Firewall-Management an einen MSSP übergeben, ohne Change-Kontrolle und Audit-Trail zu verlieren

Wer das Firewall-Management an einen MSSP übergibt und die Change-Kontrolle behalten will, behält drei Dinge im eigenen Haus: die Freigabe jeder Regeländerung, eine laufende Kopie der Firewall-Änderungsprotokolle und das Recht auf Audit und Ausstieg. Der Dienstleister betreibt die Firewalls. Sie behalten die Entscheidungen und die Nachweise. NIS2 und DORA lassen die Pflicht auch nach der Auslagerung bei Ihnen, also müssen Vertrag und Log-Fluss dafür ausgelegt sein, bevor das erste Ticket wandert.

Dieser Leitfaden richtet sich an die Person, die das Outsourcing unterschreibt und danach im nächsten Audit sitzt: Netzwerk- oder Security-Leitung, CISO oder IT-Leitung einer NIS2-Einrichtung. Er zeigt, was die Regeln sagen, was in den Vertrag gehört, wie der Change-Prozess aufgeteilt wird und wie die Übergabe ohne Lücke im Audit-Trail läuft. Den allgemeinen Prozess beschreibt unser Leitfaden zum Firewall-Change-Management.

Geht die Compliance-Pflicht mit der Auslagerung auf den MSSP über?

Nein. Die Auslagerung verschiebt die Arbeit, nicht die Pflicht. Erwägungsgrund 83 der NIS2-Richtlinie (EU) 2022/2555 stellt klar, dass die Risikomanagement- und Meldepflichten unabhängig davon gelten sollen, ob eine Einrichtung ihre Systeme selbst betreibt oder deren Wartung auslagert. Nach Artikel 20 Absatz 1 billigen die Leitungsorgane die Maßnahmen, überwachen ihre Umsetzung und können für Verstöße verantwortlich gemacht werden.

DORA ist noch deutlicher. Nach Artikel 28 Absatz 1 Buchstabe a der Verordnung (EU) 2022/2554 bleiben Finanzunternehmen, die IKT-Dienstleistungen nutzen, jederzeit in vollem Umfang für die Einhaltung verantwortlich. In Deutschland verpflichtet § 38 BSIG die Geschäftsleitungen besonders wichtiger und wichtiger Einrichtungen, die Risikomanagementmaßnahmen „umzusetzen und ihre Umsetzung zu überwachen". Wer diese Pflicht verletzt, haftet der Einrichtung für einen schuldhaft verursachten Schaden.

Die Folge für die Praxis: Wenn der Auditor fragt, wer eine Regel freigegeben hat, die einen Pfad zu einem kritischen System öffnet, ist „Das war unser MSSP" keine Antwort. Sie brauchen die Freigabe, das Ticket und den Protokolleintrag, und zwar ohne den Dienstleister um einen Gefallen bitten zu müssen.

Was sagen NIS2 und DORA über Dienstleister?

Beide Regelwerke behandeln die Beziehung zum Dienstleister als Teil Ihrer eigenen Sicherheit. Artikel 21 Absatz 2 Buchstabe d NIS2 nennt die Sicherheit der Lieferkette einschließlich der Beziehungen zu unmittelbaren Anbietern und Diensteanbietern als Pflichtmaßnahme. Erwägungsgrund 85 erwähnt Managed Security Service Provider ausdrücklich und empfiehlt, Cybersicherheitsmaßnahmen in die Verträge mit Anbietern aufzunehmen. Die deutsche Umsetzung trägt das in § 30 Absatz 2 Nr. 4 BSIG: „Sicherheit der Lieferkette einschließlich sicherheitsbezogener Aspekte der Beziehungen zu unmittelbaren Anbietern oder Diensteanbietern". § 30 Absatz 1 ergänzt: „Die Einhaltung der Verpflichtung nach Satz 1 ist durch die Einrichtungen zu dokumentieren."

