Grundschutz++ Dienstleistersteuerung: Dienstleister kontrollieren und geordnet beenden (DLS)

Grundschutz++ erklärt5 Min. Lesezeit

Grundschutz++ Dienstleistersteuerung: was die Praktik DLS zu Kontrolle, Mehr-Faktor-Anmeldung und Vertragsende bei Dienstleistern verlangt, mit KMU-Tipps.

Kurz für ChefsGenauer für IT

Bei der Grundschutz++ Dienstleistersteuerung geht es darum, Ihre IT-Dienstleister, Cloud-Anbieter und Outsourcing-Partner nach Vertragsschluss nicht aus den Augen zu verlieren. Die Praktik «Dienstleistersteuerung» (Kürzel DLS) im neuen IT-Grundschutz des BSI regelt, wie Sie prüfen, ob vereinbarte Sicherheitsvorgaben eingehalten werden, und wie Sie eine Zusammenarbeit geordnet beenden.

Warum das wichtig ist

Ein guter Vertrag nützt wenig, wenn niemand kontrolliert, ob er eingehalten wird. Viele Betriebe hängen heute von wenigen Dienstleistern ab, etwa für E-Mail, Buchhaltung oder Datensicherung. Fällt ein Anbieter aus, wird er angegriffen oder endet der Vertrag, müssen Sie wissen, wo Ihre Daten liegen und wer noch Zugriff hat.

Was verbindlich ist

Verpflichtend sind die Grundlagen: Ihr Betrieb braucht ein festgelegtes Verfahren zur Steuerung und geordneten Beendigung von Dienstleistungsverträgen, das aufgeschrieben, Zuständigen zugewiesen, bekannt gemacht und regelmäßig überprüft wird. Empfohlen sind unter anderem eine Anmeldung mit mehreren Faktoren bei Online-Diensten, verschlüsselte Übertragung, regelmäßige Kontrollen der Dienstleister und die sofortige Sperrung ihrer Zugänge bei Vertragsende.

Der erste Schritt

Gehen Sie Ihre Liste der Dienstleister durch und prüfen Sie für jeden Online-Dienst, ob die Anmeldung mit einem zweiten Faktor geschützt ist. Legen Sie für die wichtigsten Dienstleister fest, wer einmal im Jahr nachfragt, ob die vereinbarten Sicherheitsmaßnahmen noch gelten, und notieren Sie, was bei einer Kündigung zu tun ist.

Die Praktik «Dienstleistersteuerung» (DLS) ist eine organisatorische Praktik im Anwenderkatalog Grundschutz++. Dieser Artikel erklärt die Grundschutz++ Dienstleistersteuerung anhand des Katalogstands vom 22. Oktober 2026: Ziel, Gruppen, Anforderungen, Nachweise und einen praxistauglichen Einstieg.

Ziel der Praktik

Laut Katalog regelt die Praktik die kontinuierliche Überwachung und Steuerung externer Dienstleister, etwa Outsourcing-Partner oder Cloud-Anbieter. Sie stellt sicher, dass die erbrachten Leistungen den vereinbarten Sicherheitsanforderungen entsprechen und die Dienstleister ihre vertraglichen Pflichten zur Informationssicherheit erfüllen. Die Auswahl und vertragliche Absicherung regelt dagegen die Praktik Beschaffungsmanagement (BES). BES schafft die Grundlage der Zusammenarbeit, DLS sorgt dafür, dass die vereinbarten Standards langfristig eingehalten werden.

Aufbau: vier Gruppen, 18 Anforderungen

Gruppe	Inhalt
DLS.1 Grundlagen	Verfahren zur Steuerung und geordneten Beendigung, Dokumentation, Zuständigkeiten, Bekanntgabe, Überprüfung
DLS.2 Nutzung von digitalen Dienstleistungen	Mehr-Faktor-Authentifizierung, Transportverschlüsselung, Vollverschlüsselung
DLS.3 Kontrolle von Dienstleistern	Einhaltung der Sicherheitsvorgaben, Audit oder Zertifikat, Anhörung, Blockierung unzuverlässiger Dienstleister, Portabilität
DLS.4 Dekommissionierung von Dienstleistern	Vorgehen vor Vertragsende, Unabhängigkeit testen, Berechtigungen deaktivieren

Die MUSS-Anforderungen

Die fünf MUSS-Anforderungen stehen in DLS.1 und gelten für die Zielobjektkategorie Dienstleistungen:

DLS.1.1 «Dienstleistersteuerung für Dienstleistungen MUSS ein Verfahren zur Steuerung und geordneten Beendigung von Dienstleistungsverträgen verankern.»

