Supply-Chain-Angriffe: Dienstleister im Fadenkreuz

Supply-Chain-Angriffe: Dienstleister im Fadenkreuz.

Angriffe auf die digitale Lieferkette haben sich zu einer zentralen Cyberbedrohung entwickelt. Das zeigt der Threat Status Report 2025/2026 von aDvens, Unternehmen für Cybersicherheit. Im vergangenen Jahr zielten Cyberkriminelle mit groß angelegten Angriffskampagnen insbesondere auf Softwareanbieter und IT-Dienstleister.

Zusammenfassung (TL; DR):

• Laut dem aDvens Threat Status Report 2025/2026 nutzen Cyberkriminelle gezielt IT-Dienstleister und Softwareanbieter, um über Fernwartungszugänge in IT- und OT-Umgebungen einzudringen.
• Nach dem Erstzugriff etablieren Angreifer oft durch Webshells dauerhafte Hintertüren in den Systemen.
• Schutz bieten eine lückenlose Erfassung externer Abhängigkeiten, striktes Zugriffsmanagement, schnelle Sicherheitsupdates und eine konsequente Netzwerksegmentierung.

Kompromittierung eines einzelnen Anbieters kann zahlreiche Kunden betreffen

Supply-Chain-Angriffe sind besonders gefährlich, weil die Kompromittierung eines einzelnen Anbieters zahlreiche Kunden oder sogar ganze Wirtschaftszweige betreffen kann. Angreifer nutzen dafür Schwachstellen in verbreiteten Softwarelösungen, manipulierte Komponenten oder unzureichend geschützte Fernwartungszugänge. Nach dem ersten Zugriff installieren sie beispielsweise bösartige Skripte auf den Zielsystemen – beispielsweise durch sogenannte Webshells – und führen damit Remote-Befehle aus, mit dem Ziel dauerhafte Hintertüren einzurichten.

Angriffe auf die digitale Lieferkette stellen aber nicht nur eine Gefahr für IT-Systeme dar. Gerade auch in industriellen Umgebungen sind Unternehmen häufig stark von spezialisierten Dienstleistern abhängig. Deren Fernwartungszugänge vergrößern jedoch die Angriffsfläche. Hat man einen externer Anbieter oder ein legitimer Wartungszugang kompromittiert, können Angreifer darüber in OT-Umgebungen eindringen.

„Cyberkriminelle machen sich immer häufiger die digitale Lieferkette zunutze, um Unternehmen zu kompromittieren“, sagt Andreas Süß, CEO DACH, aDvens. „Deshalb sollten sich Unternehmen unbedingt darüber im Klaren sein, welche Partner auf ihre Systeme zugreifen, welche Berechtigungen sie besitzen und wie sich diese Zugriffe überwachen lassen.“

 So schützen Unternehmen ihre Supply-Chain

Um das Risiko durch Supply-Chain-Angriffe zu reduzieren, sollten Unternehmen insbesondere folgende Sicherheitsmaßnahmen umsetzen:

• Systeme zügig aktualisieren: Kritische Schwachstellen in öffentlich erreichbaren Anwendungen und verbreiteten Unternehmenslösungen sollten priorisiert behandelt werden. Idealerweise sollte die Installation verfügbarer Sicherheitsupdates innerhalb von 72 Stunden erfolgen.
• Dienstleister und Abhängigkeiten erfassen: Unternehmen sollten ein vollständiges Verzeichnis ihrer Softwareanbieter, Cloud-Dienste, IT-Partner und externen Fernwartungszugänge führen. Abhängigkeiten sind anhand ihrer Auswirkungen auf den Geschäftsbetrieb zu priorisieren.
• Sicherheitsanforderungen vertraglich festlegen: Dienstleister sollten zur Umsetzung definierter Sicherheitsstandards, zur zeitnahen Behebung kritischer Schwachstellen, Relevante Sicherheitsvorfälle sind unverzüglich zu melden.
• Zugriffsrechte minimieren: Externe Partner sollten nach dem Least-Privilege-Prinzip nur auf die Systeme zugreifen können, die sie tatsächlich benötigen. Nicht mehr verwendete Konten und Berechtigungen sind konsequent zu löschen.
• Starke Authentifizierung einsetzen: Zugänge von Dienstleistern sind zusätzlich zu Passwörtern durch Multi-Faktor-Authentifizierung zu schützen.
• Web Application Firewall (WAF): Unternehmen sollten eine Web Application Firewall (WAF) einsetzen, um das Einschleusen einer Webshell zu erschweren. Gleichzeitig sind Systeme regelmäßig und idealerweise automatisiert auf Webshells sowie ungewöhnliche PHP-, JSP- oder ASP.NET-Dateien und Veränderungen in kritischen Verzeichnissen zu überprüfen.
• Netzwerke segmentieren: Produktions-, Verwaltungs-, Cloud- und OT-Umgebungen sind voneinander zu trennen. Ein kompromittierter Dienstleisterzugang sollte Angreifern keine ungehinderte Bewegung innerhalb des Unternehmensnetzes ermöglichen.
• Zugriffe überwachen und regelmäßig testen: Aktivitäten privilegierter Dienstleisterkonten sind zu protokollieren und auf ungewöhnliches Verhalten zu untersuchen. Regelmäßige Sicherheitsüberprüfungen, Angriffssimulationen und vorbereitete Incident-Response-Prozesse helfen, eine Kompromittierung frühzeitig zu erkennen und einzudämmen.

Häufige Fragen (FAQ)