DORA macht daraus Vertragsinhalt. Artikel 30 Absatz 2 Buchstabe d verlangt Regelungen zum Zugang, zur Wiederherstellung und zur Rückgabe der Daten in einem leicht zugänglichen Format, wenn der Vertrag endet. Für kritische oder wichtige Funktionen fordert Artikel 30 Absatz 3 Buchstabe e uneingeschränkte Zugangs-, Inspektions- und Auditrechte, und Artikel 28 Absatz 8 verlangt Ausstiegsstrategien mit umfassenden, dokumentierten und ausreichend getesteten Ausstiegsplänen. Den Rest der Verordnung für Banken und Versicherer behandelt unser Beitrag zu DORA und Firewall-Compliance.

Außerhalb der Finanzbranche weist der IT-Grundschutz-Baustein OPS.2.3 Nutzung von Outsourcing in dieselbe Richtung. Outsourcing-Verträge müssen „ein Recht auf Prüfung, Revision und Audit beinhalten" (A4), und Auftraggeber sollen „ausreichend Fähigkeiten, Kompetenzen sowie Ressourcen behalten, um einer Abhängigkeit gegenüber den Anbietenden von Outsourcing vorzubeugen" (A8).

Welche Vertragsklauseln halten die Change-Kontrolle bei Ihnen?

Entscheidend sind die Klauseln, die festlegen, wer freigibt, wer die Aufzeichnungen hält und wie Sie wieder herauskommen. Standardverträge von MSSPs drehen sich nach unserer Erfahrung um Servicelevel und Reaktionszeiten. Zur Change-Freigabe steht dort wenig, und dazu, wem die Änderungshistorie gehört, noch weniger. Die Tabelle zeigt, was wir vor der Unterschrift ergänzen würden.

Klausel	Inhalt	Grundlage
Freigabebefugnis	Keine Regeländerung geht live ohne Freigabe durch eine benannte Rolle beim Auftraggeber, außer bei definierten Notfalländerungen	NIS2 Art. 20 Abs. 1, Leitung billigt und überwacht
Log-Kopie beim Auftraggeber	Alle Konfigurations- und Audit-Logs werden in Echtzeit an einen Log-Speicher des Auftraggebers weitergeleitet	§ 30 Abs. 1 BSIG, Dokumentationspflicht
Auditrecht	Auftraggeber, Prüfer und Behörde dürfen den Dienst prüfen und auditieren	BSI OPS.2.3.A4; DORA Art. 30 Abs. 3 Buchst. e
Zugriffsumfang	Auf welche Bereiche und Dienste in Ihrem Netz der Dienstleister zugreifen darf	BSI OPS.2.3.A14
Datenrückgabe beim Ausstieg	Regelwerk, Objekte, Änderungshistorie und Tickets werden in lesbarem, dokumentiertem Format zurückgegeben	DORA Art. 30 Abs. 2 Buchst. d; BSI OPS.2.3.A7
Ausstieg und Übergangsfrist	Der Dienstleister betreibt weiter, während Sie zu einem anderen Anbieter wechseln oder zurückholen	DORA Art. 28 Abs. 8 und Art. 30 Abs. 3 Buchst. f
Unterbeauftragung	Weiterverlagerung nur mit Zustimmung des Auftraggebers	BSI OPS.2.3.A4

Um die zweite Zeile würden wir am härtesten verhandeln. Liegt die einzige Kopie der Änderungshistorie im Ticketsystem und auf der Managementplattform des Dienstleisters, endet Ihr Audit-Trail mit dem Vertrag.

Wie teilen Sie den Change-Prozess mit einem MSSP auf?

