Datenpannen durch Drittparteien betreffen inzwischen die meisten Betroffenen

Die nächste Datenschutzverletzung, die auf Ihrem Schreibtisch landet, beginnt höchstwahrscheinlich in einem Unternehmen, das Ihnen nicht gehört. Ihr Logo steht auf dem Benachrichtigungsschreiben, Ihr Name landet beim Regulator, und Ihr Vorstand will wissen, warum der Fehler eines Dienstleisters zu Ihrem Vorfall wurde. Krolls Data Breach Outlook 2026 quantifiziert dieses Muster: Von den betroffenen Personen in den von Kroll zwischen Juni 2025 und Juni 2026 bearbeiteten Datenschutzvorfällen wurden 69 Prozent über eine Drittpartei kompromittiert.

Diese Zahl verdient mehr Aufmerksamkeit als die übliche Erinnerung an das Lieferantenrisiko. Sie beschreibt Menschen, nicht Vorfälle, und zeigt, wo der eigentliche Schaden entsteht. Ein einziger kompromittierter Technologieanbieter kann Millionen von Personen bei Hunderten von Kunden gleichzeitig erreichen. Das Sicherheitsteam eines einzelnen Kunden hat davon nichts bemerkt, und niemand von ihnen hatte Kontrolle über die Systeme, die versagt haben.

Dieser Beitrag beleuchtet, was Kroll gemessen hat, warum sich die Ergebnisse vom Verizon Data Breach Investigations Report unterscheiden, was die HIPAA-Benachrichtigungsregeln bei einem Vorfall beim Dienstleister vorschreiben und welche Nachweise ein CISO oder Compliance-Verantwortlicher vorhalten sollte, bevor das Telefon klingelt. Kurz gesagt: Ein Lieferantenfragebogen ist kein Beweis. Ein Protokoll darüber, was bewegt wurde, wer darauf zugegriffen hat und unter welcher Richtlinie, hingegen schon.

Wichtige Erkenntnisse

1. Kroll stellte fest, dass 69 Prozent der betroffenen Personen über eine Drittpartei kompromittiert wurden, und 79 Prozent dieser Fälle auf Technologieanbieter zurückzuführen sind.

2. Kroll zählt Personen, Verizon zählt Datenschutzverletzungen – die beiden Zahlen messen also unterschiedliche Dinge und dürfen nicht als eine einzige Statistik betrachtet werden.

3. Nach HIPAA entbindet ein Vorfall beim Business Associate die verantwortliche Organisation nicht von der Benachrichtigungspflicht, und die Frist kann beginnen, sobald der Dienstleister als Agent betrachtet wird.

4. Die Führungslücke ist das versteckte Risiko, denn Krolls Umfrage zeigt, dass IT-Leiter deutlich zuversichtlicher sind als die Geschäftsleitung oder Compliance-Verantwortliche.

5. Die stärkste Verteidigung ist selbst erzeugter Nachweis: ein gesteuerter Pfad für sensible Inhalte mit einer Richtlinien-Engine und einem Audit-Log.

Was Kroll gemessen hat

Beginnen Sie mit den Definitionen, denn die Überschrift verbreitet sich schneller als die Details. Kroll veröffentlichte den Data Breach Outlook 2026 am 22. Oktober 2026. Die zugrunde liegenden Fälle stammen aus dem Zeitraum Juni 2025 bis Juni 2026. In der Pressemitteilung heißt es, dass 7 von 10 Betroffenen durch eine Drittpartei kompromittiert wurden, konkret sind es 69 Prozent.

Beachten Sie die Maßeinheit: Kroll zählt betroffene Personen, also Menschen, deren Daten offengelegt wurden. Es wird nicht gezählt, wie viele Organisationen einen Vorfall erlitten haben. Das ist wichtig, denn ein Vorfall beim Dienstleister potenziert sich. Ein einziger Vorfall bei einem Lohnabrechnungsdienst, einer Claims-Plattform oder einem Managed File Transfer-Anbieter kann sämtliche Kunden treffen, die diesen Dienst nutzen.

