🔗 🔗 Supply-Chain-Angriffe: Warum dein KMU über die Lieferanten angreifbar ist

Was ist ein Supply-Chain-Angriff?

Ein Supply-Chain-Angriff zielt nicht direkt auf dein Unternehmen, sondern auf einen Lieferanten, Partner oder Dienstleister in deiner Wertschöpfungskette. Angreifer kompromittieren dort Systeme, Softwareprodukte oder Zugänge und nutzen diese Vertrauensstellung, um bei dir einzubrechen. Der klassische Fall: Ein Software-Hersteller wird gehackt, Angreifer manipulieren ein Update, und Tausende Kunden installieren unwissentlich Schadsoftware. Für dich sieht alles legitim aus, die digitale Signatur stimmt, die Update-Quelle ist vertraut, und das System meldet keine Auffälligkeiten. Der Angriff kommt durch die Hintertür, die du selbst geöffnet hast, weil du dem Lieferanten vertraust. Schweizer KMU sind betroffen, weil sie dieselben Cloud-Dienste, Buchhaltungstools und IT-Partner nutzen wie grössere Unternehmen. Ein kompromittierter Dienstleister bedeutet: potenziell Hunderte betroffene Kunden gleichzeitig.

Warum funktionieren diese Angriffe so gut?

Supply-Chain-Angriffe nutzen drei Schwachstellen aus, die in fast jedem Unternehmen existieren. Erstens: Vertrauen ohne Verifikation. Du prüfst Software-Updates nicht manuell, du verlässt dich darauf, dass der Hersteller sauber arbeitet. Zweitens: Skalierung durch Multiplikation. Ein erfolgreicher Einbruch beim IT-Dienstleister öffnet Türen zu Dutzenden oder Hunderten Firmen gleichzeitig. Der Return on Investment für Angreifer ist massiv höher als bei Einzelangriffen. Drittens: geringe Sichtbarkeit. Viele KMU wissen nicht, welche Drittanbieter Zugriff auf ihre Systeme haben, welche Cloud-Tools im Einsatz sind oder wer administrativen Zugang zu kritischen Daten hat. Diese Intransparenz macht Anomalien unsichtbar. Ein Beispiel aus der Schweiz: Ein Treuhänder nutzt eine Cloud-Buchhaltungssoftware. Diese wird kompromittiert, Angreifer extrahieren Kundendaten und Bankverbindungen aus Hunderten Mandaten. Der Treuhänder merkt es erst, wenn Kunden Zahlungen an falsche Konten melden.

Welche Lieferanten sind kritisch?

Nicht alle Partner bergen dasselbe Risiko. Priorisiere diejenigen, die administrativen Zugang, Datenzugriff oder direkte Systemintegration haben. Dazu gehören IT-Dienstleister und Managed-Service-Provider, die remote auf Server, Firewalls oder Endgeräte zugreifen. Sie haben oft privilegierte Konten, die bei Kompromittierung zum Super-User für Angreifer werden. Software-as-a-Service-Anbieter für ERP, CRM, HR oder Finanzbuchhaltung verarbeiten geschäftskritische Daten und sind attraktive Ziele. Cloud-Infrastruktur-Provider wie Hosting-Partner oder Backup-Dienste speichern deine Daten physisch, ein Einbruch dort bedeutet direkten Datenverlust. Auch Hardware-Lieferanten können betroffen sein, wenn Firmware oder vorinstallierte Software manipuliert wird. Ein konkretes Risiko: Dein Webhosting-Provider wird gehackt, Angreifer platzieren Backdoors auf deinem Server und greifen Kundendaten ab, ohne dass du je eine verdächtige E-Mail geöffnet hast.

