Definition Lieferkettensicherheit | Supply Chain Security Was ist Lieferkettensicherheit?

Anbieter zum Thema

FTAPI Software GmbH

Supply Chain Security ist Teil des Lieferkettenmanagements und befasst sich mit dem Erkennen, Analysieren und Verhindern von Bedrohungen der Lieferketten. Ziel ist es, die durch die Zusammenarbeit mit Partnern und Lieferanten entstehenden Risiken für die Sicherheit und Integrität der Lieferketten zu reduzieren.

Der deutsche Begriff für Supply Chain Security lautet Lieferkettensicherheit. Die Lieferkettensicherheit ist ein wichtiger Bestandteil des Lieferkettenmanagements (Supply Chain Management - SCM). Supply Chain Security befasst sich mit Strategien, Verfahren und Maßnahmen zur Verbesserung der Sicherheit von Liefer- beziehungsweise Wertschöpfungsketten. Ziel ist es, die durch die Zusammenarbeit mit externen Partnern und Lieferanten entstehenden Risiken für die Sicherheit und Integrität der Lieferketten zu reduzieren. Durch geeignete Maßnahmen sollen Bedrohungen und Angriffe auf Lieferketten identifiziert, analysiert und verhindert beziehungsweise abgewehrt werden.

HP Wolf Security-Studie

Angriffsziel Hardware-Lieferkette

Der Begriff Lieferkette bezieht sich dabei längst nicht mehr nur auf die Lieferung von physischen Waren und die Herstellung von physischen Produkten, sondern schließt auch Lieferketten für elektronische oder digitale Produkte und Services mit ein. Eine digitale Lieferkette ist beispielsweise die Softwarelieferkette. Sie beinhaltet alle an der Entwicklung, Bereitstellung, Anwendung und Wartung einer Software beteiligten Partner, Prozesse und Komponenten. Maßnahmen für die Sicherheit von Softwarelieferkette sind über den kompletten Lebenszyklus einer Software notwendig. Im Zuge der zunehmenden Globalisierung, Vernetzung und Digitalisierung der Wirtschaft gewinnt die Bedeutung der Supply Chain Security für Softwarelieferketten und andere digitale Lieferketten mehr und mehr an Bedeutung. Um das Risiko für Betriebsunterbrechungen oder Produktionsausfällen zu reduzieren, sind traditionelle und digitale Lieferketten sowohl vor physischen Bedrohungen wie Diebstahl oder Sabotage als auch vor Cyberbedrohungen wie unbefugten Zugriffen, Manipulation oder gefälschtem, bösartigem Code zu schützen. Cybersicherheit der Lieferketten ist ein Teilbereich der Lieferkettensicherheit und bezieht sich auf die für einen sicheren Datenaustausch mit Lieferanten und Partnern notwendigen IT-Komponenten, Netzwerke, Datenverarbeitungssysteme und Anwendungen.

Dem Lieferkettensorgfaltspflichtengesetz gerecht werden

Resilienz von Lieferketten in den Griff bekommen

Die Ziele der Lieferkettensicherheit

Globale und zunehmend digitalisierte Lieferketten sind zahlreichen Bedrohungen und Risiken ausgesetzt. Intakte Lieferketten sind eine unverzichtbare Voraussetzung für funktionierende Produktions- und Geschäftsprozesse. Unterbrechungen oder Störungen von Lieferketten können gravierende Auswirkungen für einzelne Unternehmen, aber auch für die komplette Weltwirtschaft haben. Wichtigstes Ziel der Lieferkettensicherheit ist es, für funktionierende, unterbrechungsfreie Lieferketten zu sorgen. Durch gestörte, unterbrochene oder unsichere Lieferketten verursachte negative Auswirkungen wie finanzielle oder reputative Schäden sollen vermieden werden. Darüber hinaus sollen auch Risiken wie unbefugter Zugriff, Manipulation, Geschäftsspionage, Datenschutzverletzungen oder unerwünschte Offenlegung für die im Rahmen von Lieferketten ausgetauschten sensiblen, personenbezogenen oder geschäftskritischen Informationen eingeschränkt werden. Die Maßnahmen und Strategien der Lieferkettensicherheit tragen dazu bei, dass die Sicherheit, Zuverlässigkeit und die Widerstandsfähigkeit von physischen oder digitalen Lieferketten gestärkt werden.

