Ponemon-Studie zu Risiken in der Lieferkette Warum Fremdzugriffe zum Sicherheitsrisiko werden

Über die Hälfte der deutschen Unternehmen erlebten Cyberattacken durch externe Nutzer aus der Lieferkette. Trotzdem mangelt es vielerorts an zentraler Kontrolle und klaren Strategien für Drittanbieter-Zugriffe. Das ergab eine Befragung von fast 2.000 IT-Verantwortlichen und IT-Sicherheitsverantwortlichen auf drei Kontinenten.

Unternehmen unterschätzen ein bestimmtes IT-Sicherheitsrisiko: Der Zugriff auf ihr Firmennetzwerk durch Anwender aus der eigenen Lieferkette. Das ergab eine Befragung von fast 2.000 IT-Verantwortlichen und IT-Sicherheitsverantwortlichen auf drei Kontinenten. Während in den USA und in Australien 42 Prozent der Befragten angaben, dass ihr Unternehmen in den letzten zwölf Monaten Opfer eines Datenlecks oder einer Cyberattacke wurde, die durch oder mittels Zugriff aus der eigenen Lieferkette verursacht wurde, waren es in Deutschland über die Hälfte, nämlich 51 Prozent. Fast zwei Drittel, 64 Prozent aller Befragten, erwarten, dass diese Gefahr in Zukunft gleich bleibt oder sogar steigt, lediglich in Australien teilen nur 57 Prozent diese Einschätzung. Dabei ist rund 48 Prozent der Befragten aus UK, Deutschland und Australien bewusst, dass der Zugriff durch externe Anwender von Fremdfirmen in der Lieferkette auf das Netzwerk ihres Unternehmens ein hohes Risiko darstellt, lediglich in den USA liegt diese Zahl mit 51 Prozent etwas höher. Die Befragung wurde vom Ponemon Institut in Deutschland, den USA, UK und Australien Ende 2024 gemeinsam mit Imprivata durchgeführt.

Strategien zur Lieferkettensicherheit

Cyberangriffe gefährden die Stabilität globaler Lieferketten

Ohne den Zugriff von außen auf die IT-Services einer Firma kann heute praktisch kein Unternehmen mehr erfolgreich existieren. Eine Vielzahl von externen Anwendern und Applikationen greift in komplexen Lieferketten tagtäglich mehr oder weniger kontrolliert auf die IT-Ressourcen eines Unternehmens zu. Dabei handelt es sich um Mitarbeitende und Systeme von Lieferanten, Zulieferern, Subunternehmen und Dienstleistern sowie andere Externe, wie Zeitarbeitskräfte, selbstständige Beratende oder sonstige freie Mitarbeitende.

Gefahr durch Mitarbeiter von Fremdfirmen

Unternehmen sind heutzutage zwar angehalten, Maßnahmen mit Richtlinien und Prozessen für Datenschutz und Datensicherheit zu implementieren, dabei wird allerdings nicht zwischen internen und externen Anwendern unterschieden. Diese Verordnung befindet sich derzeit auf europäischer Ebene in der Ausarbeitung. Verantwortliche der IT-Sicherheit stehen vor der Herausforderung, dass externen Anwender und Applikationen dem operativen Zugriff entzogen sind, sobald die eigene organisatorische und netzwerktechnische Unternehmensgrenze erreicht ist. Diese operative Entkopplung entzieht den verantwortlichen Unternehmen die Möglichkeit des direkten Durchgriffs bei der Umsetzung notwendiger sicherheitsrelevanter Maßnahmen. Dieser fehlende disziplinarische Durchgriff erschwert auch die Durchsetzung der Richtlinien für digitale Identitäten, mit denen der Zugriff auf Unternehmens-IT-Netzwerke geregelt wird. 58 Prozent der Befragten gaben an, keine einheitliche Strategie für die Verwaltung von Zugängen und Berechtigungen für Externe zu haben.

