{"id":99004,"date":"2026-09-10T09:00:00","date_gmt":"2026-09-10T07:00:00","guid":{"rendered":"https:\/\/locaterisk.com\/?post_type=wissen&#038;draft=third-party-risk-management-aufgaben-prozess"},"modified":"2026-08-06T16:22:12","modified_gmt":"2026-08-06T14:22:12","slug":"third-party-risk-management-aufgaben-prozess","status":"publish","type":"wissen","link":"https:\/\/locaterisk.com\/de\/wissen\/third-party-risk-management-aufgaben-prozess\/","title":{"rendered":"Third-Party Risk Management: Aufgaben, Prozess und technische Datenquellen"},"content":{"rendered":"<h1 class=\"wp-block-heading\">Third-Party Risk Management: Aufgaben, Prozess und technische Datenquellen<\/h1>\n\n<span class=\"lr-ai-disclosure\" style=\"display:block;max-width:843px;margin:8px auto 28px;font-size:14px;line-height:1.4;color:#8b93a7;font-family:inherit;font-style:italic;\">Dieser Text wurde mit k\u00fcnstlicher Intelligenz (KI) erstellt.<\/span>\n\n<p class=\"wp-block-paragraph\">Unternehmen beziehen Software, Cloud-Dienste, IT-Betrieb, Beratung und viele weitere Leistungen von externen Organisationen. Jede dieser Beziehungen kann Abh\u00e4ngigkeiten, Zugriffsrechte und Datenfl\u00fcsse schaffen. Third-Party Risk Management ordnet diese Risiken \u00fcber den gesamten Lebenszyklus einer Gesch\u00e4ftsbeziehung. Es verbindet Einkauf, Informationssicherheit, Datenschutz, Recht, Fachbereiche und Unternehmensleitung in einem nachvollziehbaren Prozess.<\/p>\n<p class=\"wp-block-paragraph\">Die Begriffe <strong>Third-Party Risk Management (TPRM)<\/strong> und <strong>Vendor Risk Management<\/strong> werden in der Praxis h\u00e4ufig f\u00fcr \u00e4hnliche Programme verwendet. Vendor Risk Management richtet den Blick oft auf Lieferanten. TPRM kann zus\u00e4tzlich Dienstleister, Vertriebspartner, Berater und andere externe Parteien einschlie\u00dfen. <strong>ICT Third-Party Risk Management<\/strong> bezeichnet den auf Informations- und Kommunikationstechnologie bezogenen Teil. Entscheidend ist nicht das Etikett, sondern ein klar definierter Geltungsbereich.<\/p>\n<h2 class=\"wp-block-heading\">Das Wichtigste in K\u00fcrze<\/h2>\n<ul class=\"wp-block-list\"><li>Ein belastbarer TPRM-Prozess beginnt mit einem gepflegten Inventar und einer risikobasierten Kritikalit\u00e4tseinstufung.<\/li><li>Due Diligence kombiniert Selbstausk\u00fcnfte, Nachweise, Vertragsinformationen, interne Erkenntnisse und technische Au\u00dfensicht.<\/li><li>Pr\u00fcftiefe, Freigabe, Vertragsma\u00dfnahmen und \u00dcberwachung richten sich nach dem m\u00f6glichen Schaden und der Abh\u00e4ngigkeit.<\/li><li>Ein Security Rating oder eine externe Analyse erg\u00e4nzt die organisatorische Bewertung, ersetzt sie aber nicht.<\/li><li>Offboarding geh\u00f6rt zum Prozess: Zug\u00e4nge, Daten, Unterauftragnehmer, Nachweise und Restpflichten m\u00fcssen kontrolliert beendet werden.<\/li><\/ul>\n<h2 class=\"wp-block-heading\">Was Third-Party Risk Management leisten soll<\/h2>\n<p class=\"wp-block-paragraph\">TPRM schafft einen einheitlichen Entscheidungsrahmen f\u00fcr Risiken aus Gesch\u00e4ftsbeziehungen mit externen Parteien. Das Programm beantwortet f\u00fcnf praktische Fragen: Mit wem arbeitet das Unternehmen zusammen? Welche Leistung wird bezogen? Welche Systeme, Daten oder Gesch\u00e4ftsprozesse sind betroffen? Welcher Schaden kann bei Ausfall, Angriff oder Pflichtverletzung entstehen? Welche Behandlung ist vor Beginn und w\u00e4hrend der Zusammenarbeit erforderlich?<\/p>\n<p class=\"wp-block-paragraph\">Der NIST Cybersecurity Framework 2.0 ordnet Cybersecurity Supply Chain Risk Management der Funktion \u201eGovern\u201c zu. Die Kategorie GV.SC verlangt unter anderem bekannte und nach Kritikalit\u00e4t priorisierte Lieferanten, vereinbarte Rollen sowie Anforderungen in Vertr\u00e4gen. NIST SP 800-161 Rev. 1 beschreibt dazu einen organisationsweiten, risikobasierten Ansatz f\u00fcr die Identifikation, Bewertung, Behandlung und fortlaufende Beobachtung von Cyberrisiken in der Lieferkette. Diese Ver\u00f6ffentlichungen sind keine deutschen Gesetze, bieten aber eine tragf\u00e4hige Struktur f\u00fcr interne Programme.