Weniger Fragen. Mehr Sicherheit. Warum die Zukunft der Due Diligence im intelligenten Fragebogen liegt.

Key Facts

Die Due Diligence von IKT-Dienstleistern kostet viele Finanzinstitute unnötig Zeit und Geld. Redundante Fragebögen und lange Abstimmungsschleifen verzögern die Risikobewertung und erschweren einen klaren Blick auf die tatsächlichen Risiken.

Entscheidend für das Drittparteienrisikomanagement ist ein gut strukturierter Fragebogen, der neue Sicherheitsanforderungen in bestehende Strukturen integriert.

Vier Stellhebel machen den Unterschied: ein zentraler Fragebogen, die Verzahnung mit internen Sicherheits- und Datenschutzanforderungen, einheitliche Bewertungsmaßstäbe und risikoorientierte Prüftiefe. Sie machen die Due Diligence schneller, konsistenter und revisionssicher.

In einer Bank soll kurzfristig ein neuer IKT-Dienstleister beauftragt werden. Fachbereich und IT sind überzeugt, dass die Lösung passt, der Zeitplan steht. Doch bevor der erste Vertrag unterschrieben wird, beginnt die Due Diligence und damit ein Marathon.

Der Dienstleister erhält gleich mehrere Fragebögen: einen aus der Informationssicherheit, einen vom Datenschutz und einen aus dem Drittparteienrisikomanagement. Die Fragen ähneln sich, sind aber unterschiedlich formuliert und werden getrennt bewertet. Es folgen Rückfragen, Nachweise, Abstimmungsrunden. Wochen vergehen, in denen das Projekt stillsteht.

Am Ende liegt ein dicker Stapel Antworten vor, aber kein klares Bild der tatsächlichen Risiken. Was als schnelle Freigabe gedacht war, ist zum Engpass geworden. Und die eigentliche Frage bleibt offen: Ist dieser Dienstleister wirklich sicher?

Genau hier setzt eine moderne Due Diligence an.

Warum die klassische Due Diligence an ihre Grenzen stößt

Mit der wachsenden Zahl regulatorischer Vorgaben, etwa aus dem Digital Operational Resilience Act (DORA) oder den MaRisk, sowie Sicherheits- und Datenschutzanforderungen steigen die Anforderungen an die Due Diligence für Drittdienstleister. Wir beobachten bei vielen Instituten immer häufiger, dass die Due Diligence versucht die steigenden Anforderungen durch eine Vielzahl an Fragen zu adressieren. Der Fragebogen wird so über die Jahre immer umfangreicher, die Risikobewertung aber nicht aussagekräftiger.

Woran scheitert die klassische Due Diligence in der Praxis am häufigsten?

In vielen Banken, Versicherern und anderen Finanzdienstleistern werden Anforderungen an Informationssicherheit, Datenschutz und Drittparteienrisikomanagement (Third Party Risk Management, TPRM) getrennt betrachtet. Die Folge sind mehrere Fragebögen mit ähnlichen Inhalten, unterschiedliche Bewertungssysteme und erheblicher Abstimmungsaufwand. Dadurch steigen nicht nur Kosten und Durchlaufzeiten. Am Ende fehlt auch ein einheitliches Bild der Risiken.

Wie lässt sich die Due Diligence von IKT-Dienstleistern effizienter gestalten?

Eine zukunftsfähige Due Diligence ist mehr als ein umfangreicher Fragebogen. Sie ist ein integrierter Prozess, der vier Prinzipien konsequent verbindet und dadurch die Effizienz im gesamten IKT-Drittparteienrisikomanagement erhöht.

1. Ein zentraler Fragebogen statt vieler Einzelabfragen

Ein einheitlicher, unternehmensweit gültiger Due-Diligence-Fragebogen ersetzt die bislang parallel gepflegten Varianten aus Informationssicherheit, Datenschutz und Drittparteienrisikomanagement und bündelt alle Anforderungen. Dienstleister werden nur einmal befragt und Risiken nach einheitlichen Maßstäben bewertet.

