In der Debatte um moderne IT-Sicherheit existiert ein hartnäckiger Trugschluss: Viele mittelständische Unternehmen glauben, dass sie mit einer leistungsfähigen Next-Generation-Firewall, modernen Endpoint-Protection-Systemen und geschulten Mitarbeitern gegen Cyberbedrohungen gewappnet sind. Sie investieren erhebliche Budgets in die Absicherung der eigenen IT-Infrastruktur und wähnen sich in Sicherheit. Doch professionelle Angreifer haben diese Abwehrmauern längst erkannt – und ihre Taktik radikal angepasst: Über gezielte Supply Chain Angriffe nutzen Cyberkriminelle heute die offenen Seiteneingänge der digitalen Lieferkette, anstatt die schwer gesicherte Hauptpforte frontal anzugreifen.
Bei sogenannten Supply-Chain-Angriffen (Angriffen auf die digitale Lieferkette) wird nicht das eigentliche Ziel direkt angegriffen, sondern ein externer Dienstleister, Lieferant oder Softwarehersteller. Ob Fernwartungsdienstleister, Cloud-SaaS-Anbieter, Druckerservice, Facility-Management oder ERP-Entwickler: Über bestehende Vertrauensbeziehungen, freigeschaltete VPN-Tunnel und gemeinsame Schnittstellen dringen Hacker geräuschlos in Netzwerke ein. Wenn Ihr Zulieferer gehackt wird, sind Sie oft unmittelbar mitbetroffen. Doch wie hängt man als beauftragendes Unternehmen oder als externer Dienstleister rechtlich, technisch und organisatorisch wirklich mit drin? Welche Verpflichtungen greifen nach NIS-2 und DSGVO? Und wie lässt sich die digitale Seitentür wirksam verriegeln?
Was ist ein Supply-Chain-Angriff? Die Anatomie des Angriffs
Ein Supply-Chain-Angriff (auch Third-Party Cyber Attack oder Lieferketten-Angriff) bezeichnet das gezielte Kompromittieren eines Unternehmens über die Schwachstellen seiner Dienstleister, Partner oder bezogenen Produkte. Nach Definition des Bundesamts für Sicherheit in der Informationstechnik (BSI) und der europäischen Cybersicherheitsbehörde ENISA machen sich Kriminelle dabei den Umstand zunutze, dass zwischen Unternehmen und ihren Dienstleistern ein hohes Maß an Vertrauen und systemischer Vernetzung herrscht.
In der forensischen Praxis beobachten wir vor allem vier primäre Angriffsvektoren, über die Lieferketten zum Einfallstor werden:
1. Permanente Netzwerkverbindungen und Fernwartungszugänge
Im Mittelstand sind permanente Site-to-Site-VPN-Verbindungen zu Dienstleistern oder Maschinenbauern weit verbreitet. Wartungsfirmen erhalten oft weitreichende administrative Zugänge auf Steuerungen, Server oder Datenbanken, um bei Störungen schnell reagieren zu können. Gelingt es Angreifern, die IT des Dienstleisters mit Schadsoftware zu infizieren oder Zugangsdaten ohne Multi-Faktor-Authentifizierung (MFA) abzugreifen, nutzen sie diese bestehende Vertrauensstellung für sogenanntes „Island Hopping“: Sie springen über die freigeschaltete VPN-Route direkt in das Netz des Auftraggebers.
2. Kompromittierte Software-Lieferkette (Software Supply Chain)
Hierbei schleusen Angreifer Schadcode direkt in die Entwicklungs- oder Build-Pipelines von Softwareherstellern oder Open-Source-Bibliotheken ein. Bekannte historische Beispiele wie der SolarWinds-Vorfall oder der XZ-Utils-Angriff illustrieren dieses Prinzip: Nutzer installieren reguläre, digital signierte Updates ihres vertrauten Softwarepartners, laden sich damit jedoch zeitgleich eine getarnte Backdoor auf ihre Server.
3. Missbrauch von Cloud- und SaaS-Schnittstellen
Viele Unternehmen binden moderne Cloud-Dienste, Marketing-Plattformen, Buchhaltungssoftware oder CRM-Systeme über standardisierte Programmierschnittstellen (APIs) an. Werden die API-Schlüssel oder Auth-Tokens beim Drittanbieter entwendet, erhalten Unbefugte unmittelbaren Zugriff auf die sensiblen Unternehmensdaten im Quellsystem – völlig unbemerkt von der lokalen Firewall.
