Wer wartet Ihre Systeme aus der Ferne — und sehen Sie, was dabei passiert?
Ihre IT liegt bei einem externen Dienstleister, und das ist gut so. Die Verantwortung dafür, dass diese Zugriffe kontrolliert und nachvollziehbar sind, bleibt seit der NIS2-Umsetzung bei der Geschäftsleitung. Die Privileged Access Bridge macht Fernwartungs-Zugriffe sichtbar, aufzeichenbar und im Ernstfall mit einem Klick trennbar — auch ohne eigene IT-Sicherheitsabteilung.
So sieht das in der Praxis aus
Ein Dienstleister wartet gerade einen Windows-Server aus der Ferne. Sie sehen die Sitzung in einer übersichtlichen Liste, können live mitschauen und die Verbindung mit einem Klick trennen — ohne selbst IT-Fachkenntnisse zu brauchen.
Ausgelagerte IT heißt nicht ausgelagerte Verantwortung
Das neue BSI-Gesetz zur Umsetzung von NIS2 nimmt die Geschäftsleitung direkt in die Pflicht: Sie muss die Risikomanagementmaßnahmen umsetzen und deren Umsetzung laufend überwachen (§ 38 BSIG).1Diese Aufsichtspflicht besteht auch dann, wenn die Technik bei einem externen Systemhaus liegt — die strategische Letztverantwortung lässt sich nicht delegieren.
Zu den gesetzlichen Mindestmaßnahmen gehören ausdrücklich die Sicherheit der Lieferkette und der Dienstleisterbeziehungen (§ 30 Abs. 2 Nr. 4 BSIG), die Zugriffskontrolle (Nr. 9) und sichere Wartung (Nr. 5).2 Für Sie als Geschäftsführer bedeutet das eine praktische Frage: Können Sie belegen, wer wann von außen auf Ihre Systeme zugegriffen hat?
Allgemeine Information, keine Rechtsberatung. Ob und wie Ihr Unternehmen betroffen ist, hängt von Sektor und Größe ab; das BSI stellt dafür eine Betroffenheitsprüfung bereit.3
Vertrauen ist berechtigt. Nachvollziehbarkeit hilft beiden Seiten.
Die meisten IT-Dienstleister arbeiten sorgfältig und zuverlässig. Trotzdem gab es dokumentierte Vorfälle, bei denen Angreifer einen externen Zugangsweg zu Unternehmensnetzen ausgenutzt haben — häufig war der Dienstleister dabei selbst geschädigt.
- Der Angriff auf einen kommunalen IT-Dienstleister Ende Oktober 2023 traf laut BSI rund 72 kommunale Kunden mit etwa 20.000 Arbeitsplätzen, die ihre Dienste vorübergehend nicht anbieten konnten.4
- 2021 wurde eine Schwachstelle in einer verbreiteten Fernwartungssoftware ausgenutzt, um Schadsoftware über Dienstleister an deren Kunden zu verteilen; nach Angaben des Herstellers waren bis zu rund 1.500 Unternehmen betroffen.5
Solche Fälle sind kein Vorwurf an eine Branche, sondern ein bekanntes Muster: Dienstleister-Zugriffe sind normal und notwendig — kontrollierbar und nachweisbar sollten sie trotzdem sein. Eine saubere Aufzeichnung schützt beide Seiten: Sie belegt im Zweifel, dass ein Zugriff korrekt und im vereinbarten Rahmen erfolgt ist.
Kontrolle und Nachweis über jeden Fernzugriff
Die Privileged Access Bridge (PAB) legt sich vor Ihre Systeme. Jeder Fernwartungs-Zugriff Ihres Dienstleisters läuft über den Browser durch die PAB — Software auf den Zielsystemen ist nicht nötig.
Jede Sitzung wird aufgezeichnet
Ein nachvollziehbarer Nachweis, wer wann was getan hat — für interne Klärung, Audits und Ihre Nachweispflicht.
Live mitschauen
Ein Verantwortlicher kann einer laufenden Wartungssitzung in Echtzeit zusehen.