2. Interne Sicherheitsanforderungen direkt einbeziehen

Ihr volles Potenzial entfaltet die Due Diligence erst dann, wenn die institutionseigenen Sicherheits- und Datenschutzvorgaben berücksichtigt werden. Es entsteht ein ganzheitlicher Compliance-Rahmen, der interne Sicherheitsvorgaben direkt in die Bewertung von IKT-Dienstleistern überführt. Sicherheitslücken, Compliance-Risiken und potenzielle Abweichungen von internen Standards werden früh sichtbar.

3. Standardisierte Bewertung schafft Vergleichbarkeit

Die Fragen werden aus standardisierten Kontrollen, beispielsweise aus ISO/IEC 27001, abgeleitet. Jede Frage erhält klar definierte Antwortoptionen und eine Reifegradskala mit eindeutigem Bewertungssystem. So entsteht ein objektiveres Bild: IKT-Dienstleister können nach ihrem Reifegrad in Informationssicherheit, Datenschutz und Drittparteienrisikomanagement eingestuft und miteinander verglichen werden. Zusätzlich werden die einzelnen Antwortoptionen gezielt auf etablierte Standards wie ISO/IEC 27001, ISO 22301:2019, BSI C5 oder vergleichbare Zertifizierungen angepasst. Vorhandene Zertifikate und Prüfberichte können den entsprechenden Reifegraden zugeordnet und für bestimmte Antworten unterstützend herangezogen werden.

Speziell entwickelte Software kann den Instituten helfen, Risiken im Umgang mit Dienstleistern systematisch zu identifizieren, zu bewerten und zu überwachen. Erfahren Sie hier mehr zur sicheren Implementierung von TPRM-Lösungen.

4. Prüftiefe am Risiko ausrichten

Nicht jeder Dienstleister birgt die gleichen Risiken. Deshalb sollte sich der Fragenumfang am jeweiligen IKT-Dienstleister-Charakteristika, wie etwa dem IKT-Servicetypen oder der Kritikalität der bezogenen Leistung, orientieren. Weniger kritische Dienstleister benötigen eine schlankere Prüfung, während risikoreiche Anbieter genauer betrachtet werden sollten. Das reduziert Aufwand und konzentriert Ressourcen auf die wirklich relevanten Risiken.

Was ändern KI-gestützte Cyberbedrohungen konkret für die Due Diligence?

Die neue Generation leistungsfähiger KI-Modelle verändert die Bedrohungslage grundlegend. KI-gestützte Bedrohungen führen dazu, dass identifizierte Schwachstellen teilweise innerhalb weniger Stunden ausgenutzt werden können. Mit einem Aktionsplan, den die EZB von Instituten unter ihrer Aufsicht fordert, steigt der Druck auf Tempo und operative Wirksamkeit der Cyberabwehr.

Eine Due Diligence darf deshalb nicht nur bestehende Sicherheitsprozesse abfragen, sondern muss bewerten, ob diese mit der Geschwindigkeit moderner Bedrohungen Schritt halten können. Entscheidend ist die tatsächliche Wirksamkeit von Vulnerability, Patch oder Incident Management-Prozessen, in denen Geschwindigkeit und Reaktionsfähigkeit maßgeblich über die Schutzwirkung entscheiden:

Incident Management: Klar definierte, geübte Reaktionsprozesse und Meldewege, die auch bei schnell eskalierenden, KI-getriebenen Angriffen tragen.
Vulnerability Management: Kontinuierliche Identifikation und Priorisierung von Schwachstellen auf Basis der tatsächlichen Exponierung und Bedrohungslage.
Patch Management: Kurze und risikoorientierte Reaktionszeiten, insbesondere für kritische und internet-zugängliche Systeme.
Security Monitoring: Kontinuierliche Überwachung, um automatisierte und KI-gestützte Angriffe frühzeitig zu erkennen.
Supply-Chain Security: Transparenz über kritische Abhängigkeiten und wirksame Steuerungsmechanismen zur Begrenzung von Konzentrations- und Weiterreichungsrisiken.

