Cyber-Risiken und Datenschutz: Externe Dienstleister als unterschätzte Gefahr

Häufig begegne ich im Austausch mit Führungskräften einem gefährlichen Irrtum: Das eigene Unternehmen wird als zu klein oder zu unbedeutend angesehen, um als Ziel für Cyberangriffe zu gelten. Diese Annahme ist jedoch trügerisch. Auch kleine und mittlere Unternehmen stehen im Fokus und der Verwaltungsrat trägt die rechtliche Verantwortung. Fehlende Technologiekompetenz schützt nicht vor Haftung.

Outsourcing: Vom Effizienzgewinn zum Risikotreiber

Aktuelle Studien und Aufsichtsberichte zeigen deutlich: Die Auslagerung zentraler Geschäftsprozesse an spezialisierte IT-Dienstleister, Cloud-Anbieter oder SaaS-Plattformen steigert zwar die Effizienz, erhöht aber gleichzeitig die Komplexität und Verwundbarkeit der Wertschöpfungskette erheblich. Angreifer verschaffen sich zunehmend über externe Partner, oft das schwächste Glied in der Kette, Zugang zu sensiblen Daten und Systemen. Laut FINMA wurde im Jahr 2023 fast ein Drittel aller Cybervorfälle im Finanzsektor durch externe Dienstleister oder deren Subunternehmer verursacht.

Besonders betroffen sind Finanzdienstleister, Treuhänder und Family Offices, bei denen Datenschutz und Vertraulichkeit zum Kerngeschäft gehören. Doch auch in Handel, Industrie und Personalwesen nehmen die Risiken entlang der Lieferkette stetig zu. Angriffe über Dienstleister können gravierende Auswirkungen auf den Geschäftsbetrieb, das Kundenvertrauen und die Reputation haben.

Die häufigsten Gefahren im Überblick

• Konzentrations- und Klumpenrisiken: Viele Unternehmen sind von wenigen grossen Anbietern (wie Microsoft, AWS oder spezialisierten IT-Outsourcern) abhängig. Ein Ausfall oder Sicherheitsvorfall bei einem dieser Dienstleister kann mehrere Unternehmen gleichzeitig betreffen und sogar systemische Risiken auslösen. Trügerisch ist aus meiner Erfahrung das häufig blinde Vertrauen in grosse Anbieter und die Unterschätzung der Risiken; gerade diese Plattformen stehen aufgrund ihrer Bedeutung besonders im Fokus gezielter Angriffe.
• Datenlecks und Kontrollverlust: Bei der Auslagerung personenbezogener oder vertraulicher Daten besteht das Risiko unzureichender Sicherung oder versehentlicher Offenlegung, sei es durch Cyberangriffe, Fehlkonfigurationen oder mangelhafte Standards beim Dienstleister.
• Mangelnde Transparenz: Oft ist für das auslagernde Unternehmen nicht klar ersichtlich, wie und wo Daten verarbeitet, gespeichert oder weitergegeben werden, insbesondere bei Sub-Outsourcing oder der Nutzung internationaler Cloud-Anbieter.
• Rechtliche Risiken und Meldepflichten: Datenschutzverletzungen können zu erheblichen Bussen, aufsichtsrechtlichen Massnahmen und Reputationsverlust führen. Unternehmen in der Schweiz und in der EU sind verpflichtet, Vorfälle unverzüglich zu melden, auch wenn diese bei einem Dienstleister entstehen.
• Unzureichendes Datenmanagement: In der Praxis fehlt häufig der Überblick, welche Daten wo gespeichert oder durch den Outsourcer verarbeitet werden. Aufgaben können ausgelagert werden; die Verantwortung für den Datenschutz verbleibt jedoch beim Unternehmen und ist nicht delegierbar. Der Verwaltungsrat steht hier klar in der Pflicht.

Regulatorische Anforderungen und Best Practices

Die Aufsichtsbehörden verschärfen die Anforderungen an das Outsourcing-Management laufend. Die Erwartung ist eindeutig: Unternehmen müssen jederzeit wissen, welche Daten, Prozesse und Systeme ausgelagert sind, wie Risiken überwacht werden und welche Exit-Strategien bestehen. Besonders bewährt haben sich folgende Massnahmen:

• Sorgfältige Auswahl und regelmässige Überprüfung von Dienstleistern (inkl. deren Subunternehmer)
• Verbindliche Verträge mit klaren Vorgaben zu Informationssicherheit, Datenschutz und Auditrechten
• Laufendes Monitoring, Audits und Überprüfung der Schutzmassnahmen; sowohl technisch als auch organisatorisch
• Durchführung von Cyberübungen und Notfalltests zur Stärkung der Resilienz und Reaktionsfähigkeit
• Sicherstellung der Einhaltung aller Meldepflichten und Dokumentationsvorgaben (DSG, DSGVO, FINMA)

Fazit

Cyberrisiken und Datenschutzverletzungen im Zusammenhang mit externen Dienstleistern gehören heute zu den grössten Herausforderungen für Management und Verwaltungsrat, insbesondere in Branchen, in denen Vertrauen, Integrität und Diskretion zentrale Werte darstellen. Wer die Kontrolle über ausgelagerte Prozesse verliert oder Risiken unterschätzt, setzt das Unternehmen und die eigene Reputation aufs Spiel. Die Verantwortung liegt immer beim Unternehmen, insbesondere beim Verwaltungsrat.

Deshalb ist ein Umdenken erforderlich: Cybersecurity und Datenschutz sind strategische Themen, die auf Ebene des Verwaltungsrats behandelt werden müssen. Externe Dienstleister sind systematisch in das Cyber-Risk-Management und den Datenschutz einzubinden, zu dokumentieren und zu kontrollieren.

Nur so gelingt der nachhaltige Ausgleich zwischen Effizienz, Innovation und Sicherheit.