Supply-Chain-Risiken: Wenn der Lieferant zum Einfallstor wird
Je mehr Unternehmen auslagern, desto weniger Kontrolle haben sie über ihre Sicherheit. Gleichzeitig fordern Regulierungen mehr Nachweise denn je. Wie CISOs diesen Widerspruch auflösen – auch ausserhalb der eigenen Firewall.
August 2026, Text Andreas Heer 7 Min.
Ein Schweizer Unternehmen analysiert einen Sicherheitsvorfall, bei dem Daten abgeflossen sind. Die Untersuchung ergibt, dass der Zugang über einen ungenügend gesicherten SaaS-Dienst erfolgte. Dieser Service war zwar seit Längerem im Einsatz, aber weder als kritische Abhängigkeit klassifiziert noch entsprechend überwacht worden.
Das Muster ist aus realen Fällen bekannt: Beim Cyberangriff auf einen Schweizer Beschaffungsdienstleister im Jahr 2025 gelangten über den Lieferanten Daten von Mitarbeitenden verschiedener Unternehmen ins Darknet. Und im Juli 2026 erbeuteten Cyberkriminelle Daten eines grossen Industriebetriebs über die Plattform eines Zulieferers und verlangten (vergeblich) Lösegeld in Millionenhöhe.
Die Supply Chain als Angriffsfläche
Solche Vorfälle sind keine Einzelfälle mehr. Gemäss dem Data Breach Investigations Report 2026 (DBIR) von Verizon betrifft mittlerweile fast die Hälfte aller Breaches eine Drittpartei – eine Zunahme um 60% gegenüber dem Vorjahr.
Das verändert den Blickwinkel des CISO. Wenn sich die Angriffsfläche ins Ökosystem verschiebt, braucht eine wirksame Cybersecurity Transparenz, Kontrolle und Erkennungsmöglichkeiten über die eigene Infrastruktur hinaus. Zumal dieses Ökosystem an Bedeutung gewonnen hat und weiter gewinnt, wie Oliver Jäschke ausführt, Product Owner Security Assurance bei Swisscom und damit für die Sicherheit von Lieferantenbeziehungen zuständig: «Die Abhängigkeit von SaaS-Diensten und Lieferanten ist massiv gestiegen. Heute binden Unternehmen Funktionalitäten via API ein, statt sie selbst zu entwickeln und auch Bugs selbst beheben zu können.» Diese Abhängigkeit stellt aber noch ein weiteres Risiko dar, betont Oliver Jäschke: «Unternehmen sind auch abhängig von der Verfügbarkeit der eingesetzten SaaS-Dienste. Wenn beispielsweise das CRM nicht läuft, können Mitarbeitende weder mit Kunden Anliegen besprechen noch wissen sie, was die nächsten Aufträge sind.»
Das gilt umso mehr für kritische Services: «Auch Cloud-Dienste grosser Anbieter können ausfallen, wie die jüngere Vergangenheit gezeigt hat», sagt Oliver Jäschke. Dieses Risiko sollten Unternehmen ebenfalls einkalkulieren. Genauso wie dasjenige der fehlenden Transparenz, so Oliver Jäschke: «Gerade bei kleineren Tools ist oft unklar, welchen Cloud-Anbieter sie im Hintergrund nutzen.»
Hinzu kommt das Konzentrationsrisiko: Viele Unternehmen – und viele ihrer SaaS-Anbieter – setzen im Hintergrund auf dieselben wenigen Hyperscaler. Dadurch entstehen sogenannte Fourth-Party-Risiken: Selbst wenn die direkten Lieferanten unterschiedlich sind, können mehrere kritische Services von denselben Basisdiensten abhängig sein. Ein Ausfall oder Sicherheitsvorfall kann dadurch weitreichendere Auswirkungen haben als ursprünglich angenommen. Für Branchen wie den Finanzsektor ist dieses Risiko auch regulatorisch relevant, etwa im Rahmen der FINMA-Vorgaben zum Outsourcing.
Welche Risiken in der Supply Chain lauern
Trotz des unbestrittenen Nutzens moderner SaaS-Dienste, Software und Services von Drittanbietern: Die Angriffsfläche für Cyberkriminelle ist heute wesentlich grösser als in klassischen On-Prem-Umgebungen und umfasst:
- SaaS- und Cloud-Plattformen (inklusive Shared Responsibility)
- Managed Service Provider (MSP)
- Open-Source-Komponenten und -Bibliotheken in Vendor Stacks
- KI-Modelle und APIs
Entsprechend haben sich die Muster der Angreifer gewandelt. Sie suchen gezielt nach dem schwächsten Glied in der Lieferkette – oder nach demjenigen mit den grössten Auswirkungen. Dabei erfolgen die Angriffe nicht mehr nur «klassisch» über Phishing-Mails und Sicherheitslücken, sondern über die gesamte Breite der Angriffsfläche:
- kompromittierte SaaS-Konten mit erweiterten Berechtigungen
- manipulierte Software-Updates oder manipulierte Abhängigkeiten wie beispielsweise Software-Bibliotheken
- Lateral Movement über Integrationen und APIs
- Zugriff über privilegierte Dienstleister (Managed Service Provider)
Diese Angriffe sind schwer zu erkennen, weil sie ausserhalb des Einflussbereichs der eigenen Cyberdefence liegen. Diese besitzt weniger Kontrolle und ist bis zu einem gewissen Grad auf die Security-Reife der Lieferkette angewiesen. Denn ein Monitoring ist je nach Anbieter schwierig. «Hier hilft uns Threat Intelligence, um Sicherheitslücken zu erkennen», sagt Oliver Jäschke. «Oder der fachliche Austausch über Unternehmensgrenzen hinweg. Das bedingt ein SOC, das gut vernetzt ist.»