Interne Verantwortlichkeiten klären

Supply-Chain-Risiken zu managen ist keine IT-Aufgabe allein. Es braucht klare Prozesse und Verantwortlichkeiten auf mehreren Ebenen. Definiere, wer Lieferanten auswählt und nach welchen Kriterien. IT, Einkauf und Geschäftsleitung müssen gemeinsam entscheiden, welche Partner Zugang zu kritischen Systemen bekommen. Lege fest, wer Verträge prüft und dabei Sicherheitsklauseln, Haftungsfragen und Incident-Response-Pflichten verhandelt. Bestimme, wer Zugangsrechte verwaltet, welche Accounts haben Dritte, wie werden diese überwacht, wann werden sie deaktiviert. Kläre, wer bei einem Vorfall beim Lieferanten die erste Ansprechperson ist und welche Eskalationswege gelten. Ein Beispiel aus der Praxis: Ein KMU entdeckt verdächtige Aktivitäten im CRM-System. Niemand weiss, wer beim SaaS-Anbieter zuständig ist, der IT-Vertrag liegt beim Einkauf, der Einkauf kennt die technischen Details nicht. Drei Tage Verzögerung, bis der Support-Case eskaliert wird.

Due Diligence vor der Zusammenarbeit

Bevor du einem neuen Lieferanten Zugang gibst, führe eine strukturierte Sicherheitsprüfung durch. Frage nach Zertifizierungen wie ISO 27001, SOC 2 oder branchenspezifischen Standards. Diese sind kein Garant, aber ein Indikator für etablierte Prozesse. Verlange Auskunft über Incident-Response-Pläne: Wie schnell wird bei einem Vorfall kommuniziert, wer wird informiert, welche Massnahmen greifen? Prüfe, wo Daten gespeichert werden, Rechenzentren in der Schweiz oder EU bieten rechtliche Vorteile bei Datenschutzverletzungen. Kläre, ob der Lieferant selbst Subunternehmer einsetzt und wie deren Sicherheit geprüft wird. Fordere bei kritischen Partnern eine jährliche Bestätigung der Sicherheitsmassnahmen ein. Ein konkreter Prozess: Vor Vertragsabschluss mit einem neuen IT-Dienstleister füllst du einen Fragebogen zu Zugangskontrollen, Datenverschlüsselung, Backup-Strategien und Mitarbeiterschulungen aus. Antworten werden dokumentiert und bei Vertragsverlängerung aktualisiert.

Zugangskontrollen für Drittanbieter

Jeder externe Zugang ist ein potenzieller Angriffsvektor. Setze für Drittanbieter separate Accounts mit minimalen Rechten ein, nie den Admin-Account teilen. Nutze Multi-Faktor-Authentifizierung für jeden externen Zugriff, keine Ausnahmen. Protokolliere alle Aktivitäten externer Konten und prüfe Logs regelmässig auf Anomalien. Setze zeitliche Beschränkungen: Zugang nur während Geschäftszeiten oder nur für definierte Wartungsfenster. Deaktiviere Konten sofort nach Projektende oder Vertragskündigung, nicht erst auf Anfrage. Verwende wenn möglich Remote-Desktop-Lösungen statt VPN-Vollzugang, damit Dienstleister nur auf spezifische Systeme zugreifen. Ein Beispiel: Dein IT-Partner hat ein Service-Konto mit MFA, das nur Zugriff auf die Server-Management-Konsole hat, nicht auf Fileserver oder Datenbanken. Logs zeigen jeden Login mit Zeitstempel, IP-Adresse und durchgeführten Aktionen.

Risikobewertung und Monitoring

Führe eine jährliche Risikobewertung deiner Lieferanten durch. Klassifiziere sie nach Kritikalität: Welcher Ausfall oder welche Kompromittierung hätte die grössten Auswirkungen auf dein Geschäft? Bewerte ihr Sicherheitsniveau anhand von Zertifikaten, Audit-Reports oder eigenen Prüfungen. Ordne jedem Partner eine Risikostufe zu und definiere entsprechende Kontrollmassnahmen. Hochrisiko-Partner mit Zugriff auf sensible Daten erhalten strengere Überwachung, regelmässige Reviews und detaillierte Verträge mit SLAs für Security Incidents. Richte ein Monitoring-System ein, das dich warnt, wenn ungewöhnliche Aktivitäten von Drittanbieter-Konten ausgehen: Login ausserhalb der Geschäftszeiten, Zugriff auf neue Systeme, Datenexporte. Nutze SIEM-Tools oder Cloud-Security-Dashboards, um Anomalien sichtbar zu machen. Ein konkreter Fall: Dein Backup-Dienstleister greift normalerweise nachts auf Server zu. Ein Login um 14 Uhr an einem Sonntag triggert eine Warnung, IT prüft nach und stellt fest, dass das Konto kompromittiert wurde.