<\/p>\n<p class=\"wp-block-paragraph\">TPRM ist breiter als eine Sicherheitsabfrage beim Einkauf. Es begleitet Auswahl, Onboarding, Betrieb, wesentliche \u00c4nderungen, Vorf\u00e4lle, Vertragsverl\u00e4ngerung und Beendigung. Regulatorische Anforderungen k\u00f6nnen zus\u00e4tzliche Kontrollen ausl\u00f6sen. F\u00fcr nach DORA erfasste Finanzunternehmen ist die Steuerung des <a href=\"https:\/\/locaterisk.com\/de\/wissen\/dora-ikt-drittparteirisiko\/\">IKT-Drittparteirisikos<\/a> bei bezogenen IKT-Dienstleistungen relevant. Unternehmen im Anwendungsbereich von NIS2 sollten auch die <a href=\"https:\/\/locaterisk.com\/de\/wissen\/nis2-lieferkettensicherheit\/\">Sicherheit ihrer Lieferkette<\/a> in das Risikomanagement einbinden.<\/p>\n<h2 class=\"wp-block-heading\">Der TPRM-Prozess vom Inventar bis zum Offboarding<\/h2>\n<p class=\"wp-block-paragraph\">Am Anfang steht ein zentrales Verzeichnis der Drittparteien. Es sollte Vertragspartner, erbrachte Leistung, internen Eigent\u00fcmer, Laufzeit, Unterauftragnehmer, Datenarten, Zugriffswege und betroffene Prozesse enthalten. Beschaffungssysteme, Vertragsablagen, Finanzdaten und Identity-Systeme liefern daf\u00fcr Hinweise. Kein einzelnes System enth\u00e4lt zwangsl\u00e4ufig die ben\u00f6tigten Angaben. Deshalb braucht das Inventar eine verantwortliche Stelle und definierte Aktualisierungsanl\u00e4sse.<\/p>\n<p class=\"wp-block-paragraph\">Die Kritikalit\u00e4t bestimmt anschlie\u00dfend die Pr\u00fcftiefe. Kriterien sind etwa die Bedeutung der unterst\u00fctzten Leistung, Zugriff auf produktive Systeme, Verarbeitung schutzbed\u00fcrftiger Daten, Austauschbarkeit, Konzentrationsrisiken und m\u00f6gliche Auswirkungen eines Ausfalls. Eine kleine Agentur ohne Systemzugriff ben\u00f6tigt meist eine andere Pr\u00fcfung als ein Cloud-Anbieter, auf dem ein Kernprozess l\u00e4uft. Die Einstufung sollte vor der Auswahl erfolgen und bei erheblichen \u00c4nderungen erneut gepr\u00fcft werden.<\/p>\n<figure class=\"wp-block-table\"><table><thead><tr><th>Phase<\/th><th>Kernaufgabe<\/th><th>Typisches Ergebnis<\/th><\/tr><\/thead><tbody><tr><td>Inventarisierung<\/td><td>Drittpartei, Leistung, Daten und Zugriffe erfassen<\/td><td>Gepr\u00fcfter Stammdatensatz<\/td><\/tr><tr><td>Kritikalit\u00e4t<\/td><td>Auswirkung und Abh\u00e4ngigkeit einordnen<\/td><td>Risikoklasse und Pr\u00fcftiefe<\/td><\/tr><tr><td>Due Diligence<\/td><td>Kontrollen, Nachweise und Exponierung bewerten<\/td><td>Befunde und Restrisiko<\/td><\/tr><tr><td>Behandlung<\/td><td>Ma\u00dfnahmen, Freigaben und Vertragsklauseln festlegen<\/td><td>Akzeptierter Ma\u00dfnahmenplan<\/td><\/tr><tr><td>Monitoring<\/td><td>\u00c4nderungen, Vorf\u00e4lle und Fristen beobachten<\/td><td>Aktualisierte Risikobewertung<\/td><\/tr><tr><td>Offboarding<\/td><td>Zug\u00e4nge, Daten und Pflichten beenden<\/td><td>Dokumentierter Abschluss<\/td><\/tr><\/tbody><\/table><\/figure>\n<p class=\"wp-block-paragraph\">Ein Stage-Gate-Modell verhindert, dass ein kritischer Dienstleister vor Abschluss der vorgesehenen Pr\u00fcfung produktiv eingesetzt wird. Ausnahmen bleiben m\u00f6glich, ben\u00f6tigen aber einen benannten Risikoeigent\u00fcmer, eine Begr\u00fcndung, kompensierende Ma\u00dfnahmen und ein Ablaufdatum.<\/p>\n<p class=\"wp-block-paragraph\">Die Risikobehandlung folgt der Bewertung. Vermeidbare Risiken lassen sich durch einen anderen Leistungszuschnitt oder Anbieter reduzieren. Technische und organisatorische Ma\u00dfnahmen senken Eintrittswahrscheinlichkeit oder Auswirkung. Versicherungen und Vertragsregelungen k\u00f6nnen bestimmte finanzielle Folgen \u00fcbertragen, beseitigen aber nicht die operative Abh\u00e4ngigkeit. Ein verbleibendes Restrisiko darf nur die daf\u00fcr befugte Rolle annehmen. Entscheidung, Annahmezeitraum und Annahmekriterien geh\u00f6ren in die Dokumentation. Wird eine Ma\u00dfnahme vereinbart, braucht sie einen Eigent\u00fcmer, eine Frist und einen Nachweis der Umsetzung. Diese Regeln verhindern, dass offene Punkte nach der Beschaffung ohne Steuerung bestehen bleiben.