Wie Sie einen Cybersecurity-Dienstleister vor der Unterschrift prüfen

Um einen Cybersecurity-Dienstleister zu prüfen, klären Sie vor der Unterschrift 5 Dinge: was genau er tun wird, welche Zugänge er braucht, wie er seine eigene Sicherheit belegt, wie er Funde und Vorfälle meldet und was mit Ihren Daten geschieht, wenn der Vertrag endet. Lassen Sie sich jede Antwort schriftlich geben und gleichen Sie sie mit dem Vertrag ab.

Das ist wichtig, weil ein Sicherheitsdienstleister ein Lieferant mit ungewöhnlicher Reichweite ist. Manche beobachten Ihr Unternehmen nur von außen, manche installieren Agenten auf jedem Gerät, manche halten Administrator-Zugangsdaten. Die Hinweise der CISA für Kunden von Managed Service Providern sagen es deutlich: Das Auslagern der IT-Verwaltung entbindet eine Organisation nicht von ihrer Verantwortung für das Risikomanagement.

Die folgenden Fragen eignen sich für Monitoring-Dienste, Penetrationstester, Managed Detection and Response und Berater.

1. Den Umfang in klarer Sprache festlegen

Bitten Sie den Dienstleister, in einem Absatz zu beschreiben, was er tun wird und was nicht. Eine gute Antwort nennt die Assets (Domains, IP-Bereiche, Anwendungen, Geräte), die Tätigkeiten (Monitoring, Tests, Konfiguration, Reaktion) und die Häufigkeit.

Achten Sie auf:

• Vage Beschreibungen wie „Rundumschutz“ ohne Liste der Assets.
• Tätigkeiten, die Ihre Systeme verändern, ohne klaren Freigabeschritt.
• Ergebnisse, die nur aus einem Score oder einem Dashboard bestehen, ohne Erklärung der einzelnen Funde.

2. Verstehen, welche Zugänge nötig sind und warum

Zugänge sind der größte Unterschied zwischen Dienstleistern. Fragen Sie:

• Brauchen Sie Zugangsdaten, VPN-Zugang, einen Agenten oder einen API-Schlüssel? Wofür genau?
• Ist der Zugang nur lesend, oder kann er Einstellungen ändern?
• Ist jedes Konto namentlich zugeordnet, mit Multi-Faktor-Authentifizierung geschützt und protokolliert?
• Wie schnell können wir den Zugang entziehen?

Die CISA empfiehlt, Konten von Dienstleistern auf die Systeme zu beschränken, die sie verwalten, und sie aus Administratorgruppen herauszuhalten. Kann ein Dienst mit weniger Zugang arbeiten, ziehen Sie diese Lösung vor. Manche Dienste, etwa externes Attack Surface Monitoring, brauchen gar keinen (siehe was externes Attack Surface Monitoring ist).

3. Auf schriftlicher Beauftragung für jeden Test bestehen

Jede Tätigkeit, die Ihre Systeme abtastet oder testet, braucht Ihre schriftliche Beauftragung mit genauen Zielen und Zeitfenster. In den USA fällt der unbefugte Zugriff auf einen Computer unter den Computer Fraud and Abuse Act, 18 U.S.C. 1030, und andere Länder haben ähnliche Gesetze.

Ein professioneller Dienstleister bittet Sie um dieses Dokument, bevor er beginnt. Seien Sie vorsichtig bei jedem, der anbietet, Systeme zu testen, die Ihnen nicht gehören, etwa die Website eines Partners, oder der mit Scans beginnt, bevor die Unterlagen unterschrieben sind. Das zeigt Ihnen auch, wie er mit den Systemen anderer umgehen wird, während er für Sie arbeitet.

