Da eine einzige Schwäche eines Zulieferers weitreichende Betriebsstörungen auslösen kann, wie können Unternehmen ihre Widerstandsfähigkeit stärken und Risiken managen?
Im Januar erlitt der US-Telekommunikationsriese Verizon einen massiver Ausfall hat Auswirkungen auf Millionen von Nutzern. Beschrieben von dem Internetüberwachungsunternehmen Cisco ThousandEyes als eines der wichtigsten signifikante Verbindungsunterbrechungen In der jüngeren Vergangenheit kam es zu weit verbreiteten, schwerwiegenden und andauernden Vorfällen, die dazu führten, dass die Telefone einiger Mobiltelefonnutzer im SOS-Modus hängen blieben.
Verizon bestätigte kurz darauf, dass der Ausfall nicht auf einen Cyberangriff zurückzuführen war, sondern machte stattdessen einen „SoftwareproblemDies dürfte sich zu einem zunehmenden Problem entwickeln, da Telekommunikationsnetze immer stärker miteinander vernetzt und virtualisiert werden.
Im Fall von Verizon waren die Auswirkungen erheblich, sie beeinträchtigten den Ruf des Unternehmens und führten zu einem Rückgang der Kundenzahlen. AktienkursDer Mobilfunkanbieter versuchte daraufhin, den Schaden abzumildern, indem er den Nutzern eine Rückerstattung von 20 Dollar versprach.
Dies geschieht zu einem Zeitpunkt, an dem Ausfälle weitreichende Folgen für die gesamte Lieferkette haben. CrowdStrike-Ausfall Das Ereignis von 2024 ist nur ein Beispiel. Andere, neuere Vorfälle resultierten aus Problemen bei Infrastrukturanbietern wie beispielsweise Amazon Web Services und Cloudflare.
Da eine einzige Schwäche eines Zulieferers weitreichende Betriebsstörungen auslösen kann, müssen Unternehmen nun ihre Herangehensweise an Resilienz und Risikomanagement überdenken.
Sich entwickelndes Risiko
Technologien wie 5G verändern die Spielregeln für Telekommunikationsunternehmen, Netzwerkvirtualisierung Sie spielen eine Schlüsselrolle. Dies bedeutet jedoch, dass Unternehmen zunehmend auf riesige Ökosysteme von Zulieferern, Cloud-Diensten, Softwareanbietern und Partnern für verwaltete Infrastruktur angewiesen sind.
„Telekommunikationsnetze sind im letzten Jahrzehnt deutlich komplexer geworden, wodurch Ausfälle zu einem sehr realen Risiko geworden sind“, sagt Mike Hellers, Produktentwicklungsmanager bei London Internet Exchange. „Jede zusätzliche Abhängigkeit schafft eine weitere potenzielle Fehlerquelle, sodass Ausfälle zunehmend durch Probleme verursacht werden, die außerhalb der direkten Kontrolle des Telekommunikationsanbieters liegen“, so Hellers.
Neben rein technischen Ausfällen stellen Ausfälle mittlerweile auch ein Versagen der Systemsteuerung dar. Letztendlich wirkt sich dies jedoch auf den Kunden und letztendlich auf den Anbieter aus.
„Wenn eine kritische Abhängigkeit ausfällt, ein Dienst falsch konfiguriert wird, ein fehlerhaftes Update ausgeliefert wird oder eine schnelle Wiederherstellung nicht möglich ist, erlebt der Kunde dies als Telekommunikationsausfall – unabhängig davon, wessen Logo im Ursachenbericht steht“, sagt Mayur Upadhyaya, CEO von APIContext.
Bedrohungen durch Dritte
Der Verizon-Ausfall und ähnliche Vorfälle zeigen, dass die Ausfallsicherheit moderner Telekommunikationsnetze nur so stark ist wie das schwächste Glied in der Kette.
Cloud-Dienste selbst sind auf physische Infrastruktur, Rechenzentren, Netzwerkrouten und Stromversorgungssysteme angewiesen. Und obwohl KI und Automatisierung Betreibern bei der Verwaltung größerer, dynamischerer softwaredefinierter Netzwerke helfen, bringen sie auch neue Herausforderungen mit sich.
Die gesteigerte Geschwindigkeit ist Fluch und Segen zugleich. „Automatisierte Systeme können Entscheidungen treffen oder Änderungen so schnell umsetzen, dass kaum Zeit für menschliches Eingreifen bleibt. Das bedeutet, dass sich Konfigurationsfehler oder Ausfälle in vernetzten Umgebungen viel schneller ausbreiten können als zuvor“, sagt Hellers.
KI und Automatisierung können die Situation verschlimmern, da sie „die Zeitspanne zwischen Ursache und Folge verkürzen“, bestätigt Upadhyaya von APIContext. Er weist darauf hin, dass Automatisierung zwar die Resilienz verbessern kann, aber auch „Fehler schneller verbreiten“ kann, wenn Governance, Transparenz und Verantwortlichkeiten unzureichend sind. „Die Frage ist nicht nur, ob die eigenen Systeme eines Anbieters resilient sind, sondern ob er die Resilienz der gesamten Servicekette, die für die Bereitstellung von Konnektivität erforderlich ist, erkennen, testen und steuern kann.“
Sichtbarkeit
Erschwerend kommt hinzu, dass Infrastrukturanbietern oft die vollständige Transparenz über die miteinander verbundenen Anbieterumgebungen fehlt.
