Welche IT-Risiken übersehen die meisten Organisationen?

Was ist ein Abhängigkeitsrisiko in der IT, und warum wird es übersehen?

Ein Abhängigkeitsrisiko ist die Gefahr, dass ein System ausfällt, das Sie nicht kontrollieren, und Ihre Prozesse oder Ihre Wiederherstellung mitreißt. Es wird übersehen, weil Risikoregister die Systeme auflisten, die die IT selbst betreibt, nicht die Lieferanten, auf die sich diese Systeme stützen.

Ein Beispiel: Es ist Montagmorgen. Ihre Server laufen, und die Backup-Jobs der letzten Nacht stehen auf Grün. Aber Ihr CRM-Anbieter ist ausgefallen, die Schnittstelle, die Bestellungen synchronisiert, steht still, und die Fernwartung Ihres MSP ist nach einem Sicherheitsvorfall offline. Bei Ihnen ist nichts ausgefallen, und trotzdem kann niemand arbeiten.

Der Einblick in die Endgeräte, etwa durch eine EDR-Plattform, zeigt Ihnen, was auf Ihren eigenen Geräten läuft. Was passiert, wenn ein vorgelagerter Lieferant ausfällt, zeigt er nicht.

Eine typische Abhängigkeitskette

Eine mittelgroße Organisation in Deutschland oder den Niederlanden stützt sich zum Beispiel auf:

• Microsoft 365 oder Google Workspace für E-Mail, Dateien und Zusammenarbeit
• eine SaaS-Plattform für CRM oder ERP mit Vertriebs-, Finanz- und Kundendaten
• eine Integrationsschicht oder iPaaS, die Daten zwischen diesen Plattformen verschiebt
• einen MSP, der Infrastruktur, Patching und Fernzugriff verwaltet
• einen Backup-Anbieter, der die Kopien hält, aus denen Sie wiederherstellen würden

Wie oft verursachen Ausfälle bei Dritten tatsächlich Störungen?

Oft genug, dass EU-Stellen und nationale Behörden sie inzwischen als zentrale Bedrohung einstufen. Mehrere aktuelle Vorfälle zeigen, dass ein einziger Lieferant Tausende Organisationen gleichzeitig lahmlegen kann.

• Kompromittierte Lieferanten. In ihrer Threat Landscape for Supply Chain Attacks (2021) stellte die ENISA fest: Bei 66 % der untersuchten Lieferkettenangriffe wussten die Lieferanten nicht, wie sie kompromittiert worden waren, oder sie meldeten es nicht.
• Ein Werkzeug, viele Opfer. Laut CISA-Advisory AA23-158A nutzte die Ransomware-Gruppe CL0P ab dem 27. Mai 2023 eine Zero-Day-SQL-Injection-Schwachstelle (CVE-2023-34362) in Progress MOVEit Transfer aus und stahl Daten aus den zugrunde liegenden Datenbanken. Jede Organisation, die das Dateitransfer-Tool im Internet betrieb, war über dasselbe Produkt gefährdet.
• Ein fehlerhaftes Update. Am 19. Juli 2024 brachte ein CrowdStrike-Update weltweit Windows-Rechner zum Absturz. Microsoft schätzte, dass 8,5 Millionen Windows-Geräte betroffen waren, weniger als 1 % aller Windows-Rechner. Trotzdem fielen bei Fluggesellschaften, Krankenhäusern und Banken Abläufe aus, weil diese Geräte an kritischen Stellen standen.
• Ein gemeinsamer IT-Dienstleister. Im Oktober 2023 störte ein Ransomware-Angriff auf den kommunalen IT-Dienstleister Südwestfalen-IT die Dienste in mehr als 70 deutschen Kommunen, von Einwohnerdaten bis zu Standesämtern, wie The Record berichtete.

Die ENISA Threat Landscape 2025 beschreibt dasselbe Muster: Digitale Infrastruktur und Dienste in der EU bleiben wertvolle Ziele, „insbesondere bei Vorfällen, die Cyberabhängigkeiten als Ausgangspunkt für Folgeangriffe nutzen“.

Warum tauchen Abhängigkeitsrisiken in IT-Audits nicht auf?