4. Kompromittierte Identitäten und E-Mail-Kommunikation
Hacken Kriminelle das E-Mail-Konto eines bekannten Zulieferers, nutzen sie diesen Account für perfide Spear-Phishing-Attacken oder gefälschte Rechnungen (CEO-Fraud / Invoice Fraud). Weil die E-Mail von einem authentischen Partner stammt und im gewohnten Kontext steht, schöpfen Empfänger in der Buchhaltung oder Technik selten Verdacht.
Wie hängt man als Firma oder Dienstleister mit drin? Die vier Schadensdimensionen
Wird ein Glied der Lieferkette kompromittiert, bleibt der Vorfall selten auf einen Beteiligten beschränkt. Es entsteht eine Kettenreaktion, die beide Seiten mit voller Wucht trifft. Wer verstehen will, wie man in einen solchen Vorfall hineingezogen wird, muss vier Dimensionen betrachten:
1. Die technische Dimension: Lateral Movement und Ransomware-Ausbreitung
Ist der Einbruch über den Partner geglückt, beginnen Angreifer mit der Auskundschaftung des Netzwerks (Reconnaissance) und der seitlichen Ausbreitung (Lateral Movement). Besitzt der Dienstleister-Account weitreichende Privilegien, können Angreifer binnen weniger Stunden Domänen-Controller kompromittieren, Datensicherungen löschen und Systeme flächendeckend mit Ransomware verschlüsseln. Für das betroffene Unternehmen bedeutet das: Ein Vollstillstand der Produktion und Verwaltung, obwohl die eigene Belegschaft keinen einzigen Phishing-Link angeklickt hat.
2. Die rechtliche und regulatorische Dimension (NIS-2 und DSGVO)
Auf der rechtlichen Ebene schlägt der Vorfall unerbittlich durch. Mit dem seit Dezember 2025 in Deutschland geltenden NIS-2-Umsetzungsgesetz (NIS2UmsuCG) hat der Gesetzgeber die Lieferkette explizit in das Cybersicherheitsrecht integriert:
- Die 24-Stunden-Meldekaskade nach § 32 BSIG: Gilt ein Unternehmen als wichtige oder besonders wichtige Einrichtung, muss es bei erheblichen Sicherheitsvorfällen innerhalb von 24 Stunden eine Frühwarnung an das BSI übermitteln. Wenn der Vorfall bei einem IT-Dienstleister seinen Ursprung hat, tickt die Frist ab dem Zeitpunkt, an dem das Unternehmen Kenntnis erlangt. Schweigt der Dienstleister tagelang über einen Hack in seinen Systemen, bringt er seinen Auftraggeber in akute regulatorische Bedrängnis.
- Sicherheit der Lieferkette nach § 30 BSIG: Regulierte Unternehmen sind gesetzlich verpflichtet, das Risikomanagement ihrer unmittelbaren Anbieter zu steuern. Wurden keine angemessenen Kontrollen oder Nachweise vereinbart, liegt ein eigenständiger Verstoß gegen die NIS-2-Pflichten vor.
- Datenschutzrecht (Art. 33 DSGVO): Handelt es sich beim Dienstleister um einen Auftragsverarbeiter (Art. 28 DSGVO), der Zugriff auf personenbezogene Kundendaten, Personaldaten oder Lieferantendaten hat, muss die Meldung an die zuständige Landesdatenschutzbehörde binnen 72 Stunden erfolgen. Zudem haftet der Auftraggeber gegenüber Betroffenen im Zweifel mit, falls die Auswahl und Überwachung des Dienstleisters fehlerhaft war.
- Persönliche Geschäftsführer-Haftung: Nach § 38 BSIG in Verbindung mit § 43 GmbHG haftet die Unternehmensleitung persönlich mit ihrem Privatvermögen für Pflichtverletzungen im Risikomanagement. Die Ausrede, man habe sich auf die Sicherheit des Dienstleisters verlassen, schützt vor Gericht nicht – es droht der Vorwurf des Organisationsverschuldens.
3. Die wirtschaftliche Dimension: Betriebsstillstand und Erpressung
Selbst wenn keine Daten aus dem eigenen Kernnetz abfließen, kann der Ausfall eines Zulieferers existenzbedrohend sein. Wenn der Hosting-Provider ausfällt, der spezialisierte Warenwirtschafts-Entwickler lahmgelegt ist oder der Logistikdienstleister keine Lieferungen mehr disponieren kann, bricht die eigene Wertschöpfungskette ab. Zudem setzen Cyber-Erpresser vermehrt auf „Triple Extortion“: Gelingt der Zugriff auf die Daten des Dienstleisters, kontaktieren die Hacker direkt dessen Kunden und drohen mit der Veröffentlichung vertraulicher Geschäftsgeheimnisse, Blaupausen oder Finanzdaten, falls kein Schweigegeld bezahlt wird.
