig ausgelagerten Prozess. Auch eingekaufte Produkte und einzelne Dienstleistungen können relevant sein. Dazu gehören beispielsweise:

• der externe Administrator,
• Managed Workplace und Managed Firewall,
• Microsoft 365 oder Google Workspace,
• Cloud-Infrastruktur bei AWS, Azure oder einem Hosting-Anbieter,
• Backup-, Monitoring- oder Security-Dienstleistungen,
• ein extern betriebenes ERP-, CRM- oder Ticketsystem,
• Rechenzentrum, Internetanbindung und Telekommunikation,
• Support- und Wartungszugriffe eines Softwareherstellers.

„Steuern“ heißt nicht, dass Sie jeden Handgriff des Dienstleisters beaufsichtigen. Es heißt, dass Sie Kriterien und Anforderungen festlegen, Verantwortlichkeiten klären, die Leistung angemessen überwachen und auf Probleme oder Änderungen reagieren.

Wer einen Dienstleister nur bezahlt und ansonsten nur ganz viel Hoffnung hat, betreibt kein Lieferantenmanagement. Er hat lediglich eine wiederkehrende Abbuchung eingerichtet.

Was das Unternehmen selbst wissen muss

Welche Leistungen beziehen wir überhaupt?

Schon diese Frage ist in vielen Unternehmen nicht vollständig beantwortet. Der Dienstleister ist seit zwölf Jahren dabei, der Vertrag wurde mehrfach ergänzt und vieles läuft nach dem Prinzip „Das macht der Thomas von der IT immer für uns.“

Erstellen Sie keine hundertseitige Leistungsarchitektur. Aber halten Sie verständlich fest, welche Systeme und Leistungen extern betrieben werden, welche Unternehmensprozesse davon abhängen, wer Ansprechpartner ist und wie kritisch die Leistung ist. Das passt unmittelbar zum Asset Management.

Welche Informationen und Prozesse hängen daran?

Der gleiche Dienstleister kann für zwei Kunden völlig unterschiedliche Risiken verursachen. Ein Ausfall des E-Mail-Systems ist unangenehm. Der Ausfall einer rund um die Uhr benötigten Leitstelle ist etwas anderes. Ein Supportzugriff auf öffentliche Produktinformationen ist anders zu bewerten als ein Zugriff auf Gesundheitsdaten oder Konstruktionsunterlagen.

Deshalb kann der Dienstleister die Risikobewertung nicht allein erstellen. Er kennt möglicherweise die Technik. Das Unternehmen kennt die Tragweite, die daran hängt. Beides muss im Risikomanagement zusammengebracht werden.

Wer darf was entscheiden?

Der Dienstleister darf nicht aus Bequemlichkeit zur Schatten-Geschäftsführung der IT werden. Er kann empfehlen, welche Rechte technisch sinnvoll sind. Ob ein Vertriebsmitarbeiter Zugriff auf alle Kundendaten benötigt, ist aber eine Entscheidung des Unternehmens.

Dasselbe gilt für Aufbewahrungszeiten, Freigaben, Notfallprioritäten, akzeptierte Restrisiken und die Frage, welche Systeme abgeschaltet werden dürfen. Saubere Rollen und Verantwortlichkeiten müssen deshalb die Schnittstelle zum Dienstleister einschließen.

Was in Vertrag und Leistungsbeschreibung gehört

Ein Vertrag mit dem Satz „Der Auftragnehmer gewährleistet angemessene IT-Sicherheit“ klingt feierlich, hilft im Streitfall aber nur begrenzt. Angemessen für wen? Welche Leistung? Welche Reaktionszeit? Welcher Nachweis?

Je nach Kritikalität sollten unter anderem geregelt sein:

• Leistungsumfang und klare Zuständigkeiten,
• Verfügbarkeit sowie Reaktions- und Wiederherstellungszeiten,
• Umgang mit administrativen und privilegierten Rechten,
• Patch-, Schwachstellen- und Konfigurationsmanagement,
• Backup, Aufbewahrung und Wiederherstellungstests,
• Protokollierung und Bereitstellung relevanter Logs,
• Meldewege und Fristen bei Sicherheitsvorfällen,
• Einsatz und Wechsel von Unterauftragnehmern,
• Standorte der Datenverarbeitung und einschlägige rechtliche Anforderungen,
• Prüf-, Auskunfts- und Nachweisrechte,
• Rückgabe, Übertragung und Löschung von Daten beim Vertragsende,
• Unterstützung beim Wechsel zu einem anderen Anbieter.

Nicht jeder kleine Lieferant braucht einen Vertrag von der Stärke des Telefonbuchs von Mexiko City. Die Regelungen müssen zur Leistung und zum Risiko passen. Bei geschäftskritischer IT reicht „Rufen Sie bei Problemen den Thomas an oder wie der noch gleich hieß“ allerdings nicht.

Welche Gesetze, Kundenverträge und sonstigen Vorgaben dabei zu berücksichtigen sind, gehört in die Betrachtung der rechtlichen und vertraglichen Anforderungen.

Das Zertifikat des Dienstleisters hilft – aber es erledigt Ihre Arbeit nicht

Ein ISO 27001-Zertifikat des Dienstleisters ist ein guter Nachweis. Es zeigt, dass ein ISMS durch eine unabhängige Stelle geprüft wurde. Es ist deutlich besser als die Aussage „Sicherheit ist uns sehr wichtig“ auf einer Hochglanzfolie.