Weil die meisten Audits prüfen, ob Ihre eigenen Maßnahmen vorhanden sind, nicht ob Sie arbeiten können, wenn die Maßnahmen eines anderen ausfallen. Drei blinde Flecken tauchen immer wieder auf.

1. Keine Abhängigkeitskarte. Teams dokumentieren die Systeme, die ihnen gehören. Dienste Dritter werden selten mit ihren Ausfallarten, Verantwortlichen und den Prozessen erfasst, die von ihnen abhängen.
2. Die Verfügbarkeitsannahme. Ein SaaS-Verfügbarkeits-SLA hält man leicht für ein Wiederherstellungsversprechen. Das ist es nicht. Ein Verfügbarkeitsziel von 99,9 % sagt nichts darüber, ob Sie Ihre Daten nach einer versehentlichen Löschung, einem böswilligen Administrator oder einem Synchronisationsfehler zurückbekommen, der gute Datensätze überschreibt.
3. Zugriff, den Sie nicht kontrollieren. Viele Plattformen steuern den Zugriff auf Ihre eigenen Daten. Fällt der Anbieter aus, sperrt er Ihren Tenant oder schränkt er den Zugriff während eines Vorfalls ein, können Sie womöglich nichts exportieren oder wiederherstellen, manchmal nicht einmal aus einem Backup, das von den Zugangsdaten oder APIs dieser Plattform abhängt.

Das Ergebnis ist eine Lücke zwischen einem vorhandenen Backup und einer tatsächlichen Wiederherstellung. Hier sind die meisten Organisationen angreifbar. Die SaaS-Seite behandeln wir ausführlicher in Was passiert, wenn Ihr SaaS-Anbieter ausfällt.

Reichen Backups noch aus, wenn Sie von Dritten abhängen?

Ja, aber nur, wenn sie unabhängig von den Systemen aufgebaut sind, die sie schützen. Ein Backup, das innerhalb der ausfallenden Plattform liegt oder sich nur über sie wiederherstellen lässt, fällt mit ihr aus.

Klassische Backup-Konzepte setzen stillschweigend drei Dinge voraus: Die Wiederherstellungsumgebung ist verfügbar, Systeme lassen sich einzeln wiederherstellen, und Sie behalten den Zugriff auf die Plattform, auf der die Daten liegen. In einer vernetzten Umgebung können alle drei gleichzeitig ausfallen. Genau das passierte 2024 beim australischen Pensionsfonds UniSuper, der aus Kopien eines anderen Anbieters wiederherstellte. Die Lehren daraus behandeln wir in Lehren aus UniSuper für Ihre Backups.

Die 3-2-1-1-0-Regel ist eine praktische Grundlage: drei Kopien auf zwei Medien, eine außer Haus, eine unveränderlich oder offline und null Fehler nach der Prüfung. Vergessen Sie die Endgeräte nicht. Sie enthalten oft Arbeitsdateien, die nie einen Server erreichen. Mehr dazu in Endpoint-Backup für hybrides Arbeiten.

Wie verringern Sie versteckte Abhängigkeitsrisiken? Ein Vorgehen in 4 Schritten

Beginnen Sie mit der Transparenz, machen Sie dann die Wiederherstellung unabhängig und beweisen Sie, dass sie funktioniert. Diese vier Schritte passen zu einem IT-Team in einem KMU oder zu einem MSP, der die Übung für einen Kunden durchführt.

1. Alle externen Abhängigkeiten erfassen

• Listen Sie jede SaaS-Plattform, jeden Cloud-Dienst, jeden MSP, jede Integration und jede API auf, die Sie nutzen.
• Halten Sie fest, welcher Prozess davon abhängt, welche Daten dort liegen und wer die Administrator-Zugangsdaten und Verschlüsselungsschlüssel besitzt.

2. Die Wiederherstellung bewerten, nicht nur die Verfügbarkeit

• Können wir diese Daten wiederherstellen, ohne dass der Anbieter online ist?
• Wie lange kann der Prozess ohne dieses System laufen? Das ist Ihr RTO, die Ausfallzeit, die Sie sich leisten können.
• Wie viele Daten dürfen wir verlieren? Das ist Ihr RPO, wie viel Arbeit Sie verlieren dürfen. Wie Sie beide festlegen, erklärt unser Ratgeber zu RTO und RPO.
• Was tun wir, wenn der Anbieter den Zugriff während seines eigenen Vorfalls einschränkt?