Kroll führte parallel eine Umfrage unter 250 Führungskräften durch. 69 Prozent dieser Führungskräfte gaben an, dass ihre Organisation kompromittiert wurde, und 34 Prozent sogar mehrfach. Hier taucht erneut die 69-Prozent-Zahl auf, die leicht mit der ersten verwechselt werden kann. Die eine beschreibt Personen, die über Dienstleister erreicht wurden. Die andere beschreibt Organisationen, die einen Vorfall erlebten. Zitieren Sie diese Werte immer getrennt.

Krolls Zusammenfassung unterscheidet nicht nach Ländern. Behandeln Sie die Zahlen als globales Muster, nicht als Aussage für einen bestimmten Markt. Wenn Sie einen Vorstand in London, Riad oder Chicago informieren, sagen Sie das zu Beginn und lassen Sie die lokale Regulatorik die regionale Relevanz tragen.

Technologieanbieter und der Explosionsradius

Von den über Drittparteien betroffenen Personen führt Kroll 79 Prozent auf Technologieanbieter zurück, 9 Prozent auf Finanzdienstleister, 6 Prozent auf Versicherungen und 5 Prozent auf das Gesundheitswesen. Allein der Technologiesektor ist mit 60 Prozent aller betroffenen Personen in Krolls Datensatz verbunden.

Ein genauerer Blick zeigt ein klares Bild: Technologie rangiert bei der Zahl der betroffenen Organisationen auf Platz sieben, aber bei den betroffenen Personen auf Platz eins. Versicherungen stehen bei Organisationen auf Platz neun, bei Personen auf Platz zwei. Diese Sektoren werden nicht häufiger kompromittiert als andere – sie speichern einfach mehr Daten anderer Unternehmen, sodass jeder Vorfall größere Kreise zieht.

Das ist ein Konzentrationsproblem, kein Problem mangelnder Sorgfalt. Ihre Dienstleister sind nicht zwangsläufig schlechter in Sachen Sicherheit als Sie. Sie sind einfach Sammelpunkte. Wenn ein Anbieter Daten für Hunderte Kunden speichert, weiterleitet oder verarbeitet, kann ein Angreifer mit einem einzigen Zugriff eine Ernte einfahren, für die er sonst Hunderte einzelne Angriffe bräuchte.

Kroll stellte zudem fest, dass Finanz- und Professional-Services-Sektoren jeweils für 20 Prozent der Vorfälle verantwortlich waren, wobei die Professional Services um 45 Prozent zunahmen. Anwaltskanzleien, Beratungen, Wirtschaftsprüfer und ausgelagerte Spezialisten stehen im Zentrum sensibler Datenbewegungen. Sie erhalten Verträge, Finanzdaten und personenbezogene Informationen und leiten sie weiter. Jeder dieser Übergaben ist ein Punkt, an dem Ihre Richtlinie endet und die des Dienstleisters beginnt.

Wenn Ihr Supply Chain Risk Management vor allem Dienstleister nach ihren Kontrollen fragt, misst es Absichten. Krolls Zahlen messen Ergebnisse – und diese konzentrieren sich auf wenige Anbietergruppen, die Ihr Programm ganz oben einstufen sollte.

Verizon zählt Vorfälle, Kroll zählt Menschen

Sicherheitsverantwortliche greifen schnell zum Verizon 2026 Data Breach Investigations Report, um die Kroll-Ergebnisse abzugleichen. Der Verizon-Report fand eine Drittparteienbeteiligung bei 48 Prozent der Vorfälle, ein Anstieg gegenüber 30 Prozent im Vorjahr. Der Betrachtungszeitraum reicht von Oktober 2024 bis November 2025 und umfasst 145 Länder.

Auf den ersten Blick scheinen 48 Prozent und 69 Prozent widersprüchlich. Das sind sie nicht. Verizon fragt, wie viele Vorfälle eine Drittpartei involvierten. Kroll fragt, wie viele Menschen durch eine Drittpartei betroffen waren. Da Vorfälle mit Drittparteien meist größer sind, ist der Anteil der betroffenen Personen höher als der Anteil der Vorfälle. Beide Werte können gleichzeitig stimmen und ergeben zusammen ein vollständigeres Bild.

