Ihr Zulieferer wird gehackt, Sie bluten mit: Lieferketten als Einfallstor

Inhalt in Kürze

• Ein Lieferketten-Angriff trifft Sie nicht direkt, sondern über einen Zulieferer, Software-Lieferanten oder Ihren eigenen IT-Dienstleister. Sie können Ihre Tür vorbildlich verschließen und trotzdem stillstehen.
• Laut Bitkom waren binnen zwölf Monaten rund 28 Prozent der Unternehmen von Angriffen über ihre Zulieferer betroffen oder vermuteten solche — 9 Prozent bestätigt, 19 Prozent mit begründetem Verdacht.
• Der eigene IT-Dienstleister ist das größte Single-Point-Risiko: Ein Fernzugang zu vielen Kunden gleichzeitig macht ihn zum lohnenden Ziel.
• Schutz heißt: Verträge, Zugänge und Datenweitergabe prüfen — verbindliche Standards, Least Privilege, MFA, befristete Fernzugriffe und Netzwerksegmentierung.

Sie können Ihre eigene IT vorbildlich absichern und trotzdem stillstehen, weil jemand anderes gehackt wurde. Ein Angreifer sucht nicht den schwersten Weg, sondern den leichtesten. Und der ist oft nicht Ihr Unternehmen, sondern ein Zulieferer, ein Software-Hersteller oder Ihr eigener IT-Dienstleister mit direktem Zugang zu Ihren Systemen. Wenn das schwächste Glied der Kette fällt, reißt es die anderen mit — ganz unabhängig davon, wie gut Ihre eigene Tür verschlossen ist.

Warum Angreifer den Umweg über die Lieferkette nehmen

Ein Cyberangriff über die Lieferkette funktioniert nach einem simplen Prinzip: Gut geschützte Unternehmen werden über schwächer geschützte Partner angegriffen. Der Angreifer muss Ihre Verteidigung nicht überwinden, wenn er einen Drittanbieter findet, der bereits einen Fuß in Ihrer Tür hat.

Drei Einfallstore tauchen in der Praxis immer wieder auf: der Zulieferer mit Datenzugang, der Software-Lieferant mit einem Update-Kanal in Ihre Systeme und der IT-Dienstleister mit Fernzugriff. Allen gemeinsam ist eine bestehende Vertrauensbeziehung, die der Angreifer als Brücke nutzt.

Der Unterschied zum klassischen Direktangriff ist unbequem: Das Opfer hat den Einstieg gar nicht selbst verschuldet. Eine offene Schwachstelle beim Partner reicht. Deshalb ist Lieferkettensicherheit kein abstraktes Compliance-Thema, sondern ein konkretes Geschäftsrisiko für jeden Betrieb, der mit anderen vernetzt arbeitet.

Wie Lieferketten-Angriffe konkret ablaufen

Der gehackte Zulieferer

Viele Partner haben eine direkte Netzwerkverbindung zu Ihnen oder Zugriff auf vertrauliche Daten — Konstruktionsunterlagen, Bestelldaten, Kundeninformationen. Wird ein solcher Zulieferer kompromittiert, nutzt der Angreifer diese Vertrauensbeziehung als Brücke ins Zielnetz. Was als Datenabfluss beim Partner beginnt, endet als Produktionsausfall bei Ihnen.

Der manipulierte Software-Lieferant

Hier wird Schadcode über ein legitimes Software-Update verteilt. Der Kunde vertraut der Quelle, der Update prüft sich selbst — und installiert die Malware gleich mit. Genau das war beim SolarWinds-Vorfall der Mechanismus. Klassische Filter versagen oft, weil die Datei aus einer als sicher eingestuften Quelle kommt und korrekt signiert ist.

Der eigene IT-Dienstleister als Single Point of Failure

Das ist der unangenehmste Fall. Ein IT-Dienstleister hat per Definition Fernzugriff auf viele Kunden gleichzeitig. Wird er kompromittiert, sind potenziell alle angebundenen Unternehmen betroffen — auf einen Schlag. Je höher Ihre Abhängigkeit von einem einzigen Anbieter, desto größer dieser Single Point of Failure. Wie schnell aus Bequemlichkeit ein Klumpenrisiko wird, beschreibt unser Beitrag zu den Risiken einer hohen Abhängigkeit vom IT-Dienstleister.

Das Risiko in Zahlen

Die Bedrohung ist messbar, nicht theoretisch. Laut einer Bitkom-Auswertung waren binnen zwölf Monaten rund 28 Prozent der befragten deutschen Unternehmen von Cyberangriffen betroffen oder vermuteten solche, die über ihre Zulieferer liefen. Aufgeschlüsselt: 9 Prozent waren bestätigte Opfer von Angriffen über kompromittierte Partnerunternehmen, weitere 19 Prozent hatten einen begründeten Verdacht. Diese Zahlen dokumentiert die Bitkom-Auswertung zu Cyberangriffen über Zulieferer.