Strategien für eine sichere Software-Lieferkette

So funktionieren Supply-Chain-Attacks

Mögliche Bedrohungen der Lieferkettensicherheit

Grundsätzlich lassen sich die Bedrohungen der Lieferkettensicherheit in physische und digitale Bedrohungen (Cyberbedrohungen) unterteilen. Typische physische Bedrohungen sind beispielsweise Diebstahl, Sabotage, Naturkatastrophen, Terrorismus, Störungen der Verkehrsinfrastruktur, Lieferantenausfälle, Personalausfälle, Pandemien, Störung der Energieversorgung und andere.

Neben diesen physischen Bedrohungen sind Lieferketten heute zahlreichen Cyberbedrohungen ausgesetzt. Die durch Cyberbedrohungen verursachten Risiken für die Lieferkettensicherheit nehmen kontinuierlich zu. Zu diesen digitalen Risiken zählen beispielsweise Schwachstellen, Fehler oder Hintertüren in IT-Systemen und Software, unbefugter Zugriff und Einbruch in Datennetzwerke oder IT-Systeme, eingeschleuster bösartiger Code, Auslieferung von gefälschter oder mit Malware versehener Hard- oder Software, mangelnde Sicherheit und fehlende Transparenz in der Verwaltung von IT-Ressourcen durch Dritte (zum Beispiel Gewährung übermäßiger Zugriffsrechte), Insider-Bedrohungen und einiges mehr.

JFrog Software Supply Chain State of the Union 2024

Risiken und Chancen für Software-Lieferketten in Deutschland

Beispiel für einen Angriff auf die Sicherheit einer Softwarelieferkette

Zur Verdeutlichung der Bedeutung der Lieferkettensicherheit ein Beispiel, wie die Sicherheit einer Softwarelieferkette gefährdet werden kann:

Ein Angreifer identifiziert eine Schwachstelle innerhalb einer Softwarelieferkette. Eine solche Schwachstelle kann beispielsweise eine mangelhaft abgesicherte Bereitstellung einer für bestimmte Anwendungen benötigten Softwarebibliothek sein. Gelingt es dem Angreifer, veränderten Code in die Bibliothek einzuschleusen, kann dies gravierende Auswirkungen haben. Durch die Bereitstellung der Bibliothek im Rahmen einer Softwarelieferkette wird die kompromittierte Bibliothek an andere Software, Systeme oder Anwendungen weitergegeben. Sobald die kompromittierte Bibliothek in einem System oder in einer Anwendung integriert ist, können Angreifer unerwünschte Aktivitäten ausführen wie Daten stehlen oder Anwendungsfunktionen stören. Handelt es sich um eine häufig genutzte Softwarebibliothek und um eine weltweit etablierte Softwarelieferkette, sind unter Umständen tausende Anwendungen oder Systeme betroffen. In der Vergangenheit gab es bereits Angriffe auf Softwarelieferketten, die globale Auswirkungen hatten.

Angriffe auf Lieferketten

So schützen sich Unternehmen vor Supply Chain Network Attacks

Strategien und Maßnahmen zur Absicherung von Lieferketten

Entsprechend den Bedrohungsarten lassen sich auch die Strategien und technischen und organisatorischen Maßnahmen zur Absicherung von Lieferketten in physische und digitale beziehungsweise cyberbasierte Maßnahmen und Strategien unterteilen.

