Das Risiko sitzt manchmal beim Dienstleister

Die amerikanische Einzelhandelskette Target musste Ende 2013 einen der bis dahin größten Datendiebstähle im Einzelhandel einräumen. Angreifer erbeuteten die Kartendaten von rund 40 Millionen Kunden und die Kontaktdaten von bis zu 70 Millionen Kunden. In das Netzwerk gelangten sie über die gestohlenen Zugangsdaten eines kleinen Dienstleisters für Heizungs- und Klimatechnik, der für Wartungsarbeiten Zugriff auf Systeme von Target besaß.

Target hatte erheblich in die eigene IT-Sicherheit investiert und verfügte über vergleichsweise ausgereifte Schutzmechanismen. Diese bezogen sich in erster Linie auf die Systeme, die Target selbst kontrollierte. Der Dienstleister, dessen Kerngeschäft weit von der IT-Sicherheit entfernt lag, war deutlich schwächer geschützt und besaß dennoch einen Zugang, der ausreichte, um tief in die Systeme von Target vorzudringen. Hinzu kam, dass die Überwachungssoftware von Target während des Angriffs Alarm schlug, ohne dass das Unternehmen rechtzeitig reagierte.

Viele Organisationen lagern Aufgaben an spezialisierte Dienstleister aus, um die eigene Komplexität zu verringern. Der Fall Target zeigt, dass eine Auslagerung die operative Aufgabe verlagert und das Risiko dabei im eigenen Haus lässt. Gegenüber den Kunden bleibt das Unternehmen für den Schutz ihrer Daten verantwortlich, gleich über wie viele vertragliche Zwischenstationen der technische Zugang zu diesen Daten verläuft.

Das betrifft weit mehr als den Einzelhandel. Datenschutz, IT-Sicherheit, Auftragsverarbeitung und Cloud-Dienste stellen Wirtschaftsunternehmen, Vereine und kirchliche Einrichtungen vor dieselbe Frage. Wer einem Dienstleister Zugang zu eigenen Systemen oder Daten gewährt, muss dessen Sicherheitsvorkehrungen mit vergleichbarer Sorgfalt prüfen wie die eigenen, selbst bei Dienstleistern, deren Geschäft mit Informationstechnik nichts zu tun hat. Der Umfang einer Geschäftsbeziehung sagt dabei wenig über den Umfang des Risikos aus, das sie mit sich bringt.

Wer Aufgaben auslagert, behält das Risiko. Dienstleister mit Zugang zu eigenen Systemen oder Daten verdienen dieselbe Sicherheitsprüfung wie die eigene IT, gleich wie klein der Auftrag erscheint.

Mehr solcher Fälle gibt es hier!