Vertragliche Absicherung

Sicherheit beginnt im Vertrag. Definiere klare SLAs für Incident Response: Innerhalb welcher Frist muss der Lieferant dich bei einem Sicherheitsvorfall informieren? 24 Stunden, 48 Stunden? Lege Haftungsregelungen fest: Wer trägt Kosten bei einem Datenverlust durch Anbieter-Kompromittierung? Fordere regelmässige Security-Audits und das Recht, Ergebnisse einzusehen. Vereinbare Kündigungsrechte bei schwerwiegenden Sicherheitsvorfällen ohne lange Fristen. Kläre, wer bei Vertragsende für sichere Datenlöschung verantwortlich ist und wie diese nachgewiesen wird. Nutze Standardklauseln aus Best-Practice-Vorlagen, die rechtlich geprüft sind. Ein Beispiel: Dein Cloud-Hosting-Vertrag enthält eine Klausel, dass der Anbieter dich innerhalb von 24 Stunden über jeden Sicherheitsvorfall informieren muss, der potenziell deine Daten betrifft. Bei Verstoss greift ein Sonderkündigungsrecht.

Incident-Response-Plan für Lieferanten-Vorfälle

Wenn ein Partner kompromittiert wird, zählt jede Stunde. Erstelle einen spezifischen Response-Plan für Supply-Chain-Vorfälle. Definiere Eskalationswege: Wer wird intern informiert, wer kontaktiert den Lieferanten, wer entscheidet über Sofortmassnahmen wie Zugangs-Sperrung? Halte Kontaktdaten aller kritischen Partner griffbereit, nicht nur Sales-Kontakte, sondern Security-Teams und Notfall-Hotlines. Übe Szenarien: Was passiert, wenn dein IT-Dienstleister gehackt wird und ihr euch nicht sicher seid, ob eure Systeme betroffen sind? Lege fest, wann ihr extern kommuniziert, Kunden, Behörden, Öffentlichkeit. Dokumentiere Forensik-Prozesse: Wie sichert ihr Logs, wer analysiert Kompromittierungsspuren, wann zieht ihr externe Spezialisten bei? Ein realistisches Szenario: Dein ERP-Anbieter meldet einen Einbruch, möglicherweise wurden Kundendaten abgegriffen. Dein Plan sieht vor: Sofortige Passwortzurücksetzung für alle Nutzer, Review der Zugriffslogs der letzten 30 Tage, Information der Geschäftsleitung innerhalb von zwei Stunden, Kommunikation an betroffene Kunden innerhalb von 24 Stunden nach Bestätigung.

Drei konkrete Massnahmen für nächste Woche

Erstelle eine Liste aller Drittanbieter mit administrativem Zugang oder Datenzugriff. Markiere diejenigen, bei denen du keine aktuellen Sicherheitsinformationen hast. Kontaktiere die Top 3 kritischsten Partner und fordere Auskunft über aktuelle Zertifizierungen, letzte Security-Audits und Incident-Response-Prozesse. Prüfe alle externen Konten in deinen Systemen: Wer hat Zugriff, sind MFA aktiviert, wann war der letzte Login? Deaktiviere ungenutzte Accounts sofort. Dokumentiere Verantwortlichkeiten: Wer in deinem Unternehmen entscheidet über neue IT-Partner, wer prüft Sicherheitsklauseln in Verträgen, wer ist erste Ansprechperson bei Vorfällen? Schreib es auf und kommuniziere es intern. Supply-Chain-Sicherheit ist kein einmaliges Projekt, sondern ein laufender Prozess. Aber diese drei Schritte schaffen Sichtbarkeit und reduzieren dein Risiko bereits messbar.

Florian Muff

Head of Customer Success bei SignalFisher, CyberSeal Lead Auditor und im Vorstand der Allianz Digitale Sicherheit Schweiz. Schreibt jeden Mittwoch über Cybersecurity: praxisnah und ohne Fachjargon.