Third-Party Risk Management (TPRM)-Warnungen zeigen, dass sich ein Risiko verändert, aber meist nicht, warum und wie kritisch es ist. Unklar bleibt, welche Schwachstelle die Warnung auslöst, ob sie tatsächlich relevant ist und ob eine Bedrohung bereits das eigene Netzwerk erreicht hat. Damit fehlen Entscheidungsgrundlagen für eine schnelle und wirksame Reaktion auf Drittanbieterrisiken.
Ein Statement von Jacques Noupoua, Security Client Executive bei BlueVoyant
Im Grunde besagen heutige Third-Party Risk Management (TPRM)-Warnmeldung immer dasselbe: Die Risiko-Bewertung eines externen Anbieters hat sich geändert. Eine Kennzahl hat sich verschoben. Ein neues Risiko wurde entdeckt. Was die Meldungen nicht verraten: Welche konkrete Schwachstelle der Auslöser für die Warnmeldung war. Ob es sich um einen False-Positive-Befund handelt.
Und: ob die Bedrohung bereits die Grenze zum eigenen Netzwerk erreicht – oder sogar überschritten – hat. In aller Regel sind TPRM-Systeme nicht dafür konzipiert, diese und weitere operativ entscheidende Fragen zu beantworten. Die erfolgreiche Eindämmung von Drittanbieterrisiken wird so bedeutend erschwert.
Bei kompromittierten Tier-1-Lieferanten zählt: Schwachstelle, Bedrohung und Behebung schnell klären
Eigentlich müssen in Unternehmen, wird ein wichtiger Tier-1-Lieferant kompromittiert, umgehend zwei Analyseprozesse angestoßen werden: Erstens, eine externe Untersuchung, über die ermittelt wird, welche konkrete Schwachstelle vom Angreifer ausgenutzt wurde, ob ein Fehlalarm vorliegt und ob und wie schnell die Behebung durch den betroffenen Partner erfolgt.
Zweitens, parallel dazu, eine interne Analyse, die prüft, ob die Kompromittierung, angesichts der bestehenden Schnittstellen, Zugangsdaten und Datenverbindungen zwischen Unternehmen und Partner, bereits bis ins eigene Netzwerk vorgestoßen ist. Jede der beiden Analysen erfordert ganz eigene Teams und Werkzeuge.
Während die externe Bewertung von den Risiko- oder Compliance-Teams übernommen wird, fällt die interne Forensik in den Zuständigkeitsbereich der Security Operations Centers (SOCs). Ein zentrales Problem: Da 64 Prozent aller TPRM-Programme organisatorisch außerhalb der IT-Sicherheit angesiedelt sind – etwa in der Beschaffungs-, der Finanz- oder auch der Rechtsabteilung – erfolgt die Informationsübergabe zwischen den einzelnen Einheiten meist stark verzögert, nicht selten sogar lückenhaft.
Vor einiger Zeit wurde versucht, dieses Problem technisch anzugehen, indem die Risiko-Scores direkt in das SIEM des SOC eingespeist wurden. Ein Abfall des Risiko-Scores löste nun automatisch einen Alarm im SOC aus. Das Problem: die sicherlich gut gemeinte Integration führte letztlich vor allem zu einem: einem Mehr an Grundrauschen.
Denn: eine Absinken des Scores ist kein verwertbarer Befund. Es handelt sich um ein unspezifisches Signal, das angibt, dass sich irgendwo im überwachten System ein Parameter verändert hat. Ohne eine vorgeschaltete menschliche Analyse, die die Schwachstelle identifiziert und die Möglichkeit eines Fehlalarms ausschließt wird das meist ohnehin schon überlastete SOC so lediglich mit weiteren ungefilterten Daten – ohne konkrete Kontextualisierung – geflutet.
