Cybersicherheit endet nicht an der Unternehmensgrenze Die Lieferkette wird zum trojanischen Pferd der Cybersicherheit

Anbieter zum Thema

Splunk Services Germany GmbH

Splunk Services Germany GmbH

Fujitsu Technology Solutions GmbH

FTAPI Software GmbH

Fast die Hälfte der deutschen Unternehmen wurden 2024 Opfer eines Cyberangriffs, häufig nicht über eigene Systeme, sondern über Schwachstellen bei Dienstleistern und Zulieferern. Die Lieferkette wird so zum trojanischen Pferd der Cybersicherheit. Regulatorische Vorgaben wie das LkSG machen Supply-Chain-Risikomanagement inzwischen zur Pflicht.

46 Prozent der Unternehmen in Deutschland wurden 2024 Opfer eines Cyberangriffs. Laut einer Cisco-Studie lagen die dabei entstandenen Schäden in sechs von zehn Fällen bei über 300.000 US-Dollar. Gleichzeitig rückt die Lieferkette als kritische Schwachstelle stärker in den Fokus. Vorfälle wie der SolarWinds-Hack oder die Ausnutzung der Log4j-Zero-Day-Schwachstelle haben gezeigt, dass Angreifer nicht mehr nur direkt auf gut geschützte Kernsysteme abzielen. Stattdessen nutzen sie Schwachstellen bei Dienstleistern, Softwareanbietern oder externen Partnern aus, die häufig über weitreichende Zugänge verfügen, aber geringeren Sicherheitsanforderungen unterliegen. Hinzu kommen komplexere Lieferketten, strengere Zeitpläne, geopolitische Veränderungen und Unsicherheiten hinsichtlich Zöllen, die die Verwaltung einer Lieferkette zusätzlich erschweren. Dadurch wird die Lieferkette zunehmend zur Angriffsfläche und entwickelt sich zu einem trojanischen Pferd für Unternehmen.

Nur wer seine Supply Chain kennt, kann sie auch schützen

CVE-Flut täuscht über reale Gefahren in der Software-Lieferkette hinweg

Risikomanagement: von der Empfehlung zur Pflicht

Strukturell sind viele Organisationen noch nicht ausreichend auf die Absicherung ihrer Lieferketten vorbereitet. Das Grundproblem liegt in einer tiefsitzenden Silo-Mentalität: Während die IT- und Security-Abteilungen die eigenen Systeme schützen, steuern Einkauf und Lieferantenmanagement ihre Prozesse vorrangig nach Kosten und Verfügbarkeit. Die Lieferkette als inhärent bereichsübergreifendes Querschnittsthema bleibt so oft ein blinder Fleck in der Sicherheitsstrategie. Doch das wandelt sich zunehmend: Neue regulatorische Vorgaben verändern die Spielregeln grundlegend. So werden Unternehmen in Deutschland seit 2024 durch das Lieferkettensorgfaltspflichtengesetz (LkSG) dazu verpflichtet, ein Risikomanagement einzurichten, regelmäßige Risikoanalysen durchzuführen, Präventionsmaßnahmen zu verankern und das Lieferkettenmanagement zu dokumentieren. Wird der Sorgfaltspflicht nicht nachgegangen, drohen Bußgelder von bis zu acht Millionen Euro oder bis zu zwei Prozent des Jahresumsatzes.

Cyber-Risikomanagement in der Supply Chain

Eskalierende Bedrohungslandschaft für Lieferketten

Das Fundament: End-to-End-Visibility

Unternehmen verfügen oft nur über fragmentierte oder punktuell erhobene Informationen über Abhängigkeiten, den aktuellen Zustand, digitale Zugänge externer Partner sowie Verknüpfungen von Daten, Software und Services entlang der Lieferkette. Werden diese Signale nicht kontinuierlich und transparent zusammengeführt, entstehen blinde Flecken. Dann können Unternehmen nur verspätet und reaktiv auf Angriffe oder Ausfälle reagieren. Wie stark Abhängigkeiten hier zum Problem werden können, zeigt ein Report von Splunk: Für 41 Prozent der Technologieverantwortlichen zählen komplizierte Systemabhängigkeiten zu den größten Herausforderungen im Umgang mit Ausfallzeiten.

ML- und KI-Tools können dabei unterstützen, da sie Daten automatisiert erfassen, zusammenführen und auswerten. Dadurch lassen sich Muster und Unregelmäßigkeiten erkennen, Entwicklungen frühzeitig prognostizieren und Engpässe oder Verluste etwa durch Diebstahl schneller aufdecken und beheben. Durch die gemeinsame Analyse von bestehenden und aktuellen Informationen entsteht ein präzises Echtzeitbild der Warenbewegungen. Zugleich wird das Tracking weitgehend automatisiert. Diese Automatisierung sollte jedoch nicht als „Selbstläufer“ verstanden werden: Das Echtzeitbild der Lieferkette ermöglicht vielmehr eine proaktive Überwachung. Durch die Fähigkeit, Datenintegrität sofort zu verifizieren und Fehler bei der Übertragung kritischer Dokumente (wie Bestellungen oder Rechnungen) unmittelbar zu erkennen, können Unternehmen eingreifen, bevor aus einem technischen Problem ein operativer Ausfall wird.