<\/p>\n<h2 class=\"wp-block-heading\">Due Diligence und technische Datenquellen kombinieren<\/h2>\n<p class=\"wp-block-paragraph\">Due Diligence untersucht verf\u00fcgbare, f\u00fcr die Entscheidung relevante Informationen \u00fcber eine Drittpartei und ihre Leistungen. Der NIST Quick-Start Guide SP 1326 nennt f\u00fcr IKT-Lieferanten unter anderem Herkunft und Kontrolle, Resilienz, grundlegende Cyberpraktiken und Ebenen der Lieferkette als Untersuchungsfelder. F\u00fcr Unternehmen folgt daraus kein starres Standardformular. Die Fragen sollten zur Leistung, Kritikalit\u00e4t und tats\u00e4chlichen Zugriffssituation passen.<\/p>\n<p class=\"wp-block-paragraph\">Selbstausk\u00fcnfte erkl\u00e4ren Prozesse, interne Kontrollen, Wiederanlaufplanung und Zust\u00e4ndigkeiten. Zertifikate und Pr\u00fcfberichte liefern Nachweise f\u00fcr einen definierten Geltungsbereich und Zeitraum. Vertr\u00e4ge zeigen zugesagte Leistungen, Meldewege, Pr\u00fcfungsrechte und Beendigungsregeln. Interne Daten dokumentieren Vorf\u00e4lle, Servicequalit\u00e4t und offene Ma\u00dfnahmen. \u00d6ffentliche Quellen k\u00f6nnen Unternehmensverflechtungen, Sicherheitsmeldungen oder technische Ver\u00e4nderungen sichtbar machen.<\/p>\n<p class=\"wp-block-paragraph\">Eine externe technische Analyse betrachtet die aus dem Internet erkennbare Angriffsfl\u00e4che. Sie kann erreichbare Systeme, eingesetzte Software, Konfigurationshinweise und Ver\u00e4nderungen aufzeigen. Ein <a href=\"https:\/\/locaterisk.com\/de\/wissen\/was-ist-ein-security-rating\/\">Security Rating<\/a> verdichtet ausgew\u00e4hlte Beobachtungen zu nachvollziehbaren Kennzahlen. Diese Au\u00dfensicht belegt jedoch weder alle internen Kontrollen noch die Wirksamkeit jedes Prozesses. Sie erkennt auch nicht zwangsl\u00e4ufig die konkret verwundbare Version einer Software. Umgekehrt kann ein Fragebogen technische Exponierungen \u00fcbersehen, die dem Lieferanten selbst nicht bekannt sind.<\/p>\n<p class=\"wp-block-paragraph\">Eine belastbare Bewertung f\u00fchrt die Quellen zusammen und kennzeichnet Reichweite, Aktualit\u00e4t und Evidenz. Widerspr\u00fcche l\u00f6sen eine Kl\u00e4rung aus. Fehlt beispielsweise ein Subdomain-Eintrag im Fragebogen, obwohl er technisch dem Lieferanten zugeordnet werden kann, sollte der Pr\u00fcfer die Attribuierung best\u00e4tigen und den Befund mit der Drittpartei besprechen. Automatische Bewertungen d\u00fcrfen keine endg\u00fcltige Freigabeentscheidung vort\u00e4uschen.<\/p>\n<h2 class=\"wp-block-heading\">Rollen und RACI im Third-Party Risk Management<\/h2>\n<p class=\"wp-block-paragraph\">TPRM scheitert h\u00e4ufig nicht an fehlenden Daten, sondern an unklarer Verantwortung. Der Fachbereich kennt Nutzen, Abh\u00e4ngigkeit und operative Auswirkungen. Der Einkauf steuert Auswahl und kommerzielle Vereinbarungen. Informationssicherheit bewertet Cyberrisiken und technische Nachweise. Datenschutz und Recht pr\u00fcfen ihre jeweiligen Anforderungen. Das Vendor- oder TPRM-Team betreibt Methodik, Plattform, Fristen und Berichterstattung. Die Unternehmensleitung entscheidet \u00fcber Risiken oberhalb definierter Schwellen.<\/p>\n<p class=\"wp-block-paragraph\">Eine RACI-Matrix unterscheidet Ausf\u00fchrung, Ergebnisverantwortung, Beratung und Information. Pro Entscheidung sollte nur eine Rolle rechenschaftspflichtig sein. F\u00fcr die Kritikalit\u00e4t kann der Fachbereich die Angaben liefern, w\u00e4hrend der Prozesseigent\u00fcmer des TPRM-Modells die methodische Freigabe verantwortet. Bei einem hohen technischen Risiko f\u00fchrt die Informationssicherheit die Analyse aus; der zust\u00e4ndige Risikoeigent\u00fcmer entscheidet \u00fcber Behandlung oder Annahme.