Ein Supply Chain Angriff Schweiz betrifft oft nicht den direkt angegriffenen Betrieb, sondern einen Lieferanten mit privilegiertem Zugang. Ein kompromittierter IT-Dienstleister, eine manipulierte Softwareaktualisierung oder ein gestohlenes Konto kann dadurch zur Eintrittsstelle in Ihre Umgebung werden.
Was ist ein Supply Chain Angriff?
Ein Supply Chain Angriff ist ein Cyberangriff über einen Lieferanten, Dienstleister, Partner oder eine technische Abhängigkeit. Angreifer umgehen dabei häufig die direkte Verteidigung eines Unternehmens und nutzen einen vertrauenswürdigen Zugang in der Lieferkette.
Die Angriffswege sind vielfältig:
- Ein Managed-Service-Provider verliert die Kontrolle über ein Administrationskonto.
- Schadsoftware gelangt über ein kompromittiertes Softwarepaket in mehrere Kundensysteme.
- Ein Anbieter speichert vertrauliche Daten ohne ausreichende Zugriffskontrollen.
- Ein externer Supportzugang bleibt nach einem Projekt aktiv.
- Ein Angreifer manipuliert Firmware, Updates oder Abhängigkeiten in einer Anwendung.
Für Schweizer Unternehmen ist das Risiko besonders relevant, wenn Lieferanten Personendaten bearbeiten, kritische Geschäftsprozesse betreiben oder Zugang zu Finanz-, Gesundheits- oder Produktionssystemen besitzen. Das revDSG verpflichtet Unternehmen unter anderem dazu, Personendaten angemessen zu schützen. Bei Auftragsbearbeitern bleiben Verantwortlichkeiten und Kontrollpflichten relevant.
Warum ist die Lieferkette Cybersecurity für Schweizer Unternehmen wichtig?
Die Lieferkette Cybersecurity ist entscheidend, weil ein Unternehmen die Sicherheitsmassnahmen seiner Partner nicht automatisch kontrollieren kann. Gleichzeitig können externe Parteien weitreichende Berechtigungen, Datenzugriffe oder technische Abhängigkeiten besitzen.
Ein Lieferant kann beispielsweise:
- über VPN, Remote Desktop oder eine Fernwartung auf interne Systeme zugreifen,
- Cloud-Daten im Auftrag des Unternehmens bearbeiten,
- Sicherheitswarnungen und Logs empfangen,
- Software entwickeln, deployen oder aktualisieren,
- zentrale Prozesse wie Zahlungsverkehr, Identitätsprüfung oder Logistik unterstützen.
Die Verantwortung lässt sich dabei nicht vollständig auslagern. Das NCSC empfiehlt, Cyberrisiken in der Lieferkette systematisch zu berücksichtigen. Für regulierte Institute spielen zudem FINMA-Vorgaben zur Auslagerung und operationellen Resilienz eine wichtige Rolle. Der IKT-Minimalstandard bietet Schweizer Organisationen eine praxisnahe Grundlage, um Risiken, Schutzmassnahmen und Reaktion zu strukturieren.
Wie bewerten Sie Third Party Risk systematisch?
Third Party Risk bezeichnet das Cyberrisiko, das durch externe Parteien und deren Unterlieferanten entsteht. Sie bewerten es am zuverlässigsten mit einem einheitlichen Verfahren über den gesamten Lebenszyklus der Geschäftsbeziehung.
Starten Sie mit einem vollständigen Lieferanteninventar. Erfassen Sie nicht nur klassische IT-Partner, sondern auch Anbieter von Cloud-Diensten, Software, Support, Zahlungsabwicklung, Gebäudeautomation und Managed Security Services.
Bewerten Sie anschliessend mindestens diese Kriterien:
- Zugriff: Hat der Lieferant privilegierten, entfernten oder dauerhaften Zugriff?
- Daten: Werden Personendaten, Geschäftsgeheimnisse oder besonders schützenswerte Daten bearbeitet?
- Kritikalität: Welche Folgen hat ein Ausfall für Betrieb, Kunden und Compliance?
- Abhängigkeit: Gibt es Alternativen oder einen realistischen Exit?
- Konzentration: Nutzen mehrere wichtige Prozesse denselben Anbieter oder dieselbe Plattform?
- Unterlieferanten: Welche weiteren Parteien sind beteiligt?
