Leitfaden · 9 Min. Lesezeit
Lieferanten-Cyberrisikobeurteilung: was kontinuierliches Monitoring prüft
Was bedeutet es eigentlich, das Cyberrisiko eines Lieferanten von außen zu beobachten? Hier ist die vollständige Aufstellung: jede Prüfkategorie, warum sie unter NIS2 zählt und wie ein Befund zu etwas wird, das Sie angehen (oder vertretbar akzeptieren) können.
Die wichtigsten Punkte
- Geht jede Prüfkategorie durch und den NIS2-Artikel, dem sie jeweils entspricht.
- Alles ist passiv: nur öffentliche Quellen, kein Datenverkehr zum Lieferanten und keine Zustimmung nötig.
- NIS2 belohnt dokumentiertes, gesteuertes Risiko, keine leere Befundliste: ein akzeptiertes, festgehaltenes Risiko ist ein Nachweis.
Passive Aufklärung: nichts berührt jemals den Lieferanten
Alles hier beruht auf passiver Aufklärung. Die Daten stammen ausschließlich aus öffentlichen Quellen (Certificate-Transparency-Logs, DNS-Einträgen, Ransomware-Leak-Seiten, Datenleck-Datensätzen, Sanktionsregistern und offenen Aufklärungsfeeds) sodass nie Datenverkehr an die Systeme des Lieferanten geht und keine Erlaubnis nötig ist. Sie können einen Lieferanten bewerten, den Sie unter Vertrag haben, einen, den Sie noch erwägen, oder einen, der keine Ahnung hat, dass Sie hinsehen.
Der vollständige Prüfsatz läuft täglich; die zeitkritischen (Ransomware- und Dark-Web-Quellen) etwa alle sechs Stunden erneut, mit einer E-Mail-Warnung in dem Moment, in dem etwas Kritisches auftaucht, etwa ein Eintrag auf einer Opferliste oder ein frischer Credential-Leak.
Ransomware-Opferüberwachung
Art. 21(2)(b)Mehrere Ransomware-Tracking-Quellen werden etwa alle sechs Stunden erneut geprüft. An dem Tag, an dem Ihr Lieferant auf einer Opferliste auftaucht (die öffentliche Signatur eines aktiven oder kürzlichen Angriffs) erfahren Sie es, und das ist meist der Tag, ihn unverblümt zu fragen, ob Sie oder Ihre Daten mit hineingezogen sind.
Dark-Web-Credential-Leaks
Art. 21(2)(i)Credential-Sammlungen aus Infostealer-Infektionen und Dark-Web-Märkten werden nach Logins durchsucht, die an die Domain des Lieferanten gebunden sind. Gestohlene Anmeldedaten sind weiterhin der häufigste Einstieg, und ein geleaktes Passwort eines Mitarbeiters Ihres Lieferanten ist ein Passwort, das am Ende auf Ihre Systeme gerichtet sein kann.
E-Mail-Sicherheit
Art. 21(2)(h)Fehlende oder halb konfigurierte SPF, DKIM und DMARC erlauben, die Domain eines Lieferanten in E-Mails zu fälschen, die echt aussehend ankommen. Die Prüfung sieht auch MTA-STS, den TLS-RPT-Berichtseintrag und den BIMI-Markenindikator an: die technischen Fundamente hinter den Kryptographie-Maßnahmen des Artikels 21, soweit sie greifen.
TLS-Zertifikate und DNSSEC
Art. 21(2)(h)Die Zertifikatsgültigkeit wird verfolgt, mit einer Warnung zwei Wochen vor Ablauf. Die DNSSEC-Validierung sagt Ihnen, ob die DNS-Kette des Lieferanten signiert und intakt ist (ohne sie kann sein DNS gefälscht werden) und CAA-Einträge zeigen, ob die Zertifikatsausstellung auf zugelassene Stellen eingegrenzt ist.
Web-Sicherheitskonfiguration
Art. 21(2)(c)Cookie-Flags (Secure, HttpOnly, SameSite) werden geprüft, denn fehlende öffnen die Tür für Session-Hijacking und Cross-Site-Scripting. robots.txt wird auf sensible Pfade gelesen, die eine Seite still preisgibt, und security.txt darauf, ob es einen ehrlichen Kanal gibt, eine Schwachstelle zu melden.
