Dieser Beitrag basiert auf dem Whitepaper "The Paradox of Third-Party Access" von Cyolo und zeigt, warum das Gegenteil der Fall ist: Wer seinen Drittanbietern bewusst weniger pauschales Vertrauen entgegenbringt – dafür aber die richtigen Kontrollen einsetzt – macht sie am Ende produktiver, nicht langsamer.
Das Problem: Eure Drittanbieter sind privilegierte Nutzer – werden aber nicht so behandelt
Als "privilegiert" gilt jeder Nutzer, dessen Zugriffsrechte bei Missbrauch katastrophale Schäden anrichten könnten – finanziell, für den Ruf oder sogar für die Sicherheit von Menschen. Was genau als privilegiert gilt, ist von Unternehmen zu Unternehmen verschieden. Auf externe Dienstleister und Vertragspartner trifft diese Definition aber so gut wie immer zu.
Trotzdem geben viele der heute noch weit verbreiteten Secure-Remote-Access-Lösungen – allen voran klassische VPNs und Virtual Desktop Infrastructure (VDI) – Drittanbietern deutlich mehr Zugriff, als sie für ihre eigentliche Aufgabe brauchen. Diese Tools kennen meist nur "Alles oder nichts": Statt gezielt Zugriff auf den einen Aktor oder die eine SPS freizugeben, die gewartet werden muss, landet der Dienstleister im gesamten OT-Netzwerk. Wie groß das Thema wirklich ist, zeigt eine Studie von Takepoint Research und Cyolo (2025): 88% der befragten Hersteller erlauben Drittanbietern, Technikern und OEMs Fernzugriff auf ihre OT-Umgebungen, 60 % davon für mehr als 100 externe Parteien, 32% sogar für mehr als 250. Und laut einer Studie von Imprivata (Stand Februar 2025) hatten bereits 47 % der Organisationen im Jahr zuvor eine Datenpanne oder einen Cyberangriff erlebt, bei dem ein Drittanbieter beteiligt war – 64% rechnen damit, dass sich das in den nächsten ein bis zwei Jahren noch verschärft.
Warum klassische Fernzugriffslösungen hier an ihre Grenzen stoßen
Secure-Remote-Access-Lösungen verfolgen meist einen von zwei Ansätzen: netzwerkbasierten Zugriff, bei dem Nutzer Zugang zum gesamten OT-Netzwerk erhalten, auch wenn sie nur eine einzelne Anwendung brauchen – oder anwendungsbasierten Zugriff, bei dem jede Anwendung einzeln freigegeben wird. Viele ältere Tools setzen noch auf den netzwerkbasierten Ansatz. Nutzer können sich dann lateral durchs Netz bewegen, oft ohne jede Aufsicht. Eine Erhebung unter IT- und IT-Security-Fachleuten (Imprivata, Anfang 2025) zeigt: 34% der durch Drittanbieter verursachten Cyberangriffe gingen auf zu umfangreiche privilegierte Zugriffsrechte zurück – ein Rückgang gegenüber 70% im Jahr 2022, aber immer noch ein hoher Wert. Besonders exponiert ist der Energiesektor: Laut SecurityScorecard (2023) hatten 100% der zehn größten US-Energieversorger und 90% der größten Energiekonzerne weltweit im Vorjahr bereits eine Drittanbieter-Sicherheitsverletzung erlebt.
Hinzu kommt das sogenannte kaskadierende Risiko: Jeder Dienstleister hat wiederum eigene Zulieferer und Partner, die sich nicht prüfen lassen. Wie real dieses Risiko ist, zeigte der MOVEit-Transfer-Angriff 2023: Mehr als 2.000 Organisationen waren betroffen – darunter British Airways und die BBC, die MOVEit selbst gar nicht nutzten, aber über ihren Lohnabrechnungs-Dienstleister in Mitleidenschaft gezogen wurden. Die Lösung liegt nicht darin, die Sicherheit jedes einzelnen Zulieferers eurer Zulieferer zu prüfen – sondern darin, die eigene Sicherheitsarchitektur so aufzustellen, dass ein Vorfall an anderer Stelle der Kette begrenzt bleibt.
Die Lösung: Weniger pauschales Vertrauen, dafür die richtigen Kontrollen nach dem Zugriff
Die Antwort liegt nicht in noch mehr Passwörtern und längeren Freigabeprozessen, sondern darin, klassische Zugriffskontrollen wie Multi-Faktor-Authentifizierung um Kontrollen für die Zeit nach der Anmeldung zu ergänzen. Entscheidend ist das Zero-Trust-Prinzip "never trust, always verify": Jede Identität, jeder Nutzer und jedes Gerät wird geprüft und kontinuierlich authentifiziert, Zugriff gibt es immer nur auf Anwendungsebene und nur auf die Ressourcen, die für die jeweilige Aufgabe wirklich nötig sind (Least Privilege). Jeder einzelne Mitarbeitende eines Dienstleisters bekommt dabei eigene, persönliche Zugangsdaten statt eines geteilten Logins – das macht einzelne Aktivitäten nachvollziehbar und erleichtert es im Ernstfall, die Ursache schnell einzugrenzen.
Konkret bedeutet das zum Beispiel: Zeitlich befristeten Zugriff über Just-in-Time (JIT) vergeben, risikoreiche Aktionen wie Copy-Paste oder Screenshots gezielt blockieren, Sessions in Echtzeit überwachen und bei Bedarf sofort beenden. Auch Legacy-Systeme, die selbst keine moderne Absicherung wie MFA mitbringen, lassen sich so erstmals sicher per Fernzugriff warten – ohne dass dafür extra ein Techniker anreisen muss. Wichtig dabei: Ein agentenloser, browserbasierter Zugang beschleunigt genau das, was Dienstleister sonst ausbremst – nämlich das Installieren und Konfigurieren von VPN-Clients für jeden einzelnen Kunden. Das zahlt sich auch handfest aus: Laut der Takepoint-Research-/Cyolo-Studie 2025 sagen 66% der befragten Fachleute in der Fertigungsindustrie, dass nutzerfreundliche Zugriffslösungen die Produktivität verbessern. Umgekehrt gilt: Je umständlicher ein Tool, desto eher weichen Nutzer auf geteilte Logins oder Abkürzungen aus – und genau das schwächt am Ende die Sicherheit.
Fazit
Weniger pauschales Vertrauen in Drittanbieter bedeutet nicht, sie auszubremsen oder mit komplizierten Tools zu frustrieren. Im Gegenteil: Eine konsequente Zero-Trust-Strategie mit Kontrollen nach dem Zugriff gibt Unternehmen die Transparenz und Kontrolle, die sie brauchen – und ihren Dienstleistern genau den Zugriff, den diese für ihre Arbeit wirklich brauchen. So profitieren Unternehmen von deren Expertise, ohne die eigene OT-Umgebung unnötig zu exponieren.
BrightFlare ist Integrationspartner von Cyolo und unterstützt Industrieunternehmen in der DACH-Region dabei, genau diesen Ansatz für sichere, privilegierte Fernzugriffe (rPAM) in ihrer OT-Umgebung umzusetzen – von der Einführung bis zum laufenden Betrieb, inklusive Unterstützung bei der NIS2-Compliance.
