Management Summary
Wer seine Partner nicht prüft, lagert Third-Party-Risiken aus – direkt in die eigene Bilanz. Der Weg nach vorn ist kein Monsterprojekt, sondern ein sauber designtes Stufenmodell für Audits : klein anfangen, risikoorientiert vertiefen, Ergebnisse in KPIs übersetzen und konsequent nachsteuern. Ziel ist nicht Papier, sondern Wirkung: bestätigte Kontrollen, geklärte Kontaktwege, getestete Notfallpfade. Alles andere ist Selbstberuhigung.
Warum viele Lieferkettenprüfungen scheitern
-
Fragebögen ohne Beweisführung: schöne Antworten, null Nachweise.
-
Einheitsprüftiefe: Der Cloud-Provider wird wie der regionale Wartungsdienst behandelt – Unsinn.
-
Keine Eskalationslogik: Findings versanden, Fristen sind zahnlos.
-
Null Bezug zur Supply-Chain-Security im Betrieb: Kein Logging-Pfad, keine 24/7-Kontakte, keine Drill-Erfahrung.
Kurz: Formalien statt Due Diligence. Ergebnissicher ist das nicht.
Das Stufenmodell: Drei Prüftiefen, klare Trigger
Stufe 1 – Desk Review (alle Partner)
Leichtgewichtige Audits mit Belegen: Policy-Ausschnitte, Zertifikate, Prozessnachweise, Named Contacts 24/7. Trigger: neuer Lieferant, jährliches Refresh, Vertragsänderungen.
Stufe 2 – Remote Audit (risikoreiche Dienste)
Screen-Sharing/Interviews, Stichproben in Systemen, Nachweis von Kontrollen (z. B. MFA-Screens, Log-Exports). Trigger: Internet-Exponierung, Zugriff auf sensible Daten, Vorfallhistorie.
Stufe 3 – Onsite/Targeted Test (kritische Pfade)
Stichhaltige Prüfungen vor Ort oder gezielte technische Tests (z. B. Auth-Flows, Restore-Drill). Trigger: Kernprozess-Relevanz, Admin-Zugriffe, Koppelung an euren Notfallbetrieb.
Pflichtinhalte je Stufe (knapp, aber ausreichend)
Stufe 1 – Mussfelder
-
Unternehmensdaten, Verantwortliche, 24/7-Kontaktweg (Notfall).
-
Mindestkontrollen: phishingsichere MFA für Admins, Patch-SLOs, Backup-Konzept, Rollen-/Rechte.
-
Compliance-Nachweise (falls vorhanden) + Gültigkeit.
-
Vorfall-Meldeweg: Fristen, Form, Ansprechpersonen.
-
Logging-Pfad: Was wird protokolliert, wie lange, wie wird geteilt?
Stufe 2 – Mussfelder
-
Live-Nachweis: MFA an kritischen Zugängen, Session-Härtung, Offboarding-Prozess.
-
Schwachstellenmanagement: Zyklen, SLO-Einhaltung, Beispiel-Tickets.
-
Backup/Restore: letzte Protokolle, Integritätsnachweis.
-
Change-/Deployment-Pfad: Vier-Augen-Prinzip, Freigabespuren.
-
Drill-Belege: Kundenseitige Notfallkontakte eingebunden? Ja/Nein + Datum.
Stufe 3 – Mussfelder
-
Targeted Test: Auth-Kette, Rate-Limits, Not-Login, Out-of-Band-Kommunikation.
-
Restore-Drill unter Zeitdruck, dokumentierte Zeiten.
-
Lieferant-Subunternehmer (N-Tier): wer greift wo zu? Nachweise.
KPIs, die zählen (und Steuerung erzwingen)
-
Abdeckungsquote geprüfter Partner (Stufe 1/2/3) je Risikoklasse.
-
SLO-Erfüllung bei Findings: % fristgerecht geschlossen, mittlere Schließzeit.
-
Drill-Quote : Anteil kritischer Partner mit bestandenem 24/7-Kontakt- und Restore-Drill ≤ X Monate.
-
Incident-Meldefrist : Zeit vom Erstindikator bis zur Partner-Info.
-
Escalation Hit-Rate : Wie oft greifen definierte Eskalationsstufen (Beweis echter Governance)?
Ohne Quartals-Review und harte Eskalation bleiben KPIs Dekoration.
90-Tage-Plan für wirksame Lieferketten- Audits
Tag 0–15 – Inventar & Risikoklassen
-
Vollständige Partnerliste mit Datenzugriff, Exponierung, Admin-Rechten.
-
Risikoklassen (niedrig/mittel/hoch/kritisch) anhand eurer Geschäftsprozesse.
-
Stufen-Mapping: Wer fällt in Stufe 1/2/3 – mit Begründung.
Tag 16–45 – Templates & Beweisführung
-
Drei schlanke Fragebögen (S1/S2/S3) mit Pflicht-Belegen, keine Freitext-Romane.
-
Standard-Nachweise definieren (Screens, Ticket-IDs, Protokolle, Drill-Logs).
-
Vertragliche Anker: Nachweis- und Drill-Pflichten, Meldefristen, Due Diligence -Rechte.
Tag 46–75 – Durchführung & Eskalation
-
Stufe-1-Rollout an 100 % der aktiven Partner.
-
Stufe-2 an alle „hoch“ – Remote-Sessions terminieren, Belege verifizieren.
-
Eskalationslogik scharf: Frist → Reminder → Management-Ping → temporäre Zugriffseinschränkung.
Tag 76–90 – Drills & Verankerung
-
Stufe-3 für „kritisch“: ein Restore-Drill + Notfall-Kontaktprobe unter Lastbedingungen.
-
KPI-Review vs. Baseline, Maßnahmen nachziehen, Roadmap fürs nächste Quartal.
-
Lessons Learned in Templates zurückspielen (Fragen streichen/verschärfen).
Governance, die trägt – ohne Overhead
-
Ein Audit -Owner, ein System: Alle Nachweise in ein Ticket-/GRC-Backlog, priorisiert nach Geschäftsimpact.
-
„No evidence, no pass“: Jede Antwort braucht einen Beleg – sonst offen.
-
N-Tier-Sicht: Kritische Subunternehmer gehören in eure Sicht, sonst bleibt die Lieferkette blind.
-
Notfall-Pfad testen: Einmal pro Jahr gemeinsam – nicht nur im PDF.
Fazit: Wirkung statt Papier
Schlanke, risikobasierte Audits sind kein Selbstzweck. Sie zwingen Partner, Kontrollen zu zeigen – und euch, Konsequenzen durchzusetzen. Wer Supply-Chain-Security so denkt, reduziert echte Angriffsfläche, verbessert Reaktionszeiten und macht Third-Party-Risiken messbar. Kurz: weniger Versprechen, mehr Beweise. Alles andere ist teure Kosmetik.