DLS.1.1.1 «Dienstleistersteuerung für Dienstleistungen MUSS die Verfahren und Regelungen dokumentieren.»

DLS.1.1.2 «Dienstleistersteuerung für Dienstleistungen MUSS die mit den Verfahren und Regelungen verbundenen Aufgaben zuständigen Personen oder Rollen zuweisen.»

DLS.1.1.3 «Dienstleistersteuerung für Dienstleistungen MUSS die zuständigen Personen oder Rollen über die Verfahren und Regelungen informieren.»

DLS.1.2 «Dienstleistersteuerung für Dienstleistungen MUSS die Verfahren und Regelungen regelmäßig und anlassbezogen auf Aktualität überprüfen.»

Zum Verfahren gehört laut Erläuterung zu DLS.1.1 die Kontrolle der Einhaltung von Sicherheitsvereinbarungen und, falls erforderlich, ein geeigneter Weg für die Beendigung von Verträgen.

Wichtige SOLLTE-Anforderungen

Digitale Dienste sicher nutzen

DLS.2.1 «Dienstleistersteuerung für Dienstleistungen SOLLTE Mehr-Faktor-Authentifizierung bei Login in Online-Dienste aktivieren.»

DLS.2.2 «Dienstleistersteuerung für Daten SOLLTE den Transport bei der Übertragung zum Anbieter nach einem anerkannten Standard verschlüsseln.»

Die Erläuterung zu DLS.2.1 nennt Online-Dienste wie die Verwaltung von TK-Rufnummern oder Cloud-Office-Anwendungen als beliebtes Ziel für Angriffe durch Phishing oder Datenleaks.

Dienstleister kontrollieren

DLS.3.1 «Dienstleistersteuerung für Dienstleistungen SOLLTE die Einhaltung der Sicherheitsvorgaben durch den Dienstleister regelmäßig überprüfen.»

DLS.3.1.1 «Dienstleistersteuerung für Outsourcing SOLLTE die Einhaltung der Sicherheitsvorgaben anhand eines Audits, Zertifikates oder vergleichbaren Sicherheitsnachweises regelmäßig überprüfen.»

DLS.3.4 «Dienstleistersteuerung für Outsourcing SOLLTE den Dienstleister zu Sicherheitsmaßnahmen für betroffene Zielobjekte anhören.»

DLS.3.5 «Dienstleistersteuerung für Dienstleistungen SOLLTE unzuverlässige Dienstleister oder Subdienstleister blockieren.»

Für die Prüfung nach DLS.3.1 nennt die Erläuterung beispielhaft Zertifikate, regelmäßige Stichproben oder das Monitoring von Datenleaks. Unzuverlässig ist ein Dienstleister laut Erläuterung zu DLS.3.5, wenn künftig mit Verstößen gegen Vertraulichkeit, Verfügbarkeit oder Integrität zu rechnen ist.

Zusammenarbeit beenden

DLS.4.1 «Dienstleistersteuerung für Dienstleistungen SOLLTE eine Vorgehensweise zur Dekommissionierung vor Vertragsende verankern.»

DLS.4.1.1 «Dienstleistersteuerung für Outsourcing SOLLTE die Unabhängigkeit der Verarbeitung schützenswerter Informationen vor der Außerbetriebnahme testen.»

DLS.4.1.2 «Dienstleistersteuerung für Dienstleistungen SOLLTE für den Vertrag benötigte Berechtigungen bei Vertragsende unverzüglich deaktivieren.»

Dekommissionierung bezeichnet laut Erläuterung das strukturierte und nachweisbare Vorgehen, mit dem eine Institution die Nutzung eines Dienstes kontrolliert beendet, ohne Informationssicherheit, Verfügbarkeit oder Nachvollziehbarkeit zu beeinträchtigen. Ziel ist, den unkontrollierten Verbleib sensibler Daten beim Dienstleister und unerkannte Abhängigkeiten zu vermeiden.

Normale und erhöhte Sicherheitsstufe

14 Anforderungen gehören zum Niveau normal (Stand der Technik): fünf MUSS und neun SOLLTE. Vier Anforderungen gehören zum Niveau erhöht und sind als KANN formuliert:

DLS.2.3 «Dienstleistersteuerung für Daten KANN diese, wenn der Anbieter deren Inhalt zur Vertragserbringung nicht kennen muss, für diesen nicht entschlüsselbar vor der Übertragung zum Dienstleister verschlüsseln.»

DLS.3.6 «Dienstleistersteuerung für Outsourcing KANN die Portabilität des ausgelagerten Prozesses regelmäßig überprüfen.»

