10-Punkte-Checkliste für Unternehmen Cybersicherheit in der Lieferkette

Anbieter zum Thema

Keeper Security EMEA Ltd.

(ISC)2 Inc.

Sophos Technology GmbH

Bundesamt für Sicherheit i.d.Informationstechnik

G DATA CyberDefense AG

mehr weniger

WatchGuard Technologies GmbH

Impossible Cloud GmbH

weniger

Die Cybersicherheit des eigenen Unternehmens hat inzwischen wohl fast jeder auf dem Schirm. Aber wie sieht es mit der Lieferkette aus? Während die physische Sicherheit oft im Fokus steht, erweisen sich digitale Vernetzung und Software als kritische Einfallstore.

Die Cybersicherheit in der Lieferkette ist eines der drängendsten Themen für Unternehmen. Laut einer Umfrage der Non-Profit-Organisation ISC2 sind 70 Prozent der Organisationen „sehr oder extrem besorgt“ über Sicherheitsrisiken durch Drittanbieter. 28 Prozent der Befragten haben in den letzten zwei Jahren einen Cybersicherheitsvorfall erlebt, der von einem Drittanbieter ausging. Im Bereich der Software-Lieferkette betraf es dem IT-Security-Anbieter Armis zufolge deutlich mehr Unternehmen: 84 Prozent in den vergangenen 12 Monaten. Exemplarisch für die wachsende Zahl von Sicherheitsvorfällen in Software-Lieferketten nennt Armis „Shai-Hulud“.

Die Folgen von Angriffen über die Lieferkette sind dieselben, die auch ein direkter Angriff auf das Unternehmen hat, und damit genauso wenig vernachlässigbar. Neben finanziellen Verlusten zählen Betriebs- und Produktionsausfälle bis zur Wiederherstellung, kompromittierte Daten, der Verlust geistigen Eigentums sowie von Kunden, Partnern und deren Vertrauen zu den größten Schäden. Angriffe auf Software-Lieferketten nahmen bereits in den vergangenen Jahren stetig zu. Neu dazu kamen 2025 in vermehrtem Ausmaß Attacken auf Edge-Geräte und End-of-Life-Systeme.

Probleme bei der Umsetzung

Für Unternehmen ist also nicht nur die Sicherheit der physischen Lieferkette enorm wichtig, sondern auch die der digitalen. Eine abgesicherte Lieferkette bietet mehr Resilienz und erhöht den Schutz sensibler Daten und Systeme und damit auch das Vertrauen in Produkte und Anbieter. Das hat auch die deutsche Regierung erkannt und entsprechende Punkte in Richtlinien und Gesetze mit aufgenommen. Das Ende letzten Jahres in Kraft getretene NIS2-Umsetzungsgesetz (NIS2UmsuCG) enthält ebenso wie der Cyber Resilience Act (CRA) und das KRITIS‑Dachgesetz erweiterte Vorgaben zur Lieferkettensicherheit.

Die rechtlichen Vorschriften geben also einen Rahmen, doch decken sie nicht die zahlreichen Herausforderungen bei der Sicherheit gegen Cyberbedrohungen in der Lieferkette ab. Dazu zählen:

• Mangel an Informationen über das Risiko, das ein oder mehrere Zulieferer darstellen

• Mangel an Transparenz oder Kontrolle der Lieferanten

• Komplexität der Lieferketten: Betroffene kennen weder die Lieferanten ihrer Lieferanten noch alle möglichen Einstiegspunkte.

• Insider-Bedrohungen durch externe Dienstleister

• Open-Source-Software

Gerade der letzte Punkt bereitet vielen Unternehmen Bauchschmerzen, denn jeder User kann bei Open-Source-Software den Code einsehen und verändern – also auch Cyberkriminelle. „Tatsächlich ist es aber gerade diese Offenheit, die für ein sehr hohes Maß an Sicherheit sorgt“, ist Lars Francke, CTO und Mitgründer von Stackable, Anbieter einer Open-Source-Plattform, überzeugt. „Da viele Menschen rund um den Globus an dem Code mitarbeiten und ihre Erfahrungen teilen, werden Schwachstellen meist sehr schnell entdeckt und geschlossen. Viele Augen sehen einfach mehr.“ Shane Barney, CISO beim Cybersecurity-Anbieter Keeper Security, meint dazu: „Open-Source-Risiken lassen sich nicht allein auf Entwicklerebene managen. Eine wirksame Risikominderung erfordert Verantwortung auf Führungsebene sowie richtlinienbasierte Kontrollen, die die Sicherheit der Software-Lieferkette als organisationsweite Aufgabe begreifen.“