Gemeinsam gelesen zeigen sie zwei Trends: Die Beteiligung von Drittparteien an Vorfällen steigt rasant, und Vorfälle mit Drittparteien sind größer. Ein CISO, der nur die Anzahl der Vorfälle zählt, unterschätzt das Risiko. Wer nur die Zahl der betroffenen Personen betrachtet, übersieht, wie alltäglich das Muster geworden ist.

Der Third-Party Breach Report 2026 von Black Kite liefert eine wichtige Warnung zu den Nachweisen, die Dienstleister üblicherweise bereitstellen. Er dokumentierte 136 Ereignisse, 719 namentlich genannte und etwa 26.000 nicht genannte Opfer, mit einer mittleren Offenlegungslücke von 73 Tagen. Die durchschnittliche Bewertung der Dienstleister lag bei 90,27, dennoch hatten 53,77 Prozent eine kritische Schwachstelle. Ein hoher Score und eine gravierende Schwäche existieren also oft parallel. Deshalb kann eine Bewertung allein nie als Nachweis für den Umgang mit Ihren Daten dienen.

Die Führungslücke, die niemand besitzt

Der aufschlussreichste Teil von Krolls Umfrage betrifft nicht die Angreifer, sondern das Vertrauen. Auf die Frage nach der eigenen Vorbereitung gaben 54 Prozent der IT-Leiter an, zuversichtlich zu sein. In der Geschäftsleitung waren es 40 Prozent, bei Risiko- und Compliance-Verantwortlichen nur 30 Prozent.

Lesen Sie diese Spanne als Signal, wer die Nachweise tatsächlich vorhält. Die Techniker fühlen sich am sichersten, während diejenigen, die sich gegenüber Regulatoren, Versicherern und Vorständen verantworten müssen, am wenigsten Vertrauen haben. Compliance-Verantwortliche sind nicht pessimistisch – sie wissen, was ein Prüfer verlangt, und dass die Antwort meist in den Systemen des Dienstleisters liegt, nicht in den eigenen.

Auch die jährliche Umfrage von Kiteworks zeigt in die gleiche Richtung. Von 459 Befragten – etwa die Hälfte aus EU und UK, alle Selbstauskunft – nannten nur 14 Prozent einen Drittparteienvorfall als größtes Risiko. Gleichzeitig nutzen 54 Prozent vier oder mehr Plattformen für den Austausch sensibler Inhalte, und 73 Prozent haben keine technische Durchsetzung auf diesen Kanälen. Nur 4 Prozent setzen eine einheitliche Plattform ein, und 19 Prozent haben nie getestet, ob sich der Zugriff von Drittparteien tatsächlich entziehen lässt.

Halten Sie bei dieser letzten Zahl inne: Eins von fünf Unternehmen hat nie überprüft, ob es den Zugriff eines Dienstleisters abschalten kann. Wird Ihr Dienstleister am Dienstag kompromittiert, fragt Ihr CEO als Erstes, ob Sie die Verbindung kappen können. „Wir glauben schon“ ist keine Antwort, die ein Vorstand akzeptiert – und auch kein Prüfer wohlwollend aufnimmt.

Nennen wir das die Nachweislücke: Sie ist die Distanz zwischen dem Vertrauen, das Ihr Technologieteam meldet, und dem Beweis, den Ihr Compliance-Team auf Abruf liefern kann. Krolls drei Zahlen – 54, 40 und 30 – sind eine Landkarte dieser Distanz.

Die Benachrichtigungspflicht bleibt bestehen

Im Gesundheitswesen wird die Haftung konkret, denn HIPAA regelt klar, wer wen informieren muss. Nach 45 CFR 164.410 muss ein Business Associate die verantwortliche Organisation unverzüglich, spätestens aber 60 Kalendertage nach Entdeckung eines Vorfalls informieren. Die Regel besagt außerdem, dass ein Vorfall als entdeckt gilt, sobald der Business Associate oder ein Mitglied seines Personals oder ein Agent davon Kenntnis hat.