- Nachweise: Gibt es aktuelle Prüfberichte, Zertifizierungen und dokumentierte Sicherheitsprozesse?
Ein einfaches Scoring mit den Stufen niedrig, mittel und hoch reicht für den Einstieg. Bei hohem Risiko sollte eine vertiefte Prüfung folgen. Dafür eignen sich standardisierte Fragebogen, Interviews, technische Nachweise und bei kritischen Diensten auch unabhängige Audits.
| Kriterium | Niedriges Risiko | Hohes Risiko |
|---|---|---|
| Zugriff | Kein Systemzugriff oder nur isolierter Zugang | Privilegierter Zugriff auf produktive Systeme |
| Daten | Keine vertraulichen Daten | Personen- oder besonders schützenswerte Daten |
| Ausfall | Kurzfristig tolerierbar | Kritischer Prozess fällt aus |
| Nachweise | Klare Sicherheitsdokumentation | Unvollständige oder veraltete Nachweise |
| Kontrolle | Vertragliche Prüf- und Meldepflichten | Keine wirksamen Kontrollrechte |
Welche Sicherheitsanforderungen gehören in Lieferantenverträge?
Verträge sollten technische, organisatorische und rechtliche Anforderungen konkret beschreiben. Allgemeine Formulierungen wie «angemessene Sicherheit» reichen bei kritischen Leistungen oft nicht aus.
Regeln Sie unter anderem:
- Mindestanforderungen an Identitäten, Mehrfaktor-Authentisierung und privilegierte Konten,
- Verschlüsselung bei Übertragung und Speicherung,
- Protokollierung, Aufbewahrung und Bereitstellung sicherheitsrelevanter Logs,
- Schwachstellenmanagement und Fristen für kritische Sicherheitsupdates,
- Meldepflichten bei Sicherheitsvorfällen, inklusive Kontakt und Eskalationsweg,
- Prüf- und Audit-Rechte,
- Anforderungen an Unterlieferanten,
- Datenstandort, grenzüberschreitende Bearbeitung und Rückgabe oder Löschung,
- Notfallvorsorge, Wiederanlauf und Exit-Unterstützung.
Bei Personendaten muss die Auftragsbearbeitung im Sinn des revDSG sauber geregelt sein. Prüfen Sie auch, ob Daten in der Schweiz bleiben müssen oder ob ein Transfer ins Ausland zusätzliche rechtliche und technische Kontrollen erfordert. Ein Datenstandort Schweiz reduziert bestimmte Abhängigkeiten, ersetzt aber keine Sicherheitsprüfung des Anbieters.
Wie schützen Sie Zugänge von Lieferanten?
Lieferantenzugänge sollten zeitlich begrenzt, auf den notwendigen Umfang beschränkt und nachvollziehbar überwacht werden. Das Prinzip der geringsten Berechtigung reduziert den möglichen Schaden bei einem kompromittierten Konto.
Bewährte Kontrollen sind:
- individuelle Konten statt gemeinsamer Administrationszugänge,
- verpflichtende Mehrfaktor-Authentisierung,
- rollenbasierte Berechtigungen,
- Freigabeprozesse für privilegierte Tätigkeiten,
- Zugriff nur über kontrollierte Sprungserver oder definierte Schnittstellen,
- zeitlich begrenzte Zugänge für Wartungsarbeiten,
- regelmässige Rezertifizierung aller Berechtigungen,
- zentrale Protokollierung und Alarmierung bei ungewöhnlichen Aktivitäten.
Überprüfen Sie auch technische Abhängigkeiten. Eine API mit weitreichenden Rechten, ein CI/CD-Zugang oder ein zentraler Update-Mechanismus kann ebenso kritisch sein wie ein klassischer VPN-Zugang. OWASP bietet für Anwendungen und APIs anerkannte Prüfgrundlagen. MITRE ATT&CK hilft, mögliche Angriffstechniken und Erkennungsmassnahmen strukturiert zu betrachten.
Wie überwachen und testen Sie Lieferantenrisiken?
Third Party Risk muss laufend überwacht werden, weil sich Anbieter, Unterlieferanten, Systeme und Bedrohungen verändern. Eine jährliche Selbstauskunft allein ist dafür nicht ausreichend.
