Ein IT-Outsourcing-Unternehmen betreut 40 Kunden. Eine Full-Service-Agentur verwaltet die Werbekampagnen, Websites und Online-Shops von einem Dutzend Marken. Ein Implementierungsberater hat Zugriff auf die Produktionsumgebungen von Organisationen, mit denen er in den letzten drei Jahren zusammengearbeitet hat.
Jedes dieser Dienstleistungsunternehmen besitzt etwas, wonach Angreifer aktiv suchen: den Zugang zu den Systemen mehrerer Organisationen gleichzeitig. Nicht, weil sie das schwächste Glied in der Kette sind, sondern weil sie der effizienteste Angriffsvektor są. Ein einziger kompromittierter Zugang aufseiten des Dienstleisters kann die Türen zu Dutzenden von Kunden parallel öffnen.
Das Problem liegt nicht darin, dass ein Dienstleister Zugriff auf die Systeme seiner Kunden hat. Das ist eine zwingende Voraussetzung für die Leistungserbringung. Das Problem liegt darin, wie er diese Zugriffe verwaltet: Wer im Team kennt welche Passwörter? Wie werden sie bei der Mitarbeiterfluktuation übergeben? Wie werden sie nach Änderungen aktualisiert? Und was im Kontext der Haftung von entscheidender Bedeutung ist: Ist das Unternehmen im Falle eines Vorfalls in der Lage zu beweisen, dass es die Zugriffe ordnungsgemäß und sorgfältig verwaltet hat?
Warum Dienstleister ein primäres Ziel für Hacker sind
Die dritte Partei als Angriffsvektor
Third-Party-Zugriffe (von externen Dienstleistern, Partnern und Servicefirmen) entwickeln sich zu einem der dominierenden Vektoren für Sicherheitsverletzungen. Laut Daten von SentinelOne standen externe Verbindungen im Jahr 2024 mit 35,5 % aller gemeldeten Sicherheitsvorfälle in Verbindung – ein Anstieg von 6,5 % im Vergleich zum Vorjahr. Das Risiko eskaliert, da Konten von Dienstleistern oft über weitreichende Berechtigungen verfügen, selten überwacht werden und oft noch lange nach Projektabschluss aktiv bleiben.
Gemäß den Daten von IBM und Secureframe kostet eine Sicherheitsverletzung unter Beteiligung von Dritten im Durchschnitt 4,76 Millionen USD – deutlich mehr als eine durchschnittliche Verletzung ohne externen Partner. Darüber hinaus dauert es im Schnitt 210 Tage, um eine durch Schwachstellen bei Dritten verursachte Sicherheitsverletzung überhaupt zu entdecken, und weitere 76 Tage, um sie vollständig einzudämmen (Quelle: Imprivata).
Der Dienstleister als Risikomultiplikator
Für einen Angreifer ist die Kompromittierung einer einzigen Marketingagentur mit Zugriff auf die Werbekonten von 20 Kunden weitaus effizienter, als jeden Kunden einzeln zu attackieren. Dasselbe gilt für einen IT-Outsourcer mit Zugriff auf Admin-Panels, Server und Infrastruktur-Managementsysteme von Dutzenden Organisationen.
Dienstleister operieren in einem Modell, das den Zugriff naturgemäß konzentriert. Das ist unvermeidbar. Die Frage lautet daher nicht, wie man dies verhindert, sondern wie man diesen Zugriff so verwaltet, dass das Risiko minimiert und die eigene Rechenschaftspflicht zweifelsfrei nachgewiesen werden kann.
Wo die Praxis im Alltag scheitert
IT-Outsourcing: Ein Team, Dutzende Admin-Panels
Ein IT-Unternehmen verwaltet die Infrastruktur von 35 Kunden. Jeder Kunde hat sein eigenes Konto im Hosting-Panel, Zugriff auf den Router, Logins für das Monitoring-System, Passwörter für Mailserver und Administrator-Konten im Betriebssystem. Das sind mindestens 5 bis 10 Zugangsdaten pro Kunde – bei 35 Kunden befinden sich also über 200 Passwörter im Umlauf.