<\/p>\n<p class=\"wp-block-paragraph\">Auch die Drittpartei braucht benannte Ansprechpartner f\u00fcr Sicherheit, Vorf\u00e4lle und Vertragsfragen. NIST CSF 2.0 empfiehlt, Rollen f\u00fcr Lieferanten, Kunden und Partner intern wie extern zu etablieren und zu koordinieren. Praktisch geh\u00f6ren Eskalationswege, Reaktionszeiten und Informationspflichten in den Vertrag oder eine verbindliche Anlage. Ein gemeinsames Begriffsmodell verhindert, dass \u201ekritisch\u201c in Einkauf, IT und Risikomanagement verschiedene Bedeutungen hat.<\/p>\n<p class=\"wp-block-paragraph\">Die RACI-Matrix sollte nicht jede Einzelfrage abbilden. Sie muss die \u00dcbergaben sichtbar machen: Wer er\u00f6ffnet die Pr\u00fcfung? Wer darf Unterlagen anfordern? Wer bewertet Ausnahmen? Wer verfolgt Ma\u00dfnahmen? Wer sperrt einen produktiven Zugang beim Offboarding? Wenige klare Entscheidungsrechte sind im Betrieb hilfreicher als eine sehr gro\u00dfe Zust\u00e4ndigkeitstabelle.<\/p>\n<h2 class=\"wp-block-heading\">Vertragsma\u00dfnahmen, Monitoring und Eskalation<\/h2>\n<p class=\"wp-block-paragraph\">Die Due-Diligence-Ergebnisse flie\u00dfen in risikogerechte Vertragsma\u00dfnahmen ein. M\u00f6gliche Themen sind Mindestkontrollen, Meldefristen f\u00fcr Sicherheitsvorf\u00e4lle, Mitwirkung bei Untersuchungen, Umgang mit Unterauftragnehmern, Nachweise, Pr\u00fcfungsrechte, Datenr\u00fcckgabe und Exit-Unterst\u00fctzung. Welche Klauseln erforderlich und rechtlich geeignet sind, muss die zust\u00e4ndige Rechtsfunktion f\u00fcr den konkreten Vertrag entscheiden.<\/p>\n<p class=\"wp-block-paragraph\">Nach dem Onboarding ver\u00e4ndert sich das Risiko. Neue Domains, Cloud-Dienste, Zertifikate, Softwarekomponenten oder Fehlkonfigurationen k\u00f6nnen die technische Au\u00dfensicht ver\u00e4ndern. Daneben laufen Nachweise ab, Ansprechpartner wechseln, Leistungen werden erweitert oder Unterauftragnehmer kommen hinzu. Monitoring verbindet deshalb technische Signale mit organisatorischen Ereignissen. Der Rhythmus richtet sich nach Kritikalit\u00e4t und Dynamik: Ein kritischer IKT-Dienstleister verlangt engere Kontrollen als eine Drittpartei ohne Zugriff auf schutzbed\u00fcrftige Informationen.<\/p>\n<p class=\"wp-block-paragraph\">F\u00fcr technische Hinweise sollte der Prozess Schwellen und Eskalationen definieren. Ein neuer Befund wird zun\u00e4chst attribuiert und auf Relevanz gepr\u00fcft. Danach folgen Validierung, R\u00fcckfrage an die Drittpartei, Ma\u00dfnahmenfrist und gegebenenfalls die Eskalation an den Risikoeigent\u00fcmer. Der <a href=\"https:\/\/locaterisk.com\/de\/landing\/third-party-risk-management\/\">Third-Party-Risk-Management-Ansatz von LocateRisk<\/a> unterst\u00fctzt die fortlaufende externe Beobachtung und KPI-basierte Einordnung. Er ersetzt keine Vertragspr\u00fcfung, keine interne Auditierung und keine rechtliche Bewertung.<\/p>\n<p class=\"wp-block-paragraph\">Geeignete Steuerungskennzahlen messen den Prozess und das Risiko getrennt. Prozesskennzahlen sind etwa der Anteil fristgerecht abgeschlossener Bewertungen, \u00fcberf\u00e4llige Ma\u00dfnahmen oder Drittparteien ohne Eigent\u00fcmer. Risikokennzahlen zeigen offene hohe Befunde, Konzentrationen oder Trends nach Lieferantengruppe. Ein Durchschnittswert allein kann einzelne kritische Abh\u00e4ngigkeiten verdecken.<\/p>\n<h2 class=\"wp-block-heading\">Offboarding und kontinuierliche Verbesserung<\/h2>\n<p class=\"wp-block-paragraph\">Die Beendigung einer Gesch\u00e4ftsbeziehung reduziert Risiken nur, wenn operative Verbindungen tats\u00e4chlich entfernt werden. Das Offboarding umfasst Konten, API-Schl\u00fcssel, VPN-Zug\u00e4nge, Zertifikate, Datenkopien, Ger\u00e4te, Weiterleitungen und Eintr\u00e4ge in Support- oder Monitoring-Systemen. Der Fachbereich best\u00e4tigt das Leistungsende. IT und Identity Management entziehen Zug\u00e4nge. Datenschutz und Recht pr\u00fcfen Aufbewahrung, L\u00f6schung und fortwirkende Pflichten. Der Einkauf dokumentiert Vertragsende und offene Anspr\u00fcche.