Schwachstelle Lieferkette – Warum KMU ihre Partner kritisch prüfen müssen

Cyberangriffe treffen heute längst nicht mehr nur große Konzerne. Auch kleine und mittlere Unternehmen (KMU) werden Opfer, weil ein externer Dienstleister oder Zulieferer kompromittiert wurde. In einer zunehmend vernetzten Wirtschaft bedeutet das: Die eigene Sicherheit hängt auch von der Sicherheit anderer ab. Genau hier liegt eine oft unterschätzte Gefahr – die Lieferkettensicherheit.

Vertrauen ist gut, Kontrolle ist Pflicht

In vielen KMU herrscht noch das Prinzip des gegenseitigen Vertrauens gegenüber Partnern. Doch Vertrauen ersetzt keine Überprüfung. Wenn ein IT-Dienstleister, Softwareanbieter oder Cloud-Betreiber Opfer eines Angriffs wird, kann dies unmittelbare Folgen für alle verbundenen Unternehmen haben. Angreifer nutzen kompromittierte Systeme, um Schadsoftware weiterzuverbreiten oder auf Kundennetze zuzugreifen.

Ein typisches Szenario: Ein regionaler Handwerksbetrieb wird über den infizierten Fernwartungszugang seines Lohnabrechnungsdienstleisters angegriffen. Obwohl der Betrieb selbst keine Sicherheitslücke hat, fließen sensible Mitarbeiterdaten ab. Das zeigt, dass IT-Sicherheit entlang der gesamten Lieferkette gedacht werden muss.

Rechtliche Verantwortung entlang der Kette

Für Unternehmen, die als wichtige oder besonders wichtige Einrichtungen unter das BSI-Gesetz fallen, ist die Sicherheit der Lieferkette seit dem Inkrafttreten des NIS2-Umsetzungs- und Cybersicherheitsstärkungsgesetzes am 6. Dezember 2025 ausdrücklich Teil der Risikomanagementmaßnahmen (§ 30 Abs. 2 Nr. 4 BSIG). Das umfasst ausdrücklich die sicherheitsbezogenen Aspekte der Beziehungen zu unmittelbaren Anbietern und Diensteanbietern. KMU, die selbst nicht unter das BSIG fallen, sind davon mittelbar betroffen: Ihre regulierten Kunden werden zunehmend vertragliche Sicherheitsnachweise verlangen. Der Cyber Resilience Act (Verordnung (EU) 2024/2847) setzt an anderer Stelle an: Er verpflichtet Hersteller von Produkten mit digitalen Elementen zu Cybersicherheitsanforderungen über den gesamten Produktlebenszyklus; seine Meldepflichten gelten seit dem 11. September 2026, die übrigen Pflichten ab dem 11. Dezember 2027. Für Käufer solcher Produkte wird damit leichter überprüfbar, welche Sicherheitszusagen ein Hersteller einhalten muss.

Wer Dienstleistungen auslagert, bleibt für die eigenen Daten und Prozesse verantwortlich. Gerade für KMU bedeutet das: Es reicht nicht aus, sich auf Zusicherungen zu verlassen. Dienstleisterverträge sollten verbindliche Sicherheitsanforderungen, Auditrechte und Meldepflichten enthalten.

Auch die DSGVO verlangt, dass Verantwortliche nur mit Auftragsverarbeitern zusammenarbeiten, die hinreichende Garantien für geeignete technische und organisatorische Maßnahmen bieten (Art. 28 Abs. 1 DSGVO). Der Auftragsverarbeitungsvertrag muss Überprüfungen einschließlich Inspektionen ermöglichen (Art. 28 Abs. 3 lit. h DSGVO). Nach unserer Einschätzung genügt eine einmalige Prüfung zu Beginn der Zusammenarbeit nicht; die Maßnahmen sollten regelmäßig überprüft werden (vgl. Art. 32 Abs. 1 lit. d DSGVO).

Typische Risiken in der Lieferkette

• Fehlende Transparenz über eingesetzte Subunternehmer oder IT-Komponenten
• Unklare Verantwortlichkeiten im Sicherheitsfall
• Mangelnde Verschlüsselung und Zugriffskontrolle bei Datentransfers
• Ungeprüfte Software-Updates oder Cloud-Integrationen
• Keine Sicherheitsvereinbarungen in Dienstleistungsverträgen

Gerade in kleineren Unternehmen sind diese Punkte häufig nicht dokumentiert oder geprüft – ein Einfallstor für Angreifer.

Wie KMU ihre Partner absichern können

Eine sichere Lieferkette beginnt mit klaren Prozessen. Unternehmen sollten zunächst eine Übersicht aller externen Dienstleister und Systeme erstellen, die auf interne Daten oder Netzwerke zugreifen. Anschließend gilt es, diese nach Kritikalität zu bewerten und gezielt abzusichern. Empfehlenswert sind:

• vertragliche Festlegung von Sicherheitsstandards (z. B. ISO/IEC 27001:2022 inkl. Amd 1:2024 oder BSI IT-Grundschutz)
• Sicherheits- und Datenschutz-Selbstauskunft vor Vertragsbeginn
• Nachweis regelmäßiger Penetrationstests oder Sicherheitsaudits
• Verpflichtung zur unverzüglichen Meldung von Sicherheitsvorfällen
• Kontrolle und Dokumentation aller Datenflüsse

Darüber hinaus kann ein zentrales Lieferantenmanagement helfen, Risiken systematisch zu bewerten und Prioritäten zu setzen. Wer nur auf technische Lösungen setzt, greift zu kurz – organisatorische Maßnahmen sind ebenso wichtig.

Praxisbeispiel

Ein mittelständisches Produktionsunternehmen führte ein standardisiertes Sicherheits-Onboarding für neue Dienstleister ein. Jeder Partner musste vor Vertragsunterzeichnung eine kurze Checkliste zur IT-Sicherheit ausfüllen. Anschließend erfolgte eine Bewertung durch den internen Informationssicherheitsbeauftragten. Das Ergebnis: mehr Transparenz über die eingesetzten Dienstleister und eine belastbare Grundlage für Vertragsverhandlungen.

Fazit

Lieferkettensicherheit ist kein Thema nur für große Konzerne. Auch KMU sind ein Ziel für Angreifer, die sich über schwächere Glieder in die IT-Systeme schleusen. Wer externe Partner sorgfältig auswählt, überprüft und klare Sicherheitsanforderungen vertraglich festlegt, reduziert das Risiko erheblich. Informationssicherheit endet nicht an der Unternehmensgrenze – sie muss entlang der gesamten Wertschöpfungskette gedacht werden.

Ihr nächster Schritt

Wir unterstützen Sie dabei, Ihre Lieferkette systematisch abzusichern – technisch, organisatorisch und rechtlich: Schwachstellen identifizieren, Prüfprozesse entwickeln, Verträge gestalten. Sprechen Sie uns für eine Beratung zur Lieferkettensicherheit an.