Drittanbieter-Risikomanagement für die Dateifreigabe

Das Drittanbieter-Risikomanagement für Dateifreigabedienste bewertet die Sicherheits-, Datenschutz-, Betriebs- und Rechtsrisiken eines Anbieters vor dem Vertragsabschluss und während der gesamten Geschäftsbeziehung. Seit MOVEit 2023 haben Risikoteams gelernt: Ein Dateiübertragungsanbieter, der kompromittiert wird, exponiert die Dateien, die Ihre Mitarbeitenden letzte Woche versendet haben – darunter möglicherweise Kundendaten, Verträge und strategische Dokumente. Ein funktionsfähiges Programm 2026 nutzt einen bewerteten Fragebogen (häufig das Shared Assessments SIG oder CAIQ der Cloud Security Alliance), verlangt SOC-2-Typ-II- oder ISO-27001-Nachweise, erzwingt einen unterzeichneten Auftragsverarbeitungsvertrag nach DSGVO Artikel 28, überwacht Datenpannen und Compliance-Mängel über Dienste wie BitSight oder SecurityScorecard und löst bei wesentlichen Änderungen eine erneute Bewertung aus.

Warum Dateifreigabeanbieter besondere Aufmerksamkeit erfordern

Dateifreigabeanbieter halten Ihre Dateien vor. Das ist ein anderes Risikoprofil als bei einem typischen SaaS-Dienst. Ein Marketing-Analytics-Tool, das kompromittiert wird, verliert Kampagnendaten. Ein Dateiübertragungsdienst, der kompromittiert wird, kann deutlich sensiblere Inhalte exponieren. Die MOVEit-Ausnutzung durch die Cl0p-Ransomware-Gruppe 2023 traf Hunderte von Organisationen über eine einzige Anbieterlücke und exponierte Dateien von Behörden, Banken und Gesundheitssystemen. Dieser Vorfall hat die Bewertung von Dateiübertragungsanbietern grundlegend verändert. Heute geht die Prüfung tiefer als bei einem Standard-SaaS-Intake und untersucht gezielt Dateibehandlungsarchitektur, Schlüsselmanagement und Reaktionsgeschwindigkeit bei Vorfällen.

Struktur der Vorvertragsbewertung

Die Vorvertragsbewertung ist mehrschichtig aufzubauen. Beginnen Sie mit dem Shared Assessments SIG Lite oder CAIQ v4 – 40 bis 100 Fragen zu Sicherheit, Datenschutz und Betriebskontrollen. SOC-2-Typ-II-Bericht (aktuell, in der Regel aus den letzten zwölf Monaten), ISO-27001-Zertifikat und branchenspezifische Zertifizierungen (HITRUST für Gesundheitskäufer, FedRAMP für US-Regierung, SecNumCloud für regulierte französische Einrichtungen) anfordern. Die Zusammenfassung des Penetrationstests prüfen: Umfang, Datum und Behebungsstatus der Befunde erfragen. DPA und Unterauftragnehmer-Liste lesen. Den Sicherheitsverantwortlichen des Anbieters per Videoanruf befragen, um zu prüfen, ob die schriftlichen Antworten mit dem tatsächlichen Wissen übereinstimmen. Jede Kategorie bewerten und Schwellenwerte festlegen, unterhalb derer ein Anbieter nicht besteht.

Der SIG-Fragebogen und seine Prioritäten

Das Shared Assessments SIG enthält Abschnitte zu Cybersicherheit, Datenschutz, Drittanbieterrisiko und mehr. Für Dateifreigabe im Besonderen liegt der Fokus auf: Informationssicherheitsrichtlinie (aktuell, genehmigt, jährlich überprüft?), Zugangskontrolle (MFA, geringstes Privileg, Sitzungskontrollen), Kryptografie (AES-256-GCM, TLS 1.3, Schlüsselmanagement), physische Sicherheit (Rechenzentrumszertifizierungen, Zugangskontrollen), Incident Response (Erkennungsfähigkeit, Reaktionszeit, Melde-SLA), Lieferantenrisikomanagement (bewertet der Anbieter seine eigenen Unterauftragnehmer?) und Business Continuity (RPO, RTO, DR-Testzyklus). Manche Fragen haben technische Präzision; akzeptieren Sie kein „Ja" ohne unterstützende Belege.

Wesentliche Inhalte des Auftragsverarbeitungsvertrags

Der AVV nach DSGVO Artikel 28 muss Gegenstand, Dauer, Art und Zweck der Verarbeitung, Datenkategorien, Kategorien betroffener Personen sowie Verantwortlichenpflichten spezifizieren. Über das Minimum hinaus sind zu verhandeln: Benachrichtigung über Änderungen bei Unterauftragnehmern mit Widerspruchsrecht, Meldezeiträume für Datenpannen (24 Stunden für wesentliche Vorfälle ist Standard für regulierte Auftraggeber), Auditrechte (Vor-Ort-Inspektionen oft begrenzt, aber Dokumentationszugang sollte unbeschränkt sein), Datenlöschung bei Vertragsende innerhalb von 30 Tagen und spezifische geografische Beschränkungen wo zutreffend. Für Dateiübertragungen insbesondere: Klauseln zum Schlüsselmanagement ergänzen – der Anbieter sollte erklären, ob er Schlüssel hält, mit denen er Kundendateien entschlüsseln kann, und unter welchen Umständen er dies täte oder könnte.

