So gestalten Sie einen sicheren File-Transfer-Workflow für Drittanbieter und externe Dienstleister

Drittanbieter und externe Dienstleister benötigen Zugriff auf Unternehmensdaten, um ihre vertraglich vereinbarten Leistungen zu erbringen. Dadurch entstehen Sicherheitsherausforderungen, die das interne Benutzer-Management nicht abdeckt. Externe Parteien agieren außerhalb der Sicherheitskontrollen des Unternehmens, nutzen eigene Geräte und Netzwerke und arbeiten oft gleichzeitig für mehrere Kunden, was das Risiko eines unerwünschten Datenabflusses erhöht.

Traditionelle Ansätze für den Dateiaustausch mit Drittanbietern schaffen erhebliche Schwachstellen. E-Mail-Anhänge umgehen Sicherheitskontrollen und bieten keinen Audit-Trail. Verbraucherdienste wie Dropbox oder Google Drive verfügen nicht über Sicherheits- oder Compliance-Funktionen auf Unternehmensniveau. FTP und unverschlüsselte Übertragungen setzen sensible Daten während der Übertragung Risiken aus. Manuelle Bereitstellung und Entzug von Zugriffsrechten führen zu Verzögerungen und erhöhen das Risiko, dass ausgeschiedene Dienstleister weiterhin Zugriff behalten.

Dieser Leitfaden bietet praxisnahe Frameworks zur Gestaltung sicherer File-Transfer-Workflows speziell für Drittanbieter-Beziehungen. Sie erfahren, wie Sie zeitlich begrenzte Zugriffsrechte umsetzen, das Onboarding und Offboarding von Dienstleistern automatisieren, Sicherheitsrichtlinien konsequent durchsetzen, umfassende Audit-Trails pflegen und die Einhaltung vertraglicher sowie gesetzlicher Vorgaben sicherstellen.

Executive Summary

Kernaussage: Sichere File-Transfer-Workflows für Drittanbieter setzen auf automatisiertes Onboarding mit Identitätsprüfung, zeitlich begrenzten Zugriff, der mit Vertragsende automatisch erlischt, rollenbasierte Berechtigungen, die Dienstleister nur für notwendige Daten freischalten, umfassende Audit-Protokollierung aller Aktivitäten, automatisiertes Offboarding mit sofortigem Entzug aller Zugriffsrechte nach Vertragsende sowie Sicherheitsmaßnahmen wie Multi-Faktor-Authentifizierung und Verschlüsselung, die Daten während des gesamten Dienstleister-Lebenszyklus schützen.

Warum das relevant ist: Datenpannen durch Drittanbieter stellen ein erhebliches Risiko für Unternehmen dar, da Dienstleister häufig als Einfallstor für Sicherheitsvorfälle genannt werden. Unzureichende Zugriffskontrollen führen zu Compliance-Verstößen, wenn Unternehmen nicht nachweisen können, dass sie Drittzugriffe angemessen überwachen. Manuelles Management bindet erhebliche IT-Ressourcen und schafft Sicherheitslücken, wenn Zugriffe nach Vertragsende nicht zeitnah entzogen werden. Automatisierte Workflows senken das Risiko, sichern Compliance und minimieren den Verwaltungsaufwand – und ermöglichen gleichzeitig die notwendige Zusammenarbeit mit externen Partnern.

Wichtige Erkenntnisse

1. Automatisiertes Onboarding etabliert Sicherheitskontrollen vor Datenzugriff durch Dienstleister. Workflows erfassen erforderliche Unterlagen wie unterzeichnete Business Associate Agreements oder Geheimhaltungsvereinbarungen, prüfen die Identität des Dienstleisters, konfigurieren passende Zugriffsrechte, stellen Zugangsdaten sicher zu und dokumentieren alle Aktivitäten revisionssicher – ohne manuelle IT-Eingriffe.

