Wer ist für den Zugang externer Dienstleister zu Industriesystemen verantwortlich?

Irgendwo in Ihrer Infrastruktur gibt es möglicherweise einen Wartungsdienstleister, der noch immer über die Zugangsdaten verfügt, die er für einen Inbetriebnahmeauftrag im Jahr 2024 erhalten hat. Der Auftrag ist längst abgeschlossen, doch der Zugang besteht weiterhin. Niemand überwacht die Sitzung.

Eine am 8. Oktober 2026 von Industrial Cyber veröffentlichte Studie beziffert, wie weit dieses Problem verbreitet ist. Die globale Studie von Claroty, an der 2.000 Führungskräfte aus Wirtschaft und Technologie in 16 Branchen teilnahmen, ergab, dass 58 % der Befragten in den vergangenen zwölf Monaten einen Cyberangriff erlebt hatten, der ihre Betriebsumgebungen betraf. Die häufigste Folge waren Betriebsunterbrechungen (43 %), gefolgt von Sicherheitsvorfällen (40 %).

Eine weitere Zahl aus der Studie sollte die Aufmerksamkeit von Sicherheitsverantwortlichen besonders auf sich ziehen: Drei Viertel der Befragten berichteten von einem Vorfall, der den Betrieb beeinträchtigte und mit dem Zugang Dritter in Zusammenhang stand. Gleichzeitig räumte knapp die Hälfte ein, Verbindungen externer Dienstleister nur teilweise oder überhaupt nicht zu überwachen.

Die naheliegende Reaktion auf solche Zahlen lautet oft: bessere OT-Erkennung, stärkere Netzwerksegmentierung, ein weiteres Sicherheitstool. All das kann durchaus erforderlich sein. Für mittelständische Unternehmen ist jedoch eine engere Schlussfolgerung hilfreicher: Der Fernzugriff auf Betriebsumgebungen wird häufig wie ein nebensächlicher Aspekt des Lieferantenmanagements behandelt. Die Studie zeigt nun, welche Kosten diese Nachlässigkeit verursachen kann.

Nur 16 % der Befragten gaben an, dass IT-Sicherheit und die Sicherheit der operativen Systeme vollständig integriert seien. Im Mittelstand liegt genau hier das Kernproblem. Häufig weiß nicht die Sicherheitsabteilung, welcher Dienstleister über ein VPN auf das Gebäudeleitsystem zugreifen kann, sondern eine verantwortliche Person aus dem Facility Management oder der Technik. Genehmigungen erfolgen per E-Mail oder Telefon – sofern sie überhaupt erteilt werden. Zugriffsrechte werden erst überprüft, wenn etwas schiefgeht. Fragt ein Kunde in einem Fragebogen nach den externen Parteien, die auf produktive Systeme zugreifen können, wird die Antwort aus dem Gedächtnis und anhand der letzten Rechnungsunterlagen zusammengestellt. So sieht der in der Studie genannte Anteil von 49 % in einem einzelnen Unternehmen ganz konkret aus.

Externe Zugänge müssen inventarisiert werden – Annahmen reichen nicht aus

Eine angemessen verwaltete Infrastruktur zeichnet sich durch drei Eigenschaften aus, die bei spontan eingerichteten Zugängen für externe Dienstleister häufig fehlen: Es gibt eine verantwortliche Person, eine vollständige Übersicht und regelmäßige Überprüfungen.

Die Kontrolle des Fernzugriffs auf operative Systeme beginnt oft mit einer manuell erstellten Bestandsaufnahme. Wenn Sie drei verschiedene Mitarbeitende fragen und eine Woche auf die Antworten warten müssen, um eine Liste Ihrer externen Zugänge zusammenzustellen, ist das bereits ein deutliches Warnsignal.

Für jede Verbindung sollten einfache Fragen beantwortet werden:

• Wer hat das Konto eingerichtet?
• Auf welche Geräte oder Systeme ermöglicht es den Zugriff?
• Wer ist im Unternehmen für die Beziehung zum Dienstleister verantwortlich?
• Welche minimalen Berechtigungen sind tatsächlich erforderlich?
• Wird die Sitzung protokolliert oder aufgezeichnet, oder ist der Zugriff zumindest zeitlich begrenzt?
• Wann läuft der Zugang ab?

