Angriffe auf Lieferketten So schützen sich Unternehmen vor Supply Chain Network Attacks

Anbieter zum Thema

FTAPI Software GmbH

TXOne Networks

Deloitte Consulting GmbH

Durch die enge Zusammenarbeit und Vernetzung von Unternehmen mit ihren externen Geschäftspartnern steigt die Anzahl potenzieller Angriffsflächen für Cyberangriffe auf Lieferanten- und Abnehmerbeziehungen.

Die Schaffung von Vertrauen entlang von Lieferketten und innerhalb von Netzwerken (im Folgenden „Supply Chain Networks“ genannt) durch geeignete Schutz- und Sicherheitsmaßnahmen bildet eine entscheidende Grundlage, um die Entdeckungswahrscheinlichkeit von Angriffen erhöhen zu können, ihre Eintrittswahrscheinlichkeit zu reduzieren und Schäden soweit möglich zu mindern oder gänzlich zu vermeiden.

Warum sollten Unternehmen jetzt handeln?

Getrieben vor allem durch jahrzehntelange Globalisierungsprozesse und die voranschreitende Digitalisierung wandeln sich traditionell eher linear ausgerichtete Supply Chains vermehrt hin zu dynamischen, komplexen Netzwerkstrukturen.

Ungeachtet der offensichtlichen Vorteile, wie beispielsweise einer schnelleren und kosteneffizienteren Erfüllung von Kundenanforderungen, stellt diese tiefgreifende Entwicklung Unternehmen vor die immense Herausforderung, die Betriebs-, Widerstands- und Anpassungsfähigkeit ihrer Supply Chain Networks fortlaufend und immer wieder aufs Neue sicherzustellen. Laut der aktuellen Global Future of Cyber Survey 2023 von Deloitte Deutschland zählen Störungen oder Unterbrechungen von Supply Chain Networks zu den häufigsten und schwerwiegendsten Folgen eines Cyberangriffs für Unternehmen.

Wie kann ein Angriff auf ein Supply Chain Network erfolgen?

Es gibt viele Möglichkeiten, Lieferanten- und Abnehmerbeziehungen von Unternehmen und die zwischen ihnen bestehenden Material-, Informations- und Finanzflüsse zu bedrohen und zu schädigen. Drei der am häufigsten beobachteten Angriffsvektoren sind:

• Ein Lieferant wird direktes Opfer eines Cyberangriffs (z. B. durch einen Ransomware-Angriff), der zu einem Ausfall von IT-Systemen führt.

• Die durch einen Lieferanten verkauften Produkte oder Dienstleistungen werden derart manipuliert, dass sich Angreifer Zugang zu den IT-Systemen der Kunden verschaffen.

• Ein Unternehmen wird via seines Liefernetzwerks angegriffen, indem die vertrauensvollen Beziehungen innerhalb des Netzwerks von einem Angreifer ausgenutzt werden. Besonders häufig finden Phishing-Attacken (Social Engineering) statt, in welchen ein Angreifer sich gegenüber einem Unternehmen als Lieferant oder Dienstleister ausgibt und unter einem Vorwand ein Schadprogramm (Malware) installiert, sich damit Zugriff zum Unternehmen verschafft und zum Beispiel Daten stiehlt.

Was sind mögliche Folgen eines Angriffs auf ein Supply Chain Network?

Da Supply Chain Networks oft auf kritische Infrastrukturen oder entscheidende Geschäftspartner angewiesen sind sowie aus komplexen unternehmensübergreifenden Abhängigkeitsverhältnissen bestehen, kann ein erfolgreicher Cyberangriff unterschiedlichste Auswirkungen verursachen:

• 1. Unterbrechung von Kernprozessen: Produktionsprozesse und das damit verbundene Logistiknetzwerk können durch einen Angriff gestört oder unterbrochen werden, sodass Unternehmen nicht in der Lage sind, ihre Produkte oder Dienstleistungen zu erbringen und zu liefern. Dies kann zu finanziellen Schäden sowie Reputationsverlusten führen.