Strategien für eine sichere Software-Lieferkette

So funktionieren Supply-Chain-Attacks

Frameworks als gemeinsame Orientierung

In einer Lieferkette braucht es verbindliche Regeln. Cybersicherheit kann nicht länger auf freiwilligen Zusagen beruhen, sondern muss vertraglich verankert werden. Dazu gehören klare Mindeststandards, Meldepflichten bei Sicherheitsvorfällen sowie das Recht auf Audits oder Nachweise über umgesetzte Schutzmaßnahmen. Entscheidend ist dabei weniger die formale Kontrolle als die Schaffung klarer Verantwortlichkeiten – auf beiden Seiten der Geschäftsbeziehung.

Frameworks wie das NIST Cybersecurity Framework (NIST CSF) oder die Cybersecurity Maturity Model Certification (CMMC) bieten Unternehmen eine wichtige Orientierung bei der strukturierten Absicherung ihrer IT-Landschaften – auch entlang der Lieferkette. Mit ihren unterschiedlichen Schwerpunkten helfen sie, Sicherheitsanforderungen zu ordnen, Maßnahmen konsistent zu integrieren und Risiken vergleichbar zu bewerten. Gerade in komplexen Lieferanten-Ökosystemen schaffen sie damit eine gemeinsame Sprache zwischen IT, Security, Einkauf und externen Partnern und erleichtern die Abstimmung über Unternehmensgrenzen hinweg.

NIST Cybersecurity Framework 2.0

NIST CSF 2.0 fördert kontinuierliche Verbesserung der IT-Sicherheit

NIST CSF stuft technische Cybersicherheitsrisiken als Geschäftsrisiken ein und erleichtert so Kommunikation und Investitionspriorisierung entlang definierter Ziele und Reifegrade. CMMC kommt vor allem in regulierten Branchen und komplexen Lieferketten zum Einsatz, wo es den Sicherheitsreifegrad von Anbietern kontinuierlich bewertet, Anforderungen verbindlicher macht und Drittparteirisiken einschließlich Compliance und Früherkennung von Verstößen transparenter steuert. Für Organisationen, die mit staatlichen Stellen zusammenarbeiten oder kritische Abhängigkeiten steuern, wird die Orientierung an solchen Modellen zunehmend zu einem entscheidenden Wettbewerbsvorteil.

Gleichzeitig dürfen Frameworks nicht mit tatsächlicher Sicherheit verwechselt werden: Sie ersetzen weder Zusammenarbeit noch ein aktives, kontinuierliches Risikomanagement entlang der Lieferkette. Wer sich nur auf formale Compliance fokussiert, dokumentiert Sicherheitslücken oft eher, als sie wirksam zu schließen. In komplexen Lieferketten heißt das, Verantwortung über die eigene Organisation hinaus mitzudenken. Größere Unternehmen müssen Partner stärker bei angemessenen Sicherheitsmaßnahmen unterstützen. Denn gerade für kleinere Unternehmen sind begrenzte Budgets, fehlende Expertise und der Umsetzungsaufwand komplexer Frameworks häufig große Hürden. Skalierbare Ansätze, externe Partnerschaften und ein klares Management-Commitment können diese Lücke verkleinern.

Sicherheitsstandards für Cloud & Edge

Cybersecurity in der Fertigungsindustrie

Cybersicherheit endet nicht an der Unternehmensgrenze

Die Zahl erfolgreicher Angriffe über die Lieferkette macht deutlich, dass Cybersicherheit heute nicht mehr isoliert betrachtet werden kann. Angreifer nutzen gezielt organisatorische Lücken, unklare Verantwortlichkeiten und unterschiedliche Sicherheitsniveaus in digitalen Ökosystemen aus. Gleichzeitig verschärfen regulatorische Vorgaben den Handlungsdruck und machen Supply-Chain-Security zu einem festen Bestandteil der unternehmerischen Sorgfaltspflicht. Dabei ist weniger die Einführung einzelner Maßnahmen oder Frameworks entscheidend, sondern vielmehr die Fähigkeit, Risiken entlang der Lieferkette kontinuierlich zu erkennen, transparent zu bewerten und gemeinsam zu steuern. Unternehmen, die Cybersicherheit ganzheitlich denken und bereichsübergreifend verankern, reduzieren nicht nur das eigene Risiko, sondern stärken auch die Resilienz des gesamten Netzwerks, in dem sie agieren.

Über den Autor: Ewald Munz ist Head of Manufacturing, Automotive & Sustainability EMEA bei Splunk, einem Unternehmen von Cisco . Er ist ein Industrie-Experte mit mehr als 25 Jahren Erfahrungen mit Fokus auf Datenanalyse, Nachhaltigkeit, Industrie 4.0, Engineering und technischen Services.

Ponemon-Studie zu Risiken in der Lieferkette

Warum Fremdzugriffe zum Sicherheitsrisiko werden

(ID:50823751)