4. Die Haftungs- und Regress-Dimension: Wer zahlt die Zeche?
Im Nachgang eines erfolgreichen Angriffs beginnt unweigerlich das juristische Tauziehen um die Kosten. Forensische Analysen, Systemwiederherstellung, Betriebsunterbrechung und Schadensersatzansprüche Dritter summieren sich schnell auf sechs- oder siebenstellige Beträge:
- Regress gegen den Dienstleister: Konnte der Einbruch auf grobe Fahrlässigkeit des Dienstleisters zurückgeführt werden (z. B. fehlende Multi-Faktor-Authentifizierung bei Fernwartung, jahrelang ungepatchte Schwachstellen), fordert der geschädigte Kunde vollen Schadenersatz.
- Deckungslücken bei Cyber-Versicherungen: Cyber-Versicherer prüfen im Schadenfall penibel, ob alle vertraglich vereinbarten Obliegenheiten eingehalten wurden. Haben Sie als Auftraggeber externe Zugänge nicht ausreichend kontrolliert oder der Dienstleister Mindestsicherheitsstandards verletzt, drohen Leistungskürzungen oder die komplette Leistungsverweigerung.
- Vertragsstrafen und Kündigung: Für Dienstleister bedeutet ein Sicherheitsvorfall häufig die fristlose Kündigung von Schlüsselkunden sowie die Verwirkung empfindlicher Vertragsstrafen.
Rollenvergleich: Pflichten und Risiken im Ernstfall
Die folgende Übersicht fasst die rechtlichen, operativen und vertraglichen Konsequenzen für beide Parteien übersichtlich zusammen:
| Kriterium | Perspektive Auftraggeber (Kunde) | Perspektive Dienstleister / Zulieferer |
|---|---|---|
| Primäres Risiko | Lateral Movement ins eigene Netz, Ransomware-Befall, Datenabfluss, Stillstand der Produktion. | Rolle als „Patient Zero“, Totalverlust von Kundenvertrauen, existenzbedrohende Schadensersatzforderungen. |
| Regulatorische Meldepflicht | BSI-Meldung (24h Frühwarnung / 72h Vollmeldung nach § 32 BSIG); DSGVO-Meldung (72h an Behörde). | Vertragliche Sofortmelde-Pflicht an Kunden (oft < 24h); eigene NIS-2-Meldung, falls selbst reguliert. |
| Haftung & Finanzen | Betriebsunterbrechungsschäden, DSGVO-Bußgelder, persönliche Geschäftsführer-Haftung (§ 38 BSIG). | Vertragliche Haftung wegen Schlechterfüllung, Regressansprüche des Kunden, Gefahr von Versicherungsausschluss. |
| Notwendige Vorbereitung | Lieferanten-Klassifizierung, Zero-Trust-Architektur, netzwerkseitige Trennung aller Drittzugänge. | Mandantentrennung, dokumentierte Sicherheitsmaßnahmen, zertifizierbare Prozesse, Incident-Response-Plan. |
Die 5 gefährlichsten Einfallstore und wie Sie sie wirksam schließen
Um Supply-Chain-Angriffen wirksam den Riegel vorzuschieben, müssen Unternehmen von der Annahme ausgehen, dass Dienstleister und Partner jederzeit kompromittiert werden können (Assume-Breach-Paradigma). Mit den folgenden fünf Sicherheitsbausteinen schließen Sie die kritischsten Lücken:
1. Dauer-VPNs abschaffen: Wechsel zu Zero Trust Network Access (ZTNA)
Ein permanenter Site-to-Site-VPN-Tunnel zwischen Ihrem Firmennetzwerk und einem externen Dienstleister ist das digitale Äquivalent zu einer dauerhaft unverschlossenen Verbindungstür. Gelingt es Angreifern, beim Partner Fuß zu fassen, stehen ihnen Ihre Systeme offen. Die Lösung lautet Zero Trust Network Access (ZTNA) in Kombination mit Just-in-Time-Zugriff (JIT): Externe erhalten niemals pauschalen Zugriff auf das gesamte Netzwerk, sondern ausschließlich auf die exakt benötigte Anwendung – zeitlich begrenzt, rollenbasiert und nach jeder Sitzung automatisch geschlossen.
