Digitale Lieferketten absichern: Security über Unternehmensgrenzen hinaus

Digitale Lieferketten sind heute Teil der Unternehmens-IT: Cloud-Plattformen, SaaS-Dienste, Open-Source-Komponenten und externe Dienstleister, Managed-Service-Provider, Schnittstellen und spezialisierte Plattformen. Das ist effizient und flexibel, verändert aber auch die Risikolage: Mit jeder externen Abhängigkeit entsteht eine Vertrauensbeziehung – und damit ein möglicher Angriffsweg.

Die Unternehmensgrenze reicht nicht mehr

Klassische Sicherheitsprogramme wurden lange entlang klarer Unternehmensgrenzen aufgebaut. Dieses Modell passt nur noch bedingt zu einer Realität, in der digitale Services über Organisationsgrenzen hinweg erbracht werden.

Ein moderner Geschäftsprozess läuft über APIs, Identitätsdienste, Cloud-Infrastrukturen, externe Softwarebibliotheken und Dienstleister. Wer heute eine Kundenplattform, ein Verwaltungsportal oder eine interne Fachanwendung betreibt, betreibt ein digitales Ökosystem. Das BSI beschreibt Lieferketten ausdrücklich als relevanten Teil der Cyberresilienz.

Für Entscheider:innen verschiebt sich damit die zentrale Frage:

Welche externen Abhängigkeiten sind für unsere Handlungsfähigkeit entscheidend?
Wie gut kennen wir das Sicherheitsniveau unserer Anbieter?
Wo entsteht im Ernstfall ein kritischer Engpass?

Lieferkettensicherheit ist Führungsaufgabe

Lieferkettensicherheit beginnt nicht erst kurz vor der Produktivsetzung. Wirksamer ist sie dann, wenn sie früh in der Anbieterentscheidung und im laufenden Lebenszyklus mitgedacht wird.

Ein Dienstleister mit administrativem Zugriff ist anders zu bewerten als ein reiner Content-Lieferant. Eine tief integrierte Softwarekomponente hat ein anderes Risikoprofil als ein isoliertes Hilfswerkzeug. Ein Cloud-Service mit geschäftskritischen Daten braucht andere Anforderungen als ein Dienst ohne Zugriff auf sensible Informationen.

Daraus folgen drei Dinge:

Kritische Abhängigkeiten sichtbar machen
Risiken angemessen bewerten
Verantwortlichkeiten über den gesamten Lebenszyklus steuern

Damit wird Lieferkettensicherheit zur Führungsaufgabe. Sie betrifft Einkauf, IT, Informationssicherheit, Datenschutz, Legal, Fachbereiche und Geschäftsführung gleichermaßen.

Vertrauen braucht Nachweise

Ein bekannter Anbieter, ein großes Logo oder eine lange Geschäftsbeziehung schaffen noch keine belastbare Sicherheit. Dafür braucht es überprüfbare Nachweise.

Wichtige Fragen sind:

Welche Standards werden eingehalten?
Wie laufen Schwachstellenmeldung und -behebung?
Wie schnell kommen kritische Updates?
Welche Unterauftragnehmer sind beteiligt?
Wo liegen Daten?
Wer hat administrativen Zugriff?
Was passiert im Sicherheitsvorfall?

Diese Fragen sind nicht nur operativ, sondern strategisch. Sie entscheiden darüber, ob ein Unternehmen im Ernstfall handlungsfähig bleibt.

Software ist mehr als Code

Besonders deutlich wird die Herausforderung in der Softwareentwicklung. Moderne Anwendungen bestehen zu großen Teilen aus Frameworks, Bibliotheken, Container Images, APIs, Build-Werkzeugen und Open-Source-Komponenten. Diese Bausteine ermöglichen Geschwindigkeit, Qualität und Innovationsfähigkeit.

Risiko entsteht dort, wo Unternehmen zu wenig Transparenz über die Bestandteile ihrer Produkte haben. Wenn eine kritische Schwachstelle in einer weit verbreiteten Bibliothek bekannt wird, zählt vor allem die Reaktionsfähigkeit: Wo wird die Komponente eingesetzt? Welche Systeme sind betroffen? Welche Versionen laufen? Wer ist verantwortlich? Wie schnell ist ein Update möglich?

Hier setzen Software Bill of Materials, kurz SBOM, und ein strukturiertes Vulnerability Management an. Eine SBOM macht sichtbar, welche Softwarebestandteile in einem Produkt enthalten sind. Das BSI beschreibt SBOMs als Mittel, um Abhängigkeiten zu Komponenten Dritter transparent zu machen und das Monitoring von Schwachstellen zu unterstützen.

