Supply-Chain Angriffe: Die verborgene Dimension der Cyber-Bedrohung

Supply-Chain Angriffe: Die verborgene Dimension der Cyber-Bedrohung.

Supply-Chain Angriffe gehören zu den am stärksten unterschätzten Cyber-Risiken in Europa. Aktuelle Untersuchungen zeigen: Fast jeder dritte Sicherheitsvorfall beginnt nicht im angegriffenen Unternehmen selbst, sondern bei einem Lieferanten oder Dienstleister. Die tatsächliche Dimension dürfte noch weitaus größer sein, denn viele dieser Angriffe werden nie als solche identifiziert.

Zusammenfassung (TL; DR):

• Auswertungen durch die Threat Intelligence und Incident Response Unit 42 von Palo Alto Networks aus den vergangenen zwölf Monaten zeigen ein beunruhigendes Muster: In fast jedem dritten Fall begann der Angriff nicht im betroffenen Unternehmen selbst.
• Jede Verbindung – Schnittstelle, Datenbank, Fernwartungszugang – kann zum Einfallstor werden.
• Besonders betroffen sind die Hightech-Branche und der Finanzsektor.

Nach einem Cyber-Angriff hat die IT-Sicherheit meist nur ein Ziel: die Systeme so schnell wie möglich wieder hochzufahren. Kunden warten, der Betrieb steht still, der Druck ist enorm. Dabei bleibt eine entscheidende Frage oft unbeantwortet: Wo sind die Angreifer überhaupt eingedrungen?

Auswertungen europäischer Sicherheitsvorfälle durch die Threat Intelligence und Incident Response Unit 42 von Palo Alto Networks aus den vergangenen zwölf Monaten zeigen ein beunruhigendes Muster: In fast jedem dritten Fall begann der Angriff nicht im betroffenen Unternehmen selbst, sondern in dessen Lieferkette. Angreifer kompromittieren gezielt Zulieferer, Partner oder Dienstleister und nutzen diese als Sprungbrett zum eigentlichen Ziel.

Die tatsächliche Dimension ist vermutlich noch größer. Den ursprünglichen Angriffspunkt zurückzuverfolgen, ist aufwendig und zeitintensiv. Bei knappen Ressourcen konzentrieren sich Unternehmen auf die Wiederherstellung, denn für eine tiefe forensische Analyse fehlt oft die Kapazität. Viele Supply-Chain-Angriffe werden deshalb nie erkannt. Ein gefährlicher blinder Fleck entsteht.

Auch andere Quellen bestätigen den Trend: Der Verizon Data Breach Investigations Report 2025 meldet eine Verdopplung der Supply-Chain-Angriffe gegenüber dem Vorjahr. Der Incident-Response-Report von Unit 42 nennt die Lieferkette als zweitgrößte aufkommende Bedrohung. Die Dunkelziffer dürfte noch höher liegen.

Das schwächste Glied in der Kette

Moderne Unternehmen arbeiten in weitverzweigten digitalen Ökosystemen, sind mit Hunderten von Drittanbietern verbunden. Jede Verbindung – Schnittstelle, Datenbank, Fernwartungszugang – kann zum Einfallstor werden. Angreifer wissen das längst. Warum sollten sie gegen gut gesicherte Haupteingänge anrennen, wenn Seitentüren offenstehen? Kleinere Zulieferer verfügen oft nicht über mehrschichtige Sicherheitssysteme. Wird ein vertrauenswürdiger Lieferant kompromittiert, kann sich der Angriff wie eine Kettenreaktion ausbreiten.

Die Praxis liefert Beispiele: Während einer Sportveranstaltung kaperten Hacker über einen kompromittierten Content-Provider Bildschirme in einer Großstadt und spielten Propaganda aus. In einem anderen Fall verschafften sich Angreifer über die Videoüberwachung eines Pharmaunternehmens Fernzugriff auf sensible Bereiche. Besonders perfide: Ein Trojaner versteckte sich in einem digitalen Flyer für Autoverkäufe, der über ein internes schwarzes Brett verteilt wurde. Alle Fälle begannen bei einem Lieferanten und endeten mit gravierenden Sicherheitsvorfällen.

Mehrere Entwicklungen machen Supply-Chain-Angriffe zum bevorzugten Angriffsvektor

• Erstens: die wirtschaftliche Schieflage. Angreifen ist günstiger als Verteidigen. Einen kleineren Zulieferer, Softwareanbieter oder Open Source Projekte zu kompromittieren, erfordert meist nur Zeit und Geduld. Die Verteidigung eines globalen Unternehmens verschlingt dagegen große Budgets. Ein erfolgreicher Lieferantenangriff öffnet die Tür zu weiteren Zielen.
• Zweitens: Künstliche Intelligenz. Angreifer nutzen KI-gestützte Tools, um systematisch das Internet zu durchsuchen, Verbindungen zu kartieren und Schwachstellen zu finden. Ransomware-as-a-Service und Access-Broker haben die Einstiegshürde gesenkt.  Gruppen wie Muddled Libra (Scattered Spider) nutzen diese Tools effektiv. In einem Fall wurde ein Outsourcing-Dienstleister innerhalb einer Woche fünfmal angegriffen – jedes Mal über einen anderen Weg.
•  Drittens: die digitale Transformation. Jede neue Cloud-Integration, Partnerschaft sowie jeder ausgelagerte Prozess erhöhen die Komplexität und schaffen neue Abhängigkeiten. Je verzweigter die Ökosysteme, desto schwieriger der Überblick und desto mehr Schlupflöcher für Risiken.

