Third-Party Risk Management für APAC-Unternehmen

Das moderne Unternehmen ist kein einzelner Betrieb mehr, sondern ein Geflecht aus Dienstleistern, SaaS-Plattformen, Cloud-Providern und Integratoren, und jedes einzelne dieser Glieder hält einen Faden Ihrer Daten und Ihres Rufes in der Hand. Wenn eines davon versagt, erben Sie dieses Versagen: Die Aufsichtsbehörde fragt Sie, warum der Anbieter nicht sorgfältig geprüft wurde, und Ihre Kunden fragen Sie, warum ihre Daten über einen von Ihnen ausgewählten Lieferanten abgeflossen sind.

Third-Party Risk Management (TPRM) ist die Disziplin, dieses Geflecht lesbar zu machen: zu wissen, wer auf was zugreift, wie stark Sie von wem abhängen und ob die Kontrollen des Gegenübers in der Praxis tatsächlich standhalten.

Die Fragebogen-Falle #

Die meisten TPRM-Programme bestehen aus einer Tabelle mit 200 bis 500 Fragen, die an jeden einzelnen Anbieter verschickt, dann abgelegt und einmal jährlich wieder hervorgeholt werden. Das erzeugt Papierkram, aber nur sehr wenig tatsächliche Risikoreduktion, aus zwei Gründen:

1. Jeder Anbieter wird gleich behandelt. Ein Kaffeelieferant und ein Zahlungsabwickler erhalten denselben Fragebogen, obwohl die Exposition völlig unterschiedlich ist.
2. Selbstauskünfte werden blind vertraut. Ein Anbieter, der sagt „Ja, wir verschlüsseln Daten", ist nicht dasselbe wie einer, der es auch zeigen kann. Fragebögen messen Selbstvertrauen, keine Kontrollen.

Die Lösung liegt in Proportionalität und Verifikation. Kategorisieren Sie Anbieter nach dem Zugriff, den sie tatsächlich haben, und investieren Sie vertiefte Prüfung genau dort, wo die Exposition real ist.

Klassifizierung nach tatsächlicher Exposition #

Ein praktikables Modell stuft Anbieter danach ein, womit sie arbeiten:

• Tier 1, kritisch: verarbeiten Karteninhaber- oder personenbezogene Daten, sind tief in Ihre Systeme integriert oder stellen einen Single Point of Failure dar. Hier gehören technische Assessments, Audit-Rechte und vertragliche Sicherheitsanlagen hin.
• Tier 2, bedeutend: verarbeiten Geschäftsdaten oder haben privilegierten Zugriff. Hier genügt eine schlankere technische Prüfung mit periodischer Revalidierung.
• Tier 3, transaktional: begrenzter oder kein Datenzugriff. Basissorgfaltsprüfung reicht aus, mehr braucht es nicht.

Der Punkt ist nicht mehr Prozess, sondern proportionierter Prozess. Ein ausgefallenes Tier-1-Payment-Gateway ist ein Incident. Ein ausgefallener Tier-3-Bürobedarfslieferant ist eine Unannehmlichkeit. Beide gleich zu behandeln verschwendet Aufwand am falschen Risiko.

Jenseits des Fragebogens: technische Verifikation #

Bei den Anbietern, die wirklich zählen, reicht Selbstauskunft nicht aus. Technische Verifikation bedeutet, Nachweise anzufordern und dort, wo es die Geschäftsbeziehung rechtfertigt, aktiv zu testen:

• Prüfung von Nachweisen: SOC 2 Berichte, ISO 27001 Zertifikate, PCI DSS AOCs, und entscheidend dabei der Geltungsbereich dieser Berichte, nicht nur das Logo auf dem Deckblatt.
• Architektur-Review: wie der Anbieter Ihre Daten tatsächlich in seiner Umgebung behandelt, nicht wie seine Marketingseite es beschreibt.
• Vertragliche Zähne: durchsetzbare Sicherheitsanlagen, Meldefristen bei Vorfällen und Audit-Rechte, die auch eine Neuverhandlung überstehen.

In diesem Punkt sind sich die Frameworks einig. NIST SP 800-161 zum Lieferkettenrisiko und die Lieferantensicherheits-Klauseln von ISO 27001 (A.15 in der Zuordnung der Ausgabe 2022) treiben beide in Richtung proportionierter, evidenzbasierter Anbieterabsicherung und weg vom Pauschalfragebogen. Die Outsourcing-Vorgaben der Bank of Thailand wenden dieselbe Logik auf Finanzinstitute und deren kritische Anbieter an.

Kontinuierlich, nicht einmalig #

Anbieterrisiko ist nichts Statisches. Ein Anbieter, der im letzten Jahr die Prüfung bestanden hat, kann in diesem Jahr übernommen werden, einen Vorfall erleiden oder stillschweigend seine Subprozessoren austauschen. Das reife Modell revalidiert nach einem risikobasierten Zyklus, überwacht Signale (Datenlecks, Eigentümerwechsel, abgelaufene Zertifikate) und hat einen Offboarding-Pfad, der Zugriffe tatsächlich entzieht und nicht nur die Rechnung storniert.

Unser Service Third-Party Risk Management baut Ihr Tiering-Modell auf, führt die vertieften Prüfungen durch und erstellt die vertraglichen Sicherheitsanlagen, die Ihr Rechtsteam benötigt. Kombinieren Sie ihn mit Regulatory Compliance, um Anbieterpflichten auf BOT- und ISO 27001 Anforderungen abzubilden.