Reduzieren Sie Risiken Dritter

Sie sind nur so stark wie das schwäch­ste Glied in Ihrem Netzwerk

Fehlender Überblick über Fremdzugriffe

Der Begriff „Fremdzugriff“ ist in diesem Zusammenhang irreführend. Grundsätzlich sollte man davon ausgehen, dass externe Anwender und Systeme bekannt sein sollten und somit nicht als „fremd“ bezeichnet werden können. Allerdings sollte im Kontext des Zero-Trust-Prinzips jeder Zugriff durch externe Anwender und Systeme als „Fremdzugriff“ gewertet werden, weil dadurch die Kritikalität und das Sicherheitsrisiko verdeutlicht werden können

Fast die Hälfte aller Befragten (47 Prozent) gab an, dass ihr Unternehmen im letzten Jahr von einer Datenverletzung oder einem Cyberangriff betroffen war, bei dem aus der (vertrauten) Infrastruktur eines seiner Lieferanten oder anderer Externer auf die eigene IT-Infrastruktur zugegriffen wurde. Und von diesen gaben wiederum 34 Prozent an, dass ihr Netzwerk angegriffen werden konnte, weil ein/e Externe/r zu weitreichende Zugriffsrechte besaß. Das ist immer noch eine hohe Zahl, aber deutlich weniger als die 70 Prozent im Jahr 2022.

Besorgniserregend ist zudem die Tatsache, dass 35 Prozent der Befragten, die von einer Datenschutzverletzung betroffen waren, angaben, dass sie sich nicht sicher sind, ob ein zu umfassender Zugang für Dritte die Ursache für diese Verletzungen war. Das lässt darauf schließen, dass Unternehmen nur einen begrenzten (oder gar keinen) Überblick über die Anzahl der externen Anwender und Systeme haben, die auf ihr Netzwerk zugreifen, und wie sie dies tun.

In Deutschland gaben immerhin 50 Prozent der Befragten an, dass ihr Unternehmen über eine umfassende Dokumentation aller dritten Parteien mit Zugriff auf das Netzwerk verfügt. In UK dagegen sind es nur 45 Prozent, in den USA 46 Prozent. Die fehlende Dokumentation in rund der Hälfte der Unternehmen lässt darauf schließen, dass die durchschnittliche Anzahl der Drittanbieter mit Zugriffsrechten möglicherweise viel höher liegt.

Damit fehlt es bei der Hälfte der Unternehmen der Befragten an Transparenz darüber, was Externe mit dem ihnen gewährten Zugang tun, sowie an der Fähigkeit, diesen Zugang zu kontrollieren und zu erkennen, wenn er kompromittiert wurde.

Fünf Schritte zur Cyberresilienz

So schützen Unternehmen sich vor millionen­schweren Schäden

Anhaltendes Risiko mit dramatischen Folgen

Cyberattacken, an denen zugangsberechtigte Dritte beteiligt waren, hatten unabhängig von der unmittelbaren Ursache meistens schwerwiegende Folgen. Zu den Häufigsten zählten nach Angaben aller Befragten der Verlust oder Diebstahl sensibler und vertraulicher Daten (53 Prozent), Geldstrafen (50 Prozent) und belastete Geschäftsbeziehungen (49 Prozent). Für Deutschland weichen die Zahlen nur geringfügig ab, hier werden Datenverlust und Belastung der Geschäftsbeziehungen jeweils von 55 Prozent der Befragten genannt, Strafzahlungen von 47 Prozent.