<\/p>\n<p class=\"wp-block-paragraph\">Bei kritischen Leistungen sollte eine Exit-Planung bereits vor Vertragsabschluss bestehen. Sie ber\u00fccksichtigt Datenexport, \u00dcbergabe an einen Nachfolger, technische Abh\u00e4ngigkeiten und eine kontrollierte \u00dcbergangsphase. Das erleichtert auch die Reaktion, wenn ein Risiko nicht innerhalb der vereinbarten Frist behandelt wird.<\/p>\n<p class=\"wp-block-paragraph\">Nach Vorf\u00e4llen, gr\u00f6\u00dferen Ausnahmen und wiederkehrenden Verz\u00f6gerungen folgt eine kurze Ursachenanalyse. Sie pr\u00fcft, ob Kriterien, Datenquellen, Vertr\u00e4ge oder Zust\u00e4ndigkeiten angepasst werden m\u00fcssen. Ebenso wichtig ist die regelm\u00e4\u00dfige Bereinigung des Inventars. Dubletten, abgelaufene Vertr\u00e4ge und Drittparteien ohne internen Eigent\u00fcmer verf\u00e4lschen Kennzahlen und binden Pr\u00fcfkapazit\u00e4t.<\/p>\n<p class=\"wp-block-paragraph\">Ein skalierbarer Prozess standardisiert Risikoklassen, Evidenzanforderungen und Entscheidungswege, ohne jeden Lieferanten gleich zu behandeln. Automatisierung kann Daten sammeln, Fristen \u00fcberwachen und Ver\u00e4nderungen melden. Die risikobezogene Entscheidung bleibt nachvollziehbar bei den zust\u00e4ndigen Rollen. So wird TPRM zu einem Steuerungsprozess, der Beschaffung erm\u00f6glicht und Risiken transparent behandelt.<\/p>\n\n<div class=\"wp-block-lr-faq-module\"><div class=\"content\"><h3>H\u00e4ufige Fragen<\/h3><div class=\"faq-topic\"><hr\/><div class=\"collapsible-title\"><a class=\"pr-4\">Was ist Third-Party Risk Management?<\/a><img class=\"collapse-toggle\" srcset=\"https:\/\/locaterisk.com\/wp-content\/plugins\/locate-risk-prod\/lr-blocks\/faq-module\/img\/ic-plus@3x.png 3x,https:\/\/locaterisk.com\/wp-content\/plugins\/locate-risk-prod\/lr-blocks\/faq-module\/img\/ic-plus@2x.png 2x,https:\/\/locaterisk.com\/wp-content\/plugins\/locate-risk-prod\/lr-blocks\/faq-module\/img\/ic-plus.png 1x\"\/><\/div><div class=\"collapsible-content\"><p class=\"font-normal\">Third-Party Risk Management ist der strukturierte Umgang mit Risiken aus Beziehungen zu Lieferanten, Dienstleistern und anderen externen Parteien. Es umfasst Inventarisierung, Kritikalit\u00e4t, Due Diligence, Risikobehandlung, Monitoring und Offboarding.<\/p><\/div><\/div><div class=\"faq-topic\"><hr\/><div class=\"collapsible-title\"><a class=\"pr-4\">Sind TPRM und Vendor Risk Management identisch?<\/a><img class=\"collapse-toggle\" srcset=\"https:\/\/locaterisk.com\/wp-content\/plugins\/locate-risk-prod\/lr-blocks\/faq-module\/img\/ic-plus@3x.png 3x,https:\/\/locaterisk.com\/wp-content\/plugins\/locate-risk-prod\/lr-blocks\/faq-module\/img\/ic-plus@2x.png 2x,https:\/\/locaterisk.com\/wp-content\/plugins\/locate-risk-prod\/lr-blocks\/faq-module\/img\/ic-plus.png 1x\"\/><\/div><div class=\"collapsible-content\"><p class=\"font-normal\">Die Begriffe werden h\u00e4ufig \u00e4hnlich verwendet. Vendor Risk Management konzentriert sich meist auf Lieferanten. TPRM kann zus\u00e4tzlich weitere externe Parteien wie Berater, Vertriebspartner oder Betreiber gemeinsamer Prozesse einschlie\u00dfen. Der konkrete Geltungsbereich sollte intern definiert sein.<\/p><\/div><\/div><div class=\"faq-topic\"><hr\/><div class=\"collapsible-title\"><a class=\"pr-4\">Welche Datenquellen geh\u00f6ren in eine Lieferantenbewertung?<\/a><img class=\"collapse-toggle\" srcset=\"https:\/\/locaterisk.com\/wp-content\/plugins\/locate-risk-prod\/lr-blocks\/faq-module\/img\/ic-plus@3x.png 3x,https:\/\/locaterisk.com\/wp-content\/plugins\/locate-risk-prod\/lr-blocks\/faq-module\/img\/ic-plus@2x.png 2x,https:\/\/locaterisk.com\/wp-content\/plugins\/locate-risk-prod\/lr-blocks\/faq-module\/img\/ic-plus.png 1x\"\/><\/div><div class=\"collapsible-content\"><p class=\"font-normal\">Geeignet ist eine Kombination aus Stammdaten, Selbstauskunft, Zertifikaten und Pr\u00fcfberichten, Vertragsinformationen, internen Erfahrungen, Vorf\u00e4llen sowie externer technischer Beobachtung. Jede Quelle hat eine begrenzte Reichweite und sollte mit Datum und Evidenz dokumentiert werden.