„Den meisten Organisationen fehlt es immer noch an Echtzeit-Transparenz und klarer Verantwortlichkeit in Bezug auf ihre Abhängigkeiten, und sie verlassen sich auf Governance-Modelle, die nicht für dieses Maß an Komplexität ausgelegt sind“, sagt Dana Simberkoff, Chief Risk, Privacy and Information Security Officer bei AvePoint.
Vor diesem Hintergrund meint Upadhyaya von APIContext, dass jährliche Lieferantenbewertungen „gefährlich überholt“ seien.
Das Hauptproblem sei, dass sie für eine Welt konzipiert wurden, in der sich das Drittparteienrisiko nur langsam veränderte, sagt er.
Dies ist ein Problem im modernen Zeitalter, da sich die Telekommunikationsinfrastruktur ständig verändert: „Routing-Entscheidungen, Cloud-Abhängigkeiten, API-Integrationen, automatisierte Fehlerbehebung, KI-gestützte Abläufe und herstellerseitig gehostete Steuerungsebenen können Risiken in Echtzeit verändern“, betont Upadhyaya. „Ein Lieferant, der bei einer jährlichen Überprüfung noch akzeptabel erschien, kann sich Wochen später zu einer wesentlichen betrieblichen Abhängigkeit entwickeln.“
Regulatorischer Fokus
Gleichzeitig rückt in der Branche die operative Resilienz und die Verantwortlichkeit in der Lieferkette zunehmend in den Fokus der Regulierungsbehörden. Dies spiegelt die Tatsache wider, dass die digitale Infrastruktur zu einer kritischen nationalen Infrastruktur geworden ist, die alles von Finanzdienstleistungen bis hin zum Gesundheitswesen unterstützt.
Simberkoff von AvePoint weist darauf hin, dass Richtlinie über Netz- und Informationssysteme 2 (NIS2) und die EU-Gesetz zur digitalen und betrieblichen Resilienz (DORA) machen beide deutlich, dass Organisationen für die Stabilität ihrer Drittanbieter-Abhängigkeiten verantwortlich sind. „Und beide erfordern kontinuierliche Überwachung, eine stärkere Verantwortlichkeit der Lieferanten und eine integrierte Reaktion auf Sicherheitsvorfälle“, sagt sie.
Solche Regelungen erzwingen auch eine Abkehr vom peripheren Denken hin zur Resilienz des gesamten Ökosystems.
Vor diesem Hintergrund ist Giles Adams, CEO von VQ Communications, der Ansicht, dass Resilienz „eher mit struktureller Kontrolle zu tun hat“.
Kommunikation sei „missionskritisch“, und Infrastrukturentscheidungen seien „wichtiger denn je“, sagt er. IO.
Komplexität reduzieren
Eine praktische Möglichkeit für Unternehmen, ihre Resilienz zu stärken, besteht darin, unnötige Komplexität so weit wie möglich zu reduzieren. Eine direktere Vernetzung von Netzwerken, Cloud-Anbietern und digitalen Diensten verringert die Anzahl potenzieller Fehlerquellen und ermöglicht Betreibern eine bessere Kontrolle über die End-to-End-Konnektivität, so Hellers vom London Internet Exchange. „Sie ermöglicht zudem eine schnellere Kommunikation zwischen den direkt beteiligten Organisationen bei Problemen und trägt so zu deren rascherer Identifizierung und Behebung bei.“
Adams beschreibt, wie die Kunden des Unternehmens zunehmend alternative Ansätze verfolgen, wie zum Beispiel die Bereitstellung an mehreren Standorten, um Single Points of Failure zu vermeiden; die geografische Verteilung der Konferenzinfrastruktur; redundante Konferenzknoten für die Ausfallsicherheit; und Hybridmodelle, die Cloud- und private Infrastruktur kombinieren.
Neben der technischen Widerstandsfähigkeit hält Hellers Transparenz für „grundlegend“. Starke Governance-Rahmenwerke wie beispielsweise ISO 27001 „Kontinuierliche Lieferantensicherung und offene Kommunikation spielen eine wichtige Rolle beim Aufbau von Vertrauen in zunehmend vernetzten Ökosystemen“, sagt er.
Da Telekommunikationsnetze durch den Einsatz vielfältiger Technologien immer komplexer werden, steigt auch das Risiko von Ausfällen aufgrund von Abhängigkeiten von Drittanbietern stetig an. In Zeiten solch kritischer Abhängigkeiten betonen Experten die Bedeutung eines funktionierenden Ökosystems, um Probleme zu bewältigen und schnell zu beheben.
Laut Hellers wird Resilienz letztlich nicht mehr allein an der Robustheit eines einzelnen Netzwerks gemessen. „Es geht heute darum, wie effektiv Organisationen im gesamten digitalen Ökosystem zusammenarbeiten, um Störungen vorherzusehen, ihnen standzuhalten und sich davon zu erholen.“
Erweitern Sie Ihr Wissen
Blog: Das Cyberrisikomanagement ist fragmentiert: So lässt sich das beheben.
Blog: Alles, was Sie über den Cyber Resilience Act wissen müssen