Zu den physischen Maßnahmen zur Verbesserung der Lieferkettensicherheit zählen die Nachverfolgung und Protokollierung von Warenflüssen, die Einrichtung, Prüfung und Durchsetzung von Qualitätsrichtlinien, die Prüfung von behördlichen Dokumenten und Lieferpapieren, Inspektionen, Audits und Zertifizierungen von Lieferanten, Lagern und Produktionsstätten, die Implementierung von physischen Zugangskontrollen, die Bewachung von Warenflüssen und Arealen, die Verwendung von Schlössen oder Plomben, physische Penetrations- und Schwachstellentests, die Schulung und Sensibilisierung von Mitarbeitern, Lieferanten und Geschäftspartnern und einiges mehr.

Die häufigsten Hacking-Methoden bei Supply-Chain-Angriffen

Supply-Chain-Angriffe und die Rolle von Security Awareness

Als digitale beziehungsweise cyberbasierte Maßnahmen und Strategien zur Verbesserung der Sicherheit von Lieferketten lassen sich nennen:

• Verwendung sicherer Authentifizierungsmechanismen

• Implementierung eines Identitäts- und Access-Managements und rollenbasierter Zugriffsrechte

• Umsetzung des Least-Privilege-Prinzips auf alle digitalen Ressourcen der Lieferkette

• verschlüsselte Datenübertragung

• Implementierung sicherer Netzwerkzugänge und Segmentierung von Netzwerken

• Einrichtung, Prüfung und Durchsetzung von Mindestanforderungen an die Cybersicherheit der Lieferanten

• regelmäßige Prüfung von externem Programmcode

• Anwendung sicherer Programmierpraktiken

• kontinuierliche Schwachstellenüberwachung und regelmäßiges Aktualisieren und Patchen der Software

• Verwendung von Anti-Viren- und Anti-Malware-Lösungen

• Schulung und Sensibilisierung der Mitarbeiter hinsichtlich möglicher Cyberbedrohungen

• Netzwerkscanning und Verhaltensanalysen zur Angriffserkennung

• Ausarbeitung und Bereitstellung von Krisen- und Reaktionsplänen für Cybersicherheitsvorfälle

• regelmäßige Durchführung von Sicherheitsaudits und Schwachstellen- und Penetrationstests der gesamten digitalen Lieferkette

Cybersecurity in digitalen Lieferketten

Best Practices gegen Risiken in der Lieferkette

Anmerkungen zur Bedeutung des Lieferkettengesetzes

Im Zusammenhang mit der Supply Chain Security fällt manchmal der Name des Anfang 2023 in Deutschland in Kraft getretenen Lieferkettengesetzes. Es wird auch als Lieferkettensorgfaltspflichtengesetz (LkSG) oder Gesetz über die unternehmerischen Sorgfaltspflichten in Lieferketten bezeichnet. Wichtig anzumerken ist, dass beim Lieferkettengesetz nicht die Sicherheit von Lieferketten im Fokus steht. Das Lieferkettengesetz wurde eingeführt, um sicherzustellen, dass Unternehmen bei ihren Lieferketten ihren Sorgfaltspflichten hinsichtlich der Einhaltung von Menschenrechten und Umweltstandards nachkommen. Unternehmen sind laut dem Gesetz dazu verpflichtet, sicherzustellen, dass ihre Zulieferer Mindeststandards beim Umweltschutz einhalten und keine Kinder- oder Menschenrechte verletzen. Unternehmen ab einer gewissen Anzahl von Beschäftigten müssen sich an das Lieferkettengesetz halten. Ziele des Lieferkettengesetzes sind also nicht die Lieferkettensicherheit, sondern der Schutz vor Diskriminierung, Zwangsarbeit und Kinderarbeit, das Recht auf faire Entlohnung, die Einhaltung von Mindeststandards beim Arbeits- und Gesundheitsschutz, das Recht auf gewerkschaftliche Organisation, die Verhinderung von Landraub, der Schutz vor Trinkwasserverunreinigung und einiges mehr.

(ID:50185506)