2. Zeitlich begrenzter Zugriff erlischt automatisch mit Vertragsende. Unternehmen legen Ablaufdaten für Zugriffsrechte entsprechend der Vertragslaufzeit fest, implementieren automatische Benachrichtigungen vor Ablauf und entziehen Zugriffe sofort nach Vertragsende – so verhindern sie, dass ehemalige Dienstleister weiterhin auf Unternehmensdaten zugreifen.

3. Rollenbasierte Berechtigungen beschränken Dienstleister auf notwendige Daten. Dienstleister erhalten nur die minimal erforderlichen Rechte für ihre Aufgaben, wobei Einschränkungen anhand von Datenklassifizierung, Projektumfang und geschäftlichem Bedarf über Freigabe-Workflows validiert werden.

4. Umfassende Audit-Protokollierung belegt die Überwachung von Dienstleistern für Compliance. Systeme erfassen automatisch alle Datei- und Zugriffsaktivitäten, Transfers, Downloads und Authentifizierungsversuche von Dienstleistern – und liefern so den Nachweis, dass Unternehmen Drittzugriffe wie vorgeschrieben überwachen und kontrollieren.

5. Automatisiertes Offboarding entfernt alle Zugriffsrechte systemübergreifend gleichzeitig. Bei Vertragsende oder Kündigung entziehen automatisierte Workflows sofort alle Zugangsdaten, deaktivieren Konten, archivieren Aktivitätsprotokolle und stellen sicher, dass sämtliche Zugriffsrechte entfernt werden – ohne manuellen Aufwand in verschiedenen Systemen.

Risiken beim File Sharing mit Drittanbietern verstehen

Externe Dienstleister und Auftragnehmer bringen spezifische Sicherheitsrisiken mit sich, die über die Kontrollen für interne Mitarbeitende hinausgehen und spezielle Maßnahmen erfordern.

Typische Sicherheitsrisiken durch Drittanbieter

Unternehmen müssen verschiedene Risikokategorien adressieren, wenn sie Dienstleistern Dateizugriff ermöglichen.

Kompromittierte Zugangsdaten von Dienstleistern

Dienstleister verwenden möglicherweise schwache Passwörter, nutzen Zugangsdaten mehrfach für verschiedene Kunden oder schützen diese nicht ausreichend. Kompromittierte Zugangsdaten ermöglichen Angreifern legitimen Zugriff auf Unternehmensdaten.

Drittanbieter-Zugangsdaten sind attraktive Ziele, da sie oft weitreichende Rechte auf sensible Daten bieten, weniger überwacht werden als Mitarbeiterkonten und nach Projektabschluss länger aktiv bleiben als nötig.

Unzureichende Sicherheitspraktiken bei Dienstleistern

Unternehmen können die Sicherheitsmaßnahmen ihrer Dienstleister nicht direkt steuern. Dienstleister setzen eventuell unverschlüsselte Geräte ein, greifen über unsichere Netzwerke zu oder verfügen nicht über ausreichende Security Awareness. Dadurch können Daten durch Schwächen beim Dienstleister kompromittiert werden.

Datenabfluss durch böswillige Dienstleister

Auch wenn die meisten Dienstleister vertrauenswürdig sind, müssen Unternehmen sich gegen böswillige Akteure schützen, die Daten absichtlich für Wettbewerbsvorteile, Weiterverkauf oder andere Zwecke entwenden. Fehlende Kontrollen ermöglichen es, dass große Datenmengen unbemerkt heruntergeladen werden.

Fortbestehender Zugriff nach Vertragsende

Manuelle Prozesse zum Entzug von Zugriffsrechten entfernen den Zugriff oft nicht zeitnah nach Vertragsende. Ehemalige Dienstleister behalten so unter Umständen noch lange unnötigen Zugang. Unternehmen wissen oft nicht, auf welche Systeme ehemalige Dienstleister noch zugreifen können.