Schauen Sie auf das nächste Glied der Kette: Nach 45 CFR 164.404 informiert die verantwortliche Organisation die betroffenen Personen. Das Versäumnis des Dienstleisters überträgt diese Pflicht nicht. Sie bleiben das Unternehmen, von dem Patienten hören, und Sie sind es, dessen Schreiben die Aufsichtsbehörden lesen.

Das US-Gesundheitsministerium (HHS) hat 2013 in seinem Kommentar im Federal Register einen wichtigen Punkt klargestellt: Handelt ein Business Associate als Agent der verantwortlichen Organisation, wird dessen Kenntnis dem Unternehmen zugerechnet. Dann beginnt die Benachrichtigungsfrist bereits mit der Entdeckung durch den Dienstleister, nicht erst, wenn dieser anruft. Ob ein Dienstleister als Agent gilt, hängt davon ab, wie viel Kontrolle Sie ausüben – eine Rechtsfrage, die Sie mit Ihrem Rechtsbeistand vor einem Vorfall klären sollten.

Hier kommt auch die geplante Überarbeitung der HIPAA Security Rule ins Spiel. Das Update ist noch nicht final, und laut HIPAA Journal verschiebt sich die endgültige Umsetzung auf Juli 2027. Warten Sie nicht darauf. Die oben genannten Benachrichtigungsregeln gelten bereits, und Sie sollten Ihre Nachweise jetzt bereithalten. Für weitere Hintergründe siehe die Übersicht von Kiteworks zu HIPAA-Compliance.

Das gleiche Prinzip gilt weltweit: Nach UK DSGVO Artikel 33 muss ein Verantwortlicher die Aufsichtsbehörde innerhalb von 72 Stunden nach Bekanntwerden eines Vorfalls informieren, sofern möglich. Auch Saudi-Arabiens PDPL sieht eine 72-Stunden-Frist vor, und eine am 6. Oktober 2026 gestartete Konsultation schlägt eine Verschärfung vor. Laut Pinsent Masons würde der Entwurf die aktuelle Schadensschwelle streichen, eine Speicherung im Land vorschreiben und eine 20-Tage-Antwortpflicht einführen. Die Konsultation endet am 5. November 2026; diese Angaben stammen aus Sekundärquellen, prüfen Sie daher immer den Originaltext. Das Muster ist in allen Rechtsräumen gleich: Der Dienstleister verursacht den Vorfall, aber der Verantwortliche trägt die Frist.

Die Versicherungsmathematik

Auch Versicherer haben das Muster erkannt. Ein Bericht von Insurance Business zeigt, dass Dienstleister die meisten großen Datenschutzvorfälle im Gesundheitswesen im Juni verursacht haben. Wenn die größten Vorfälle einer Branche regelmäßig bei Dienstleistern beginnen, werden Versicherer künftig gezielt nach Ihren Dienstleistern fragen.

Erwarten Sie Veränderungen: Anträge werden prüfen, wie Sie Dienstleister mit Zugriff auf Ihre Daten erfassen. Bei Verlängerungen wird gefragt, ob Sie nachweisen können, wer auf was zugegriffen hat – nicht nur, ob es eine Richtlinie gibt. Im Schadensfall entscheidet die Geschwindigkeit, mit der Sie Ereignisse rekonstruieren können, denn ein nicht belegbarer Anspruch wird oft nicht ausgezahlt.

Auch in Krolls Daten nimmt die Versicherungsbranche eine besondere Rolle ein: Platz neun bei kompromittierten Organisationen, Platz zwei bei betroffenen Personen. Versicherer und ihre Administratoren sind ebenfalls Aggregatoren – das bedeutet, dass auch derjenige, der Ihr Risiko bepreist, dem gleichen Konzentrationseffekt ausgesetzt ist wie Sie.

Die praktische Lehre: Die Kosten eines Vorfalls beim Dienstleister bestimmen nicht die Dienstleister, sondern wie schnell Sie vier Fragen beantworten können. Welche Daten hielt der Dienstleister? Wer autorisierte den Zugriff? Was wurde in den letzten 90 Tagen geteilt? Können Sie das belegen? Jede Antwort stammt entweder aus Ihren eigenen Aufzeichnungen oder aus dem guten Willen des Dienstleisters.