64 Prozent aller Befragten erwarten, dass die Zahl der Sicherheitsverletzungen durch Dritte in den nächsten 12 bis14 Monaten zunehmen oder mindestens gleichbleiben wird, in Deutschland sogar 68 Prozent. In Verbindung mit der Erkenntnis, dass die Zugriffsmöglichkeiten für Dritte zur schwächsten Angriffsfläche eines Unternehmens werden – einer Aussage, der 48 Prozent aller Befragten, 47 Prozent in Deutschland, zustimmten - stellt dies ein Problem dar. Die Erwartung wachsender oder gleichbleibender potenzieller Sicherheitsverletzungen in Verbindung mit der Überzeugung, dass der Zugriff durch Dritte zunehmend zur schwächsten Angriffsfläche wird, verheißt für die nahe Zukunft nichts Gutes.

Da so viele Dritte Zugang zum Netzwerk haben, muss die ordnungsgemäße Sicherung dieses Zugangs höchste Priorität haben. Und hier gibt es eine gute Nachricht: 47 Prozent der Befragten gaben an, dass ihre Unternehmen bzw. ihre IT- oder IT-Sicherheitsabteilung die Sicherheit des Zugriffs von Externen und Lieferanten auf ihr Netzwerk zu einer Priorität machen. Die beiden wichtigsten operativen Maßnahmen sind einerseits die Verwaltung der Zugänge (Konten und Berechtigungen) sowie die Überwachung der Aktivitäten durch externe Anwender und Systeme. Dabei ist die Überwachung der Systeme kritisch zu bewerten, da die Aktivitäten ohne bewusste oder aktive Benutzerinteraktion erfolgen.

Und tatsächlich gaben sogar 73 Prozent aller Befragten an, dass ihr Unternehmen über eine Vendor-Privileged-Access-Management-Lösung verfügt, in Deutschland sogar 77 Prozent. Mit einer VPAM-Lösung lässt sich regeln, wie der Zugriff eines Externen erfolgen darf und welche Rechte er im Netzwerk hat. Allerdings sind nur 55 Prozent, in Deutschland 52 Prozent, dieser Gruppe davon überzeugt, dass ihre VPAM-Lösung den Missbrauch von privilegierten Zugängen Externer wirksam verhindert.

HP Wolf Security-Studie

Angriffsziel Hardware-Lieferkette

Hoher Aufwand und hohe Komplexität als Hürden

Die Ursachen, dass trotz VPAM-Lösungen und gutem Willen in Unternehmen, die Zugriffe durch Externe nicht ausreichend verwaltet und überwacht werden, liegen darin, dass sich IT-Abteilungen damit überfordert fühlen und die Ressourcen zusätzlich belastet werden. Das gaben 44 Prozent aller Befragten an, in Deutschland 38 Prozent. Sie sagten weiterhin aus, dass die größten Hindernisse bei der Verringerung der Zugriffsrisiken durch Externe in der fehlenden Kontrolle oder Steuerung (50 Prozent), der Komplexität der Compliance- und gesetzlichen Anforderungen (48 Prozent) und den unzureichenden Ressourcen oder Budgets (41 Prozent) liegen. Auffällig ist hier, dass die Befragten aus Deutschland nur zu 27 Prozent die fehlenden Ressourcen nannten, aber zu 59 Prozent die komplexen Anforderungen durch Gesetze und Compliance. Bei der mangelnden Kontrolle liegen sie nur drei Prozent unter dem Durchschnitt.

Die Hälfte aller Befragten gab, an dass ihr Unternehmen keine umfassende Dokumentation über Zugriffsrechte Externer verfügt, in Deutschland liegt die Zahl bei 44 Prozent (oder war sich nicht sicher, ob sie eine solche besitzen). Die am häufigsten genannten Gründe dafür waren fehlende Ressourcen für die Überwachung von Drittanbietern (45 Prozent) und keine zentrale Kontrolle über die Beziehungen zu Drittanbietern (37 Prozent), in Deutschland gaben sogar 42 Prozent fehlende zentrale Kontrolle an.

Als Fazit lässt sich feststellen, dass sowohl in der Administration, als auch in der Überwachung großes Optimierungspotential besteht.