<\/p><\/div><\/div><div class=\"faq-topic\"><hr\/><div class=\"collapsible-title\"><a class=\"pr-4\">Ersetzt ein Security Rating die Due Diligence?<\/a><img class=\"collapse-toggle\" srcset=\"https:\/\/locaterisk.com\/wp-content\/plugins\/locate-risk-prod\/lr-blocks\/faq-module\/img\/ic-plus@3x.png 3x,https:\/\/locaterisk.com\/wp-content\/plugins\/locate-risk-prod\/lr-blocks\/faq-module\/img\/ic-plus@2x.png 2x,https:\/\/locaterisk.com\/wp-content\/plugins\/locate-risk-prod\/lr-blocks\/faq-module\/img\/ic-plus.png 1x\"\/><\/div><div class=\"collapsible-content\"><p class=\"font-normal\">Nein. Ein Security Rating liefert eine skalierbare Au\u00dfensicht auf ausgew\u00e4hlte technische Signale. Es kann interne Prozesse, Zugriffsmodelle, Vertragsrisiken oder die Wirksamkeit s\u00e4mtlicher Kontrollen nicht abschlie\u00dfend beurteilen.<\/p><\/div><\/div><div class=\"faq-topic\"><hr\/><div class=\"collapsible-title\"><a class=\"pr-4\">Wann sollte eine Drittpartei neu bewertet werden?<\/a><img class=\"collapse-toggle\" srcset=\"https:\/\/locaterisk.com\/wp-content\/plugins\/locate-risk-prod\/lr-blocks\/faq-module\/img\/ic-plus@3x.png 3x,https:\/\/locaterisk.com\/wp-content\/plugins\/locate-risk-prod\/lr-blocks\/faq-module\/img\/ic-plus@2x.png 2x,https:\/\/locaterisk.com\/wp-content\/plugins\/locate-risk-prod\/lr-blocks\/faq-module\/img\/ic-plus.png 1x\"\/><\/div><div class=\"collapsible-content\"><p class=\"font-normal\">Neben einem risikobasierten Regeltermin eignen sich konkrete Ausl\u00f6ser: wesentliche Leistungs\u00e4nderungen, neue Daten oder Zugriffe, ein Sicherheitsvorfall, neue Unterauftragnehmer, auff\u00e4llige technische Ver\u00e4nderungen oder eine anstehende Vertragsverl\u00e4ngerung.<\/p><\/div><\/div><\/div><\/div>\n\n<p class=\"wp-block-paragraph\">Sie m\u00f6chten die externe Sicherheitslage Ihrer Drittparteien systematisch beobachten und in Ihren bestehenden TPRM-Prozess einbinden? Erfahren Sie mehr \u00fcber <a href=\"https:\/\/locaterisk.com\/de\/landing\/vendor-risk-management-leicht-gemacht\/\">Vendor Risk Management mit LocateRisk<\/a>.<\/p>","protected":false},"excerpt":{"rendered":"<p>Wie Unternehmen Drittparteien erfassen, nach Kritikalit\u00e4t bewerten, kontrollieren und \u00fcber die gesamte Gesch\u00e4ftsbeziehung \u00fcberwachen.<\/p>\n","protected":false},"author":6,"featured_media":0,"template":"","wissen_thema":[820],"class_list":["post-99004","wissen","type-wissen","status-publish","hentry","wissen_thema-lieferantenrisiko-tprm"],"yoast_head":"<title>Third-Party Risk Management: Prozess \u2013 LocateRisk<\/title>\n<meta name=\"description\" content=\"Third-Party Risk Management erkl\u00e4rt: Aufgaben, Rollen, Due Diligence, Vertragsma\u00dfnahmen, Monitoring und technische Datenquellen im Praxisprozess.\" \/>\n<meta name=\"robots\" content=\"index, follow, max-snippet:-1, max-image-preview:large, max-video-preview:-1\" \/>\n<link rel=\"canonical\" href=\"https:\/\/locaterisk.com\/de\/wissen\/third-party-risk-management-aufgaben-prozess\/\" \/>\n<meta property=\"og:locale\" content=\"de_DE\" \/>\n<meta property=\"og:type\" content=\"article\" \/>\n<meta property=\"og:title\" content=\"Third-Party Risk Management: Prozess \u2013 LocateRisk\" \/>\n<meta property=\"og:description\" content=\"Third-Party Risk Management erkl\u00e4rt: Aufgaben, Rollen, Due Diligence, Vertragsma\u00dfnahmen, Monitoring und technische Datenquellen im Praxisprozess.