Wenn der Dienstleister zur Schwachstelle wird
Anfang Juni 2026 wurde bekannt, dass die US-Plattform DocketWise — ein Anbieter für Kanzlei-Software — von einem schweren Datenleck betroffen ist. Angreifer nutzten gültige Zugangsdaten eines Drittanbieters, um auf Repositories zuzugreifen, die sensible Mandantendaten enthielten. Betroffen: rund 143.000 Personen, deren Namen, Sozialversicherungsnummern, Passdaten und Finanzinformationen kompromittiert wurden.
Fast zeitgleich bestätigte die Carnival Corporation — einer der weltgrößten Kreuzfahrtkonzerne — einen Breach durch die Hackergruppe ShinyHunters: knapp 6 Millionen Kundendatensätze gestohlen, darunter E-Mail-Adressen, Telefonnummern und Treueprogramm-Daten.
Beide Fälle haben eines gemeinsam: Nicht die Unternehmen selbst wurden gehackt, sondern ihre Lieferkette.
Warum das den deutschen Mittelstand betrifft
Viele mittelständische Unternehmen setzen auf SaaS-Plattformen, Cloud-Dienste und externe IT-Dienstleister. CRM-Systeme, Buchhaltungssoftware, Personalverwaltung — überall fließen sensible Daten an Dritte. Laut BSI-Monatsbericht vom April 2026 bleiben Ransomware und Credential-basierte Angriffe die größten Bedrohungen für deutsche Unternehmen.
Das Problem: Während die eigene Firewall steht und die Mitarbeiter geschult sind, kontrolliert kaum jemand, wie sicher der Zugang beim Steuerberater, beim IT-Dienstleister oder beim SaaS-Anbieter wirklich ist. Genau dort setzen Angreifer an.
Bei DocketWise reichten gültige Credentials — keine aufwändige Exploit-Kette, kein Zero-Day. Der Angreifer nutzte einfach vorhandene Zugänge, die nie rotiert oder ausreichend überwacht wurden.
Die drei häufigsten Fehler bei Third-Party-Zugängen
- Keine regelmäßige Credential-Rotation: Zugangsdaten für Schnittstellen und Partnerportale werden einmal eingerichtet und dann vergessen. Werden sie kompromittiert, merkt es niemand — oft monatelang.
- Zu weitreichende Berechtigungen: Drittanbieter erhalten häufig mehr Zugriff als nötig. Statt nach dem Prinzip der geringsten Rechte (Least Privilege) zu arbeiten, wird der Einfachheit halber ein Admin-Zugang geteilt.
- Fehlendes Monitoring: Zugriffe von Drittanbietern werden selten überwacht. Ungewöhnliche Datenexporte, Massendownloads oder Zugriffe außerhalb der Geschäftszeiten bleiben unentdeckt.
Was KMU jetzt konkret tun sollten
- Inventar aller Drittanbieter-Zugänge erstellen: Wer hat Zugang zu welchen Systemen? Mit welchen Credentials? Wann wurde zuletzt rotiert?
- Multi-Faktor-Authentifizierung (MFA) erzwingen: Nicht nur für eigene Mitarbeiter, sondern auch für jeden externen Zugang. Phishing-resistente Verfahren wie FIDO2/WebAuthn sind dabei der Goldstandard.
- OAuth-Berechtigungen und API-Tokens prüfen: Connected Apps in Microsoft 365, Google Workspace oder CRM-Systemen regelmäßig reviewen. Ungenutzte Verbindungen sofort entfernen.
- Zugriffsprotokollierung aktivieren: Jeder Drittanbieter-Zugriff muss geloggt werden. Automatische Alerts bei Massenexporten oder ungewöhnlichen Zugriffsmustern einrichten.
- Vertragliche Sicherheitsanforderungen: In Auftragsverarbeitungsverträgen (AVV) und SLAs klare Security-Anforderungen definieren — inklusive Meldepflichten bei Vorfällen.
Fazit: Vertrauen ist gut, Kontrolle ist Pflicht
Die Vorfälle bei DocketWise und Carnival zeigen deutlich: Ihre Sicherheit ist nur so stark wie das schwächste Glied in Ihrer Lieferkette. Gerade für den Mittelstand, der auf externe Dienstleister angewiesen ist, wird Third-Party-Risk-Management zur Pflichtdisziplin.
Der erste Schritt muss kein Großprojekt sein: Ein einfaches Inventar aller externen Zugänge, kombiniert mit MFA und regelmäßiger Rotation, reduziert das Risiko bereits erheblich.
Sie möchten wissen, wie sicher Ihre Drittanbieter-Zugänge wirklich sind? Sprechen Sie mit uns — wir prüfen Ihre externe Angriffsfläche und identifizieren Schwachstellen, bevor es Angreifer tun. Mehr zu unseren Leistungen finden Sie auf antileaks.de.