Regulierungen als Treiber für mehr Kontrolle
Es ist bis zu einem gewissen Grad ein Paradox: Einerseits verlieren Unternehmen mit der zunehmenden Nutzung von Drittanbieter-Services ein Stück weit die Kontrolle. Andererseits verlangen neue und überarbeitete Regulierungen nach mehr Kontrolle und Transparenz. Und auch wenn das eigene Unternehmen vielleicht nicht direkt unter ein Informationssicherheitsgesetz (ISG) fällt oder die europäische NIS-2-Richtlinie befolgen muss: Kundenbeziehungen und die Rolle als Zulieferer können dazu führen, dass die Anforderungen dieser Regulierungen trotzdem eingehalten werden müssen.
Oliver Jäschke führt ein Beispiel dieser veränderten Realität aus: «Mit dem Digital Operational Resilience Act (DORA) ist die Nachweispflicht für die Finanzbranche in der EU deutlich gestiegen. Beispielsweise muss dokumentiert werden, wie Lieferanten ins Business Continuity Management (BCM) eingebunden sind.»
Die Regulierungen bringen teils auch Meldepflichten mit sich – mit Fristen meist zwischen 24 und 72 Stunden. Bei einem schwerwiegenden Vorfall verlangt DORA sogar eine Meldung innert vier Stunden. Zudem bleibt bei einem Datenabfluss über einen Dritten die datenschutzrechtliche Verantwortung gemäss dem revidierten Datenschutzgesetz (DSG) beim auftraggebenden Unternehmen. Ist nun ein Lieferant in einen Incident involviert, bräuchte es die entsprechenden Informationen. Doch das klappt in der Praxis oft nicht, wie Oliver Jäschke ausführt: «Häufig scheitert es an der Kommunikation. Hier muss sich mit den neuen Regulatorien etwas ändern.»
Massnahmen fürs Risikomanagement der Supply Chain
Der entscheidende Faktor fürs Risikomanagement der Lieferkette ist Transparenz. «Unternehmen müssen die kritischen Lieferanten kennen, die bei einem Sicherheitsvorfall den Betrieb gefährden können», sagt dazu Oliver Jäschke. «Dann lassen sich auch deren Sicherheitsmassnahmen prüfen.»
In der Praxis geschieht das etwa über anerkannte Nachweise wie ISO-27001-Zertifikate oder SOC-2- und ISAE-3402-Berichte. Ebenso wichtig ist eine klare Governance: Third-Party-Risiken brauchen eine definierte Verantwortlichkeit – unter Einbezug von Einkauf, Legal und Business, nicht nur der Security-Organisation.
Transparenz ist auch nötig fürs Inventar der eingesetzten SaaS-Dienste, MSP und externen API. Das ist Voraussetzung dafür, dass Threat Detection and Response Reaktionspläne und Playbooks entwickeln kann für Vorfälle in der Supply Chain.
Transparenz allein genügt jedoch nicht. Zu einem wirksamen Third-Party-Risikomanagement gehören zusätzlich:
- ein Tiering der Lieferanten nach Kritikalität, damit die Prüftiefe dem Risiko entspricht
- kontinuierliches Monitoring der kritischen Lieferanten statt jährlicher Fragebögen
- vertragliche Sicherheitsanforderungen wie Audit-Rechte, Meldefristen bei Vorfällen und Exit-Klauseln
- SBOM-Anforderungen (Software Bill of Materials), um Transparenz über eingesetzte Software-Komponenten zu schaffen
- Supply-Chain-Szenarien in Tabletop-Übungen und im BCM, damit Reaktionspläne nicht erst im Ernstfall entstehen
- konsequentes Berechtigungsmanagement für SaaS-Konten, Service-Accounts und Dienstleisterzugriffe: least Privilege, MFA sowie Kontrolle von OAuth- und API-Integrationen
- ein durchgängiger Lieferanten-Lifecycle mit Due Diligence vor dem Onboarding, periodischen Re-Assessments und geregeltem Offboarding
Supply-Chain-Sicherheit als Resilienz-Faktor
Aktuelle Third-Party-Risk-Programme verfolgen nicht nur das Ziel, Sicherheitslücken zu vermeiden. Entscheidend ist die Fähigkeit eines Unternehmens, auch beim Ausfall eines kritischen Dienstleisters handlungsfähig zu bleiben. Damit rückt Operational Resilience stärker in den Vordergrund als die reine Compliance-Perspektive.
Nicht jedes Lieferantenrisiko lässt sich mitigieren. Umso wichtiger ist ein definierter Prozess für die Risikoakzeptanz: Wer trägt Restrisiken, und sind sie mit dem Risk Appetite des Unternehmens vereinbar? Orientierung bei der Umsetzung bieten etablierte Standards wie ISO 27036, die Lieferanten-Controls der ISO 27001 oder der IKT-Minimalstandard des Bundes.
Die Herausforderung für CISOs besteht heute nicht mehr darin, jede Supply-Chain-Komponente zu kontrollieren. Entscheidend ist die Fähigkeit, kritische Abhängigkeiten zu erkennen, Risiken transparent zu machen und die Widerstandsfähigkeit des Unternehmens gegenüber Ausfällen und Sicherheitsvorfällen systematisch zu erhöhen. Supply-Chain-Sicherheit wird damit zu einer Kernaufgabe moderner Unternehmensresilienz.