Warum externe Partner zur größten Sicherheitslücke werden

Angreifer nutzen schwächere Glieder in der Lieferkette – oft mit weitreichenden Folgen. Gleichzeitig fehlen vielen Unternehmen Transparenz über Zugänge und Abhängigkeiten. Warum verbindliche Regeln, Auditrechte und KI-gestützte Überwachung jetzt entscheidend sind.

Knapp die Hälfte der deutschen Unternehmen (46 %) wurden 2024 Opfer eines Cyberangriffs, größtenteils mit Schäden im sechsstelligen Bereich, wie eine aktuelle Cisco-Studie zeigt. Gleichzeitig wird die Lieferkette immer mehr zur Achillesferse der Cybersicherheit, das haben Vorfälle wie der SolarWinds-Hack oder die Ausnutzung der Log4j-Zero-Day-Schwachstelle gezeigt. Oft verfügen externe Partner, Dienstleister oder Softwareanbieter über weitreichende Zugänge, unterliegen aber geringeren Sicherheitsanforderungen. Das ist ein willkommenes Einfallstor für Angreifer. Entsprechend wächst auch die Sorge in den Unternehmen: Laut dem WEF Global Cybersecurity Outlook 2026 sehen 65 Prozent der umsatzstarken Großunternehmen Schwachstellen bei Drittanbietern und in der Lieferkette als größte Herausforderung. 

Blinde Flecken durch Silo-Mentalität

Das seit 2024 geltende Lieferkettensorgfaltspflichtengesetz (LkSG) verpflichtet in Deutschland ansässige Unternehmen dazu, ein Risikomanagement aufzubauen, regelmäßig Risiken zu bewerten, Präventionsmaßnahmen umzusetzen und das Lieferkettenmanagement nachvollziehbar zu dokumentieren. Werden diese Pflichten vernachlässigt, können Bußgelder von bis zu acht Millionen Euro oder bis zu zwei Prozent des Jahresumsatzes verhängt werden.

Dennoch sind viele Organisationen strukturell noch nicht darauf vorbereitet, ihre Lieferketten wirksam abzusichern. Ein zentraler Grund: eine fest verankerte Silomentalität. Informationen zu Abhängigkeiten, zum aktuellen Zustand, zu digitalen Zugängen externer Partner sowie zu Verknüpfungen von Daten, Software und Services entlang der Lieferkette werden nur fragmentiert oder punktuell erhoben. Dadurch entstehen blinde Flecken. Unternehmen können so nur verspätet und reaktiv auf Angriffe oder Ausfälle reagieren. Laut einem Report des Cisco Unternehmens Splunk zählen komplizierte Systemabhängigkeiten für 41 Prozent der Technologieverantwortlichen zu den größten Herausforderungen im Umgang mit Ausfallzeiten.

Der Einsatz von ML- und KI-Anwendungen ist von entscheidender Bedeutung, denn sie ermöglichen die automatisierte Erfassung, Verknüpfung und Auswertung großer Datenmengen. Durch die Analyse historischer und aktueller Daten entsteht ein hochpräzises, nahezu in Echtzeit verfügbares Lagebild der Warenbewegungen. Diese Automatisierung ist kein Selbstzweck, sondern bildet die zentrale Grundlage für eine proaktive Überwachungsstrategie entlang der Lieferkette. Unternehmen können so wiederkehrende Muster und ungewöhnliche Ereignisse schneller identifizieren, Trends frühzeitig prognostizieren sowie Engpässe oder Verluste zeitnah aufdecken und beheben.

Frameworks: Verbindlichkeit entlang der Lieferkette

Die Absicherung der Lieferkette erfordert einen Paradigmenwechsel: Sicherheit darf nicht mehr von freiwilligen Zusagen abhängen, sondern muss als vertragliche Pflicht verankert werden. Dafür sind klare, verbindliche Regularien erforderlich, die über bloße Formalitäten hinausgehen. Unverzichtbar sind Mindeststandards, eine konsequente Meldepflicht bei Sicherheitsvorfällen sowie das verbriefte Recht auf Audits. Im Kern geht es darum, die Verantwortlichkeiten unmissverständlich und bilateral zuzuordnen.

Zur Strukturierung dieser komplexen Aufgabe dienen international anerkannte Frameworks wie das NIST Cybersecurity Framework (NIST CSF) oder die Cybersecurity Maturity Model Certification (CMMC). Sie bieten Unternehmen einen Leitfaden, um ihre IT-Sicherheitsarchitekturen systematisch entlang der gesamten Lieferkette zu ordnen und eine standardisierte Kommunikationsbasis zwischen allen beteiligten Akteuren wie IT, Security und Einkauf. 

Nachdem der Bundestag im vergangenen November ein Gesetz zur Umsetzung der EU-Richtlinie NIS2 verabschiedet hat, gelten in Deutschland nun für mehr als 30.000 Unternehmen verbindliche Anforderungen an Risikomanagement, Lieferkettenabsicherung und Meldepflichten bei Sicherheitsvorfällen. Zudem sollen diese Pflichten künftig behördlich stärker überprüfbar sein. Bei der praktischen Umsetzung der NIS2-Anforderungen sollen Unternehmen durch das Bundesamt für Sicherheit in der Informationstechnik (BSI) unterstützt werden.

Allerdings ersetzen diese Frameworks nicht die tatsächliche operative Sicherheit. Ein alleiniger Fokus auf Compliance schließt Sicherheitslücken oft nicht nachhaltig, da eine enge Zusammenarbeit und ein kontinuierliches, aktives Risikomanagement nicht abgebildet werden können. Die Sicherheitsverantwortung hört somit nicht an der eigenen Firmentür auf. Um die Widerstandsfähigkeit des gesamten Ökosystems zu gewährleisten, ist die aktive Unterstützung kleinerer Partner durch größere Unternehmen unerlässlich. Dadurch können limitierte Budgets, fehlende Expertise und der Implementierungsaufwand von komplexen Standards als Hürden überwunden werden. Skalierbare Lösungsansätze und externe Partnerschaften sind hierfür zentrale Erfolgsfaktoren.

Vom Silo zur geteilten Sicherheitsverantwortung

Die Lieferkette ist längst zur Achillesferse der Cybersicherheit geworden. Die gezielte Ausnutzung von Mängeln bei externen Partnern sowie interne Silomentalität führen zu blinden Flecken und verzögerten Reaktionen auf Angriffe. Eine ganzheitliche Sicherheitsstrategie, die über die Unternehmensgrenzen hinausreicht, ist für Unternehmen daher unverzichtbar. Regulatorische Vorgaben, etwa das LkSG, unterstreichen dies. Der Fokus muss von einzelnen Maßnahmen auf eine kontinuierliche Erkennung, transparente Bewertung und gemeinsame Steuerung von Gefahren entlang der gesamten Lieferkette verlagert werden.

Frameworks und KI-/ML-Anwendungen unterstützen die proaktive Überwachung. Jedoch endet die Sicherheitsverantwortung nicht an der eigenen Unternehmensgrenze. Vielmehr sind größere Unternehmen gefordert, kleinere Partner aktiv bei notwendigen Maßnahmen zu unterstützen. Nur die bereichsübergreifende Etablierung stärkt die Widerstandsfähigkeit der gesamten Lieferkette.