Cyberangriffe erfolgen zunehmend über die Lieferkette. Zulieferer, Cloud-Dienste und Softwarekomponenten werden zum Einfallstor. Experten verlagern die Verantwortung für die Sicherheit vom IT-Betrieb hin zur Unternehmensführung und setzen auf kontinuierliche Risikoanalyse, Zero-Trust und Resilienz.
Die Sicherung des eigenen Netzwerks reicht für viele Unternehmen nicht mehr aus. Angreifer zielen heute verstärkt auf die Peripherie: auf Zulieferer, Dienstleister und Softwarekomponenten entlang der digitalen Lieferkette. Diese sogenannten Supply-Chain-Angriffe nutzen aus, dass Sicherheitsniveaus innerhalb eines Ökosystems ungleich verteilt sind.
Die zunehmende Vernetzung hat diese Entwicklung verstärkt. Unternehmen integrieren Cloud-Services, nutzen externe Entwicklungsprozesse und arbeiten mit Hunderten von Dienstleistern zusammen. Jede dieser Verbindungen erhöht die Zahl der digitalen Abhängigkeiten und schafft potenzielle Einfallstore. Für Angreifer ist es oft einfacher, über einen weniger geschützten Lieferanten in die Systeme eines größeren Auftraggebers zu gelangen.
„Dynamische Bedrohungslagen erfordern kontinuierliche Risikobewertungen, auch von Lieferketten“, sagt Holger Könnecke, Geschäftsführer des Berliner Sicherheitsunternehmens MACONIA. „Good Governance bedeutet auch höhere Sicherheit.“ Damit verschiebt sich die Verantwortung. Lieferkettensicherheit wird weniger als rein technisches Thema verstanden und stärker als Aufgabe der Unternehmensleitung.
Diese Einordnung spiegelt sich in aktuellen Normen und Regelwerken wider. ISO 28000 beschreibt Lieferkettensicherheit als Teil eines Managementsystems mit den Phasen Planung, Umsetzung, Bewertung und kontinuierlicher Verbesserung. VdS 10100 und DIN SPEC 14027 fordern eine klare Zuweisung von Rollen und Verantwortlichkeiten. Sicherheit soll so in die strategische Steuerung integriert werden.
Regulatorischer Druck steigt
Die regulatorischen Anforderungen nehmen zu. Die NIS-2-Richtlinie der Europäischen Union verlangt ausdrücklich eine kontinuierliche Bewertung von Risiken in der gesamten Lieferkette sowie die Umsetzung geeigneter Sicherheitsmaßnahmen. Das KRITIS-Dachgesetz betont die Notwendigkeit laufender Resilienzbewertungen bei kritischen Abhängigkeiten. Nach Einschätzung von MACONIA setzen viele Unternehmen diese Vorgaben bisher nur unvollständig um.
Ein strukturelles Problem liegt in der Methodik: Viele Organisationen bewerten Risiken weiterhin mit periodischen Audits und statischen Checklisten, oft in jährlichen Zyklen. In einer Umgebung, in der sich Bedrohungen in Echtzeit entwickeln, verliert dieser Ansatz an Aussagekraft. Die Lücke zwischen dynamischer Bedrohungslage und statischem Governance-Prozess wächst.
KI-gestützte Analyse und Zero-Trust
Vor diesem Hintergrund gewinnen Analyseplattformen an Bedeutung, die Daten aus verschiedenen Quellen zusammenführen. Dazu zählen Schwachstellenmeldungen, Threat-Intelligence-Daten, Informationen über Zertifizierungen, öffentlich verfügbare Sicherheitsindikatoren und Telemetriedaten aus Netzwerken. Durch die Auswertung entsteht ein kontinuierlich aktualisiertes Risikobild. Unternehmen können so erkennen, wenn ein Lieferant zum potenziellen Risiko wird, bevor ein Vorfall eintritt.
Parallel dazu verändert sich das Sicherheitsprinzip. Zero-Trust-Architekturen gehen davon aus, dass Vertrauen nicht vorausgesetzt wird. Jeder Zugriff wird kontinuierlich überprüft, nicht nur anhand der Identität, sondern auch auf Basis von Kontextinformationen wie Standort, Geräteintegrität und Verhalten. Zugriff wird nur gewährt, wenn alle definierten Kriterien erfüllt sind.
Resilienz statt reiner Prävention
Trotz Prävention gilt die vollständige Vermeidung von Angriffen als unrealistisch. Der Fokus verlagert sich daher auf Resilienz: die Fähigkeit, Auswirkungen zu begrenzen und den Betrieb schnell wiederherzustellen. Dazu gehören Supply-Chain-Incident-Response-Pläne, die interne Maßnahmen und externe Abstimmungsprozesse mit Lieferanten definieren. Gemeinsame Krisenübungen und simulationsbasierte Übungen, die technische und organisatorische Aspekte verbinden, sollen Abläufe stabilisieren.
Unternehmen, die Lieferkettensicherheit strategisch verankern, verbessern nicht nur ihre Widerstandsfähigkeit, sondern auch ihre Compliance. Transparente und sichere Lieferketten werden zudem zu einem Faktor für das Vertrauen von Kunden, Partnern und Aufsichtsbehörden.
Dr. Jakob Jung ist Chefredakteur Security Storage und Channel Germany. Er ist seit mehr als 20 Jahren im IT-Journalismus tätig. Zu seinen beruflichen Stationen gehören Computer Reseller News, Heise Resale, Informationweek, Techtarget (Storage und Datacenter) sowie ChannelBiz. Darüber hinaus ist er für zahlreiche IT-Publikationen freiberuflich tätig, darunter Computerwoche, Channelpartner, IT-Business, Storage-Insider und ZDnet. Seine Themenschwerpunkte sind Channel, Storage, Security, Datacenter, ERP und CRM.
Kontakt – Contact via Mail: jakob.jung@security-storage-und-channel-germany.de