Drittanbieter-Risiko – Third-Party Risk oder Vendor Risk – bezeichnet alle Risiken, die dadurch entstehen, dass ein Unternehmen externe Dienstleister, Software-Anbieter oder Cloud-Plattformen in seine Prozesse oder Infrastruktur einbindet. Mit jedem Drittanbieter übernimmt ein Unternehmen indirekt auch dessen Risiken: Sicherheitslücken in einem integrierten SaaS-Tool, ein Ausfall des Cloud-Anbieters, eine Insolvenz des Schlüssellieferanten oder Datenschutzprobleme eines Auftragsverarbeiters – all das kann die eigene Operation und Compliance direkt beeinträchtigen.
Für Automatisierungsinfrastrukturen ist Drittanbieter-Risiko strukturell besonders relevant: Moderne Automatisierungsplattformen sind auf Basis von Dutzenden externer Dienste gebaut – Cloud-Provider, Datenbanken, Integrationsplattformen, SaaS-Konnektoren, npm-Pakete. Jeder dieser Dienste ist ein potenzieller Risikoträger. Ein systematisches Drittanbieter-Risikomanagement ist nicht optional, sondern Teil jeder ernsthaften IT-Sicherheitsstrategie.
Drittanbieter-Risikokategorien
Sicherheitsrisiko
Sicherheitslücke beim Anbieter ermöglicht Zugriff auf eigene Daten. Supply-Chain-Angriff über kompromittiertes Paket.
Verfügbarkeitsrisiko
Ausfall des Drittanbieters stoppt eigene Prozesse. AWS-Outage, SaaS-Wartungsfenster, ungeplante Downtime.
Compliance-Risiko
Kein AVV, Daten in unsicheren Drittstaaten, Anbieter nicht DSGVO-konform. Rechtliche Mitverantwortung trotzdem beim Verantwortlichen.
Konzentrationsrisiko
Zu viele kritische Prozesse auf einem Anbieter (AWS, Google, Salesforce). Ausfall oder Preisänderung trifft unverhältnismäßig stark.
Qualitätsrisiko
Anbieter liefert schlechtere Qualität als vereinbart. API-Änderungen ohne Ankündigung, sinkende Performance, verschlechterte SLAs.
Insolvenzrisiko
Anbieter stellt Betrieb ein oder geht insolvent. Schlüsselintegrationen funktionieren nicht mehr, Datenzugriff gefährdet.
Praxisbeispiel
Ein Automationsdienstleister erstellt sein Drittanbieter-Inventar: 23 externe Dienste und Bibliotheken im Einsatz. Risikoklassifizierung nach Kritikalität und Risikotyp: AWS (Kritisch, Verfügbarkeit) → Multi-AZ-Deployment, BCM-Plan für AWS-Ausfall. HubSpot-CRM-API (Hoch, Verfügbarkeit + Qualität) → Retry-Logic, graceful degradation wenn API nicht erreichbar. PostgreSQL-npm-Treiber (Mittel, Sicherheit) → automatische Vulnerability-Scans mit Dependabot, Update-SLA 7 Tage für Security-Patches. Kleiner E-Mail-Dienstleister (Hoch, Insolvenz) → Evaluierung Alternative, Migration auf AWS SES als Backup geplant. Compliance: AVV für alle 11 Dienste, die personenbezogene Daten verarbeiten, geprüft und vorhanden. Ergebnis: 3 kritische Lücken identifiziert, alle innerhalb von 6 Wochen adressiert.