Nachweise vor dem Anruf des Dienstleisters

Die meisten Unternehmen behandeln Drittparteienrisiken als Beschaffungsaufgabe. Sie verschicken einen Fragebogen, sammeln einen SOC-2-Bericht, legen die Ergebnisse ab und machen weiter. Das hat seinen Wert, liefert aber nur Aussagen über die Umgebung des Dienstleisters – keinen Nachweis über die Bewegung Ihrer Daten.

Dieser Unterschied entscheidet, was Sie im Ernstfall tun können. Eine Selbstauskunft des Dienstleisters sagt, was er behauptet zu tun. Ihre eigenen Audit-Logs zeigen, was mit Ihren Inhalten tatsächlich passiert ist. Im Vorfall werden Sie sich viel stärker auf Letzteres verlassen – und der Regulator auch.

Hier zählt die Architektur des Austauschs sensibler Inhalte: E-Mail, Filesharing, SFTP, Managed File Transfer, Web-Formulare und APIs sind die Wege, über die regulierte Daten Ihr Unternehmen verlassen. Hat jeder Weg eigene Tools, Richtlinien und Logs, wird die Rekonstruktion eines Vorfalls zur forensischen Aufgabe. Die Umfrage von Kiteworks zeigt, wie verbreitet diese Fragmentierung ist: 54 Prozent der Befragten nutzen vier oder mehr Plattformen.

Ein Control-Plane-Ansatz bündelt diese Wege. Kiteworks steuert Secure Email, Secure File Sharing, SFTP, Managed File Transfer, Formulare und APIs über eine Data Policy Engine mit RBAC– und ABAC-Kontrollen, einem zentralen Audit-Log und einer nachvollziehbaren Chain of Custody. Die Lösung läuft als Single-Tenant-gehärtete virtuelle Appliance, sodass Ihre Daten und Schlüssel nicht mit denen anderer Kunden vermischt werden. KI-Agents werden genauso wie menschliche Anwender unter denselben Richtlinien gesteuert – wichtig, da immer mehr Dienstleister-Workflows automatisiert werden.

Das dahinterstehende Prinzip ist einfach: Wenn beim Dienstleister etwas schiefläuft, zählt nicht, was der Dienstleister wusste, sondern was Sie über die an ihn übermittelten Inhalte und die geltenden Regeln nachweisen können. Ein gesteuerter Pfad liefert diese Antwort in Minuten statt Wochen.

Auch die HIPAA-Minimalprinzip-Regel gehört hierher: Weniger Daten an Dienstleister zu senden, reduziert die Zahl der potenziell betroffenen Personen. Krolls Konzentrationsbefund und das Minimalprinzip weisen in die gleiche Richtung: Begrenzen Sie, was Ihr Unternehmen verlässt – und was verlässt, sollte durch Richtlinien gesteuert und protokolliert werden.

Fünf Maßnahmen für die nächsten 90 Tage

Ein Befund wie der von Kroll kann überwältigend wirken. Das muss er nicht. Fünf Maßnahmen passen in ein Quartal und liefern jeweils einen Nachweis für den Auditor.

Maßnahme 1. Dienstleister nach Datenvolumen priorisieren, nicht nach Vertragswert. Erstellen Sie eine Liste aller Drittparteien, die regulierte oder vertrauliche Inhalte halten, und sortieren Sie nach der Zahl der Personen oder Datensätze. Krolls Daten zeigen: Technologie- und Versicherungsdienstleister verdienen den ersten Blick. Ihr teuerster Dienstleister und Ihr risikoreichster sind selten identisch.

Maßnahme 2. Zugriffsentzug testen, nicht nur Richtlinien prüfen. Wählen Sie Ihre fünf risikoreichsten Dienstleister und entziehen Sie ihnen in einer kontrollierten Übung den Zugriff. Dokumentieren Sie Dauer, Beteiligte und Auswirkungen. 19 Prozent der befragten Unternehmen haben das nie getan – es ist der günstigste Weg, diese Gruppe zu verlassen.