Teilen Sie nach Entscheidungen auf, nicht nach Geräten. Der Dienstleister kann jeden technischen Schritt einer Firewall-Änderung erledigen. Die Schritte, in denen ein Risiko akzeptiert wird, gehören dem Auftraggeber. Eine tragfähige Aufteilung sieht so aus:

• Antrag: gestellt vom Anwendungs- oder Fachverantwortlichen beim Auftraggeber, mit Zweck, Quelle, Ziel, Dienst und einem Enddatum für befristete Freischaltungen.
• Technische Prüfung: durch den MSSP. Hier fallen verdeckte Regeln, zu weite Objekte und Konflikte mit dem Zonenmodell auf.
• Risikofreigabe: beim Auftraggeber, durch eine benannte Rolle. Für Änderungen an kritischen Zonen mit zweiter Freigabe.
• Umsetzung und Verifikation: durch den MSSP, im vereinbarten Fenster, mit einem Rollback-Schritt im Change.
• Abschluss und Nachweis: Change-ID, Freigabe und der passende Konfigurationslog-Eintrag landen in Ihren Unterlagen, nicht nur in seinen.

Notfalländerungen brauchen einen eigenen Weg. Legen Sie vorab fest, in welchen Situationen der Dienstleister zuerst handeln darf, und verlangen Sie die nachträgliche Freigabe innerhalb einer festen Frist. Wie dieser Weg aussieht, beschreibt unser Beitrag zum Notfall-Änderungsmanagement.

Wer prüft das Regelwerk nach dem Go-live?

Sie, zumindest bei der Rezertifizierung. Der MSSP kann die Prüfung vorbereiten: ungenutzte Regeln, Regeln ohne Verantwortliche, abgelaufene befristete Freischaltungen. Ob eine Regel bleibt oder geht, entscheidet der Fachverantwortliche auf Ihrer Seite. Die Methode steht in unserem Leitfaden zur Regel-Rezertifizierung. Outsourcing ändert, wer die Liste vorbereitet, nicht, wer sie unterschreibt.

Wie behalten Sie eine eigene Kopie des Audit-Trails?

Leiten Sie die Konfigurations- und Audit-Logs der Firewalls und Managementplattformen vom ersten Tag an in einen Log-Speicher, der Ihnen gehört. Palo Alto Networks, Check Point und Fortinet unterstützen das. Die Config Logs von Palo Alto Networks halten Administrator, Client, Befehl, Konfigurationspfad sowie die Werte vor und nach der Änderung fest, und Panorama leitet Logs an externe Syslog-, E-Mail- oder HTTP-Ziele weiter. Der Log Exporter von Check Point exportiert Security-Logs, Audit-Logs oder beides per Syslog mit TLS. Der FortiManager von Fortinet führt ein Repository der Konfigurationsrevisionen, die Sie herunterladen und vergleichen können.

Drei Details entscheiden, ob diese Kopie im Audit etwas wert ist:

• Persönliche Konten. Jeder Techniker des MSSP meldet sich mit einem eigenen Konto an. Ein gemeinsames Konto „mssp-admin" macht aus jedem Logeintrag „irgendwer beim Dienstleister".
• Change-ID im Commit-Kommentar. Der Dienstleister trägt Ihre Ticketnummer in den Commit- oder Revisionskommentar ein, damit sich jeder Logeintrag einer Freigabe zuordnen lässt.
• Regelmäßiger Abgleich. Vergleichen Sie das Konfigurationslog monatlich mit den freigegebenen Änderungen. Alles im Log ohne Freigabe ist ein Befund. Wie sich dieser Abgleich automatisieren lässt, zeigt unser Beitrag zur Erkennung von Policy-Drift.

Wie läuft die Übergabe selbst?

Führen Sie die Übergabe als eigenes Firewall-Change-Projekt mit eigenen Nachweisen, in vier Schritten. Nach unserer Erfahrung entstehen die meisten Audit-Lücken bei MSSP-Wechseln in den Wochen rund um die Übergabe, nicht im späteren Regelbetrieb.