• 2. Schädigung der Reputation: Ein Unternehmen kann seinen guten Ruf verlieren, was die Kundentreue und Umsatzentwicklung negativ beeinflussen kann. Im Jahr 2022 bezifferte sich der Schaden durch Reputationsverluste in Deutschland laut dem Wirtschaftsschutzbericht 2022 der Bitkom auf rund 24 Milliarden Euro.

• 3. Compliance-Verstöße: Cybersicherheits-bezogene Anforderungen und Richtlinien haben das Ziel, Unternehmen und Kunden vor Vorfällen und Angriffen zu schützen. Eine Nicht-Einhaltung dieser Vorgaben kann Schwachstellen begünstigen, die von Angreifern ausgenutzt werden können und zudem Ermittlungen, Strafverfahren und Bußgelder nach sich ziehen können.

Wie können sich Unternehmen schützen?

Sowohl Einzelunternehmen wie auch miteinander vernetzte Unternehmen stehen eine Vielzahl bewährter Maßnahmen zur Verfügung. Hierzu zählen das Prüfen und Verifizieren von Softwarepaketen (einschließlich automatisierter Updates), Zwei-Faktor-Authentisierung, Sicherheits-Updates oder Security Awareness Trainings von Mitarbeitern. Beispielsweise kann über die Webseite des Bundesamts für Sicherheit in der Informationstechnik (BSI) eine Übersicht von Basistipps und Checklisten für die IT-Sicherheit eingesehen werden.

Zudem haben Regierungen und Behörden die Dringlichkeit und Bedeutung erkannt und treiben die Entwicklung von regulatorischen Anforderungen und Vorgaben zur Handhabung der Bedrohung von Supply Chain Networks insbesondere in Bezug auf Cybersicherheit weiter voran. Neben der KRITIS Verordnung oder branchenspezifischer Anforderungen, wie zum Beispiel die UNECE Regulation Nr. 155 im Automobilbereich, müssen in Deutschland ansässige Unternehmen nach §8b Abs. 4 BSI-Gesetz in der Lage sein, unverzüglich (d. h. ohne schuldhaftes Zögern) nach Erkennung eines IT-Störfalls – auch innerhalb eines Liefernetzwerks – alle Erkenntnisse, die zum Zeitpunkt der Meldung vorliegen, an das BSI melden.

Um sich auf die zunehmende Anzahl an Cyberangriffen soweit möglich einzustellen und auf diese reagieren zu können, sind kooperative Cybersicherheitsmaßnahmen zwischen Lieferanten und Abnehmern zu einem Entscheidungsfaktor geworden. Denn einer der wesentlichen Schlüssel zu mehr Schutz und Sicherheit ist die Bereitschaft zu mehr Zusammenarbeit in Fragestellungen der Cybersicherheit zwischen den beteiligten Akteuren – auch um Ressourcen durch einen koordinierten Einsatz gezielt zu schonen.

Folgende gemeinsame Steuerungs- und Überwachungsmaßnahmen empfehlen sich zum Schutz und für die Sicherheit eines Supply Chain Network:

• 1. Identifikation und Dokumentation des Liefernetzwerkes und der beteiligten Akteure, insbesondere relevanter Abhängigkeitsverhältnisse und Risiken zur Schaffung von Transparenz

• 2. Klassifizierung von (im-)materiellen Vermögenswerten, insbesondere Daten, Informationen, und IT-Systemen, die mit Drittparteien/externen Geschäftspartnern geteilt werden oder für diese zugänglich sind und Festlegung entsprechender Verfahren zur Zugriffssteuerung

• 3. Vertragliche Festlegung von risikobasierten Sicherheitsanforderungen und Meldepflichten für Drittparteien während und nach Auslaufen der Lieferbeziehung und Vereinbarung von Regeln für die Vergabe von Unteraufträgen

