Die Supply Chain, zu Deutsch Lieferkette, bezeichnet im IT-Sicherheitskontext das Netzwerk aus Software-, Hardware- und Dienstleistungsanbietern, über die ein Unternehmen mittelbar Cyberrisiken ausgesetzt sein kann, insbesondere im betrieblichen Alltag und im laufenden Betrieb.
Im Kontext der Cybersicherheit beschreibt die Supply Chain sämtliche externen Anbieter, Dienstleister, Softwarekomponenten und Partnerunternehmen, die in die eigenen digitalen Prozesse eingebunden sind. Da moderne Unternehmen zunehmend auf Cloud-Dienste, externe Software und Subdienstleister angewiesen sind, wächst auch das Risiko, dass Schwachstellen bei einem einzelnen Glied der Lieferkette Auswirkungen auf viele angeschlossene Unternehmen haben. Die Absicherung der gesamten Lieferkette gilt daher als zentraler Bestandteil moderner IT-Sicherheitsstrategien.
Für Unternehmen bedeutet dies, dass die eigene IT-Sicherheit nicht isoliert betrachtet werden kann, sondern auch von der Sicherheit externer Partner abhängt.
Für Architektur- und Ingenieurbüros ist die Supply Chain relevant, da häufig externe Projektplattformen, Cloud-Anbieter, Subplaner und Softwaredienstleister eingebunden sind, über die Planungsdaten und Projektkommunikation laufen. Eine Schwachstelle bei einem dieser Partner kann direkte Auswirkungen auf das eigene Büro haben.
Die Supply Chain unterscheidet sich vom konkreten Supply-Chain-Angriff dadurch, dass sie das gesamte Netzwerk an Abhängigkeiten beschreibt, während der Angriff die tatsächliche Ausnutzung einer Schwachstelle innerhalb dieser Lieferkette bezeichnet.
Für Planungsbüros ist die eigene Supply Chain relevant, weil viele digitale Prozesse von externen Anbietern abhängen, etwa Projektplattformen, Cloud-Speicher oder Software für BIM- und CAD-Daten. Eine Sicherheitslücke bei einem dieser Dienstleister kann sich direkt auf das eigene Büro auswirken, selbst wenn die eigenen Systeme gut abgesichert sind. Ein Verständnis der eigenen Lieferkette hilft bei der Auswahl vertrauenswürdiger Anbieter, der Bewertung von Abhängigkeiten und der Einschätzung des Gesamtrisikos. Auch für die Cyberversicherung ist relevant, welche externen Dienstleister eingebunden sind, da dies Einfluss auf das Risikoprofil und mögliche Deckungsfragen haben kann. Ein realistisches Verständnis dieses Zusammenhangs hilft Ihnen zudem, Prioritäten bei der eigenen IT-Sicherheit sinnvoll zu setzen und im Beratungsgespräch zur Cyberversicherung fundierte Fragen zu stellen.
Ein Generalplanungsbüro nutzt eine externe Projektplattform für den Austausch von BIM-Modellen mit mehreren Subplanern. Der Anbieter dieser Plattform wird Opfer eines Cyberangriffs, wodurch auch die dort gespeicherten Projektdaten des Büros betroffen sind. Obwohl die eigenen Systeme des Büros nicht direkt angegriffen wurden, entstehen Verzögerungen im Projekt und Unsicherheit bei Auftraggebern. Der Vorfall zeigt, wie stark die eigene Sicherheit von der Absicherung der gesamten digitalen Lieferkette abhängt. Der Vorfall wird intern dokumentiert und dient als Grundlage für weitere, gezielte Verbesserungen der eigenen IT-Sicherheit.
Die Supply Chain umfasst alle externen Anbieter, Dienstleister und Softwarekomponenten, die in die digitalen Prozesse eines Unternehmens eingebunden sind und dadurch Cyberrisiken übertragen können.
Weil Schwachstellen bei einem einzelnen externen Partner Auswirkungen auf viele angeschlossene Unternehmen haben können, selbst wenn die eigenen Systeme gut geschützt sind.
Projektplattformen, Cloud-Anbieter und Subplaner sind häufig eng in die digitale Zusammenarbeit eingebunden, sodass Sicherheitslücken bei diesen Partnern direkte Folgen für das eigene Büro haben können.
Externe Abhängigkeiten können das Risikoprofil eines Unternehmens beeinflussen. Ob und wie Schäden durch Dritte versichert sind, hängt vom konkreten Vertrag ab.
Die Supply Chain beschreibt das gesamte Netzwerk an Abhängigkeiten, während ein Supply-Chain-Angriff die konkrete Ausnutzung einer Schwachstelle innerhalb dieses Netzwerks bezeichnet.
• Supply Chain Angriff – Konkrete Angriffsform, die Schwachstellen innerhalb der Lieferkette ausnutzt
• Exploit – Technische Grundlage vieler Angriffe entlang der Lieferkette
• Advanced Persistent Threat (APT) – Langfristige Angriffe nutzen häufig Schwachstellen in der Supply Chain
• Attack Vector – Beschreibt Angriffswege, die auch über Lieferkettenpartner verlaufen können