Laufendes Monitoring über die Jahresüberprüfung hinaus

Jährliche Überprüfungen erkennen langsames Abdriften. Kontinuierliches Monitoring erkennt schnelle Probleme. Externe Bewertungsdienste wie BitSight, SecurityScorecard, UpGuard und Black Kite bewerten die Sicherheitslage von Anbietern anhand beobachtbarer Signale: offene Ports, DNS-Konfiguration, SSL-Zertifikatsgesundheit, Datenpannenhistorie, geleakte Zugangsdaten. Alarmierungsschwellenwerte setzen: Ein Rückgang von 15 Punkten in der Anbieterbewertung löst eine Untersuchung aus. Datenpannen-Benachrichtigungs-Feeds abonnieren: Sicherheitsadvisories des Anbieters, CVE-Feeds für deren Technologie-Stack und Dienste wie den CISA Known Exploited Vulnerabilities-Katalog. Wenn eine CVE die Plattform eines Anbieters betrifft (wie MOVEits CVE-2023-34362), soll dies innerhalb von Stunden bekannt sein, nicht Wochen.

Verwaltung von Unterauftragnehmern

Dateiübertragungsanbieter stützen sich auf Unterauftragnehmer: Cloud-Hosts, CDN-Anbieter, E-Mail-Zustelldienste, Observability-Plattformen. Jeder Unterauftragnehmer ist eine transitive Abhängigkeit für Ihre Daten. Die aktuelle Liste vor Vertragsabschluss anfordern und eine Benachrichtigung über Änderungen mit 30 Tagen Vorlauf und Widerspruchsrecht einfordern. Jeden Unterauftragnehmer gegen die eigenen Risikokriterien prüfen. Manche regulierten Auftraggeber verlangen, dass jeder Unterauftragnehmer namentlich genannt, in akzeptablen Jurisdiktionen ansässig und unter gleichwertigen vertraglichen Bedingungen tätig ist – eine Weitergabepflicht, die DSGVO Artikel 28(4) unterstützt.

Regulatorische Treiber für strenges Drittanbieterrisikomanagement

DORA, seit dem 17. Januar 2025 anwendbar, macht Finanzunternehmen direkt für IKT-Drittanbieterrisiken verantwortlich. Artikel 30 legt Vertragselemente fest; das Informationsregister nach Artikel 28 dokumentiert jeden IKT-Anbieter. NIS2 Artikel 21 Absatz 2 Buchstabe d verpflichtet wesentliche und wichtige Einrichtungen zur Lieferkettensicherheit. DSGVO Artikel 28 regelt Auftragsverarbeiterverhältnisse; das BDSG und das TTDSG ergänzen in Deutschland mit nationalen Anforderungen. Der BfDI als Bundesbeauftragter für den Datenschutz und die Informationsfreiheit setzt zunehmend auf die Überprüfung aktiver Drittanbieter-Programme. Der Trend: Regulierungsbehörden wollen aktive Programme sehen, keine einmaligen Checklisten.

Ausstiegsstrategie und Risiko durch Anbieterkonzentration

Wenn ein Anbieter ausfällt, muss der Ausstieg reibungslos verlaufen. Der AVV sollte die Datenrückgabe oder -löschung in nutzbaren Formaten (ZIP, JSON, CSV gemäß den Portabilitätsbestimmungen des Data Acts) innerhalb von 30 Tagen zusichern. Die Ausstiegsprozedur testen: In einer Nicht-Krisensituation einen Export anfordern, um zu überprüfen, dass er funktioniert. Das Risiko durch Anbieterkonzentration beachten: ein einziger Anbieter für Dateiübertragung, Speicher, E-Mail und Zusammenarbeit bedeutet, dass eine einzige Datenpanne kaskadenweise Folgen haben kann. Diversität bei sicherheitssensitiven Funktionen reduziert die Schadenswirkung.

Koordination bei Vorfällen mit Anbietern

Wenn ein Anbietervorfall Ihre Daten betrifft, hängt Ihre Reaktion von deren Reaktion ab. Kommunikationskanäle vorab vertraglich festlegen. Der Sicherheitsverantwortliche des Anbieters sollte den Kontakt Ihrer Sicherheitsverantwortlichen kennen. Während eines aktiven Vorfalls sollte der Anbieter bereitstellen: was passiert ist, wann er es erkannte, welche Kundendaten potenziell betroffen sind, den Eindämmungsstatus und empfohlene Kundenmaßnahmen. Forensische Details können später folgen, aber frühzeitige Kommunikation mit anerkannter Unsicherheit ist besser als Schweigen. Anbieter anhand ihres historischen Verhaltens bei Vorfällen beurteilen: Wie sie frühere Vorfälle kommuniziert haben, sagt voraus, wie sie den nächsten handhaben werden.

HexaTransfer veröffentlicht seine Unterauftragnehmer-Liste und nutzt clientseitige Ende-zu-Ende-Verschlüsselung, sodass der Dienst im Falle eines Vorfalls keine Klartextdaten preisgeben kann. Jetzt kostenlos testen unter https://hexatransfer.com – kein Konto erforderlich, bis zu 10 GB.

Drittanbieter-Risikomanagement ist mit guten Anbietern keine Konfrontation. Die besten Anbieter begrüßen detaillierte Fragen, weil ihre Antworten sie differenzieren. Das Programm, das funktioniert, kombiniert eine solide Vorvertragsbewertung, einen gut verhandelten Vertrag, kontinuierliches externes Monitoring und geübte Vorfallkoordination. Sobald diese Elemente vorhanden sind, lässt sich die Frage „Sollen wir Anbieter X nutzen?" mit Belegen statt mit Bauchgefühl beantworten.