Fehlende Transparenz bei Dienstleister-Aktivitäten

Unternehmen fällt es schwer, nachzuvollziehen, was Dienstleister mit den erhaltenen Daten tun. Ohne umfassende Audit-Trails können Sicherheitsteams verdächtiges Verhalten wie Zugriffe außerhalb des Projektumfangs, ungewöhnlich große Downloads oder Zugriffe zu unerwarteten Zeiten nicht erkennen.

Compliance- und Vertragsverletzungen

Vorgaben wie HIPAA, DSGVO und CMMC 2.0 verlangen, dass Unternehmen Drittzugriffe kontrollieren und überwachen. Unzureichendes Dienstleister-Management führt zu Compliance-Verstößen. Business Associate Agreements und Dienstleisterverträge definieren Sicherheitsanforderungen, die Unternehmen durchsetzen müssen.

Regulatorische Anforderungen für Drittanbieter-Zugriffe

Wichtige Compliance-Frameworks definieren konkrete Anforderungen für das Management von Dienstleisterzugriffen auf sensible Daten.

HIPAA-Anforderungen für Business Associates

Gesundheitsorganisationen, die geschützte Gesundheitsinformationen (PHI) mit Dienstleistern teilen, müssen Business Associate Agreements (BAAs) abschließen, die Sicherheits- und Datenschutzpflichten festlegen. Unternehmen bleiben für den Umgang mit PHI durch Dienstleister verantwortlich und müssen Schutzmaßnahmen umsetzen, die den angemessenen Umgang mit PHI sicherstellen.

Erforderliche Schutzmaßnahmen umfassen:

• Authentifizierungsmechanismen zur Identitätsprüfung des Dienstleisters
• Verschlüsselung zum Schutz von PHI bei Übertragung und Speicherung
• Zugriffskontrollen, die Dienstleister auf das notwendige Minimum an PHI beschränken
• Audit-Kontrollen zur Nachverfolgung aller PHI-Zugriffe durch Dienstleister
• Verfahren zur Meldung von Datenschutzvorfällen bei Dienstleistern

DSGVO-Anforderungen für Auftragsverarbeiter

Unternehmen, die personenbezogene Daten an Dienstleister als Auftragsverarbeiter weitergeben, müssen sicherstellen, dass diese ausreichende Garantien für die DSGVO-Compliance bieten. Schriftliche Verträge müssen Verarbeitungszwecke, Datenschutzmaßnahmen und Pflichten des Auftragsverarbeiters festlegen.

Unternehmen müssen:

• Due Diligence zur Überprüfung der Sicherheitsmaßnahmen des Auftragsverarbeiters durchführen
• Vertragliche Regelungen mit konkreten Sicherheitsanforderungen implementieren
• Die Einhaltung der vertraglichen Pflichten durch den Auftragsverarbeiter überwachen
• Verarbeitungsaktivitäten einschließlich der Beteiligung des Auftragsverarbeiters dokumentieren
• Sicherstellen, dass der Auftragsverarbeiter Daten nach Ende der Verarbeitung löscht oder zurückgibt

CMMC-Anforderungen für Drittanbieter

Rüstungsunternehmen, die kontrollierte, nicht klassifizierte Informationen (CUI) an Subunternehmer weitergeben, müssen sicherstellen, dass diese die passenden CMMC-Kontrollen umsetzen. Hauptauftragnehmer bleiben für den Schutz von CUI entlang der gesamten Lieferkette verantwortlich.

Erforderlich sind unter anderem:

• Überprüfung der CMMC-Zertifizierungsstufen der Subunternehmer
• Implementierung von Sicherheitsanforderungen in Subunternehmerverträgen
• Überwachung der Einhaltung der Sicherheitsvorgaben durch Subunternehmer
• Führen von Audit-Trails über weitergegebene CUI
• Rechtzeitiger Entzug von Zugriffsrechten bei Subunternehmern

Sichere File-Transfer-Workflows für Drittanbieter gestalten

Dieser Abschnitt bietet detaillierte Anleitungen zur Umsetzung sicherer File-Transfer-Workflows für Dienstleister – vom Onboarding bis zum Offboarding.