Trotzdem sollten Sie mindestens prüfen:

• Ist das Zertifikat gültig?
• Wer hat es ausgestellt?
• Welcher Anwendungsbereich steht darauf?
• Umfasst dieser Scope tatsächlich die Leistung, die Sie beziehen?
• Welche Standorte und Gesellschaften sind erfasst?

Das Zertifikat sagt außerdem nicht automatisch, dass Ihr eigener Tenant sinnvoll konfiguriert ist, Ihre Benutzerrechte stimmen oder Ihr gebuchtes Leistungspaket Wiederherstellungstests enthält. Der Anbieter kann ein gutes Managementsystem haben, während Sie ein ungeeignetes Paket bestellt, kritische Optionen nicht aktiviert oder Ihre eigenen Pflichten nicht erfüllt haben.

Bei Cloud-Diensten wird diese Aufteilung oft als geteilte Verantwortung beschrieben. Der Anbieter schützt bestimmte Teile der Plattform. Der Kunde bleibt für andere Teile verantwortlich – beispielsweise Benutzer, Berechtigungen, Konfigurationen, Daten und die Auswahl der richtigen Dienste.

Lieferanten nicht nur auswählen, sondern laufend steuern

Vor Vertragsabschluss werden Fragebögen verschickt, Zertifikate eingesammelt und beeindruckende Präsentationen angesehen. Nach der Unterschrift wird es häufig still. Dabei verändern sich Leistungen, Unterauftragnehmer, Systeme, Risiken und Ansprechpartner.

Ein vernünftiges Lieferantenmanagement betrachtet deshalb den Lebenszyklus:

1. Bedarf und Sicherheitsanforderungen festlegen,
2. Anbieter auswählen und Risiken bewerten,
3. Anforderungen verbindlich vereinbaren,
4. Leistung und Nachweise überwachen,
5. Änderungen und Vorfälle bearbeiten,
6. Vertragsende und Anbieterwechsel steuern.

Das muss kein Excel-Friedhof mit 83 Spalten sein. Ein sauber aufgebauter Vorgang pro Dienstleister kann reichen. Wer ohnehin Jira verwendet, kann beispielsweise das Supplier Management in Jira abbilden.

Was will der Auditor sehen?

Der Auditor möchte vor allem erkennen, dass das Unternehmen die eigene IT-Landschaft und seine Abhängigkeiten verstanden hat. „Fragen Sie unseren Dienstleister“ ist dabei keine besonders starke Antwort.

Typische Nachweise sind:

• eine Liste oder Klassifizierung sicherheitsrelevanter Dienstleister,
• klare Leistungsbeschreibungen und Verantwortlichkeiten,
• lieferantenbezogene Risiken und Behandlungsentscheidungen,
• Verträge und Sicherheitsanforderungen,
• Zertifikate, Berichte oder andere geprüfte Nachweise,
• regelmäßige Servicegespräche und Leistungsbewertungen,
• Tickets, Berichte oder Protokolle zu Backups, Patches und Vorfällen,
• ein nachvollziehbarer Umgang mit Änderungen,
• Regelungen für Vertragsende, Datenrückgabe und Anbieterwechsel.

Der Dienstleister darf im Audit selbstverständlich fachliche Fragen beantworten. Das Unternehmen muss aber selbst erklären können, warum es diesen Anbieter nutzt, welche Anforderungen es gestellt hat, welche Risiken es akzeptiert und woran es erkennt, dass die Leistung funktioniert.

Wer seinen Dienstleister ins Audit setzt und bei jeder Frage erwartungsvoll zu ihm hinüberschaut, demonstriert vor allem eine sehr wirksame Abhängigkeit. Steuerung demonstriert er noch nicht.

Ein pragmatischer Start in fünf Schritten

1. Alle relevanten IT-Dienstleister zusammentragen. Nicht nur den Hauptanbieter, sondern auch Cloud-, Software-, Hosting-, Support- und Telekommunikationsleistungen.
2. Leistung und Abhängigkeit beschreiben. Was liefert der Anbieter und welcher Prozess würde bei einem Ausfall oder Sicherheitsproblem leiden?
3. Anforderungen und Risiken festhalten. Was brauchen Sie bei Vertraulichkeit, Integrität und Verfügbarkeit?
4. Vertrag und Nachweise abgleichen. Ist das Benötigte tatsächlich vereinbart und wird es belegt?
5. Verantwortung und Überwachung organisieren. Wer führt Servicegespräche, prüft Nachweise, verfolgt Probleme und entscheidet über Änderungen?

Damit ist noch kein perfektes Supplier Management entstanden. Aber Sie haben aufgehört, Ihre Informationssicherheit auf einer Telefonnummer und einem guten Gefühl aufzubauen.

Interesse geweckt?

Ausgelagerte IT ist kein Hindernis für eine ISO 27001-Zertifizierung. Für viele kleinere Unternehmen ist sie sogar die vernünftigste Lösung. Sie muss nur wie eine wichtige externe Leistung behandelt werden – mit bekannten Abhängigkeiten, klaren Anforderungen, geregelter Verantwortung und belastbaren Nachweisen.

Wenn Ihre Antwort auf fast jede IT-Frage derzeit „Das weiß unser Dienstleister“ lautet, ist das ein guter Zeitpunkt, die Rollen neu zu sortieren. Der Dienstleister soll Ihre IT betreiben. Ihr Unternehmen muss sie steuern.

Sie möchten das Thema in Ihrem Unternehmen sauber und pragmatisch angehen? Sprechen Sie mit uns.