\" \/>\n<meta property=\"og:url\" content=\"https:\/\/locaterisk.com\/de\/wissen\/third-party-risk-management-aufgaben-prozess\/\" \/>\n<meta property=\"og:site_name\" content=\"LocateRisk\" \/>\n<meta property=\"og:image\" content=\"https:\/\/locaterisk.com\/wp-content\/uploads\/2020\/11\/Kettenglieder_Generisch_03-1.jpg\" \/>\n\t<meta property=\"og:image:width\" content=\"1080\" \/>\n\t<meta property=\"og:image:height\" content=\"1080\" \/>\n\t<meta property=\"og:image:type\" content=\"image\/jpeg\" \/>\n<meta name=\"twitter:card\" content=\"summary_large_image\" \/>\n<meta name=\"twitter:label1\" content=\"Gesch\u00e4tzte Lesezeit\" \/>\n\t<meta name=\"twitter:data1\" content=\"9\u00a0Minuten\" \/>\n<script type=\"application\/ld+json\" class=\"yoast-schema-graph\">{\"@context\":\"https:\\\/\\\/schema.org\",\"@graph\":[{\"@type\":\"WebPage\",\"@id\":\"https:\\\/\\\/locaterisk.com\\\/wissen\\\/third-party-risk-management-aufgaben-prozess\\\/\",\"url\":\"https:\\\/\\\/locaterisk.com\\\/wissen\\\/third-party-risk-management-aufgaben-prozess\\\/\",\"name\":\"Third-Party Risk Management: Prozess \u2013 LocateRisk\",\"isPartOf\":{\"@id\":\"https:\\\/\\\/locaterisk.com\\\/de\\\/#website\"},\"datePublished\":\"2026-09-10T07:00:00+00:00\",\"description\":\"Third-Party Risk Management erkl\u00e4rt: Aufgaben, Rollen, Due Diligence, Vertragsma\u00dfnahmen, Monitoring und technische Datenquellen im Praxisprozess.\",\"breadcrumb\":{\"@id\":\"https:\\\/\\\/locaterisk.com\\\/wissen\\\/third-party-risk-management-aufgaben-prozess\\\/#breadcrumb\"},\"inLanguage\":\"de\",\"potentialAction\":[{\"@type\":\"ReadAction\",\"target\":[\"https:\\\/\\\/locaterisk.com\\\/wissen\\\/third-party-risk-management-aufgaben-prozess\\\/\"]}]},{\"@type\":\"BreadcrumbList\",\"@id\":\"https:\\\/\\\/locaterisk.com\\\/wissen\\\/third-party-risk-management-aufgaben-prozess\\\/#breadcrumb\",\"itemListElement\":[{\"@type\":\"ListItem\",\"position\":1,\"name\":\"Home\",\"item\":\"https:\\\/\\\/locaterisk.com\\\/\"},{\"@type\":\"ListItem\",\"position\":2,\"name\":\"Wissen\",\"item\":\"https:\\\/\\\/locaterisk.com\\\/de\\\/wissen\\\/\"},{\"@type\":\"ListItem\",\"position\":3,\"name\":\"Third-Party Risk Management: Aufgaben, Prozess und technische Datenquellen\"}]},{\"@type\":\"WebSite\",\"@id\":\"https:\\\/\\\/locaterisk.com\\\/de\\\/#website\",\"url\":\"https:\\\/\\\/locaterisk.com\\\/de\\\/\",\"name\":\"LocateRisk\",\"description\":\"IT-Sicherheit messen und vergleichen\",\"publisher\":{\"@id\":\"https:\\\/\\\/locaterisk.com\\\/de\\\/#organization\"},\"potentialAction\":[{\"@type\":\"SearchAction\",\"target\":{\"@type\":\"EntryPoint\",\"urlTemplate\":\"https:\\\/\\\/locaterisk.com\\\/de\\\/?s={search_term_string}\"},\"query-input\":{\"@type\":\"PropertyValueSpecification\",\"valueRequired\":true,\"valueName\":\"search_term_string\"}}],\"inLanguage\":\"de\"},{\"@type\":\"Organization\",\"@id\":\"https:\\\/\\\/locaterisk.com\\\/de\\\/#organization\",\"name\":\"LocateRisk\",\"url\":\"https:\\\/\\\/locaterisk.com\\\/de\\\/\",\"logo\":{\"@type\":\"ImageObject\",\"inLanguage\":\"de\",\"@id\":\"https:\\\/\\\/locaterisk.com\\\/de\\\/#\\\/schema\\\/logo\\\/image\\\/\",\"url\":\"https:\\\/\\\/locaterisk.com\\\/wp-content\\\/uploads\\\/2020\\\/11\\\/Kettenglieder_V0216-9.jpg\",\"contentUrl\":\"https:\\\/\\\/locaterisk.com\\\/wp-content\\\/uploads\\\/2020\\\/11\\\/Kettenglieder_V0216-9.jpg\",\"width\":1920,\"height\":1080,\"caption\":\"LocateRisk\"},\"image\":{\"@id\":\"https:\\\/\\\/locaterisk.com\\\/de\\\/#\\\/schema\\\/logo\\\/image\\\/\"},\"sameAs\":[\"https:\\\/\\\/www.linkedin.com\\\/company\\\/locaterisk\\\/\"]}]}<\/script>","yoast_head_json":{"title":"Third-Party Risk Management: Prozess \u2013 LocateRisk","description":"Third-Party Risk Management erkl\u00e4rt: Aufgaben, Rollen, Due Diligence, Vertragsma\u00dfnahmen, Monitoring und technische Datenquellen im Praxisprozess.","robots":{"index":"index","follow":"follow","max-snippet":"max-snippet:-1","max-image-preview":"max-image-preview:large","max-video-preview":"max-video-preview:-1"},"canonical":"https:\/\/locaterisk.com\/de\/wissen\/third-party-risk-management-aufgaben-prozess\/","og_locale":"de_DE","og_type":"article","og_title":"Third-Party Risk