Ein Ökosystemansatz für Cyber-Resilienz

Es ist ein Szenario, das unheimlich an jüngste Zeiten erinnert. Wenn ein Körper einem Risiko ausgesetzt wird, gilt dies auch für jeden, der mit ihm in Kontakt steht.

Teil einer widerstandsfähigen Gemeinschaft zu sein, kann dieses Risiko verringern. In der Epidemiologie nennt man es „Herdenimmunität.“ Im Bereich Cybersicherheit soll es das Drittanbieter-Risikomanagement (TPRM) bereitstellen. So wie eine Krankheit verschwindet, wenn sie nicht genügend Menschen infizieren kann, kann sich eine Sicherheitslücke nicht ausbreiten, wenn ihre Umgebung sicher ist.

Aber die „Wir-gegen-die-anderen“-Mentalität der Standard-TPRM-Ansätze macht diese Widerstandsfähigkeit schwer erreichbar. Drittparteien werden in der Cybersicherheit tendenziell als eine Randnotiz betrachtet; Viertparteien und darüber hinaus werden tendenziell vollständig ignoriert.

Unternehmen gehen oft davon aus, dass das Drittanbieterrisiko anhand der Menge der geteilten Daten oder deren Sensibilität gemessen werden kann. Das ist nicht gänzlich irreführend, lässt aber außer Acht, dass eine Datenpanne, die scheinbar harmlose Daten betrifft, schnell andere Bereiche infizieren kann. Ein Ökosystemansatz löst dies, indem er die Cybersicherheit und damit auch das TPRM auf ein kollektives „Wir“ ausrichtet.

Dieser neue Ansatz zur Cyber-Resilienz ist zeitgemäß. Die durchschnittlichen Kosten einer Datenschutzverletzung belaufen sich laut IBM weltweit auf 4,44 Millionen US-Dollar im Jahr 2025. Die Kompromittierung von Drittanbietern und Lieferketten führte zu den zweithöchsten durchschnittlichen Kosten von Datenschutzverletzungen unter den anfänglichen Bedrohungsvektoren, nach böswilligen Insider-Angriffen.

Dieser Bericht bietet die folgenden Perspektiven, um das Problem anzugehen.

• Der Status von TPRM in der Cybersicherheit
• Drittanbieter-Wertschöpfungsketten versus plattformbasierte Ökosysteme
• Abwägung von inhärentem Risiko und Restrisiko
• Aspirationen versus operative Überlegungen

Das kollektive „wir“ hinter einem Ökosystemansatz für Cybersicherheit überschreitet eine unsichtbare Linie, die Unternehmen von ihren Drittparteien trennt. Es ist eine Linie, die durch wahrgenommene Unternehmensgrenzen in einer grenzenlosen Online-Welt definiert wird, und sie reicht in die Zeit zurück, als TPRM als etwas Neues und Eigenständiges aufkam.

Aber die Entwicklung von standardmäßigen TPRM-Ansätzen von aktuell zu veraltet verlief schnell.

Nur 4 % der befragten Unternehmen einer aktuellen Umfrage von RiskRecon, einem Mastercard-Unternehmen, äußern große Zuversicht, basierend auf Fragebogenantworten, dass ihre Drittanbieter die Sicherheitsanforderungen erfüllen. Gleichzeitig verwalten im Jahr 2023 doppelt so viele Unternehmen über 250 Anbieter wie im Jahr 2020, so die gleiche Umfrage.

Viele einzelne Unternehmen sind zumindest besser aufgestellt als noch vor ein paar Jahren, was die Optionen angeht.

• Externe Bedrohungsanalysen liefern Einblicke, welche Akteure ein aktuelles oder zukünftiges Risiko darstellen und aus welchen Gründen.
• Quantitative Selbstbewertungen befreien die traditionelle Cybersicherheit von einer reaktiven „Space-Invaders“-Arcade-Game-Mentalität, indem sie Unternehmen mit quantifizierten und zentralisierten Risikobetrachtungen einen Schritt voraus halten.
• Wahre Risikobewertungen der Webpräsenz kombinieren die Auswahl, Bewertung und Überwachung von Anbietern mit Selbsteinschätzungen und Branchen-Benchmarking.
• Breach and Attack Simulationen schaffen positive Kreisläufe, indem sie verbesserte Dateneingaben für quantitative Cybersicherheitslösungen liefern, die wiederum die Simulationen speisen, um eine bessere Bedrohungsbewertung zu ermöglichen.
• Cyber-Krisenübungen bereiten Unternehmen durch interaktive Szenarien auf die Reaktionsbereitschaft vor.

Doch es bleibt eine Herausforderung für ein Unternehmen, zu beurteilen, welche Sicherheitsprobleme seiner Drittanbieter am dringendsten sind. Eine Drittpartei mit der Durchführung einer internen Selbsteinschätzung zu beauftragen, birgt ein inhärentes Risiko der Voreingenommenheit, wenn diese nicht durch eine unabhängige Validierung gestützt wird.

