IKT-Dienstleistungsmanagement
NIS2-Vorgaben für Managed Service Provider (MSP) und IT-Dienstleister
Ist Ihr Unternehmen betroffen?
- Managed Service Provider (MSP) — IT-Outsourcing-Dienstleister, die Kunden-IT-Infrastruktur betreiben und administrieren
- Managed Security Service Provider (MSSP) — Anbieter von Sicherheitsüberwachung, SOC-Diensten und Incident Response als Service
- IT-Outsourcing-Dienstleister und Cloud-Management-Anbieter ab 50 Mitarbeitern oder 10 Mio. EUR Jahresumsatz
- IKT-Dienstleister fallen unter Anhang II (sonstige Einrichtungen) des NIS2UmsuCG — mit geringeren Schwellenwerten als hochkritische Sektoren, aber dennoch vollen NIS2-Pflichten
- Wichtig: Als Single Point of Failure für viele Kundenorganisationen haben MSPs und MSSPs eine besondere Verantwortung — ein kompromittierter MSP kann dutzende Kundennetze gleichzeitig gefährden
NIS2-Anforderungen nach Art. 21
- 01.
Mandantentrennung (Multi-Tenant Security)
MSPs verwalten Systeme vieler Kunden aus einer zentralen Plattform. NIS2 verlangt strikte logische und technische Trennung zwischen Kundenmandanten — kein Cross-Tenant-Datenzugriff, separate Secrets und Credentials pro Mandant, isolierte Monitoring-Pipelines.
- 02.
Privileged Access Management für Kundenzugänge
Fernzugriffs-Tools (RMM-Plattformen, Remote-Desktop, Management-VPNs) sind das Haupteinfallstor für Angreifer, die MSP-Infrastruktur kompromittieren. Just-in-Time-Zugänge, Vaulting aller Kundenzugangsdaten und lückenlose Session-Protokollierung sind verpflichtend.
- 03.
SLA-basiertes Incident Response und Meldepflicht
MSPs und MSSPs müssen Sicherheitsvorfälle, die Kundensysteme betreffen, sowohl an das BSI melden als auch unverzüglich an betroffene Kunden kommunizieren. Vertragliche Incident-Response-SLAs müssen die NIS2-Meldefristen (24h Frühwarnung, 72h Vollmeldung) widerspiegeln.
- 04.
Lieferkettentransparenz gegenüber Kunden
Als Dienstleister in der Lieferkette ihrer Kunden müssen MSPs auf Anfrage Auskunft über eigene Sicherheitspraktiken geben. NIS2 schafft eine durchgehende Sicherheitsverantwortungskette — Kunden können und sollten Sicherheitsnachweise (ISO 27001, SOC 2) einfordern.
- 05.
Fernzugriffs- und Remote-Administration-Sicherheit
Alle Remote-Management-Zugänge auf Kundensysteme müssen über Multi-Faktor-Authentifizierung gesichert sein. RMM-Plattformen müssen auf dem aktuellen Patch-Stand gehalten und auf verdächtige Aktivitäten überwacht werden.
- 06.
Risikoanalyse als Dienstleister in der NIS2-Lieferkette
Als sonstige Einrichtung nach Anhang II unterliegen MSPs/MSSPs der Pflicht zur strukturierten Risikoanalyse — auch hinsichtlich der Risiken, die sie für ihre Kundenorganisationen darstellen könnten. Die eigene Kompromittierung ist als Szenario explizit zu bewerten.
- 07.
Sicherheitsüberwachung und SIEM pro Mandant
MSSPs mit Security-Operations-Center-Funktion müssen eine mandantenseparierte Sicherheitsüberwachung betreiben. Logs und Alarme eines Kunden dürfen nicht in anderen Mandantenansichten sichtbar sein — datenschutzkonforme Isolation ist Pflicht.
Typische Bedrohungsszenarien
Ransomware über MSP-Zugänge
Angreifer kompromittierten den Kaseya VSA Remote-Management-Server und spielten über das legitime Update-Mechanismus Ransomware an hunderte MSP-Kunden aus. Über 1.500 Unternehmen weltweit waren betroffen — ein Angriff, der die Supply-Chain-Gefahr durch MSPs exemplarisch illustriert.
Kaseya VSA Ransomware via MSP (USA, 2021)Angriff über MSP-Fernzugriffssoftware
Eine kritische Sicherheitslücke in ConnectWise ScreenConnect (CVE-2024-1709) ermöglichte unauthentifizierten Angreifern die vollständige Übernahme von Remote-Management-Servern. Aktive Ausnutzung erfolgte innerhalb von 48 Stunden nach Veröffentlichung des Patches — MSPs, die das Update verzögerten, setzten alle Kundensysteme dem Angriff aus.
ConnectWise ScreenConnect-Schwachstelle für gezielte MSP-Angriffe (USA, 2024)Ransomware via IT-Dienstleister im Gesundheitssektor
Change Healthcare, ein zentraler IT-Dienstleister für US-amerikanische Arztpraxen, Krankenhäuser und Apotheken, wurde Opfer eines Ransomware-Angriffs. Abrechnungssysteme und Versicherungsverifikation fielen monatelang aus — ein Ausfall, der direkt auf den IT-Dienstleister zurückzuführen war, betraf tausende Gesundheitseinrichtungen.
Change Healthcare Ransomware via IT-Dienstleister (USA, 2024)Maßnahmen-Checkliste
- Mandantenseparierung auf Netzwerk- und Datenebene — strikte Isolation zwischen Kundenmandanten in allen Plattformen und Datenbanken
- Privileged Access Management (PAM) mit Just-in-Time-Zugangsvergabe und Vaulting aller Kundenzugangsdaten
- Multi-Faktor-Authentifizierung für alle RMM-Plattformen, Management-VPNs und Remote-Desktop-Zugänge
- Patch-Management-SLA für RMM-Softwarekomponenten: kritische Sicherheitsupdates innerhalb von 24 Stunden
- Security-Monitoring pro Mandant mit datenschutzkonformer Log-Isolation und automatisierten Anomalie-Alarmen
- Vertragsbasierte Incident-Response-SLAs mit NIS2-konformen Meldefristen (24h Frühwarnung, 72h Vollmeldung an BSI und Kunden)
- Lieferkettentransparenz: Nachweis eigener Sicherheitsmaßnahmen gegenüber Kunden (ISO 27001, SOC 2 Type II, BSI IT-Grundschutz)
- Regelmäßige Überprüfung aktiver Kundenzugänge — sofortige Deaktivierung nicht benötigter oder ausgelaufener Zugänge
- Red-Team-Übungen speziell für MSP-Angriffsszenarien: laterale Bewegung zwischen Mandanten, Kompromittierung der Verwaltungsplattform
- Segmentierung der internen MSP-Infrastruktur vom Kundennetz — Management-Plane-Isolation verhindert Ausbreitung bei interner Kompromittierung
Verwandte Inhalte
NIS2-Compliance für IKT-Dienstleistungsmanagement?
Kontaktieren Sie uns für eine branchenspezifische Erstberatung. Wir kennen die Anforderungen Ihres Sektors.
Beratung anfragen