Ihre Lieferkette absichern

Was ist eine „Lieferkette" in der IT-Sicherheit?

Kein Unternehmen betreibt seine IT komplett allein. Software, Cloud-Dienste, Zulieferer und Dienstleister sind alle Teil der „Lieferkette". Wird einer dieser Partner gehackt, kann das auch das eigentliche Ziel-Unternehmen treffen, selbst wenn dessen eigene Systeme sicher waren.

Weiterführend: Lieferkette (Wikipedia)

Warum auch kleine Betriebe eine Lieferkette haben

Auch als Selbstständige nutzen Sie vermutlich Buchhaltungssoftware, einen Cloud-Speicher, vielleicht einen externen IT-Dienstleister und diverse Online-Tools. Jeder davon ist ein potenzieller Angriffsweg in Ihr Geschäft.

Ein einfacher erster Schritt

• Machen Sie eine kurze Liste: Welche externen Dienste und Anbieter haben Zugriff auf Ihre Daten oder Systeme?
• Prüfen Sie bei den wichtigsten davon, ob es öffentliche Sicherheitsvorfälle gab.
• Nutzen Sie nach Möglichkeit MFA auch für Zugänge zu diesen Drittanbieter-Diensten.

Weiterführend: Den richtigen IT-Dienstleister auswählen

Warum Lieferketten-Risiken oft unterschätzt werden

Viele Sicherheitsvorfälle bei kleinen und mittleren Unternehmen laufen über kompromittierte Zulieferer, Software-Anbieter oder IT-Dienstleister, ohne dass das eigene Unternehmen direkt angegriffen wird. Ihre eigene Sicherheit ist immer nur so stark wie das schwächste Glied Ihrer Lieferkette.

Unsere Schritte zur Absicherung

1. Lieferkette kartieren: Erstellen Sie eine Übersicht aller Zulieferer und Dienstleister mit Systemzugriff oder Datenzugang. Berücksichtigen Sie bei kritischen Abhängigkeiten auch indirekte Zulieferer, also die Zulieferer Ihrer Zulieferer.
2. Kritikalität bewerten: Welcher Ausfall oder welche Kompromittierung hätte die größten Auswirkungen auf Ihr Geschäft?
3. Sicherheitsanforderungen vertraglich verankern: Mindeststandards (z. B. MFA, Meldepflichten bei Vorfällen) in Verträgen festschreiben.
4. Zugriffsrechte minimieren: Zulieferer erhalten nur Zugriff auf das, was für ihre Aufgabe nötig ist.
5. Regelmäßig überprüfen: Lieferkettenrisiken verändern sich. Eine einmalige Bewertung reicht nicht.

Weiterführend: Empfehlungen (BSI) · Lieferkettensorgfaltspflichtengesetz (Wikipedia)