2. Konsequente Netzwerksegmentierung und Mikrosegmentierung
Falls Dienstleister Zugriff auf Server oder industrielle Anlagen (OT) benötigen, dürfen sich diese Zielsysteme niemals im selben Subnetz wie Ihre Arbeitsplatz-PCs oder ERP-Datenbanken befinden. Richten Sie isolierte Dienstleister-VLANs und entkoppelte Managementsysteme (Jump-Hosts / Bastion-Hosts) ein. Zwischen den Segmenten überwacht eine Next-Generation-Firewall streng den Datenverkehr. Eine seitliche Ausbreitung von Schadsoftware wird dadurch im Keim erstickt.
3. Multi-Faktor-Authentifizierung (MFA) ausnahmslos erzwingen
Ein Großteil aller Supply-Chain-Einbrüche beginnt mit gestohlenen Passwörtern von Dienstleister-Mitarbeitern. Eine einfache Kombination aus Benutzername und Passwort für administrative Zugänge, Remote Desktop (RDP) oder VPN ist grob fahrlässig. Erzwingen Sie ausnahmslos phishing-resistente Multi-Faktor-Authentifizierung für jeden einzelnen externen Zugriff – ohne Ausnahmen für angebliche Spezialkonten oder Service-User.
4. Third-Party Risk Management (TPRM) und vertragliche Bindung
Cybersicherheit muss fester Bestandteil des Beschaffungs- und Vertragswesens werden. Regulierte Unternehmen müssen gemäß § 30 BSIG ohnehin nachweisen, dass sie ihre Dienstleister prüfen. Aber auch nicht-regulierte KMU sollten standardisierte Sicherheitskriterien etablieren:
- Klassifizieren Sie Dienstleister nach Kritikalität (Zugang zu Systemen, Zugriff auf sensible Daten, Ausfallrelevanz). Wie Sie Ihre eigene Einstufung ermitteln, erläutert unser Leitfaden zur NIS2 Lieferkette für Zulieferer.
- Vereinbaren Sie vertraglich bindende Meldefristen: Der Dienstleister muss sich verpflichten, Sicherheitsvorfälle binnen 24 Stunden unaufgefordert zu melden.
- Lassen Sie sich Auditrechte oder anerkannte Zertifikate (wie ISO/IEC 27001, SOC 2 oder TISAX) vorlegen.
5. Unabhängige, unveränderbare Datensicherung (3-2-1-Backup)
Kommt es trotz aller Schutzwälle zum Ernstfall und Schadsoftware dringt über einen infizierten Partner ein, entscheidet die Qualität Ihrer Datensicherung über das Überleben des Unternehmens. Angreifer zielen bei Ransomware-Attacken gezielt darauf ab, Online-Backups zu manipulieren oder zu verschlüsseln. Ein zukunftssicheres Sicherungskonzept nach dem 3-2-1-Backup-Prinzip mit unveränderbaren (immutablen) und physisch getrennten Offline-Kopien (Air-Gap) garantiert, dass Sie im Notfall handlungsfähig bleiben, ohne Erpressungsgelder zahlen zu müssen.
