Cyberkriminelle greifen über Umwege an Third-Party-Risiken werden systematisch unterschätzt

Anbieter zum Thema

Fujitsu Technology Solutions GmbH

FTAPI Software GmbH

Cyberkriminelle kompromittieren gezielt Dienstleister und IT-Partner, um über Umwege in die Systeme ihrer eigentlichen Ziele vorzudringen. 2025 verzeichneten laut Branchenanalysen 97 Prozent global agierender Unternehmen Betriebsstörungen durch Supply-Chain-Angriffe. NIS-2 und DORA machen Third-Party-Risikomanagement deshalb zur Pflicht auf Führungsebene.

Gehackte Rechenzentren von Banken, lahmgelegte Energie- und Versorgungsdienstleister von Industrieunternehmen: Die Wucht feinjustierter Third-Party-Angriffe ebbt auch 2026 nicht ab. Laut Angaben internationaler Sicherheitsanbieter verzeichneten 2025 rund 97 Prozent ausgewählter global agierender Unternehmen spürbare Betriebsstörungen infolge von Angriffen auf ihre Supply Chain. Im Jahr zuvor lag dieser Wert noch bei 81 Prozent.

Cyberkriminelle nehmen dabei immer seltener ihr eigentliches Ziel direkt ins Visier. Stattdessen kompromittieren sie Dienstleister, IT-Partner oder andere Akteure entlang der Lieferkette. Das große Problem: Entscheider, die sich darauf verlassen, dass hauseigene Schutzprogramme reichen, wiegen sich so in falscher Sicherheit. Es reicht nicht mehr, digitale Resilienz im eigenen Ökosystem zu entwickeln. Vielmehr müssen externe Partner mindestens genauso modern gerüstet sein.

Davon versprechen sich Hacker einen indirekten, oft kaum bemerkten Zugang zu hochkritischen Systemen. Quasi „über Umwege“ erreichen die Cyberangriffe so ihr eigentliches Ziel. Wie damit umgehen? Und welche Prognosen können für die Zukunft getroffen werden? Für Unternehmen bedeutet diese Entwicklung: Risikoexpositionen verlagern sich zunehmend in Bereiche, die außerhalb der eigenen direkten Steuerung liegen.

Ponemon-Studie zu Risiken in der Lieferkette

Warum Fremdzugriffe zum Sicherheitsrisiko werden

Third-Party-Risiken als strukturelles Problem

Wichtig für einen fundierten Deep Dive: Die Angriffe sind längst kein Randphänomen mehr. Auch deutsche Unternehmen geraten zunehmend unter Druck, da ihre Geschäftsmodelle stark von externen IT-Services, Cloud-Anbietern und spezialisierten Zulieferern abhängen. Diese Verflechtungen erhöhen Effizienz und Skalierbarkeit einerseits. Erweitern jedoch zugleich die Angriffsfläche andererseits.

Häufig über Jahre gewachsene Partnerschaften zwischen Unternehmen und Dienstleistern, die sicherheitstechnisch nie ganzheitlich betrachtet wurden, bleiben riskante Einflugschneisen. Der besondere Reiz von Drittanbietern aus Sicht der Angreifer liegt in ihrer Rolle als Vertrauensanker.

Ein kompromittierter Wartungsdienstleister, ein Software-Update oder ein externer IT-Betrieb eröffnet häufig Zugriff auf mehrere Zielunternehmen gleichzeitig. Zudem sind viele kleinere und mittelständische Partner deutlich schwächer abgesichert als Konzerne, verfügen über geringere Budgets und weniger ausgereifte Sicherheitsprozesse und inhouse Expertise.

Drittanbieter und Lieferanten sind in der Praxis so gesehen wichtige Einstiegspunkte für Cyberkriminelle, da Verstöße in der Lieferkette verheerende Auswirkungen auf Unternehmen haben können. Jüngsten Studien zufolge sind 61 Prozent der Datenschutzverletzungen von Drittanbietern beteiligt. Das Management dieser Risiken wird immer wichtiger, da Unternehmen immer abhängiger von externen Partnern werden.

Erschwerend kommt hinzu, dass Lieferketten in der IT nicht linear verlaufen. Subdienstleister, ausgelagerte Entwicklungsleistungen oder externe Administratoren bleiben oft unsichtbar. Angreifer und ihre ausgeklüngelten Cyberangriffe, nutzen genau diese Intransparenz aus. Und manövrieren sich dann lateral durch Netzwerke, ohne klassische Alarmsignale auszulösen. Für Unternehmen entsteht dadurch ein Risiko, das sich operativ auswirkt, jedoch intern nur begrenzt steuerbar erscheint.

Cyberangriffe in der Logistikbranche

Partner und Personal öffnen Angreifern die Tür

Regulatorischer Druck nimmt zu

Die zunehmende Bedrohungslage hat auch den europäischen Gesetzgeber auf den Plan gerufen. Sowohl die NIS-2-Richtlinie als auch der Digital Operational Resilience Act (DORA) adressieren Third-Party-Risiken ausdrücklich.

Unternehmen werden verpflichtet, ihre Abhängigkeiten von IKT-Dienstleistern systematisch zu erfassen, Risiken zu bewerten und deren Steuerung auf Management-Ebene zu verankern. Insbesondere DORA fordert ein durchgängiges Drittparteienmanagement. Von der Risikoanalyse über vertragliche Mindestanforderungen bis hin zu Exit-Strategien für kritische Dienstleister. Verantwortung für Drittparteienrisiken wird damit zunehmend zur Führungsaufgabe unter C-Levels.

