Was ist Supply Chain Security und warum ist sie für KMU entscheidend?
Supply Chain Security bezeichnet den Schutz aller IT-Systeme, Daten und Prozesse entlang Ihrer Lieferkette – vom Zulieferer über Dienstleister bis hin zu Software-Anbietern. Für KMU ist dieses Thema 2026 kritischer denn je: Cyberkriminelle greifen gezielt Unternehmen über deren weniger geschützte Partner an, um Zugang zu größeren Netzwerken zu erhalten.
Das Problem: Ihre Sicherheit ist nur so stark wie das schwächste Glied in Ihrer Lieferkette. Wenn Ihr IT-Dienstleister gehackt wird, haben Angreifer möglicherweise Zugangsdaten zu Ihren Systemen, Zugriff auf Ihre Kundendaten und die Möglichkeit, Schadsoftware einzuschleusen.
Wie funktionieren Supply Chain Angriffe?
Angreifer nutzen das schwächste Glied in der Kette. Die häufigsten Angriffsmethoden sind:
Software Supply Chain Attacks: Hacker kompromittieren Software-Updates eines Anbieters. Wenn Sie diese Updates installieren, gelangt Schadsoftware unbemerkt in Ihr Netzwerk. Der bekannteste Fall: Der SolarWinds-Angriff 2020, der tausende Unternehmen weltweit betraf.
Kompromittierte Dienstleister: IT-Dienstleister, Cloud-Anbieter oder Wartungsfirmen haben oft privilegierte Zugänge zu Ihren Systemen. Werden diese gehackt, stehen Angreifern alle Türen offen.
Credential Theft bei Partnern: Gestohlene Zugangsdaten eines Lieferanten ermöglichen direkten Zugriff auf gemeinsam genutzte Systeme, Portale oder VPN-Verbindungen.
Die größten Supply Chain Angriffe
| Angriff | Jahr | Betroffene |
|---|---|---|
| SolarWinds | 2020 | 18.000 Unternehmen weltweit |
| Kaseya | 2021 | 1.500 Unternehmen |
| MOVEit | 2023 | 2.600+ Organisationen |
| 3CX | 2023 | 600.000 Unternehmen |
Warum sind KMU besonders gefährdet?
Kleine und mittlere Unternehmen stehen vor einem Dilemma: Sie sind Teil von Lieferketten größerer Konzerne und damit attraktive Einstiegspunkte für Angreifer. Gleichzeitig fehlen oft die Ressourcen für umfassende Sicherheitsüberprüfungen.
Der Irrglaube „Wir sind zu klein, um ein Ziel zu sein" ist gefährlich: Gerade weil KMU weniger geschützt sind, werden sie als Sprungbrett für Angriffe auf größere Partner genutzt.
Praxisbeispiel: Maschinenbauer aus Bayern gehackt
Ein mittelständischer Maschinenbauer mit 120 Mitarbeitern nutzte einen externen IT-Dienstleister für Wartung und Support. Der Dienstleister wurde Opfer einer Phishing-Attacke – die Angreifer erbeuteten VPN-Zugangsdaten zu mehreren Kundennetzen.
Innerhalb von 48 Stunden wurden beim Maschinenbauer alle Server verschlüsselt. Die Produktion stand drei Wochen still. Gesamtschaden: über 800.000 Euro – ohne Berücksichtigung des Reputationsverlusts.
Was fehlte: Klare vertragliche Sicherheitsanforderungen an den Dienstleister, Multi-Faktor-Authentifizierung für externe Zugänge, regelmäßige Überprüfung der Zugriffsrechte.
Welche Lieferanten sind besonders kritisch?