Dazu kommen ein regelmäßiger Checkup der Outsourcing-Entscheidung bei Änderungen der Gefährdungslage oder der Prozessinhalte (DLS.3.2) und ein Strategie-Check bei Änderungen der Geschäftsprozessprofile (DLS.3.3).

Typische Nachweise

Im Feld «Dokumentation» nennt der Katalog am häufigsten den Übungs- und Prüfplan (4 Anforderungen), die Konfigurationshistorie und das Betriebshandbuch (je 3). Weitere Nachweise sind der Prozess Beschaffung, das IT-Betriebskonzept, der Geschäftsverteilungsplan, die Liste der Hersteller und Dienstleister, das Auslagerungsregister und ein Ergebnisprotokoll für den Test der Unabhängigkeit vor der Außerbetriebnahme.

Betroffene Zielobjekte

Alle 18 Anforderungen sind einer Zielobjektkategorie zugeordnet: Dienstleistungen (10), Outsourcing (6) und Daten (2). Laut Definition der Bibliothek sind Dienstleistungen Einkäufe von Leistungen im Zusammenhang mit Informationen der Institution, etwa ein Rahmenvertrag zur IT-Beratung oder ein Supportvertrag. Outsourcing sind Dienstleistungen von substantiellem Umfang innerhalb der Geschäftsprozesse, die über eine einmalige Ausübung hinausgehen, etwa RZ-Housing. Cloud-Dienste sind eine Unterkategorie von Outsourcing und erben damit die Anforderungen für Outsourcing und Dienstleistungen.

Vergleich mit dem Kompendium Edition 2023

Im bisherigen IT-Grundschutz deckte vor allem der Baustein OPS.2.3 Nutzung von Outsourcing die Steuerung von Dienstleistern ab, für Cloud-Dienste OPS.2.2 Cloud-Nutzung. Grundschutz++ trennt klar zwischen Beschaffung (BES) und laufender Steuerung (DLS) und nimmt mit der Mehr-Faktor-Authentifizierung für Online-Dienste eine konkrete technische Empfehlung in die Praktik auf.

Umsetzungstipps für kleine und mittlere Unternehmen

Mehr-Faktor-Anmeldung zuerst: Für Cloud-Office, Banking, Domainverwaltung oder Rufnummernverwaltung ist DLS.2.1 schnell umgesetzt und wirksam.
Jährliche Kurzprüfung: Bitten Sie wichtige Dienstleister einmal im Jahr um aktuelle Zertifikate oder eine kurze Auskunft zu ihren Sicherheitsmaßnahmen und halten Sie das im Prüfplan fest.
Exit vorbereiten: Notieren Sie je Dienstleister, wie Sie an Ihre Daten kommen, was gelöscht werden muss und welche Zugänge bei Vertragsende zu sperren sind.
Zugänge des Dienstleisters kennen: Führen Sie eine Liste der Konten, Fernwartungszugänge und Schlüssel, die Dienstleister bei Ihnen nutzen.
Mit BES verzahnen: Was in DLS geprüft wird, sollte vorher in BES vertraglich vereinbart sein, etwa Audit-Recht, Vorfallmeldung und Datenrückgabe.

Häufige Fragen

Gilt die Praktik auch für kleine Dienstleister wie den IT-Betreuer vor Ort?

Ja. Die Zielobjektkategorie Dienstleistungen umfasst laut Definition Einkäufe von Leistungen im Zusammenhang mit Informationen der Institution, zum Beispiel einen Supportvertrag.

Muss ich Dienstleister selbst auditieren?

Nicht zwingend. DLS.3.1.1 empfiehlt für Outsourcing, die Einhaltung der Sicherheitsvorgaben anhand eines Audits, Zertifikates oder vergleichbaren Sicherheitsnachweises regelmäßig zu überprüfen.

Was ist bei Vertragsende zu tun?

DLS.4.1 empfiehlt eine Vorgehensweise zur Dekommissionierung vor Vertragsende. Dazu gehören der Test, ob schützenswerte Informationen unabhängig vom Dienstleister verarbeitet werden können (DLS.4.1.1), und die unverzügliche Deaktivierung der für den Vertrag benötigten Berechtigungen (DLS.4.1.2).

Was ist mit Vollverschlüsselung gemeint?

DLS.2.3 beschreibt als KANN-Anforderung der erhöhten Stufe, Daten vor der Übertragung so zu verschlüsseln, dass der Dienstleister sie nicht entschlüsseln kann, wenn er ihren Inhalt zur Vertragserbringung nicht kennen muss.