Für viele Organisationen bedeutet das einen Paradigmenwechsel: Weg von punktuellen Lieferantenbewertungen, hin zu einem kontinuierlichen, dokumentierten und prüfbaren Risikomanagement. Third-Party-Risiken werden damit explizit zu einem Thema der operativen Resilienz und nicht mehr nur des „Silos“ IT-Sicherheit.

Wer frühzeitig digitale Resilienz entwickelt, wird auch wirtschaftlich wettbewerbsfähiger bleiben. Denn die Absicherung der digitalen Infrastrukturen ist für Unternehmen heute genauso wichtig wie hohe Produktqualität oder funktionierendes Projektmanagement.

Third-Party Breach Report

Globaler Anteil an Lieferkettenangriffen steigt

Resilienz entsteht nicht durch Checklisten: How to Third-Party-Angriffe?

Wirksame Resilienz gegen Third-Party-Angriffe lässt sich nicht allein durch formale und standardisierte Compliance herstellen. Entscheidend ist ein integrierter Ansatz, der Governance, Prozesse und Technik miteinander verzahnt. Zur Entwicklung resilienter Strukturen, gehören mehrere Teilschritte.

Identifikation und Bewertung

Relevante Drittanbieter und deren Dienstleistungen werden frühestmöglich für das jeweilige Unternehmen erfasst. Die jeweilige Branche, vollständige Mitarbeiterzahlen, implementierte Securitylösungen: All diese Punkte spielen eine zentrale Rolle. Denn so kann der komplette Geltungsbereich des Risikomanagements eindeutig festgelegt werden.

Zeitgleich müssen eingesetzte Lösungen gegen Third-Party-Angriffe die kontinuierliche Überwachung von Verträgen, Leistungen und Compliance-Anforderungen gewährleisten. Das Risiko einer Attacke wird so analysiert, frühzeitig erkannt und gezielt adressiert.

Stetiges Monitoring und Exit-Management

Zusätzliche Monitoring-, Reporting- und Dashboard-Funktionen verbessern den gesicherten Überblick über den Drittanbieter.

Optimiert wird dieser Schritt durch ein strukturiertes Exit- und Übergangsmanagement. Dieses ermöglicht einerseits den kontrollierten Anbieterwechsel. Andererseits die Fortsetzung des operativen Geschäfts.

Third Party Risk Management

So behalten Unternehmen Kontrolle über ihre IKT-Drittanbieter

Zuständigkeiten und Notfallpläne

Darauf aufbauend braucht es klare Verantwortlichkeiten, risikobasierte Klassifizierungen von Drittanbietern und regelmäßige Bewertungen, die über reine Selbstauskünfte hinausgehen.

Ebenso wichtig sind realistische Notfall- und Ausfallpläne für kritische Partner. Wer im Ernstfall erst klärt, wie der Zugriff eines kompromittierten Dienstleisters entzogen werden kann, verliert wertvolle Zeit.

Technisch gewinnen Zero-Trust-Ansätze, segmentierte Zugriffsmodelle und kontinuierliches Monitoring an Bedeutung. Ziel ist es, selbst im Fall einer erfolgreichen Kompromittierung die Ausbreitung zu begrenzen und frühzeitig Anomalien zu erkennen. Bleiben diese Maßnahmen aus ist es nicht eine Frage ob, sondern wann unternehmerische Strukturen von Third-Party-Angriffen lahmgelegt werden.

KI zwischen Risiko, Beschleuniger und Kontrollinstanz

Künstliche Intelligenz nimmt eine ambivalente Rolle ein. Auf der einen Seite nutzen Angreifer KI-gestützte Werkzeuge, um Schwachstellen schneller zu identifizieren, Phishing-Kampagnen hochgradig zu personalisieren oder Schadsoftware dynamisch anzupassen.

Auf der anderen Seite eröffnet KI neue Möglichkeiten für die Verteidigung. Automatisierte Risikoanalysen, kontinuierliche Auswertung großer Datenmengen und die frühzeitige Erkennung von Auffälligkeiten in Lieferkettenbeziehungen können Unternehmen helfen, Bedrohungen schneller zu identifizieren. Voraussetzung ist allerdings eine saubere Governance: KI darf nicht zur Blackbox werden, sondern muss nachvollziehbar, überprüfbar und in bestehende Kontrollmechanismen eingebettet sein.

Gefährliche Verbindungen

Wenn die Lieferkette zur Cyberfalle wird

Digitale Resilienz beginnt extern

Third-Party-Angriffe sind kein Ausnahmeereignis mehr, sondern ein strukturelles Risiko der vernetzten Wirtschaft. Unternehmen, die Resilienz allein als IT-Thema begreifen, greifen zu kurz.

Gefordert ist ein ganzheitlicher Ansatz, der regulatorische Anforderungen, organisatorische Verantwortung und technologische Innovationen zusammenführt. Nur so lässt sich verhindern, dass der nächste Ransomware-Angriff zur digitalen Katastrophe führt.

Über den Autor: Fino Scholl ist Managing Director der Swiss GRC Germany und verantwortet den Ausbau des Deutschlandgeschäfts sowie die Weiterentwicklung der Marktaktivitäten des Unternehmens. Zuvor war er in leitenden Funktionen bei der IAV im Risiko- und Kontrollumfeld sowie in der industriellen Forschung tätig. Scholl promovierte im Maschinenbau an der Universidad de Valladolid und hält einen Masterabschluss der Karlsruhe University of Applied Sciences.

(ID:50827130)