Nial Moore ist Partner im Bereich Cyber Security, Data & Tech Risk bei PwC. Zu seinen Schwerpunkten gehören die Leitung internationaler Cyber-Transformationsprogramme, sowie Third-Party- und Supply-Chain-Risikomanagement.
Unternehmen können ihre eigene Cybersicherheit kontinuierlich verbessern und trotzdem gleichzeitig verwundbarer werden. Denn mit Cloud-Diensten, Softwareplattformen, KI-Lösungen und spezialisierten Dienstleistern wächst die Zahl externer Abhängigkeiten und damit die Angriffsfläche außerhalb der eigenen Organisation.
Der PwC 2027 Global Digital Trust Insights Report zeigt, wie relevant diese Risiken inzwischen sind: 34 Prozent der Sicherheitsverantwortlichen sehen ihr Unternehmen auf Sicherheitsverletzungen durch Drittanbieter nur unzureichend vorbereitet. Bei Angriffen auf die Software-Lieferkette sind es 33 Prozent.
Die Unternehmensgrenze verliert an Bedeutung
Cloud-Anbieter, Softwarehersteller und weitere Dienstleister sind heute eng mit Geschäftsprozessen und IT-Landschaften ihrer Kunden verbunden. Cyber Security endet deshalb nicht mehr an der eigenen Unternehmensgrenze. Eine Schwachstelle bei einem externen Partner kann zum Risiko für das gesamte Ökosystem werden.
KI verstärkt diese Herausforderung zusätzlich. Unsere Cyber-Studie beschreibt, dass externe KI-Modelle Risiken im Ökosystem erhöhen und KI-generierter Code und neue Anwendungen etablierte Sicherheitsprüfungen umgehen können. Für Unternehmen bedeutet das: Third-Party Risk kann nicht mehr ausschließlich über klassische Lieferantenbewertungen gesteuert werden, sondern muss auf der Produkt- und Service-Ebene betrachtetet werden. Da Dienstleister und Softwarehäuser immer mehr KI-Funktionalitäten in etablierte Lösungen integrieren, müssen diese Risiko-Betrachtung nicht nur initial vor der Einführung durchgeführt werden, sondern auch über den Nutzungszeitraum hinweg ständig aktuell gehalten werden.
Geopolitik verändert die Risikolandschaft
Neben technologischen Abhängigkeiten gewinnen geopolitische Faktoren an Bedeutung. 50 Prozent der Befragten passen ihre Strategien für das Risiko- und Lieferkettenmanagement von Drittanbietern aufgrund geopolitischer Entwicklungen an. Damit rücken neue Fragen in den Mittelpunkt: Wie abhängig ist das Unternehmen von einzelnen Anbietern, Technologien oder Regionen? Wo entstehen
Konzentrationsrisiken? Und welche Alternativen stehen zur Verfügung, wenn wichtige Komponenten oder Services ausfallen?
Drei Prioritäten für Third-Party Risk Management
- Kritische Drittparteien identifizieren: Nicht jeder Dienstleister birgt dasselbe Risiko. Entscheidend ist Transparenz darüber, von welchen Anbietern und Technologien geschäftskritische Leistungen tatsächlich abhängen.
- Risiken kontinuierlich beobachten: Punktuelle Selbstauskünfte und Audits bilden eine dynamische Risikolage nur begrenzt ab. Der Report nennt unter anderem Attack-Surface-Scans und Infrastructure Fingerprinting als Möglichkeiten, externe Risiken kontinuierlicher zu betrachten.
- Konzentrationsrisiken mitdenken: Unternehmen sollten nicht nur einzelne Anbieter bewerten, sondern auch gemeinsame technologische Abhängigkeiten und mögliche Kaskadeneffekte in ihrem Ökosystem berücksichtigen.
Third-Party Risk Management entwickelt sich damit von einer punktuellen Lieferantenprüfung zu einer strategischen Aufgabe. Wer seine externen Abhängigkeiten versteht und fortlaufend bewertet, schafft eine wichtige Grundlage, um Risiken im digitalen Ökosystem frühzeitig zu erkennen und gezielter zu steuern.