Etablieren Sie einen risikobasierten Kontrollzyklus:
- Aktualisieren Sie das Lieferanteninventar bei neuen Beschaffungen und Systemänderungen.
- Prüfen Sie bei kritischen Anbietern Sicherheitsnachweise regelmässig.
- Überwachen Sie sicherheitsrelevante Meldungen und offene Schwachstellen.
- Kontrollieren Sie Berechtigungen und Schnittstellen in festen Intervallen.
- Führen Sie Tabletop-Übungen mit internen Teams und wichtigen Lieferanten durch.
- Testen Sie, ob ein Anbieter einen Vorfall rechtzeitig melden und gemeinsam bearbeiten kann.
- Dokumentieren Sie Abweichungen, Fristen und Verantwortlichkeiten.
Für technische Prüfungen können Penetrationstests nach anerkannten Vorgehensweisen wie PTES oder OSSTMM eingesetzt werden. Ein Test sollte den vereinbarten Umfang respektieren und darf nicht ungeplant produktive Systeme gefährden. Für das übergeordnete Risikomanagement eignen sich NIST CSF oder ISO 27001 als strukturierende Referenzen.
Wie Sie am besten starten
Beginnen Sie mit den Lieferanten, die den grössten Schaden verursachen könnten. Eine vollständige Bestandsaufnahme ist wichtig, aber Sie müssen nicht alle Partner gleichzeitig gleich tief prüfen.
- Inventar erstellen: Erfassen Sie Lieferanten, Dienste, Daten, Zugriffe und Unterlieferanten.
- Kritikalität bestimmen: Ordnen Sie jeden Dienst nach Zugriff, Daten, Ausfallwirkung und Abhängigkeit ein.
- Sofortmassnahmen umsetzen: Entfernen Sie unnötige Konten, aktivieren Sie Mehrfaktor-Authentisierung und begrenzen Sie Berechtigungen.
- Anforderungen definieren: Erstellen Sie Mindestanforderungen für Beschaffung, Vertrag und laufende Kontrolle.
- Kritische Partner prüfen: Fordern Sie Nachweise an, führen Sie Interviews und planen Sie bei Bedarf technische Audits.
- Vorfall üben: Legen Sie Meldewege fest und simulieren Sie den Ausfall oder die Kompromittierung eines wichtigen Lieferanten.
- Verbesserungen nachverfolgen: Dokumentieren Sie Risiken, Massnahmen, Fristen und Entscheide in einem zentralen Register.
Wenn Sie externe Unterstützung benötigen, können Sie im Verzeichnis von Cyberprovider geprüfte Schweizer Anbieter für Assessments, Audits, Penetrationstests und Managed Detection vergleichen.
Häufige Fragen
Was ist ein Beispiel für einen Supply Chain Angriff?
Ein Beispiel ist ein kompromittierter Softwareanbieter, dessen manipuliertes Update in Kundensysteme gelangt. Auch ein gestohlenes Administrationskonto eines IT-Dienstleisters kann als Supply Chain Angriff dienen.
Welche Lieferanten sind besonders kritisch?
Besonders kritisch sind Anbieter mit privilegiertem Systemzugriff, Zugriff auf vertrauliche oder personenbezogene Daten sowie Anbieter, die zentrale Geschäftsprozesse betreiben. Auch ein kleiner Dienstleister kann kritisch sein, wenn keine Alternative besteht.
Reicht ein ISO-27001-Zertifikat als Nachweis?
Nein. ISO 27001 zeigt, dass ein Informationssicherheits-Managementsystem nach einem anerkannten Standard geprüft wurde. Sie sollten trotzdem prüfen, ob der Geltungsbereich, die relevanten Dienste und Ihre konkreten Anforderungen abgedeckt sind.
Wie oft sollten Lieferanten geprüft werden?
Das Intervall sollte vom Risiko abhängen. Kritische Lieferanten benötigen eine laufende Überwachung und regelmässige vertiefte Prüfungen. Bei weniger kritischen Partnern können längere Intervalle und standardisierte Nachweise angemessen sein.
Wer trägt bei einem Vorfall die Verantwortung?
Die Verantwortung für die eigene Organisation bleibt beim Unternehmen. Verträge können Pflichten, Haftung und Unterstützung regeln, ersetzen aber nicht die eigene Kontrolle, Reaktion und Meldung nach den anwendbaren Vorgaben.