Schwachstellen und Ausnutzungs-Scoring
Art. 21(2)(e)Alles, was an die Infrastruktur des Lieferanten gebunden ist und im CISA-Katalog der bekannten ausgenutzten Schwachstellen steht, wird sofort markiert. Ausnutzungswahrscheinlichkeits-Scores (EPSS) ordnen den Rest danach, wie wahrscheinlich jede tatsächlich genutzt wird, statt allein nach dem rohen CVSS-Schweregrad: der Unterschied zwischen einer langen und einer kurzen, ehrlichen Liste.
Sanktionen und Mailserver-Reputation
Art. 21(2)(e) & Art. 21(2)(j)Die Organisation des Lieferanten wird gegen die Sanktionslisten der EU, der UN und des OFAC geprüft. Die IP-Adressen seines Mailservers werden gegen vier Echtzeit-Blocklisten geprüft: ein Eintrag dort deutet auf E-Mail-Missbrauch oder eine frühere, nie bereinigte Kompromittierung hin.
SAQ: Selbstbewertungsfragebogen
Art. 21(2)(a) & (b) & (d)Das technische Monitoring deckt die Oberfläche ab, die jeder von außen sieht. Die prozessbezogenen Anforderungen (Risikomanagement, Vorfallbehandlung, Lieferketten-Governance) werden erreicht, indem man dem Lieferanten aus dem Portal einen Selbstbewertungsfragebogen schickt; seine Antworten werden gespeichert und neben dem technischen Risikoprofil gelesen, sodass Behauptung und Nachweis nebeneinanderstehen.
Sehen Sie, wie Ihre Lieferanten tatsächlich abschneiden
7 Tage kostenlos · keine Kreditkarte · jederzeit kündbar
Schweregrad und der Risiko-Score
Jeder Befund fällt in eine von vier Schweregradstufen: kritisch (sofort handeln), hoch (etwa sieben Tage), mittel (etwa dreißig) und niedrig (wissenswert). Der Risiko-Score des Lieferanten (0 bis 100, wobei 100 sauber ist) leitet sich aus dem Schweregrad dessen ab, was gerade offen ist.
Lesen Sie den Score als Mittel, Aufmerksamkeit zu priorisieren, nicht als Urteil. Ein ansonsten gut aufgestellter Lieferant kann wegen einer einzigen kritischen Lücke niedrig abschneiden, und ein ordentlicher Score entschuldigt nie, das Detail darunter zu überspringen.
Was mit einem Befund geschieht
Ein Befund öffnet sich in dem Moment, in dem eine Prüfung etwas Auffälliges entdeckt, und bleibt offen, bis das Problem wirklich weg ist: der nächste Lauf bestätigt die Behebung von selbst, ohne manuelles Schließen. Ist ein Befund ein Risiko, das Sie geprüft und zu tragen entschieden haben, markieren Sie es mit einer Notiz als akzeptiertes Risiko, und es erzeugt keine neuen Warnungen mehr, sofern sich der Status nicht ändert.
Jeder Befund wird beim Erfassen dem NIS2-Unterpunkt des Artikels 21(2) zugeordnet, dem er entspricht, und erscheint sowohl im Echtzeit-Portal als auch im monatlichen PDF.
Wie es auf NIS2 abbildet und was der Bericht trägt
Der Bericht beginnt mit einer Zusammenfassung in Klartext, dann NIS2-Bewertungen nach Artikel, ein Risikoprofil je Lieferant und eine bereits nach Priorität sortierte Behebungsliste. Er ist geschrieben, um in einer Leitungssitzung gelesen zu werden, nicht nur von denen, die die Behebung durchführen.
Er trägt auch die Befunde, die Sie als dokumentierte Risiken akzeptiert haben: der Teil, der Prüfer am meisten interessiert. NIS2 hat nie eine weiße Weste verlangt; es hat verlangt, dass Sie Risiko steuern und Ihre Arbeit zeigen.
Ihre eigene Domain: ein tieferer Blick von außen
Lieferantendomains werden allein mit passiver Aufklärung bewertet: nur öffentliche Daten. Ihre eigene Domain kann mit einer monatlichen externen Bewertung einen Schritt weiter gehen (offene Ports und Dienste, bekannte Schwachstellenrisiken und TLS-Konfiguration) denn dort haben Sie die Berechtigung, genauer hinzusehen. Weiterhin keine Integration und weiterhin nichts, was Ihr internes Netzwerk erreicht.