Höchstes Risiko:
IT-Dienstleister & MSPs – Haben oft Admin-Zugang zu Ihren Systemen
Software-Anbieter – Automatische Updates können Malware enthalten
Cloud-Dienste – Ihre Daten liegen auf fremden Servern
Mittleres Risiko:
Buchhaltung & Steuerberater – Zugang zu sensiblen Finanzdaten
Logistik-Partner – Tracking-Systeme mit Schnittstellen
Personaldienstleister – Mitarbeiterdaten, Gehaltsinformationen
5 Sofortmaßnahmen für KMU
1. Lieferanten-Inventar erstellen
Listen Sie alle Dienstleister auf, die Zugang zu Ihren Systemen haben, Ihre Daten verarbeiten oder Software für Sie bereitstellen.
2. Kritikalität bewerten
Fragen Sie sich bei jedem Lieferanten: Was passiert, wenn dieser gehackt wird? Welche unserer Daten hat er? Welche Zugänge?
3. Sicherheitsanforderungen vertraglich festlegen
Mindestanforderungen für kritische Lieferanten:
ISO 27001 Zertifizierung oder vergleichbar
Regelmäßige Penetrationstests
Incident-Response-Plan
Meldepflicht bei Sicherheitsvorfällen
4. Zugänge minimieren (Least Privilege)
Nur die nötigsten Rechte vergeben
Jeder Dienstleister eigene Zugangsdaten
Zentrale Passwortverwaltung nutzen
Multi-Faktor-Authentifizierung für alle externen Zugänge
5. Exit-Strategie planen
Können Sie den Lieferanten kurzfristig wechseln? Sind Ihre Daten exportierbar? Haben Sie Backup-Optionen?
NIS-2: Lieferketten-Sicherheit wird Pflicht
Die NIS-2-Richtlinie (Durchsetzung 2025/2026) fordert explizit in Artikel 21:
„Sicherheit der Lieferkette einschließlich sicherheitsbezogener Aspekte der Beziehungen zwischen den einzelnen Einrichtungen und ihren unmittelbaren Anbietern oder Diensteanbietern"
Was das bedeutet:
Sie müssen Lieferanten auf IT-Sicherheit prüfen
Sicherheitsanforderungen vertraglich festlegen
Regelmäßige Überprüfung der Lieferanten-Sicherheit
Dokumentation der gesamten Lieferkette
Häufige Fragen zur Lieferketten-Sicherheit
Gilt NIS-2 auch für kleine Unternehmen?
Direkt betroffen sind Unternehmen ab 50 Mitarbeitern in kritischen Sektoren. Aber: Große Unternehmen werden ihre Anforderungen an Zulieferer weitergeben. Auch als kleines Unternehmen werden Sie Sicherheitsnachweise liefern müssen.
Wie prüfe ich die Sicherheit meiner Lieferanten?
Starten Sie mit einem Fragebogen zu grundlegenden Sicherheitsmaßnahmen. Bei kritischen Lieferanten: Fragen Sie nach Zertifizierungen, Penetrationstests und Audit-Berichten.
Was kostet Supply Chain Security?
Die Kosten variieren stark. Starten Sie mit kostenlosen Maßnahmen: Inventar erstellen, Zugänge prüfen, Verträge anpassen. Professionelle Lieferanten-Audits kosten ab ca. 2.000€ pro Lieferant.
Fazit: Ihre Lieferkette ist Ihre Verantwortung
Supply Chain Security ist kein „Nice-to-have" mehr. Mit NIS-2 wird sie zur gesetzlichen Pflicht, und Cyberangriffe über Lieferanten nehmen weiter zu.
Die gute Nachricht: Sie müssen nicht alles auf einmal machen. Starten Sie mit dem Inventar, identifizieren Sie Ihre kritischsten Lieferanten, und arbeiten Sie sich vor.
Der wichtigste Schritt: Beginnen Sie heute. Jeder Tag ohne Überblick über Ihre Lieferkette ist ein Tag, an dem Sie blind für Risiken sind.
Nächster Schritt: Brauchen Sie Unterstützung bei der Absicherung Ihrer Lieferkette? Unsere IT-Security-Experten helfen Ihnen bei der Bestandsaufnahme. Kontaktieren Sie uns für ein unverbindliches Erstgespräch.