SBOM, CI/CD-Pipeline & mehr

7 Maßnahmen für sichere Software-Lieferketten

Unklare Zuständigkeiten und mangelnde Vorabprüfung

Ein weiterer Grund dafür, dass der Umgang mit den Zugängen Externer so schwerfällt, liegt in den unklaren Zuständigkeiten. Auf die Frage, wer die hauptsächliche für Drittanbieterzugriffe zuständig ist, verteilten sich die Antworten nahezu unabhängig vom Land gleichgewichtig auf sieben (!) Bereiche: von der IT, IT-Sicherheit über die Compliance- und Rechtsabteilung und Interne Revision bis hin zu Personalabteilung, Risikomanagement und den Fachabteilungen.

Deutlich über die Hälfte aller Befragten, 55 Prozent, gab an, dass ihr Unternehmen die Sicherheits- und Datenschutzpraktiken Dritter nicht bewertet, bevor sie diese in eine Geschäftsbeziehung einbinden, die den Zugriff auf sensible oder vertrauliche Daten erfordert. In Deutschland waren dies sogar 62 Prozent. Auf die Frage, warum diese Bewertung nicht stattfindet, antworteten 62 Prozent, dass ihr Unternehmen darauf vertraut, dass Dritte Informationen schützen. Gleichzeitig gaben 61 Prozent der Befragten auch in Deutschland zu, dass es an Ressourcen zur Überprüfung und Verifizierung fehlt.

Auffällig dabei ist, dass 57 Prozent aller Befragten und 62 Prozent aus Deutschland sagten, dass ihre Unternehmen sich vor dem Missbrauch privilegierter Zugangsrechte durch interne Mitarbeiter schützen, indem sie gründliche Überprüfungen vornehmen. Die Diskrepanz ist kaum zu übersehen: Unternehmen scheinen strengere Regeln für die Bewertung interner Benutzer zu haben als für Externe. Dies könnte eine Erklärung dafür sein, warum fast die Hälfte aller Befragten der Meinung ist, dass der Fernzugriff durch Dritte zur schwächsten Angriffsfläche wird.

Strategien und Einsatz effektiver Tools erforderlich

64 Prozent aller Befragten, 68 Prozent in Deutschland, gehen davon aus, dass die Zahl der Sicherheitsverletzungen im Zusammenhang mit der Nutzung eigener IT-Services durch Dritte in den nächsten 12 bis 14 Monaten zunehmen oder gleichbleiben wird. Aber 58 Prozent der Unternehmen aller Befragten, 50 Prozent der Befragten in Deutschland, haben keine Strategie für den Zugriff von Externen, die konsequent angewandt wird.

In der Realität lässt die Bekämpfung von Risiken im Zusammenhang mit dem Zugriff Externer also noch viel zu wünschen übrig, das ist auch den Cyberkriminellen bewusst, die jede Schwäche eines Unternehmens ausnutzen. Die Chance besteht darin, sicherzustellen, dass Maßnahmen und Tools strategisch und konsequent angewandt werden - für alle privilegierten Zugriffsanforderungen. Die Zugriffssicherheit sowohl für interne Benutzer als auch für Dritte muss effizienter und effektiver gestaltet werden.

Über die Studie: Das Ponemon Institut befragte Ende 2024 1.942 IT- und IT-Sicherheitsverantwortliche in den USA (733), Großbritannien (398), Deutschland (573) und Australien (238), die der Verwaltung von privilegierten Zugängen sowohl von Dritten als auch von internen Benutzern in ihren Unternehmen bzw. ihrer Organisation vertraut sind. Die Befragten gehören Unternehmen aus folgenden Branchen an: Gesundheitswesen (11 Prozent), der öffentliche Sektor (23 Prozent), Industrie und Fertigung (32 Prozent) sowie Finanzdienstleistungen (34 Prozent).

Über den Autor: Dirk Wahlefeldt ist Manager Unimate Tech Services bei der Imprivata GmbH.

(ID:50384897)