NOT-AUS mit einem Klick
Stimmt etwas nicht, trennen Sie die Verbindung sofort — ohne eigenes Sicherheitsteam.
Ohne Installation (agentenlos)
Der Zugriff läuft im Browser; auf den Zielsystemen muss nichts eingerichtet werden.
Rollenbasierte Rechte
Jeder sieht und erreicht nur das, wofür er zuständig ist.
In Deutschland entwickelt, bei Ihnen betrieben
On-Premises oder in Ihrer Cloud — Ihre Aufzeichnungen bleiben in Ihrer Kontrolle.
Machbar, wenn Sie kein eigenes IT-Sicherheitsteam haben
Viele mittelständische Unternehmen betreiben keine eigene IT-Sicherheitsabteilung. Dafür gibt es die PAB als Managed-Variante: Betrieb und Pflege übernehmen wir, die Kontrolle und die Aufzeichnungen bleiben bei Ihnen. Sie entscheiden, wer Zugriff erhält, sehen die Sitzungen ein und können jederzeit eingreifen. Der Aufwand auf Ihrer Seite bleibt gering, weil auf den Zielsystemen nichts installiert werden muss.
Der gesetzliche Zusammenhang, kurz erklärt
Allgemeine Information, keine Rechtsberatung.
Wer ist betroffen? Betroffen sind Unternehmen aus bestimmten Sektoren ab etwa 50 Beschäftigten, mit weiteren größenbezogenen Schwellen bei Umsatz und Bilanzsumme (§ 28 BSIG).6 Dazu zählen unter anderem verarbeitendes Gewerbe/Maschinenbau, Lebensmittelverarbeitung und -vertrieb, Transport und Logistik sowie Gesundheit (Anlagen 1 und 2 BSIG).7 Ob Ihr Unternehmen erfasst ist, hängt vom Einzelfall ab; die Betroffenheitsprüfung des BSI gibt eine erste Einschätzung.3
Was verlangt das Gesetz bei Dienstleistern? Sicherheit der Lieferkette und der Dienstleisterbeziehungen, Zugriffskontrolle und sichere Wartung gehören zu den Mindestmaßnahmen (§ 30 BSIG).2
Was heißt das für die Geschäftsleitung? Umsetzung und Überwachung dieser Maßnahmen sind Leitungsaufgabe; bei schuldhafter Pflichtverletzung greift die gesellschaftsrechtliche Haftung (§ 38 BSIG).1
Die PAB liefert keinen fertigen Compliance-Bericht und ersetzt keine rechtliche Beratung. Sie liefert das, worauf es bei Dienstleister-Zugriffen praktisch ankommt: Kontrolle über den Zugriff und einen nachvollziehbaren Nachweis darüber.
Sehen Sie sich an, wie es bei Ihnen aussehen würde
In einem kurzen Gespräch zeigen wir Ihnen an einem konkreten Beispiel, wie ein Fernwartungs-Zugriff über die PAB aussieht: aufgezeichnet, beaufsichtigt und im Ernstfall sofort trennbar. Unverbindlich, in Ihrer Sprache statt in IT-Fachbegriffen.
Quellen & Hinweis
Die Angaben zu NIS2 und BSIG sind allgemeine Informationen und ersetzen keine Rechtsberatung. Maßgeblich ist der jeweils aktuelle Gesetzestext.
- § 38 BSIG (Pflichten der Geschäftsleitung): gesetze-im-internet.de/bsig_2025/__38.html
- § 30 BSIG (Risikomanagement, Lieferkette, Zugriffskontrolle, Wartung): …/__30.html
- BSI — NIS-2-Betroffenheitsprüfung: bsi.bund.de — Betroffenheitsprüfung
- BSI — Die Lage der IT-Sicherheit in Deutschland 2024: bsi.bund.de — Lagebericht 2024
- CISA — Kaseya VSA Supply-Chain Ransomware Attack (2021): cisa.gov — Kaseya VSA
- § 28 BSIG (Betroffenheit/Schwellenwerte): …/__28.html
- Anlage 1 & 2 BSIG (Sektoren): Anlage 1 · Anlage 2