3. Einen unabhängigen Wiederherstellungsweg aufbauen

• Bewahren Sie Backup-Kopien außerhalb der Produktionsumgebung auf, bei einem Anbieter, der nicht der ist, der am ehesten ausfällt.
• Verwenden Sie getrennte Zugangsdaten und verlangen Sie MFA für die Backup-Administration.
• Machen Sie mindestens eine Kopie unveränderlich und halten Sie eine als Air-Gap-Kopie vor.
• Beziehen Sie SaaS-Daten und Endgeräte ein, nicht nur Server.

4. Einen Lieferantenausfall testen, nicht nur einen Serverabsturz

• Testen Sie mindestens einmal im Jahr die Wiederherstellung unter der Annahme, dass ein wichtiger Lieferant nicht verfügbar ist.
• Prüfen Sie, dass das Notfallhandbuch keinen Zugriff auf das ausgefallene System braucht.
• Halten Sie die erreichten Wiederherstellungszeiten fest und vergleichen Sie sie mit Ihrem RTO.

Verlangt NIS2, dass Sie Abhängigkeitsrisiken steuern?

Ja, für Organisationen im Anwendungsbereich. Die NIS2-Richtlinie (EU) 2022/2555 verlangt von besonders wichtigen und wichtigen Einrichtungen Risikomanagementmaßnahmen, die Betriebskontinuität und Lieferanten ausdrücklich einschließen.

• Art. 21 Abs. 2 lit. c: Aufrechterhaltung des Betriebs, etwa Backup-Management und Wiederherstellung nach einem Notfall, sowie Krisenmanagement.
• Art. 21 Abs. 2 lit. d: Sicherheit der Lieferkette, einschließlich der Beziehungen jeder Einrichtung zu ihren unmittelbaren Lieferanten und Diensteanbietern.
• Art. 21 Abs. 3: Einrichtungen müssen die spezifischen Schwachstellen jedes unmittelbaren Lieferanten und Diensteanbieters sowie die Qualität von deren Cybersicherheitspraktiken berücksichtigen.
• Art. 20: Die Leitungsorgane billigen diese Maßnahmen, überwachen sie und können haftbar gemacht werden.

In Deutschland gilt das NIS2-Umsetzungsgesetz (NIS2UmsuCG) seit dem 6. Dezember 2025. In den Niederlanden ist die Cyberbeveiligingswet am 15. August 2026 in Kraft getreten. Mehr dazu in der Übersicht zu Artikel 21 und in unserem Ratgeber zur Sicherheit der Lieferkette nach NIS2.

Ihre nächsten Schritte

Wahrscheinlich fehlt Ihnen kein Backup. Gefährlich ist ein Backup, das Sie nicht wiederherstellen können, weil der Anbieter, die Plattform oder das Tool, von dem es abhängt, ausgefallen ist. Erfassen Sie Ihre Abhängigkeiten, geben Sie jeder kritischen einen Wiederherstellungsweg, der ohne sie funktioniert, und testen Sie ihn mindestens einmal im Jahr.

Mindtime ist als diese unabhängige Kopie gedacht. Backups liegen ausschließlich in unseren eigenen Tier-III-Rechenzentren in Deutschland und den Niederlanden, unter EU-Recht und unabhängig von großen US-Cloud-Anbietern, als unveränderliche Kopien (Object Lock) plus eine Air-Gap-Kopie. Wir prüfen jeden Backup-Job automatisch und scannen Backups auf Malware. Sie können VMs sofort in einer isolierten Wiederherstellungsumgebung in einem separaten, sauberen Netzwerk starten. Für MSPs ergänzt unsere EDR-Plattform den Einblick in die Endgeräte über alle Kunden-Tenants hinweg, während der MSP den Service betreibt.

Welche Ihrer Abhängigkeiten würden die Wiederherstellung blockieren? Kostenlose Analyse anfordern.

Dieser Artikel ist eine allgemeine Information und keine Rechtsberatung.