Schritt 1: Automatisiertes Onboarding für Dienstleister implementieren

Strukturiertes Onboarding etabliert Sicherheitskontrollen, bevor Dienstleister auf Unternehmensdaten zugreifen.

Dienstleister-Kategorien und Zugriffslevel definieren

Erstellen Sie Dienstleister-Kategorien mit vordefinierten Zugriffsrechten:

Onboarding-Workflow erstellen

Implementieren Sie automatisierte Workflows, die Dienstleister durch das Onboarding führen:

Workflow-Schritte:

1. Dienstleister stellt Zugriffsanfrage über ein sicheres Portal
2. System leitet Anfrage an den zuständigen Genehmiger weiter, basierend auf dem angeforderten Zugriffslevel
3. Genehmiger prüft die geschäftliche Begründung und genehmigt/lehne ab
4. System generiert automatisch erforderliche Dokumente (NDA, BAA, Sicherheitsbestätigung)
5. Dienstleister unterzeichnet die erforderlichen Dokumente elektronisch
6. System prüft die Identität des Dienstleisters mittels Multi-Faktor-Authentifizierung
7. System vergibt Zugriffsrechte gemäß genehmigten Berechtigungen
8. System sendet Zugangsdaten über einen sicheren Übertragungsweg
9. Dienstleister absolviert Security Awareness Training
10. System dokumentiert alle Onboarding-Aktivitäten für Compliance-Zwecke

Erforderliche Dokumentation erfassen

Automatisieren Sie die Erfassung und Überprüfung der erforderlichen Unterlagen:

• Business Associate Agreements für HIPAA-pflichtige Unternehmen
• Geheimhaltungsvereinbarungen zum Schutz vertraulicher Informationen
• Sicherheitsbestätigungen zur Bestätigung der Sicherheitskompetenz des Dienstleisters
• Versicherungsnachweise gemäß vertraglicher Vorgaben
• Compliance-Zertifikate (SOC 2, ISO 27001, CMMC)
• Ergebnisse von Hintergrundprüfungen für Dienstleister mit Zugriff auf sensible Daten

Speichern Sie die unterzeichneten Dokumente in einem zentralen Repository mit Zugriffskontrollen und Aufbewahrungsfristen entsprechend regulatorischer Anforderungen.

Identität des Dienstleisters verifizieren

Setzen Sie starke Identitätsprüfung vor der Vergabe von Zugriffsrechten um:

• Multi-Faktor-Authentifizierung mittels Authenticator-Apps oder Hardware-Token
• E-Mail-Verifizierung zur Bestätigung der Kontrolle über die angegebene Adresse
• Telefonverifizierung für risikoreiche Zugriffsanfragen
• Prüfung amtlicher Ausweise für Dienstleister mit Zugriff auf hochsensible Daten
• Integration mit Identitätsanbietern des Dienstleisters über föderierte Authentifizierung

Schritt 2: Rollenbasierte Berechtigungen für Dienstleister konfigurieren

Setzen Sie das Prinzip der minimalen Rechtevergabe um, damit Dienstleister nur notwendige Zugriffsrechte erhalten.

Dienstleister-Rollen definieren

Erstellen Sie Rollen, die typische Zugriffsmuster von Dienstleistern abbilden:

Beispielrollen für Dienstleister:

Rolle: Finanzprüfer

• Darf Finanzunterlagen im Prüfungsumfang einsehen (nicht herunterladen)
• Darf auf Audit-Dokumentation und unterstützende Materialien zugreifen
• Darf keine Finanzdaten verändern
• Zugriff beschränkt auf den Prüfungszeitraum (typisch 2–4 Wochen)
• Alle Aktivitäten werden im Audit-Trail protokolliert