Bei den betroffenen Firmen blieb es selten beim Schreck: 41 Prozent berichteten von direkten betrieblichen Folgen wie Produktionsausfällen, Lieferengpässen und Reputationsschäden. Zur Einordnung der Größenordnung dient die Bitkom-Wirtschaftsschutzstudie 2025: Der Gesamtschaden für die deutsche Wirtschaft durch Datendiebstahl, Spionage und Sabotage ist auf rund 267 Milliarden Euro gestiegen, 87 Prozent der Unternehmen waren betroffen.

Dass die Lieferkette ein eigener Angriffsvektor ist, sieht auch das BSI so. In seinen NIS-2-Infopaketen zur sicheren Lieferkette weist die Behörde darauf hin, dass Schwachstellen in der Informationssicherheit der Lieferkette das Risiko für Datendiebstahl, Industriespionage und Systemmanipulation erhöhen.

Foxconn als Lehrstück — heruntergebrochen auf Ihren Betrieb

Im Mai 2026 traf es einen der größten Auftragsfertiger der Welt. Die Ransomware-Gruppe Nitrogen griff Foxconn an; die Störungen begannen Anfang Mai, am 12. Mai 2026 bestätigte das Unternehmen den Vorfall. Die Angreifer behaupten laut heise-Bericht zum Foxconn-Angriff durch Nitrogen, rund 8 Terabyte an Daten mit mehr als 11 Millionen Dateien abgezogen zu haben — darunter Topologie-Diagramme zu Komponenten großer Auftraggeber. (Der genaue Schadensumfang ist teils von Foxconn unbestätigt.)

Interessant ist der Schluss aus dem Fall — und der gilt eins zu eins für ein Hamburger Handwerks- oder Handelsunternehmen mit 30 Mitarbeitern: Rein fragebogenbasierte Lieferantenprüfungen reichen nicht aus. Ein einmal ausgefüllter Fragebogen sagt nichts über den Sicherheitszustand von morgen. Empfohlen wird stattdessen die kontinuierliche Beobachtung der externen Angriffsfläche von Partnern — exponierte Fernzugänge, veraltete Zertifikate, offene Ports.

Auf Ihre Größe heruntergebrochen heißt das: Sie müssen nicht jeden Lieferanten auditieren wie einen Konzern. Aber Sie sollten wissen, welche Partner einen technischen Zugang zu Ihnen haben, was dieser Zugang darf — und wie Sie ihn im Ernstfall in Minuten kappen.

Das Gerät wird vom Netzwerk getrennt und dadurch muss ich im Zweifel dann nur ein Gerät wiederherstellen.

Philip KraatzGeschäftsführer, hagel IT-Services GmbH

Genau dieses Prinzip — Schaden eingrenzen statt das ganze Haus brennen lassen — ist der Kern der Lieferkettensicherheit. Ein kompromittierter Partner darf nie das ganze Netz erreichen.

Prüfpunkte für Verträge, Zugänge und Datenweitergabe

Lieferkettensicherheit zerfällt in drei Ebenen. Keine ersetzt die andere — erst zusammen bilden sie einen wirksamen Schutz.

Vertragliche Ebene

Auf dem Papier wird die halbe Miete gemacht. Vereinbaren Sie verbindliche Cybersicherheitsstandards mit Ihren Zulieferern und prüfen Sie deren Einhaltung — nicht nur einmal beim Vertragsschluss. Legen Sie klare Meldepflichten bei Sicherheitsvorfällen fest, sodass ein Partner Sie informieren muss, bevor Sie es aus der Zeitung erfahren. Wo Sie personenbezogene Daten weitergeben, gehört ein Auftragsverarbeitungsvertrag (AVV) mit dem IT-Dienstleister dazu. Verantwortlichkeiten und Haftung sollten eindeutig geregelt sein.

Technische Ebene

Begrenzen Sie externe Zugänge auf das Nötigste (Least Privilege) und erzwingen Sie Multi-Faktor-Authentifizierung — gerade bei Fernzugriffen von Dienstleistern. Protokollieren Sie diese Zugriffe und befristen Sie sie zeitlich, statt dauerhafte Standleitungen offen zu lassen. Und segmentieren Sie Ihr Netz: Netzwerksegmentierung und -isolation sorgt dafür, dass ein kompromittierter Partner nicht das ganze Netzwerk erreicht. Wer MFA sauber ausrollen will, findet die Vorgehensweise in unserem Leitfaden zu Strategien für die Multi-Faktor-Authentifizierung.

Organisatorische Ebene

Identifizieren Sie zuerst Ihre kritischen Lieferanten und Single Points of Failure: Welcher Ausfall würde Sie wirklich treffen? Dokumentieren Sie, welche Daten an welche Dritten fließen, und minimieren Sie diese Weitergabe. Und ersetzen Sie den einmaligen Fragebogen durch eine kontinuierliche Beobachtung der Angriffsfläche Ihrer Partner. Auch die versteckten Risiken bei Integrationen und Drittanbieter-Apps gehören auf diese Liste — jede API ist ein Tor.