Das Problem ist nicht so sehr die herablassende Art vieler Ansätze – die zu schwierigen Verhandlungen führen kann, wenn eine Partei eine andere nicht für gut genug hält und daher zusätzliche Finanzinvestitionen fordert – sondern die Annahme, dass Dritten nicht vertraut werden kann.

Es hilft auch nicht, dass alle externen oder internen Drittanbieter-Bewertungen dazu neigen, sich auf die Vertraulichkeit von Daten zu konzentrieren, anstatt auf deren Integrität oder Verfügbarkeit in der traditionellen CIA-Triade.

Nur das „C“ wird behandelt, da das „I“ und das „A“ als Probleme für interne Datenbanken und die Systeminfrastruktur angesehen werden, die wenig Einfluss auf Richtlinien zur Weitergabe von Drittanbieterdaten haben. Aber das „C“ könnte auch für Compliance stehen, da dies der Hauptantrieb ist, und das „I“ und das „A“ sind bei geteilten „as a service“- oder gehosteten „as a platform“-Angeboten inzwischen unvermeidlich.

Am Anfang gab es einzelne Unternehmen. Und diese Unternehmen schufen Wertschöpfungsketten, die zu wertvollen Produkten führten. Partnerschaften mit Drittparteien und dann die Drittparteien von Drittparteien verwirrten die Ketten, die ursprünglich direkt vom Lieferanten zum Produzenten, zum Händler, zum Verbraucher und zurück führten. Lineare Beziehungen wurden durch weitläufige Beziehungen ersetzt, die sich in mehrere Richtungen erstrecken.

Traditionelle Cybersicherheit ist Bottom-up und weitgehend intern fokussiert. Ein Unternehmen beginnt mit seinen eigenen Daten und untersucht diese aus der CIA-Perspektive von Vertraulichkeit, Integrität und Verfügbarkeit. Wenn es das Budget oder die Bereitschaft dazu hat, könnte es sich auch Gedanken über die Datenvertraulichkeit in Beziehungen zu Drittanbietern machen.

Ein Ökosystem-Ansatz zur Cybersicherheit ist Top-down und weitgehend extern ausgerichtet. Ein Unternehmen betrachtet alle Akteure innerhalb seines Ökosystems, um definierte Rollen und Ziele festzulegen. Es werden dann die Daten untersucht, die diese Praktiken im gesamten Ökosystem beeinflussen.

Der Ökosystem-Ansatz ist erschreckend weit gefasst. Es funktioniert, weil es berücksichtigt, wie Unternehmen als Plattformen agieren, auf denen mehrere Drittparteien in einem Ökosystem existieren. Im Gegenzug fungieren diese Drittparteien auch als Plattformen für andere Drittparteien, um weitere Ökosysteme zu schaffen. Weitere Skaleneffekte treten auf, wo diese Ökosysteme – manche groß, manche klein – sich teilweise überlappen.

Nichtsdestotrotz heben die Wirtschaftlichkeit und Effizienz, die mit einem Ökosystem verbunden sind, die erheblichen Kosten der Cybersicherheit nicht auf. Die Risiken innerhalb eines Ökosystems können zahlreich sein; die Verhandlungen zwischen den Parteien darüber, was von wem abgedeckt werden sollte, können schwierig sein. Ein solider Business Case ist weiterhin erforderlich, um Investitionen zu rechtfertigen.

Unternehmen, insbesondere kleinere, stehen oft vor dem Dilemma, ob sie durch Investitionen in Technologie wettbewerbsfähig bleiben oder durch Investitionen in Cybersicherheit sicher – und damit konform – bleiben wollen.

Verschiedene Branchen stehen vor unterschiedlichen Herausforderungen. Finanzinstitute sind möglicherweise ein häufigeres Ziel für Hacker als private Gesundheitsdienstleister, doch die durchschnittlichen weltweiten Gesamtkosten eines Sicherheitsverstoßes im Gesundheitswesen von 7,42 Millionen US-Dollar im Jahr 2025, laut IBM, übersteigen die des Finanzsektors von 5,56 Millionen US-Dollar bei weitem. Der Wert von Gesundheitsinformationen mag nicht so offensichtlich sein wie eine Kreditkartennummer, aber er kann auch nicht einfach gelöscht werden.

Es kommt ein Punkt, an dem geringfügige Risikoreduzierungen keine wesentlichen Investitionssteigerungen rechtfertigen. Letztendlich läuft es auf ein Gleichgewicht zwischen zwei Möglichkeiten hinaus:

Ein länderübergreifendes Konglomerat aus Banken, Versicherern und Gesundheitsmarken steht vor Betriebsunterbrechungen und finanziellen Verlusten durch Cyberangriffe. Ein mangelndes Bewusstsein dafür, welche spezifischen Sicherheitslücken die größten Bedrohungen darstellen, erfordert eine Methode, um Risiken zu quantifizieren und Investitionen effektiv zu priorisieren.