Spezialfälle: Telekommunikation und Logistik

Die Telekommunikationsbranche ist besonders anfällig für Vorfälle bei Lieferanten, da sie als kritische Infrastruktur (KRITIS) fungiert und einen extrem hohen Grad an digitaler Vernetzung aufweist. Vorfälle in diesem Sektor haben weitreichende Folgen für die öffentliche Sicherheit und andere Wirtschaftsbereiche, weshalb die Branche deutlich sensibler reagiert als andere Sektoren. Einer Umfrage von Sophos zufolge sahen 46,2 Prozent der TK-Unternehmen einen Cybersicherheitsvorfall bei einem Lieferanten als Grund zur Trennung. Durchschnittlich waren es nur 12,4 Prozent der befragten Unternehmen.

Wie bei ISC2 geben auch knapp 70 Prozent der von Sophos Befragten „große oder eher große Bedenken“, wenn es darum geht, dass die Unternehmensintegrität durch Cybersicherheitsvorfälle in der Lieferkette beeinträchtigt werden kann. Nach Branchen betrachtet sticht die Telekommunikation negativ heraus: 64,1 Prozent hatten hier „große Bedenken“.

Das BSI stellt Best-Practice-Empfehlungen für Anforderungen an Lieferanten zur Gewährleistung der Informationssicherheit in Kritischen Infrastrukturen in einem PDF zum Download bereit.

Sophos hat auch die Logistikbranche hinsichtlich Schwachstellen in der Lieferkette untersucht. 40 Prozent der 147 befragten Fach- und Führungskräfte gaben zu, von Sicherheitslücken oder Ausfällen in der Lieferkette beeinträchtigt gewesen zu sein. „Die Logistik ist so eng vernetzt, dass ein einzelner Schwachpunkt die ganze Kette treffen kann“, warnt Michael Veit, Sicherheitsexperte bei Sophos.

Sicherheit als kontinuierlicher Prozess

Cyber-Absicherung der Logistik wird immer wichtiger

Strategien zur Risikominimierung

Es gibt zahlreiche Ansätze zur Umsetzung der Lieferkettensicherheit. Wichtig ist es, nicht an einzelnen Punkten „herumzudoktorn“, sondern ein ganzheitliches, für das Unternehmen passende Konzept zu entwickeln. „Zur Verbesserung der Cybersicherheit muss es darum gehen, Geschäftspartner entlang der Lieferkette zu sensibilisieren, Schutzmaßnahmen zu vereinbaren und gemeinsam zu implementieren“, empfiehlt Bitkom-Präsident Dr. Ralf Wintergerst.

Was ist also zu tun? Zunächst gilt es, die verantwortlichen Personen für die Cybersicherheit der Lieferkette festzulegen. In der Regel ist das der CISO. Anschließend sollte ein vollständiges Register aller Drittparteien (Lieferanten, IT-Dienstleister, Cloud, Open Source, Freelancer) erstellt und deren Kritikalität, Zugriffsrechte, Datenarten, Standorte/Subunternehmer und Abhängigkeiten erfasst werden.

Mit einem standardisierten Fragekatalog, beispielsweise der BSI-Grundschutz-Checkliste, kann man den Risiko-Score für jeden Lieferanten ermitteln. In diesem Schritt sollten auch Nachweise von den Lieferanten, beispielsweise ISO 27001, eingefordert werden.

In Verträge müssen Sicherheitsanforderungen aufgenommen werden. Dazu zählen Sicherheits-SLAs (Service Level Agreements), Incident-Meldung, Prüf- und Auditrechte, Subunternehmer-Freigabe und Datentilgung bei Vertragsende. Für Software und Produkte müssen die SBOM-Bereitstellung, sichere Update-Prozesse und Vulnerability Disclosure geregelt werden.

Neben einem kontrollierten und dokumentierten On- und Offboarding eines Lieferanten gehören auch technische Mindestkontrollen für Anbindungen wie Netzwerksegmentierung, API- und Schnittstellenschutz sowie Absicherungen für die Cloud zum Pflichtprogramm.

Schließlich sollte man die Lieferanten regelmäßigen Reviews unterziehen, sie auf Schwachstellen überprüfen, ein gemeinsames Notfallmanagement inklusive Playbooks erstellen und Ernstfallübungen durchführen. Um den Umsetzungsfahrplan komplett zu machen, stehen noch die Punkte Dokumentation und Nachweisführung sowie Schulungen aller Unternehmensmitarbeiter auf der Agenda.

(ID:50695972)