Der europäische Cyber Resilience Act verstärkt diese Entwicklung für Produkte mit digitalen Elementen, die auf dem EU-Markt bereitgestellt werden. Die wesentlichen Anforderungen greifen ab 11. Dezmber 2027, die Meldepflichten für aktiv ausgenutzte Schwachstellen und schwere Sicherheitsvorfälle ab 11. September 2026.

Software Supply Chain Security wird damit von einer guten Praxis zu einem festen Bestandteil professioneller Produktverantwortung.

Resilienz entsteht vor dem Vorfall

Spätestens im Vorfall zeigt sich, ob Lieferkettenrisiken zuvor verstanden und gesteuert wurden. Dann wird geprüft, ob ein Anbieter betroffen ist, ob Daten abgeflossen sind oder ob Systeme abgeschaltet werden müssen.

Ein belastbares Lieferkettenmanagement braucht:

ein aktuelles Bild der kritischen Anbieter
eine Risikoklassifizierung
klare vertragliche Anforderungen
definierte Meldewege
technische Mindeststandards
regelmäßige Überprüfung
eine Vorstellung davon, wie der Betrieb weiterläuft, wenn ein Dienstleister ausfällt

Ohne diese Vorarbeit wird jeder Sicherheitsvorfall zum Suchspiel. Entscheidend ist die Fähigkeit, schnell und belastbar zu entscheiden. Im Krisenfall muss die Organisation wissen, wer zuständig ist, welche Lieferanten kritisch sind, welche Daten und Systeme betroffen sein können, welche Alternativen existieren und wie schnell ein Management-Update möglich ist. Ohne diese Vorarbeit wird jeder Sicherheitsvorfall zum Suchspiel.

Digitale Souveränität beginnt bei Transparenz

Lieferkettensicherheit hat eine strategische Dimension, die über klassische Cybersecurity hinausgeht. Wer seine kritischen digitalen Abhängigkeiten kennt, kann souveräner entscheiden und resilienter handeln.

Digitale Souveränität bedeutet, bewusste Entscheidungen über Abhängigkeiten zu treffen. Dazu gehören Alternativen, Ausstiegsoptionen, Datenflüsse sowie technische, wirtschaftliche und rechtliche Risiken.

Deshalb gehört Lieferkettensicherheit auf die Agenda von Geschäftsführung, IT-Leitung, Einkauf, Legal, Datenschutz und Fachbereichen. Sie ist Teil der Unternehmenssteuerung.

Der erste Schritt

Der Einstieg beginnt nicht mit Spezialwerkzeugen, sondern mit einem belastbaren Bild der digitalen Abhängigkeiten.

Wichtige Leitfragen sind:

Welche Anbieter sind geschäftskritisch?
Welche Systeme, Daten und Prozesse hängen an ihnen?
Wer hat privilegierten Zugriff?
Welche Verträge enthalten Sicherheitsanforderungen?
Welche Dienstleister wären im Ernstfall sofort zu kontaktieren?

Aus diesen Antworten entsteht ein belastbares Risikobild. Darauf aufbauend lassen sich Anforderungen priorisieren, Verträge nachschärfen und Incident-Response-Pläne um externe Partner erweitern.

Verantwortung bleibt im eigenen Haus

Digitale Lieferketten ermöglichen Geschwindigkeit, Spezialisierung und Skalierung. Gleichzeitig verschieben sie Verantwortung. Unternehmen können Leistungen auslagern, die Verantwortung für ihre digitale Handlungsfähigkeit bleibt jedoch im eigenen Haus.

Wer digitale Produkte, Plattformen oder Prozesse verantwortet, sollte die eigene Lieferkette als Teil der eigenen Angriffsfläche verstehen. Wer darauf eine belastbare Antwort geben kann, hat mehr als ein Compliance-Thema gelöst. Er oder sie hat einen wichtigen Baustein digitaler Resilienz geschaffen.

Dein Experte

Marc Schwabe ist Information Security Consultant bei team neusta. Er hilft Unternehmen, Sicherheit organisatorisch wie technisch in Entwicklungs- und Betriebsprozessen zu verankern – mit Schwerpunkt auf Build- und Auslieferungsprozessen, robusten Sicherheitsarchitekturen und der Umsetzung von Audit- und Normanforderungen.

Du willst mehr erfahren?

Marc Schwabe freut sich, von dir zu hören: m.schwabe@neusta.de