Maßnahme 3. Agentenfrage mit dem Rechtsbeistand klären. Entscheiden Sie für jeden Dienstleister, ob die Beziehung als Agentur ausgelegt werden könnte. Falls ja, gilt laut HHS-Kommentar die Kenntnis des Dienstleisters als Ihre eigene. Ihr Incident-Response-Plan sollte festlegen, wann die Benachrichtigungsfrist nach welcher Auslegung beginnt – und das gehört in Ihren Incident Response Plan.

Maßnahme 4. Führungslücke mit einem gemeinsamen Nachweis schließen. Bringen Sie IT- und Compliance-Sicht auf eine Seite. Zeigen Sie, welche Drittparteien-Datenbewegungen technisch kontrolliert werden, welche nur auf Richtlinien basieren und welche ohne Logging laufen. Wenn aus 54, 40 und 30 eine Liste konkreter Lücken wird, wird das Vertrauensgefälle zum Arbeitsplan.

Maßnahme 5. Kanäle für regulierte Daten konsolidieren. Kartieren Sie alle Wege, über die sensible Inhalte zu oder von Drittparteien gelangen. Schalten Sie unkontrollierte Kanäle ab. Führen Sie die verbleibenden unter eine zentrale Richtlinien-Engine und ein zentrales Log, damit der nächste Vorfallbericht ein Report und keine Untersuchung ist. Für verwandte Programme siehe die Empfehlungen von Kiteworks zu Vendor Risk Management und TPRM.

Setzen Sie diese fünf Maßnahmen um, verändert sich Ihr nächstes Gespräch mit dem Vorstand: Statt zu erklären, wie ein Dienstleister Sie im Stich gelassen hat, zeigen Sie, was Sie wussten, was Sie steuerten und wie schnell Sie reagiert haben.

Was Sie Ihrem Vorstand sagen sollten

Wenn der Vorstand nach der Kroll-Schlagzeile fragt, antworten Sie in drei Sätzen: Die meisten durch Vorfälle geschädigten Personen werden über Dienstleister kompromittiert, nicht über das Unternehmen auf dem Schreiben. Unsere gesetzliche Benachrichtigungspflicht bleibt bei uns, auch wenn der Dienstleister schuld ist. Unsere Verteidigung sind die Nachweise, die wir halten – und wir messen und verbessern sie nach Plan.

Bringen Sie dann den Nachweis mit: Eine nach Exponierung sortierte Dienstleisterliste, das Ergebnis eines Zugriffsentzug-Tests und eine vollständige Timeline eines sensiblen Austauschs sagen mehr als jeder Reifegrad-Score. Vorstände vertrauen dem, was sie prüfen können.

Ein letzter Hinweis zum Geltungsbereich: Krolls Fallstudien sind eine globale Stichprobe, die Umfrageteilnehmer von Kiteworks stammen aus Selbstauskunft und sind EU- und UK-lastig. Keine der beiden Datenquellen prognostiziert, was Ihrem Unternehmen passiert. Sie zeigen aber, dass sich die Risikostruktur verändert hat – und dass Unternehmen profitieren, die ihr eigenes Datenhandling dokumentieren können.

Sehen Sie es an Ihren eigenen Daten

Kiteworks bietet Sicherheits- und Compliance-Teams einen gesteuerten Pfad für sensible Inhalte – mit einer Richtlinien-Engine und einem Audit-Log über E-Mail, Filesharing, SFTP, Managed File Transfer, Formulare und APIs hinweg. Wenn Sie sehen möchten, wie eine Timeline bei einem Dienstleistervorfall aussieht, wenn alle Nachweise an einem Ort liegen, vereinbaren Sie jetzt eine individuelle Demo.

Weitere Ressourcen

• Blogbeitrag Zero Trust Architecture: Never Trust, Always Verify
• Video Microsoft GCC High: Nachteile, die Verteidigungsunternehmen zu intelligenteren Vorteilen treiben
• Blogbeitrag Wie Sie klassifizierte Daten schützen, nachdem DSPM sie erkannt hat
• Blogbeitrag Vertrauen in Generative KI aufbauen mit einem Zero Trust-Ansatz
• Video Der definitive Leitfaden zur sicheren Speicherung sensibler Daten für IT-Leiter