So läuft ein Supply-Chain Angriff ab

Das Vorgehen folgt einem etablierten Muster: Am Anfang steht die Aufklärung. Automatisierte Scans identifizieren veraltete Software, Schwachstellen in Software, exponierte Zugangsdaten oder Konfigurationsfehler in Drittsystemen. Nach dem Eindringen erkunden die Angreifer die Umgebung und suchen nach Verbindungen zu wertvolleren Zielen. Der Zulieferer ist selten das eigentliche Ziel, sondern eher das Sprungbrett.

Dann folgt die laterale Bewegung. Angreifer nutzen gestohlene Zugangsdaten oder schleusen schädlichen Code in Software-Updates ein. Schritt für Schritt arbeiten sie sich vor, bis sie ein Ziel mit sensiblen Daten erreichen. Am Ende steht meist die Erpressung mit der Drohung, Daten zu veröffentlichen, den Betrieb lahmzulegen oder den Vorfall zu melden.

Wer im Visier steht

Besonders betroffen sind die Hightech-Branche und der Finanzsektor. Sie verarbeiten hochwertige Daten und sind auf viele Dienstleister angewiesen. Doch auch Kanzleien, Beratungen und Luxusmarken stehen im Fokus – oft wegen ihrer Verbindungen zu Großunternehmen oder vermögenden Kunden. Angreifer folgen nicht nur dem Geld, sondern den Verbindungen. Je vernetzter eine Organisation, desto mehr Angriffsmöglichkeiten gibt es.

Cyber-Altruismus als Gegenstrategie

Traditionelles Sicherheitsdenken endet an der Unternehmensgrenze. Doch Risiken erstrecken sich über Hunderte von Zulieferern und eine erheblich größere Zahl an Open Source Projekten, die in eigene Projekte eingebettet sind. Deshalb setzen Sicherheitsexperten auf „Cyber-Altruismus”: Größere Organisationen sollten Schutzmaßnahmen, Tools und Expertise an kleinere Partner weitergeben. Das ist kein Altruismus im eigentlichen Sinn, sondern Eigeninteresse. Jede Schwachstelle in der Lieferkette ist ein potenzielles Einfallstor.

Cyber-Altruismus bedeutet: Abhängigkeiten kartieren, Schwachstellen identifizieren und Sicherheit teilen. Das kann heißen, Lieferanten Zugang zu sicheren Dateiübertragungstools, Bedrohungsdaten oder Notfallplänen zu gewähren, Mindeststandards für IT-Sicherheit zu verankern oder Schulungen zu unterstützen. Meist stoßen große Unternehmen diese Initiativen an, denn sie haben am meisten zu verlieren.

Gelingt die Umsetzung, profitieren alle: Das Risiko sinkt, die Widerstandsfähigkeit steigt, das Vertrauen wächst. Unternehmen, die diesen Weg gehen, verschaffen sich zudem einen Wettbewerbsvorteil. Kunden und Regulierungsbehörden erwarten zunehmend nachweisbare Sorgfalt bei der Absicherung der Lieferkette.

Eine gemeinsame Verantwortung

Lieferkettensicherheit lässt sich nicht allein durch Transparenz erreichen. Solange Wiederherstellung über Ursachenforschung steht, bleiben viele Vorfälle unerkannt. Doch die Reaktion auf Sicherheitsvorfälle ist nicht statisch. Führungskräfte sollten mit drei Fragen beginnen:

• Kennen wir alle digitalen Abhängigkeiten?
• Wo liegen unsere Schwachstellen?
• Wie unterstützen wir unser Ökosystem?

Die Realität zeigt: Ein einziges schwaches Glied in der Supply Chain kann ein ganzes Ökosystem gefährden. Diese Abhängigkeit anzuerkennen, ist der erste Schritt zu echter Widerstandsfähigkeit.

Genau wegen dieses Risikos verpflichten Rahmenwerke wie NIS2, DORA und der CRA Unternehmen heute dazu, Sicherheitsstandards und Risikoprüfungen lückenlos auf ihre Zulieferer auszuweiten. Die aktive Steuerung der Supply Chain ist damit keine bloße Empfehlung mehr, sondern die gesetzliche Voraussetzung für Compliance und Marktteilnahme.

Ausblick

Das Wachstum vernetzter Lieferketten hat die Geschäftswelt transformiert, aber zugleich auch ideale Bedingungen für Angreifer geschaffen. Wirtschaftliches Ungleichgewicht, KI-Entwicklung und digitale Verflechtungen haben die Kräfteverhältnisse verschoben.

Ein Ausgleich erfordert mehr als technologische Finesse. Er erfordert Zusammenarbeit, Transparenz und geteilte Verantwortung. Cyber-Altruismus verkörpert diese Haltung. Sie ist darauf ausgerichtet, pragmatisch und kollektiv alle zu schützen, die von der Kette abhängen. Ein Problem, das nicht sichtbar ist, lässt sich nicht beheben. Doch sobald der Blick über die Spitze des Eisbergs hinausgeht, kann begonnen werden, das zu stärken, was darunter liegt.