Diese Matrix ist kein Audit-Ersatz, sondern eine Startlinie. Sie sortiert, wo welcher Hebel sitzt — den genauen Umfang bestimmt am Ende Ihr individuelles Risiko.

• Zugänge inventarisieren. Wer von außen hat Fernzugriff auf Ihre Systeme — und seit wann? Jeder Zugang ohne klaren Zweck wird gekappt.
• MFA für alle externen Konten. Kein Dienstleister-Login ohne zweiten Faktor. Das ist der wirksamste Einzelhebel gegen einen kompromittierten Partner-Account.
• Netz segmentieren. Partner und Produktionssysteme gehören nicht ins selbe Segment wie Ihre Buchhaltung.
• Meldepflicht vertraglich verankern. Ein Vorfall beim Zulieferer muss Sie binnen Stunden erreichen, nicht Tage später.

Der IT-Dienstleister: Risiko und Lösung zugleich

Hier ist die ehrliche Selbstauskunft fällig, die viele Anbieter scheuen: Ein IT-Dienstleister ist immer ein potenzieller Single Point of Failure. Die richtige Frage bei der Auswahl lautet deshalb nicht „Was kostet es?”, sondern „Was passiert, wenn der Dienstleister selbst ausfällt oder kompromittiert wird?”.

Achten Sie auf das eigene Sicherheitsniveau des Anbieters, auf Transparenz über seine Zugriffe und auf verbindliche Reaktionszeiten. Ein guter Partner reduziert Ihr Lieferkettenrisiko aktiv — durch begrenzte, protokollierte Zugänge, MFA als Standard und ein segmentiertes Setup —, statt es zu erhöhen. Genau hier liegt der Unterschied zwischen einem austauschbaren Lieferanten und einem echten Co-Managed-IT-Partner, der mit Ihrem internen Team zusammenarbeitet.

Aus unserer Praxis in Hamburg und Norddeutschland sehen wir: Die meisten Mittelständler kennen ihre eigenen Geräte recht gut — aber kaum jemand hat eine vollständige Liste, welcher externe Partner welchen Zugang hält. Diese Lücke schließen wir als Erstes.

Es geht heute nicht mehr um die Frage, ob ein Unternehmen betroffen ist, sondern nur noch wann. Deshalb starten wir jede Zusammenarbeit mit einer Cyber-Risikoanalyse gemeinsam mit der Geschäftsführung — ehrlich, um zu sehen, wo Sie stehen und was als Erstes passieren muss.

Jens HagelGeschäftsführer, hagel IT-Services GmbH

Wie real diese Bedrohung für kleinere Unternehmen ist, hören wir regelmäßig in Erstgesprächen:

Abgrenzung: Lieferkettensicherheit ist nicht nur NIS2

Ein verbreitetes Missverständnis: „Lieferkette absichern” sei ein reines Compliance-Thema für NIS2-pflichtige Betriebe. Das stimmt nicht.

NIS2 macht für regulierte Unternehmen verbindlich, was für alle anderen schlicht kaufmännisch klug ist. Wenn Sie ohnehin wissen wollen, ob Sie betroffen sind, klärt das unser NIS2-Betroffenheits-Check in wenigen Minuten:

Die Einordnung dazu — und wie sich Lieferkettenpflichten in eine größere Strategie einfügen — liefert unser Beitrag zu IT-Sicherheitsstrategie und Risikomanagement für KMU. Wer wissen will, was im akuten Fall zu tun ist, findet in unserem Leitfaden Antworten darauf, was bei einem Ransomware-Angriff zu tun ist — statt das Lösegeld zu zahlen.

Ihr nächster Schritt

Lieferkettensicherheit beginnt nicht mit einer neuen Firewall, sondern mit einer ehrlichen Bestandsaufnahme: Welche Partner sind kritisch, welche Zugänge bestehen, welche Daten fließen wohin? Wie eine solche Analyse aussieht, zeigt unsere Fallstudie zur Cyber-Risiko-Analyse im Mittelstand.

Wir betreuen Unternehmen mit 5 bis 150 Mitarbeitern in Hamburg, Bremen, Kiel und Lübeck. Unser Managed IT Services-Angebot startet bei rund 50 Euro pro Arbeitsplatz und Monat und sorgt dafür, dass externe Zugänge sauber begrenzt, dokumentiert und überwacht sind — statt ein offenes Tor zu Ihrer Lieferkette zu sein. Einen Überblick über unsere Arbeit als IT-Dienstleister in Hamburg finden Sie auf der Standortseite, einen Einstieg auch direkt auf der Startseite von hagel IT.