Die letzte Frage ist besonders aufschlussreich. In operativen Umgebungen bleiben dauerhaft eingerichtete Zugänge häufig auch nach Abschluss eines Inbetriebnahmeprojekts bestehen.

Ein virtueller CISO-Service kann dazu beitragen, sporadische Ad-hoc-Maßnahmen durch ein laufend gepflegtes Zugangsregister und einen regelmäßigen Überprüfungsrhythmus zu ersetzen, über den auch die Unternehmensleitung transparent informiert wird. Das ist besonders wichtig, wenn kein eigener Informationssicherheitsverantwortlicher vorhanden ist. In solchen Fällen bleibt die Zuständigkeit häufig ungeklärt. Ohne eine namentlich benannte verantwortliche Person bestehen abgelaufene Dienstleisterzugänge einfach weiter, bis sie jemand im Zuge eines Sicherheitsvorfalls entdeckt.

Der regelmäßige Überprüfungsrhythmus ist die entscheidende Kontrolle

Laut dem Bericht von Claroty ereigneten sich in jedem Unternehmen durchschnittlich drei operative Vorfälle, die mit dem Zugang Dritter in Verbindung standen. Das deutet auf ein dauerhaftes Problem hin und nicht auf einzelne Ausnahmefälle: zu viele dauerhaft aktive Zugänge, zu wenig Transparenz und ein Überprüfungsprozess, der erst beginnt, wenn bereits etwas passiert ist.

Eine vierteljährliche Überprüfung kann hier Abhilfe schaffen. Sie sollte nicht nur an den Kalenderquartalen ausgerichtet sein, sondern auch an den Vertragslaufzeiten. Endet ein Wartungsvertrag, muss auch der zugehörige Zugang enden. Verlässt ein Techniker den Dienstleister, darf sein gemeinsam genutztes Konto nicht einfach aktiv bleiben.

Die Überprüfung sollte so kompakt und übersichtlich sein, dass sich die Ergebnisse in einer einzigen Zeile im Bericht an die Unternehmensleitung zusammenfassen lassen: Wie viele Dienstleisterzugänge gibt es? Wie viele davon sind aktiv? Für wie viele ist eine verantwortliche Person benannt? Und wie viele Zugänge wurden im laufenden Quartal entfernt?

Auch bei der Risikobewertung durch Cyberversicherer gewinnt dieses Thema an Bedeutung. Die Studie stellt einen direkten Zusammenhang zwischen nicht überwachten Zugängen Dritter und den Sicherheitskontrollen her, die Versicherer prüfen.

Um diese Maßnahmen zu begründen, ist nicht unbedingt ein Verweis auf eine bestimmte regulatorische Vorschrift erforderlich. Beim nächsten Verlängerungsantrag für die Cyberversicherung wird die Frage ohnehin gestellt. Lautet die Antwort, dass die Überwachung nur teilweise erfolgt, ist dieses Risiko inzwischen messbar – und es wird zunehmend teurer, es einfach hinzunehmen.

Die Sicherheitslage eines Unternehmens lässt sich bereits vor einem Gespräch mit der Unternehmensleitung mithilfe einer bewerteten Sicherheits-Selbsteinschätzung überprüfen. Das entscheidende Dokument ist jedoch das Zugangsregister, denn es verändert die Diskussion. Die Unternehmensleitung wird auf eine Tabelle mit sämtlichen aktiven Dienstleisterzugängen, den jeweiligen Verantwortlichen und den Ablaufdaten anders reagieren als auf die allgemeine Aussage, dass die Risiken durch Dritte angemessen gemanagt werden.

Die Dienstleister, die Ihre Produktionsprozesse unterstützen, werden kaum von sich aus eine Überprüfung der Zugänge anstoßen – insbesondere dann nicht, wenn ihr Techniker bereits am nächsten Auftrag arbeitet. Wenn innerhalb des Unternehmens niemand für die Liste verantwortlich ist, wird sie letztlich von der Person erstellt, die noch immer angemeldet ist.