Management: Prozess \u2013 LocateRisk","og_description":"Third-Party Risk Management erkl\u00e4rt: Aufgaben, Rollen, Due Diligence, Vertragsma\u00dfnahmen, Monitoring und technische Datenquellen im Praxisprozess.","og_url":"https:\/\/locaterisk.com\/de\/wissen\/third-party-risk-management-aufgaben-prozess\/","og_site_name":"LocateRisk","og_image":[{"width":1080,"height":1080,"url":"https:\/\/locaterisk.com\/wp-content\/uploads\/2020\/11\/Kettenglieder_Generisch_03-1.jpg","type":"image\/jpeg"}],"twitter_card":"summary_large_image","twitter_misc":{"Gesch\u00e4tzte Lesezeit":"9\u00a0Minuten"},"schema":{"@context":"https:\/\/schema.org","@graph":[{"@type":"WebPage","@id":"https:\/\/locaterisk.com\/wissen\/third-party-risk-management-aufgaben-prozess\/","url":"https:\/\/locaterisk.com\/wissen\/third-party-risk-management-aufgaben-prozess\/","name":"Third-Party Risk Management: Prozess \u2013 LocateRisk","isPartOf":{"@id":"https:\/\/locaterisk.com\/de\/#website"},"datePublished":"2026-09-10T07:00:00+00:00","description":"Third-Party Risk Management erkl\u00e4rt: Aufgaben, Rollen, Due Diligence, Vertragsma\u00dfnahmen, Monitoring und technische Datenquellen im Praxisprozess.","breadcrumb":{"@id":"https:\/\/locaterisk.com\/wissen\/third-party-risk-management-aufgaben-prozess\/#breadcrumb"},"inLanguage":"de","potentialAction":[{"@type":"ReadAction","target":["https:\/\/locaterisk.com\/wissen\/third-party-risk-management-aufgaben-prozess\/"]}]},{"@type":"BreadcrumbList","@id":"https:\/\/locaterisk.com\/wissen\/third-party-risk-management-aufgaben-prozess\/#breadcrumb","itemListElement":[{"@type":"ListItem","position":1,"name":"Home","item":"https:\/\/locaterisk.com\/"},{"@type":"ListItem","position":2,"name":"Wissen","item":"https:\/\/locaterisk.com\/de\/wissen\/"},{"@type":"ListItem","position":3,"name":"Third-Party Risk Management: Aufgaben, Prozess und technische Datenquellen"}]},{"@type":"WebSite","@id":"https:\/\/locaterisk.com\/de\/#website","url":"https:\/\/locaterisk.com\/de\/","name":"LocateRisk","description":"IT-Sicherheit messen und vergleichen","publisher":{"@id":"https:\/\/locaterisk.com\/de\/#organization"},"potentialAction":[{"@type":"SearchAction","target":{"@type":"EntryPoint","urlTemplate":"https:\/\/locaterisk.com\/de\/?s={search_term_string}"},"query-input":{"@type":"PropertyValueSpecification","valueRequired":true,"valueName":"search_term_string"}}],"inLanguage":"de"},{"@type":"Organization","@id":"https:\/\/locaterisk.com\/de\/#organization","name":"LocateRisk","url":"https:\/\/locaterisk.com\/de\/","logo":{"@type":"ImageObject","inLanguage":"de","@id":"https:\/\/locaterisk.com\/de\/#\/schema\/logo\/image\/","url":"https:\/\/locaterisk.com\/wp-content\/uploads\/2020\/11\/Kettenglieder_V0216-9.jpg","contentUrl":"https:\/\/locaterisk.com\/wp-content\/uploads\/2020\/11\/Kettenglieder_V0216-9.jpg","width":1920,"height":1080,"caption":"LocateRisk"},"image":{"@id":"https:\/\/locaterisk.com\/de\/#\/schema\/logo\/image\/"},"sameAs":["https:\/\/www.linkedin.com\/company\/locaterisk\/"]}]}},"_links":{"self":[{"href":"https:\/\/locaterisk.com\/de\/wp-json\/wp\/v2\/wissen\/99004","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/locaterisk.com\/de\/wp-json\/wp\/v2\/wissen"}],"about":[{"href":"https:\/\/locaterisk.com\/de\/wp-json\/wp\/v2\/types\/wissen"}],"author":[{"embeddable":true,"href":"https:\/\/locaterisk.com\/de\/wp-json\/wp\/v2\/users\/6"}],"version-history":[{"count":1,"href":"https:\/\/locaterisk.com\/de\/wp-json\/wp\/v2\/wissen\/99004\/revisions"}],"predecessor-version":[{"id":99014,"href":"https:\/\/locaterisk.com\/de\/wp-json\/wp\/v2\/wissen\/99004\/revisions\/99014"}],"wp:attachment":[{"href":"https:\/\/locaterisk.com\/de\/wp-json\/wp\/v2\/media?parent=99004"}],"wp:term":[{"taxonomy":"wissen_thema","embeddable":true,"href":"https:\/\/locaterisk.com\/de\/wp-json\/wp\/v2\/wissen_thema?post=99004"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}