Der zentrale Due-Diligence-Fragebogen muss hierfür nicht durch zusätzliche Fragen erweitert werden. Stattdessen sollten bestehende Themenfelder gezielt geschärft werden, beispielsweise durch differenzierte Antwortoptionen zu Reaktionszeiten, Automatisierungsgrad und KI-Integration.

Jetzt die Due Diligence effizienter gestalten

Die Due Diligence ist ein wichtiger Hebel für Effizienz und Risikotransparenz im IKT-Drittparteienrisikomanagement. Entscheidend für die Qualität der Risikobewertung ist nicht der Umfang des Fragebogens, sondern ein klar strukturierter Ansatz, der Aufwand reduziert und für Vergleichbarkeit unterschiedlicher IKT-Dienstleister sorgt.

Eine moderne Due Diligence muss außerdem stärker auf die operative Umsetzung sicherheitsrelevanter Kontrollen, deren Wirksamkeit sowie die Fähigkeit zur schnellen Erkennung und Behandlung von Risiken ausgerichtet sein.

Die notwendigen Grundlagen sind in vielen Finanzunternehmen bereits geschaffen worden. Entscheidend ist nun, diese Anforderungen in einen zukunftsfähigen Due-Diligence-Prozess zu überführen, der auch neue Risiken und Bedrohungen berücksichtigt. Wer diesen Schritt geht, schafft die Grundlage für fundierte Entscheidungen und mehr Sicherheit in einem zunehmend dynamischen Risikoumfeld.

Dieser Artikel ist unter Mitwirkung von Niklas Kaiser entstanden.

Häufig gestellte Fragen zur Due Dilligence

Eine IKT-Due-Diligence bewertet die Risiken eines Informations- und Kommunikationstechnologie-Dienstleisters (IKT-Dienstleisters), bevor eine Zusammenarbeit beginnt oder fortgeführt wird. Ziel ist es, Sicherheits-, Datenschutz-, Compliance- und Betriebsrisiken frühzeitig zu erkennen und zu bewerten.

Banken, Versicherer und andere Finanzdienstleister bleiben auch bei ausgelagerten Leistungen für die damit verbundenen Risiken verantwortlich. Regulierungen wie der Digital Operational Resilience Act (DORA) verlangen deshalb eine angemessene Prüfung und laufende Überwachung von IKT-Dienstleistern.

Redundante Abfragen und lange Abstimmungsschleifen entfallen, weil ein Master-Fragebogen die bislang parallel gepflegten Varianten ersetzt. Das spart Zeit, senkt Kosten und macht die Prüfung schneller, konsistenter und revisionssicher.

Nein. Der Fragebogen strukturiert und beschleunigt die Prüfung, die finale Risikoeinschätzung bleibt aber Aufgabe der Fachbereiche. Er sorgt dafür, dass die richtigen Fragen risikoorientiert gestellt und einheitlich bewertet werden.

Mit zunehmendem Einsatz von künstlicher Intelligenz in Drittdienstleistungen und dem Inkrafttreten der europäischen KI-Verordnung, erweitert sich das Spektrum der zu bewertenden Risiken im Drittparteienrisikomanagement. Neu ist, dass auch die eingesetzten KI-Systeme einer eigenständigen Risikobewertung unterzogen werden müssen.

KI-spezifische Leistungskennzahlen (KPIs) und Dienstleistungsvereinbarungen (Service Level Agreements, SLAs) gewinnen an Bedeutung. Sie sollten nicht nur technische Aspekte wie die Genauigkeit des zugrundeliegenden KI-Modells berücksichtigen, sondern auch sicherheitsrelevante und Compliance-bezogene Faktoren abbilden. Zum Beispiel die Reaktionszeit bei Datenschutz- oder Sicherheitsvorfällen. Auf diese Weise lassen sich potenzielle Schwachstellen wie Intransparenz, Diskriminierung oder Systemversagen frühzeitig erkennen.

Erfahren Sie hier mehr über die neuen Anforderungen durch die KI-Verordnung.