Der Konzern implementiert eine umfassende und quantifizierbare Risikobewertung über alle Geschäftsbereiche und Standorte hinweg, um Risikolevel, den Reifegrad von Kontrollen und potenzielle finanzielle Auswirkungen zu berechnen. Die Ergebnisse ermöglichen eine fundierte Entscheidungsfindung und Unterstützung für Neuinvestitionen.

Der Einsatz von 19 Prioritäten zur Sanierung über zwei Jahre reduziert das Risikolevel des gesamten Konglomerats um 30 % und bedeutet Einsparungen von 24 Millionen Dollar an potenziellen Verlusten.

Eine Alternative zu Industriekonglomeraten sind Industriekonsortien. Ihre bereits bestehenden kooperativen Ansätze können auch natürliche Ausgangspunkte bieten.

Mehrere große Datenlecks im Inland und in Nachbarländern stimulieren das Finanzökosystem eines Landes, um Präventions- und Reaktionsfähigkeiten landesweit zu verbessern.

Die zentrale Verrechnungsstelle des Landes stockt Investitionen in die Cybersicherheit auf, die 17 Bankmarken im Bankenverband des Landes bilden ein Cybersicherheitskollektiv, und das Computer Security Incident Response Team (CSIRT) des Finanzsektors integriert Dienste und Lösungen, um die aktuellen Kapazitäten zu stärken.

Eine Standardmethode zur Risikobewertung und -quantifizierung hilft, einen gemeinsamen Rahmen zur Messung systemischer Risiken im gesamten Ökosystem zu schaffen, einschließlich des Vergleichs mit Nachbarländern.

Basierend auf dem Framework bereitet sich der Finanzsektor darauf vor, Oberflächenrisikobewertungen durchzuführen, Sicherheitslücken- und Angriffssimulationen vorzunehmen und auszuführen. 

Diese Ausgangspunkte machen die Resilienz des Ökosystems weniger einschüchternd. Dennoch bleiben sie grundlegend, solange die Anleitung zur Resilienz des Ökosystems ausschließlich an Unternehmen gerichtet ist. Es sollte gleichermaßen – wenn nicht sogar mehr – an die Anbieter von Cybersicherheitslösungen für Unternehmen gerichtet sein.

Eine Analogie stammt aus der Entwicklung bestimmter Open Finance-Frameworks, die mehr als nur den Umfang des Open Banking erweitern sollen. Eine gemeinsame Funktionalität nimmt unabhängige Verbindungen zwischen Anbietern und Empfängern von Open Finance-Daten auf und fasst sie in der konsistenten und effizienten Bereitstellung vernetzter Produkte und Dienstleistungen zusammen.

Regierungen müssen jetzt, in Partnerschaft mit Branchenverbänden und unter Nutzung der von Zahlungsnetzwerken gebotenen Netzwerksicherheit, dieselbe kollektive Denkweise auf die Cybersicherheit anwenden.

Der Zweck eines Rahmenwerks besteht nicht darin, den Wettbewerb in diesem Bereich zu eliminieren, sondern vielmehr sicherzustellen, dass Anbieter von Cybersicherheitslösungen mit ihren Kunden zusammenarbeiten, um einen gemeinsamen Standard einzuhalten. TPRM ist laut einer von Mastercard gesponserten Umfrage zwischen November 2022 und Februar 2023 der wohl herausforderndste Aspekt des Digital Operational Resilience Act (DORA) der Europäischen Union.

Drittanbieterbeziehungen haben Unternehmensmonolithen in soziale Schmetterlinge verwandelt. Ein herkömmlicher TPRM-Ansatz erwartet, dass diese Schmetterlinge Abstand halten. Das ist eine hohe Hürde.

Ein Unternehmen kann nicht richtig funktionieren und vollständig geschützt bleiben, wenn seine Erwartungen an Dritte geringer sind als seine Erwartungen an sich selbst. Es ist auch nicht zu erwarten, dass ein Unternehmen diese Erwartungen erfüllt, wenn die verfügbaren Cybersicherheitslösungen keinem umfassenden, anbieterunabhängigen Rahmenwerk entsprechen, das in einer kollektiven Denkweise verankert ist.

Cybersicherheit dient dazu, anfällige Komponenten einzelner Unternehmen gegen Angriffe zu stärken. Cyber-Resilienz mildert die Auswirkungen dieser Verstöße, indem sie eine ganzheitliche Sicht auf alle Unternehmen in einem Ökosystem einnimmt.

Anders als in der Epidemiologie ist die Impfung in der Cybersicherheit keine Möglichkeit. Aber die Cybersicherheit ermöglicht dennoch eine Herdenimmunität durch einen widerstandsfähigen Ansatz, der es Ökosystemen — wie Gesellschaften — ermöglicht, eine Infektion einzudämmen und sich schnell zu erholen, wiederherzustellen und anzupassen.