Rolle: IT-Berater

• Darf auf bestimmte Systeme zur Fehlerbehebung zugreifen
• Darf Konfigurationsdateien hoch- und herunterladen
• Darf keine Produktivdaten einsehen
• Zugriff beschränkt auf Projektdauer
• Produktivzugriff erfordert gesonderte Freigabe

Rolle: Marketing-Agentur

• Darf Marketingmaterialien und Kampagneninhalte hochladen
• Darf freigegebene Marketinginhalte herunterladen
• Darf keinen Zugriff auf Kundendaten oder Finanzinformationen erhalten
• Zugriff beschränkt auf Kampagnendauer
• Unterliegt Markenrichtlinien und Freigabe-Workflows

Rollen von Dienstleistern auf Datenzugriff abbilden

Dokumentieren Sie, auf welche Daten jede Rolle zugreifen darf:

Dienstleister-Rolle: Healthcare Claims Processor
Erlaubte Datenklassifizierungen: PHI, Claims Data
Verbotene Datenklassifizierungen: Strategische Pläne, Finanzunterlagen, HR-Daten
Erlaubte Aktionen: Hochladen, Herunterladen, Anzeigen
Verbotene Aktionen: Löschen, externes Teilen
Geografische Einschränkungen: Nur US-basierte Speicherung
Zugriffszeitraum: Vertragslaufzeit (12 Monate)

Dynamische Zugriffskontrollen implementieren

Konfigurieren Sie Zugriffskontrollen, die sich kontextabhängig anpassen:

• Zeitbasierte Einschränkungen – Zugriff nur während der Geschäftszeiten
• Standortbasierte Einschränkungen – Zugriff nur aus Dienstleisterbüros oder freigegebenen Standorten
• Gerätebasierte Einschränkungen – Zugriff nur mit verwalteten, sicherheitskonformen Geräten
• Anomalie-basierte Einschränkungen – Auffällige Zugriffsmuster werden zur Überprüfung markiert

Schritt 3: Sichere Filesharing-Mechanismen implementieren

Stellen Sie Dienstleistern sichere Methoden für den Dateiaustausch bereit und behalten Sie die Kontrolle.

Sichere Upload-Portale

Richten Sie gebrandete Portale ein, über die Dienstleister Dateien hochladen können:

• Webbasierte Oberfläche ohne Softwareinstallation beim Dienstleister
• Drag-and-Drop-Funktion für Benutzerfreundlichkeit
• Automatischer AV-Scan der hochgeladenen Dateien
• Sofortige Verschlüsselung der Dateien nach Upload mit AES-256
• Automatische Benachrichtigung interner Empfänger nach Abschluss des Uploads
• Aufbewahrungsrichtlinien, die Dateien nach definierten Fristen automatisch löschen

Sichere Download-Funktionen

Ermöglichen Sie Dienstleistern den sicheren Abruf von Dateien:

• Sichere Filesharing-Links mit Ablaufdatum
• Passwortschutz für sensible Dateien
• Download-Limits zur Begrenzung der Dateiabfragen
• Wasserzeichen mit Dienstleister-Identität zur Abschreckung vor unbefugtem Teilen
• Nachverfolgung, wann und von wo Dienstleister Dateien herunterladen

Zusammenarbeits-Workspaces

Stellen Sie gemeinsame Arbeitsbereiche für die laufende Zusammenarbeit bereit:

• Projektspezifische Ordner mit passenden Zugriffsrechten
• Versionskontrolle zur Nachverfolgung von Dokumentänderungen
• Kommentarfunktion für Diskussionen ohne E-Mail
• Zugriff wird nach Projektabschluss automatisch entzogen
• Alle Aktivitäten werden im Audit-Log erfasst

Schritt 4: Umfassendes Monitoring und Audit-Protokollierung implementieren

Umfassende Protokollierung belegt die Überwachung von Dienstleistern für Compliance und Sicherheit.