4. Nachweise verlangen und dann prüfen

Aussagen in einer Verkaufspräsentation sind keine Nachweise. Verlangen Sie:

• Unabhängige Prüfberichte oder Zertifizierungen, wo relevant, etwa einen SOC 2 Report oder eine Zertifizierung nach ISO/IEC 27001. Prüfen Sie den Geltungsbereich: welche Dienste und Standorte abgedeckt sind.
• Einen Beispielbericht mit Funden, damit Sie beurteilen können, ob Ihre Entwickler damit arbeiten könnten.
• Wer die Funde prüft: ein Mensch oder nur automatisierte Ausgaben.
• Eine Liste der Subunternehmer und des Speicherorts Ihrer Daten.

Machen Sie danach selbst einen kurzen Check der äußeren Hygiene des Dienstleisters. Eine Sicherheitsfirma sollte die Grundlagen erfüllen:

dig +short TXT _dmarc.provider-example.com
curl -sI https://provider-example.com | grep -i -E "strict-transport|content-security"

Ein fehlender DMARC-Eintrag oder fehlende Sicherheitsheader beweisen keine schlechte Arbeit, sind aber eine berechtigte Frage. Unsere Artikel zu SPF, DKIM und DMARC und zu HTTP-Sicherheitsheadern erklären, worauf Sie achten sollten.

5. Meldungen, Vorfälle und Ausstieg vereinbaren

Funde und Vorfälle

Fragen Sie, wie ein Fund Sie erreicht: per E-Mail, Ticket, Telefon, über ein Portal? Wer erhält ihn, und wie schnell? Gute Funde nennen, was beobachtet wurde, warum es wichtig ist und die genauen Schritte zur Behebung.

Für Vorfälle, die Sie betreffen, gehört eine Meldepflicht in den Vertrag. Fallen Sie unter NIS2 oder beliefern Sie Unternehmen, die darunter fallen, nennt die Durchführungsverordnung (EU) 2024/2690 (Anhang, Nummer 5.1.4) Vertragsklauseln wie die Meldung von Vorfällen ohne unangemessene Verzögerung, das Recht auf Audits oder Prüfberichte, den Umgang mit Schwachstellen, Regeln für Unterauftragnehmer und Pflichten bei Vertragsende. Sie ist auch außerhalb ihres Anwendungsbereichs eine nützliche Vorlage; siehe NIS2 für Lieferanten.

Den Ausstieg vor dem Start planen

Fragen Sie, was bei Vertragsende passiert:

• Welche Daten der Dienstleister über Sie hält und wie sie zurückgegeben und gelöscht werden.
• Wie seine Zugänge, Agenten und Konten entfernt werden und wie Sie das bestätigen können.
• Ob Berichte und Verlauf für Sie verfügbar bleiben.
• Kündigungsfristen und ob Sie den Dienstleister wechseln können, ohne Ihre Unterlagen zu verlieren.

Eine kurze Checkliste

• Umfang schriftlich: Assets, Tätigkeiten, Häufigkeit.
• Minimale Zugänge, namentliche Konten, Multi-Faktor-Authentifizierung, einfacher Entzug.
• Schriftliche Beauftragung vor jedem Test.
• Prüfberichte oder Zertifizierungen, Geltungsbereich geprüft.
• Beispielbericht mit umsetzbaren Schritten zur Behebung, von einem Menschen geprüft.
• Meldepflicht für Vorfälle im Vertrag.
• Subunternehmer und Speicherort der Daten aufgeführt.
• Ausstiegsplan: Rückgabe und Löschung der Daten, Entfernung der Zugänge.

Wie Datahorses arbeitet

Datahorses beobachtet Ihr Unternehmen jeden Tag von außen, sieht, was ein Angreifer sehen kann, und sendet jeden Fund mit genauen Schritten zur Behebung, geprüft von einem Menschen. Wir dringen nicht in Ihre Systeme ein und benötigen keine Zugänge, es gibt also auch kein Konto, das Sie entziehen müssten. Lesen Sie, was wir überwachen, die häufigen Fragen und über uns, oder sehen Sie sich das vollständige Beispiel-Dashboard an, bevor Sie sich entscheiden.