Wie sieht die Verwaltung ohne dediziertes Tool aus? Passwörter landen in einer Excel-Tabelle auf einem gemeinsamen Laufwerk, werden über Slack geteilt, wenn der zuständige Techniker wechselt, oder von jedem Mitarbeiter in eigene, unverschlüsselte Notizen kopiert. Verlässt unglücklicherweise ein Techniker das Unternehmen, weiß niemand genau, wie viele Passwörter er mitgenommen hat und in welche Kundensysteme er sich nach wie vor einloggen könnte.
Full-Service-Agentur: Ein Account für das gesamte Kreativteam
Eine Agentur betreut 15 Kunden: Google Ads- und Meta-Kampagnen, Content-Management auf Websites (CMS), E-Commerce-Betreuung (WooCommerce, Shopify), Newsletter-Versand und Social-Media-Moderation. Jeder Kunde besitzt ein Google Ads-Konto, ein Meta Business Manager-Konto, Zugänge zum CMS, Logins für E-Mail-Marketing-Plattformen oraz FTP- oder Hosting-Daten.
Ein einziges Kundenkonto wird gleichzeitig vom Account Manager, dem SEM-Spezialisten, dem Grafiker, dem Copywriter und manchmal von einem externen Freelancer genutzt. Das Passwort kursiert per E-Mail, Slack oder wird manuell von einem Screenshot abgetippt. Ändert der Kunde das Passwort, weil er „auf Nummer sicher gehen“ wollte, beginnt der gesamte Informationsfluss von vorn – oft gepaart mit verlorenen Nachrichten und operativen Verzögerungen.
Berater / Integratoren: Temporärer Zugriff, der niemals abläuft
Ein Consulting-Unternehmen realisiert ERP-Einführungen, E-Commerce-Plattformen und Individualsoftware für Enterprise-Kunden. Für die Dauer des Projekts erhalten die Mitarbeiter Zugriffe auf Test- und Produktionsumgebungen. Das Projekt dauert drei Monate. Die Zugriffe bleiben oft ein Jahr oder länger aktiv.
Der Kunde achtet nach Projektende selten darauf, alle Zugriffe konsequent zu entziehen. Der Berater meldet sich ebenfalls selten, um zu signalisieren, dass die Zugriffe gelöscht werden können. Infolgedessen bleibt die Produktionsumgebung des Kunden für Personen offen, die ihre Arbeit vor vielen Monaten beendet haben.
Wie Sie Kundenzugriffe verwalten, ohne Passwörter offenzulegen
Ein Kunde, eine Gruppe
Das Fundament der Zugriffskontrolle bei einem Dienstleister ist die Organisation der Zugangsdaten nach Kunden, nicht nach Mitarbeitern. Jeder Kunde erhält eine dedizierte Gruppe in perc.pass mit einer fest zugewiesenen Gruppe von Benutzern – genau denjenigen, die dieses Konto aktuell betreuen. Ein neuer Mitarbeiter, der das Kundenteam verstärkt, wird der Gruppe hinzugefügt. Ein Mitarbeiter, który die Zusammenarbeit beendet, wird entfernt. Die Passwörter selbst bleiben absolut unverändert. Es ändert sich lediglich, wer Zugriff auf sie hat.
In diesem Modell der kundenspezifischen Tresore ist auch eine präzise Rechte-Differenzierung möglich: Der Account Manager hat Zugriff auf die Logins der Marketing-Tools, aber nicht auf das Hosting-Panel. Der Techniker greift auf die Infrastruktur zu, sieht aber keine Werbedaten. Jeder sieht ausschließlich das, was er für seine Arbeit benötigt.
Entzug des Zugriffs statt Änderung des Passworts
Eines der häufigsten operativen Probleme bei Dienstleistern entsteht, wenn ein Techniker oder Account Manager das Unternehmen verlässt: Entweder müssen die Passwörter aller Kundensysteme mühsam geändert (und die Kunden sowie das verbleibende Team informiert) oder das alte Passwort beibehalten und das Sicherheitsrisiko zähneknirschend akzeptiert werden.