Detaillierte Audit-Protokollierung konfigurieren

Erfassen Sie alle Aktivitäten von Dienstleistern in manipulationssicheren Audit-Logs:

Erforderliche Log-Elemente:

• Identität des Dienstleisters und Authentifizierungsmethode
• Zeitstempel der Aktivität mit Zeitzone
• Aktion (Login, Datei-Upload, Datei-Download, Datei-Anzeige, Datei-Löschung)
• Zugegriffene Dateien/Ordner mit vollständigem Pfad
• Quell-IP-Adresse und geografischer Standort
• Geräteinformationen und Sicherheitsstatus
• Erfolg oder Fehlschlag der Aktion
• Datenklassifizierung der abgerufenen Dateien

Anomalie-Erkennung implementieren

Automatisiertes Monitoring erkennt verdächtiges Verhalten von Dienstleistern:

• Ungewöhnliche Zugriffszeiten (z. B. Mitternacht bei sonst üblichen Geschäftszeiten)
• Geografische Anomalien (Zugriff aus unerwarteten Ländern)
• Volumen-Anomalien (deutlich mehr Downloads als für die Rolle üblich)
• Scope-Anomalien (Zugriff auf Daten außerhalb des Projekts)
• Fehlgeschlagene Authentifizierungsversuche als Hinweis auf Credential-Angriffe
• Schnelle, aufeinanderfolgende Downloads als Indiz für Datenabfluss

Berichte zu Dienstleister-Aktivitäten generieren

Erstellen Sie automatisierte Berichte zur Überwachung von Dienstleistern:

• Wöchentliche Zusammenfassungen für Security-Teams
• Monatliche Berichte für Dienstleister-Manager zu Aktivitäten der Auftragnehmer
• Vierteljährliche Compliance-Berichte zur Dokumentation der Zugriffskontrollen
• Jahresberichte für Geschäftsleitung und Aufsichtsgremien
• Ad-hoc-Berichte für Audits und Untersuchungen

Schritt 5: Zeitlich begrenzten Zugriff mit automatischer Ablaufsteuerung implementieren

Automatisieren Sie den Ablauf von Zugriffsrechten, um zu verhindern, dass ehemalige Dienstleister weiterhin Zugriff behalten.

Ablaufdaten für Zugriffsrechte konfigurieren

Legen Sie Ablaufdaten bei der Vergabe von Zugriffsrechten fest:

• Ablaufdatum entspricht dem Vertragsende
• Kürzere Laufzeiten für risikoreiche Zugriffe mit regelmäßiger Verlängerung
• Erneuerungs-Workflows für fortlaufende Dienstleisterbeziehungen
• Maximale Laufzeiten mit Pflicht zur erneuten Genehmigung

Ablaufbenachrichtigungen automatisieren

Benachrichtigen Sie Beteiligte vor Ablauf des Zugriffs:

• 30 Tage vorher an Dienstleister-Manager zur eventuellen Verlängerung
• 14 Tage vorher an Dienstleister zur Erinnerung
• 7 Tage vorher mit Eskalation an Security-Teams
• Letzte Erinnerung 24 Stunden vor Ablauf
• Bestätigung nach Entzug des Zugriffs

Übergangsfristen mit Einschränkungen implementieren

Erlauben Sie begrenzte Übergangsfristen für legitime Geschäftsanforderungen:

• Zugriff während der Übergangsfrist nur lesend
• Zugriff auf bestimmte Daten beschränkt, die zur Fertigstellung benötigt werden
• Aktivitäten während der Übergangsfrist werden intensiv protokolliert und überwacht
• Übergangsfrist erfordert explizite Genehmigung des Dienstleister-Managers
• Automatischer, endgültiger Entzug nach Ablauf der Frist

Schritt 6: Sicheres Offboarding für Dienstleister implementieren

Automatisiertes Offboarding stellt sicher, dass Zugriffsrechte bei Beziehungsende vollständig entfernt werden.