Externe Drittanbieterrisiken und interne Bedrohungserkennung durch qualifizierte Analysten verzahnen
Um die Informationslücke zu schließen, ohne es zu einer Informationsflut kommen zu lassen, müssen externe Risikoanalyse und interne SOC-Erkennung miteinander verzahnt werden. Was benötigt wird ist eine Brücke zwischen externem Drittanbieterrisiko und interner Bedrohungserkennung, sind qualifizierte Analysten – und keine bloßen Datenpipelines.
Eine Möglichkeit, diese Herausforderung zu meistern: der Einsatz eines spezialisierten Risk Operations Centers (ROC). Es übernimmt die externe Validierung. Seine Analysten identifizieren den exakten Befund, validieren dessen Echtheit mit einer True-Positive-Rate von 98,5 Prozent und begleiten den Drittanbieter direkt bei der Behebung. Nachgewiesenermaßen lassen sich dadurch 82 Prozent der kritischen Befunde innerhalb von 90 Tagen korrigieren – verglichen mit nur 29 Prozent in unbegleiteten Kontrollgruppen.
Wird ein Zero-Day-Exploit bekannt, erfolgt die Identifikation der Drittanbietergefährdung sowie die Bereitstellung der entsprechenden Erkennungsregeln für die Kundenumgebung in weniger als 24 Stunden. Die aufbereiteten Daten werden anschließend direkt an das interne MXDR-Team weitergeleitet, das zur Unterstützung auf Plattformen wie Microsoft Sentinel und Defender zurückgreifen kann. Anstatt eines allgemein gehaltenen Rückgangs eines Risikowerts erhält das SOC-Team so konkrete Indikatoren, spezifische Zugriffsmuster und validierte Bedrohungsdaten, nach denen es dann zielgerichtet im eigenen Netzwerk suchen kann.
Externe Angriffsflächen, interne Bedrohungssuche und Abhilfemaßnahmen müssen nahtlos ineinandergreifen
Die Kombination aus Erfassung externer Angriffsflächen und zielgerichteter interner Bedrohungssuche verwandelt unstrukturierte Signale in präzise Arbeitsaufträge für Analysten. Erst wenn die Überwachung der Lieferanten-Angriffsfläche, die Koordination der Abhilfemaßnahmen und die interne MXDR-Kapazität nahtlos ineinandergreifen, wird das Risiko an der Schnittstelle zum Drittanbieter wirksam minimiert. Fehlt dagegen auch nur eine der Komponenten, wird das Fenster für potenzielle Angreifer auch weiterhin weit geöffnet bleiben.
Zentrale Erknenntnisse der DS-Redaktion
- TPRM-Warnungen fehlt der Kontext: Ursache, Relevanz und Auswirkungen auf das eigene Netzwerk bleiben oft unklar.
- Externe und interne Analysen müssen parallel erfolgen: Lieferantenrisiko und mögliche eigene Kompromittierung sind gleichzeitig zu prüfen.
- Silos verzögern die Reaktion: Fehlende Verzahnung zwischen TPRM und SOC führt zu Informationsverlusten und Verzögerungen.
- Risikowerte allein erzeugen Grundrauschen: Unvalidierte Signale überlasten SOCs, statt konkrete Handlungsoptionen zu liefern.
- Analysten verbinden Risiko und Detection: Validierte externe Erkenntnisse ermöglichen eine gezielte interne Bedrohungssuche und schnellere Abhilfe.
Fazit
Drittanbieterrisiken lassen sich nur dann wirksam reduzieren, wenn externe Risikoanalyse und interne Bedrohungserkennung nahtlos zusammenspielen. Dabei sind validierte Erkenntnisse anstatt unqualifizierter Warnsignale entscheidend.
Weitere Informationen
DATENSICHERHEIT.DE, 17.08.2026
ERP-Incident-Response-Strategie als Kernstück der Cyber- und Datensicherheit
DATENSICHERHEIT.DE, 18.07.2026
KI-Einsatz: Blinder Fleck der Cybersicherheit liegt in den Daten
DATENSICHERHEIT.DE, 27.05.2019
Cyber-Hygiene: Grundstein der IT-Security