Mit perc.pass existiert dieses Dilemma nicht mehr. Das Entfernen eines Mitarbeiters aus der Zugriffsgruppe des Kunden entzieht ihm augenblicklich den Zugriff auf alle Zugangsdaten in diesem Bereich – ohne die Passwörter selbst zu ändern, ohne die Kunden zu belästigen i bez Unterbrechung der Dienstleistung dla das restliche Team.
Passwort-Update an einem zentralen Ort
Ein Kunde ändert das Passwort für sein Admin-Panel. Ohne zentrales Management bedeutet das: Eine E-Mail an das gesamte Team, manuelle Aktualisierung der Excel-Liste und das Risiko, dass sich jemand eine Woche lang mit dem alten Passwort anmeldet und das Konto sperrt.
Mit perc.pass wird das Passwort von der Person, die es vom Kunden erhalten hat, an einem zentralen Ort aktualisiert. Alle anderen berechtigten Nutzer der Gruppe greifen ab der nächsten Sekunde vollautomatisch auf die aktuellen Daten zu.
Compliance und Revisionssicherheit im Ernstfall
Lückenlose Aktivitätshistorie
Wenn ein Kunde einen Vorfall meldet – zum Beispiel eine unautorisierte Änderung im System, verdächtige Aktivitäten auf dem Werbekonto oder eine modifizierte Serverkonfiguration –, lautet die erste Frage an den Dienstleister: Wer hat sich wann eingeloggt?
perc.pass registriert im Rahmen der System-Logs jede einzelne Operation: Wer hat wann auf welche Ressource zugegriffen? Im Falle eines Incidents kann das Unternehmen innerhalb von Minuten eine lückenlose Betriebsdokumentation vorlegen: Login-Listen, Historie der Rechteänderungen i das Datum der letzten Passwortrotation. Das ist der entscheidende Unterschied zwischen „Wir glauben, dass…“ und „Wir können lückenlos belegen, dass…“.
Im Kontext der vertraglichen Haftung gegenüber dem Kunden oraz potenzieller regulatorischer Verfahren (EU-DSGVO, NIS2) ist diese Aktivitätshistorie der unumstößliche Beweis dafür, dass der Dienstleister mit der geschuldeten Sorgfalt agiert hat – unabhängig davon, auf welcher Seite die Ursache für den Vorfall lag.
Eliminierung unkontrollierter Kanäle
Ein per E-Mail gesendetes, in Slack kopiertes oder per Teams-Nachricht übermitteltes Passwort ist ein Passwort, das außerhalb jeder Kontrolle existiert. Es wird auf den Servern der Kommunikationsanbieter archiviert, ist von jedem angemeldeten Gerät des Empfängers abrufbar und lässt sich nie wieder restlos löschen.
Ein Dienstleister, der dokumentieren kann, dass sein Zugriffsmanagement diesen unsicheren Kanal vollständig eliminiert, weil Passwörter ausschließlich über einen verschlüsselten Zero-Knowledge-Tresor geteilt werden, besitzt ein unschlagbares Argument bei jedem Sicherheitsaudit.
Sofortiger, dokumentierter Offboarding-Prozess
Wenn ein Mitarbeiter das Unternehmen verlässt und die Firma die exakte Uhrzeit nachweisen kann, zu der sein Zugriff auf die Kundensysteme gesperrt wurde, ist dies der beste Beweis für proaktives Sicherheitsmanagement. Kann sie diese Uhrzeit nicht nennen oder stellt sich heraus, dass der Zugriff überhaupt nicht entzogen wurde, hat das Unternehmen ein massives Haftungsproblem.
Im Zugriffsmanagement-Modell von perc.pass wird jede Rechteänderung mit Datum und Uhrzeit revisionssicher protokolliert. Das Offboarding eines Mitarbeiters ist kein Prozess, den man „bei Gelegenheit“ erledigt, sondern eine präzise dokumentierte Operation.
Wenn Sie die Verwaltung Ihrer Kundenzugriffe einfach, effizient und absolut sicher gestalten möchten – testen Sie perc.pass jetzt in der kostenlosen Trial-Phase.