Offboarding-Workflows auslösen

Starten Sie das Offboarding automatisch bei folgenden Auslösern:

• Erreichen des Vertragsendes
• Manuelle Kündigung durch Dienstleister-Manager
• Sicherheitsvorfall mit Beteiligung des Dienstleisters
• Übernahme oder Fusion der Dienstleisterorganisation
• Nichtabschluss erforderlicher Security-Trainings
• Nichteinhaltung vertraglicher Sicherheitsanforderungen

Umfassende Zugriffsentziehung durchführen

Entfernen Sie sämtliche Zugriffsrechte systemübergreifend:

Offboarding-Maßnahmen:

1. Sofortige Deaktivierung der Authentifizierungsdaten des Dienstleisters
2. Entzug aller rollenbasierten Berechtigungen in allen Systemen
3. Beendigung aktiver Sitzungen mit sofortigem Logout
4. Entfernung aus Verteilerlisten und gemeinsamen Ressourcen
5. Archivierung der Aktivitätsprotokolle des Dienstleisters in sicherer Langzeitspeicherung
6. Erstellung eines Offboarding-Berichts zur Dokumentation der Entziehung
7. Benachrichtigung des Dienstleister-Managers über den Abschluss des Offboardings
8. Planung regelmäßiger Überprüfungen zur Bestätigung, dass der Zugriff deaktiviert bleibt

Compliance-Dokumentation pflegen

Bewahren Sie Nachweise für das korrekte Management von Dienstleistern auf:

• Unterzeichnete Vereinbarungen (BAAs, NDAs, Verträge)
• Dokumentation von Bereitstellung und Entzug der Zugriffsrechte
• Vollständige Audit-Logs der Dienstleister-Aktivitäten
• Berichte zu Sicherheitsvorfällen mit Dienstleisterbeteiligung
• Nachweise über absolvierte Trainings
• Bestätigung des Offboarding-Abschlusses

Bewahren Sie die Dokumentation gemäß regulatorischer Vorgaben auf: 6 Jahre für HIPAA, mindestens 3 Jahre für CMMC, unterschiedlich für andere Frameworks.

Schritt 7: Regelmäßige Überprüfung der Dienstleister-Zugriffe durchführen

Regelmäßige Überprüfungen stellen sicher, dass Dienstleister nur angemessene Zugriffsrechte behalten.

Vierteljährliche Zugriffsüberprüfungen planen

Führen Sie regelmäßige, umfassende Überprüfungen durch:

• Berichte mit allen aktiven Dienstleisterkonten und Zugriffsdetails generieren
• Berichte an Dienstleister-Manager zur Validierung weiterleiten
• Manager müssen den fortbestehenden geschäftlichen Bedarf für jeden Dienstleister bestätigen
• Zugriffe, die nicht mehr benötigt werden, identifizieren und entfernen
• Überprüfung für Compliance-Zwecke dokumentieren

Automatisierte Rezertifizierung der Zugriffsrechte implementieren

Erzwingen Sie regelmäßige Revalidierung der Zugriffsrechte:

• Vierteljährliche Rezertifizierung für Dienstleister mit weitreichenden oder sensiblen Zugriffsrechten
• Jährliche Rezertifizierung für alle Dienstleisterkonten
• Automatische Sperrung bei ausbleibender Rezertifizierung
• Eskalation an das Management bei überfälligen Rezertifizierungen
• Audit-Trail aller Rezertifizierungsentscheidungen

Sicherheitsstatus der Dienstleister überprüfen

Bewerten Sie regelmäßig die Sicherheitsmaßnahmen der Dienstleister:

• Jährliche Sicherheitsüberprüfungen für strategische Dienstleister
• Aktualisierte SOC-2-Berichte oder Sicherheitszertifikate prüfen
• Nachweis der Einhaltung der Versicherungspflichten einfordern
• Vertragliche Sicherheitsanforderungen überprüfen
• Sicherheitsfragebögen zur Bewertung der Kontrollen ausfüllen lassen

Wie Kiteworks sicheren File Transfer mit Drittanbietern ermöglicht

Die sichere Managed File Transfer-Lösung von Kiteworks bietet umfassende Funktionen, die speziell für das Management von Datei-Zugriffen externer Dienstleister und Auftragnehmer entwickelt wurden.