• 4. Überwachung der Leistung der Lieferanten und Durchführung routinemäßiger Sicherheitsprüfungen, um die Einhaltung der vereinbarten Sicherheitsanforderungen zu überprüfen, zum Beispiel Durchführung von Reifegradprüfungen, Gefährdungsanalysen und Nutzung von externen Daten- und Informationsquellen wie Rating-Plattformen

• 5. Überwachung sowohl von Gefährdungspotenzialen als auch von konkreten IT-Sicherheitsvorfällen innerhalb des Supply Chain Network und Integration der Erkenntnisse in ein möglichst übergreifendes Risikomanagement

• 6. Definition von Verantwortlichkeiten entlang des gesamten Lebenszyklus eines extern bereitgestellten Produkts oder einer Dienstleistung, insbesondere der Definitionen von Verfahren und Maßnahmen für den sicheren Betrieb von End-of-life-Produkten und Komponenten

• 7. Regelmäßige Sensibilisierung von Mitarbeitern für Cyberrisiken und den Umgang mit Drittparteien, insbesondere dem Austausch und Zugang zu vertraulichen Daten, Informationen und IT-Systemen

Welche Entwicklungen sind möglich?

In Zukunft werden der Reifegrad und die Stärke der Cybersicherheit eines Unternehmens immer mehr von der Funktionsfähigkeit, Vertraulichkeit und Integrität seines Lieferanten- und Abnehmernetzwerks, dessen Teil es ist, bestimmt. Um eine wirksame und zugleich wirtschaftliche Cybersicherheit ermöglichen zu können, ist es entscheidend, vertrauensvolle Partnerschaften und Kooperationen mit bestehenden wie neuen Geschäftspartnern aufzubauen und diese zu erhalten.

Unternehmen stehen vor der Wahl, eigene Sicherheitsstandards zu definieren und einen erheblichen Aufwand für die Überprüfung der Einhaltung dieser Standards in ihrem Liefernetzwerks zu betreiben oder sich zu übergreifenden Netzwerken zusammenzuschließen und gemeinsame Sicherheitsstandards zu setzen.

Unternehmensübergreifende Sicherheitsstandards innerhalb eines Supply Chain Network fördern einen Informations- und Wissensaustausch und eine vernetzte und damit effektivere sowie effizientere Ressourcennutzung als gemeinsame Antwort auf konkrete und zukünftige Cybergefahren. Bereits bestehende Initiativen verdeutlichen, wie gebündelte Kräfte Cyberangriffe minimieren und die unternehmensübergreifende Sicherheit von Lieferanten- und Abnehmernetzwerken gewährleisten können. Denn letzten Endes gilt auch hier, dass ein Netzwerk nur so stark ist, wie sein schwächstes Glied.

Über die Autoren

Fabian Mihailowitsch ist Partner im Bereich Cyber & Strategic Risk bei Deloitte. Sein Schwerpunkt liegt auf "Cyber Strategy", in der er seine Kunden bei der Entwicklung und Implementierung von Cybersicherheitsstrategien und Managementsystemen, einschließlich Organisation, Prozessen, Kontrollen und KPIs berät. Außerdem unterstützt er seine Kunden bei der Durchführung von komplexen Transformationsprogrammen im Bereich Cybersicherheit. Neben seiner Beratungstätigkeit spricht Fabian auch auf internationalen IT-Sicherheitskonferenzen.

Stephan Rogalski ist Manager im Bereich Cyber & Strategic Risk bei Deloitte. Innerhalb des Strategy, Brand & Reputation Teams ist er Experte für Supply Chain Risk Management. Seine Expertise umfasst die Analyse von Lieferketten auf Schwachstellen, die Durchführung von Szenarioanalysen für Betriebsunterbrechungen, die Ableitung geeigneter präventiver und reaktiver Maßnahmen sowie die Integration von Lieferkettenrisiken in das übergreifende Enterprise Risk Management. Zuletzt hat Stephan Rogalski Projekte zur Umsetzung des Lieferkettensorgfaltspflichtengesetzes (LkSG) für Unternehmen unterschiedlicher Größe und Branchen geleitet.

(ID:49757423)