Vergleichstabelle: Einfallstore, Bedrohungen und Schutzmaßnahmen
Die nachfolgende Tabelle veranschaulicht die typischen Schwachstellen der Zusammenarbeit mit externen Partnern und stellt praxiserprobte Gegenmaßnahmen gegenüber:
| Einfallstor | Reales Bedrohungsszenario | Effektive Schutzmaßnahme |
|---|---|---|
| Permanentes Wartungs-VPN | Angreifer infizieren den Dienstleister-PC und nutzen das daueraktive VPN für den Zugriff auf interne Datenbanken. | ZTNA-Architektur, bedarfsweise Freischaltung (Just-in-Time), automatische Session-Trennung und MFA-Pflicht. |
| Geteilte Admin-Accounts | Mehrere Techniker nutzen dasselbe Standard-Passwort; bei Ausscheiden eines Mitarbeiters bleibt der Zugang aktiv. | Personalisierte Benutzerkonten, Privileged Access Management (PAM), automatisierte Passwort-Rotation. |
| Offene Cloud- und API-Schnittstellen | Ungeschützte Schnittstellen ermöglichen Angreifern das unbemerkte Auslesen von Kundendaten im Quellsystem. | IP-Whitelisting, Token-Ablaufzeiten (Short-lived Tokens), Least-Privilege-Rechte und kontinuierliches Logging. |
| Spear-Phishing über Partner-Mail | Gefälschte Rechnungen oder Malware-Anhänge von echten, aber kompromittierten E-Mail-Adressen von Partnern. | DMARC/DKIM-Prüfung, KI-gestützte E-Mail-Security-Filter, Vier-Augen-Prinzip bei Kontoänderungen. |
| Software– und Firmware-Updates | Integrierter Schadcode in offiziellen Software-Aktualisierungen eines Anbieters (Backdoor im Update). | Staging-Umgebungen vor Rollouts, Integritätsprüfungen (Hashes) und Verhaltensanalyse im EDR/XDR-System. |
Drei fatale Fehler im Umgang mit Dienstleister-Sicherheit
In der Beratungspraxis begegnen uns immer wieder die gleichen Versäumnisse, die Unternehmen im Schadensfall teuer zu stehen kommen:
1. Vertrauen mit Sicherheit verwechseln: Jahrelange partnerschaftliche Geschäftsbeziehungen sind wertvoll, ersetzen aber keine technischen Barrieren. Nur weil eine Servicefirma seit zehn Jahren Ihre IT oder Maschinen wartet, bedeutet das nicht, dass deren Administratoren gegen moderne Phishing– oder Social-Engineering-Angriffe immun sind. Professionelle Cybersicherheit verlangt: Vertrauen ist gut, technische Isolation und Verifikation sind Pflicht.
2. Schweigen im Schadensfall: Wenn Dienstleister einen Sicherheitsvorfall bemerken, versuchen sie aus Scham oder Angst vor Regressansprüchen oft, das Problem intern zu lösen, ohne den Auftraggeber sofort zu informieren. Das ist fatal: Jeder Tag Verzögerung erhöht das Risiko für den Kunden exponentiell und lässt gesetzliche Meldefristen verstreichen. Transparente, vertraglich vereinbarte Eskalationswege sind unverzichtbar.
3. Keine Notfallplanung für den Ausfall von Dritten: Viele Incident-Response-Pläne berücksichtigen nur den Ausfall der eigenen Server. Was passiert, wenn Ihr wichtigster Cloud-Provider für zwei Wochen ausfällt oder der IT-Support offline ist? Ein ganzheitlicher Notfallplan im Rahmen des Business Continuity Managements muss auch Ausfallszenarien externer Dienstleister abdecken.
Fazit: IT-Sicherheit endet nicht am eigenen Netzwerkrand
Supply-Chain-Angriffe haben die Bedrohungslandschaft für den Mittelstand grundlegend verändert. Wer heute Cybersicherheit ernst nimmt, darf nicht mehr an den Grenzen der eigenen Firmen-Firewall haltmachen. Das schwächste Glied in der Kette bestimmt das tatsächliche Sicherheitsniveau Ihres Unternehmens.
Sowohl Auftraggeber als auch Dienstleister müssen handeln: Auftraggeber müssen externe Zugänge konsequent nach dem Zero-Trust-Prinzip absichern, Netzwerke segmentieren und Lieferanten vertraglich in die Pflicht nehmen. Zulieferer und Dienstleister wiederum müssen ihre eigene IT nachweisbar absichern, um nicht als „Patient Zero“ in Regress genommen zu werden oder Schlüsselkunden zu verlieren. Wer diese Hausaufgaben erledigt, schützt nicht nur den eigenen Betrieb, sondern positioniert sich als verlässlicher, zukunftssicherer Partner im Markt.
Wie Sie als Unternehmensleitung die rechtlichen Anforderungen erfüllen und Haftungsrisiken ausschließen, vertieft unser Beitrag zur NIS2 Geschäftsführer-Haftung. Wenn Sie Unterstützung bei der professionellen Überwachung und Absicherung Ihrer Infrastruktur benötigen, zeigt Ihnen unser Profil als Managed IT Services Provider praxiserprobte Wege auf.
Sie möchten Ihre IT-Lieferkette und externen Schnittstellen absichern?
Wir unterstützen Sie bei der Schwachstellenanalyse Ihrer Drittanbieter-Zugänge, implementieren moderne Zero-Trust-Architekturen und sichern Ihre Netzwerke mit professionellem Monitoring und geprüften Notfallkonzepten ab. Kontaktieren Sie uns über unser Kontaktformular – unsere Sicherheitsexperten beraten Sie individuell und unverbindlich.