1. Baseline vor dem Wechsel. Exportieren Sie das vollständige Regelwerk, die Objekte und die Änderungshistorie vom bisherigen Team oder Dienstleister. Halten Sie den Konfigurations-Hash oder die Revisionsnummer fest. Das ist der Bezugspunkt für alles Weitere.
2. Erst aufräumen, dann übergeben. Entfernen Sie Regeln ohne Verantwortliche und abgelaufene Freischaltungen vor der Übernahme, oder setzen Sie sie auf eine datierte Bereinigungsliste im Vertrag. Sonst erbt der Dienstleister Ihre technischen Altlasten und stellt deren Pflege in Rechnung.
3. Parallelbetrieb. In den ersten Wochen setzt der Dienstleister die Änderungen um, während Ihr Team jede einzelne freigibt und gegen die Log-Kopie prüft. So ist belegt, dass der Prozess funktioniert, bevor Sie sich darauf verlassen.
4. Alte Zugänge entziehen. Entfernen Sie die Zugänge des bisherigen Teams oder Dienstleisters und dokumentieren Sie das. BSI OPS.2.3.A7 empfiehlt zu prüfen, ob die Zugriffsrechte des Dienstleisters mit dem Ende des Outsourcing-Verhältnisses aufgehoben wurden.

Beim Ausstieg aus dem Vertrag laufen dieselben vier Schritte rückwärts. Deshalb zählen Ausstiegsklausel und Log-Kopie schon am ersten Tag: Sie machen den nächsten Wechsel überhaupt erst möglich.

Welche Fehler zerstören den Audit-Trail?

Die Fehler, die den Audit-Trail zerstören, sind organisatorisch. Diese tauchen in fast jedem Wechsel auf, den wir gesehen haben:

• Das Ticketsystem des Dienstleisters als einziger Nachweis. Ihr Prüfer bekommt Screenshots auf Anfrage, und das nur, solange der Vertrag läuft.
• Freigabe per E-Mail. Ein „Passt, bitte umsetzen" im Mailverlauf ist schwer zu finden, nicht auswertbar und leicht zu bestreiten. Dasselbe Problem hat die Nachverfolgung in Excel.
• Multi-Vendor-Umgebungen, verteilt auf mehrere Dienstleister. Ein MSSP für den Perimeter, ein zweiter fürs Rechenzentrum, ein dritter für die Cloud. Jeder führt seine eigene Historie. Ohne eine gemeinsame Sicht auf Ihrer Seite kann niemand sagen, welche Änderung einen Pfad geöffnet hat. Darum geht es in unserem Beitrag zur Multi-Vendor-Firewall-Verwaltung.
• Kein Reporting im Vertrag. Vereinbaren Sie einen monatlichen Change-Bericht des Dienstleisters: durchgeführte Änderungen, Freigaben, Notfalländerungen, Größe des Regelwerks. Die Felder stehen in unserer Vorlage für den Änderungsbericht.

Wann lohnt sich ein MSSP für Firewalls?

Unserer Einschätzung nach lohnt sich ein MSSP, wenn Ihnen die Leute für den Betrieb rund um die Uhr fehlen, nicht wenn Sie Verantwortung abgeben wollen. Monitoring, Routineänderungen, Upgrades und Hersteller-Patches lassen sich gut auslagern. Regelfreigabe, Zonendesign und die Entscheidung, welche Verbindungen das Geschäft braucht, bleiben bei Ihnen. Wer genau diese Entscheidungen auslagern will, merkt meist beim nächsten Audit, dass das nicht geht.

Nächster Schritt

Prüfen Sie den Vertrag vor der Unterschrift an einer einzigen Frage. Könnten Sie einem Auditor für jede beliebige Regel Freigabe, Änderung und Logeintrag zeigen, ohne den Dienstleister zu fragen? Der kostenlose NIS2 Readiness Check geht die Nachweise durch, die ein Firewall-Change-Prozess liefern muss, egal ob Ihr eigenes Team oder ein Dienstleister die Firewalls betreibt.