Automatisiertes Lifecycle-Management für Dienstleister

Kiteworks automatisiert den gesamten Lebenszyklus von Dienstleistern – vom Onboarding bis zum Offboarding. Unternehmen können Workflows konfigurieren, die erforderliche Dokumente erfassen, die Identität des Dienstleisters prüfen, passende Zugriffsrechte vergeben und den Zugriff automatisch mit Vertragsende entziehen.

Die Workflow-Funktionen der Plattform eliminieren manuelle Prozesse, die Sicherheitslücken und Verwaltungsaufwand verursachen, und sorgen für eine konsistente Umsetzung von Sicherheitskontrollen in allen Dienstleisterbeziehungen.

Granulare Zugriffskontrollen

Das Private Data Network von Kiteworks setzt rollen- und attributbasierte Zugriffskontrollen um, die Dienstleister auf notwendige Daten beschränken. Unternehmen können Berechtigungen nach Rolle, Datenklassifizierung, Uhrzeit, Gerätesicherheitsstatus und weiteren Attributen konfigurieren.

Zugriffskontrollen setzen das Prinzip der minimalen Rechtevergabe automatisch durch – ohne manuelles Berechtigungsmanagement für jeden Dienstleister.

Umfassende Audit-Trails

Kiteworks bietet detaillierte Audit-Protokollierung aller Aktivitäten von Dienstleistern. Protokolle enthalten Identität, Authentifizierungsdetails, abgerufene Dateien, ausgeführte Aktionen, Zeitstempel und Geräteinformationen.

Zentrale Protokollierung belegt die Überwachung von Dienstleistern für die Einhaltung von HIPAA, DSGVO, CMMC und vertraglichen Anforderungen. Unternehmen können schnell Berichte erzeugen, die ein angemessenes Dienstleister-Management gegenüber Auditoren und Aufsichtsbehörden nachweisen.

Zeitlich begrenzter Zugriff

Die Plattform unterstützt automatische Ablaufsteuerung, sodass Dienstleister mit Vertragsende den Zugriff verlieren. Unternehmen konfigurieren Ablaufdaten entsprechend der Vertragslaufzeit, erhalten Benachrichtigungen vor Ablauf und entziehen Zugriffe automatisch – ohne manuelle Eingriffe.

Dadurch wird das Risiko ausgeschlossen, dass ehemalige Dienstleister nach Beziehungsende weiterhin Zugriff auf Unternehmensdaten behalten.

Sichere Kollaborationsfunktionen

Kiteworks stellt sichere Portale, Filesharing und Kollaborations-Workspaces bereit, die speziell für externe Parteien konzipiert sind. Dienstleister greifen über sichere Web-Oberflächen auf Dateien zu – ohne Softwareinstallation – während das Unternehmen die Kontrolle und Transparenz behält.

Die Data-Governance-Funktionen der Plattform stellen sicher, dass der Datei-Zugriff von Dienstleistern jederzeit den Sicherheitsrichtlinien und regulatorischen Anforderungen des Unternehmens entspricht.

Erfahren Sie mehr über das Management von Datei-Zugriffen externer Dienstleister und Auftragnehmer, und vereinbaren Sie eine individuelle Demo.

Weitere Ressourcen 

• Brief  
  Kiteworks MFT: Wenn Sie die modernste und sicherste Managed File Transfer-Lösung benötigen
• Blog Post  
  6 Gründe, warum Managed File Transfer besser ist als FTP
• Blog Post
  Die Rolle von Managed File Transfer im modernen Unternehmen neu denken
• Video  
  Checkliste: Wichtige Funktionen für modernes Managed File Transfer
• Blog Post  
  Cloud vs. On-Premises Managed File Transfer: Welche Bereitstellung ist optimal?