Je besser ein Unternehmen selbst geschützt ist, desto attraktiver werden seine Zulieferer als Umweg. Die EU-Agentur ENISA beschreibt einen Lieferkettenangriff als Kombination aus mindestens zwei Angriffen: zuerst auf einen Lieferanten, dann über ihn auf das eigentliche Ziel. In ihrer Auswertung von 24 Fällen aus den Jahren 2020 und 2021 zielten die Angreifer in 66 Prozent der Fälle auf den Code des Lieferanten, und rund 62 Prozent der Angriffe nutzten das Vertrauen der Kunden in ihren Lieferanten aus.
Wie laufen Supply-Chain-Angriffe ab?
- Manipulierte Updates: Angreifer schleusen Schadcode in die Software eines Herstellers, der dann mit einem regulären, signierten Update an alle Kunden verteilt wird.
- Kompromittierte Open-Source-Komponenten: Eine weit verbreitete Bibliothek wird manipuliert und gelangt über Abhängigkeiten in viele Produkte.
- Angriffe über IT-Dienstleister: Wer mit Fernwartungswerkzeugen auf viele Kundennetze zugreift, wird selbst zum Einfallstor.
- Trojanisierte Installationspakete: Die offizielle Download-Datei eines Programms enthält zusätzlich Schadsoftware.
Belegte Beispiele
- SolarWinds Orion (Dezember 2020): Die US-Behörde CISA verpflichtete Bundesbehörden mit der Notfallweisung ED 21-01, betroffene Versionen der Netzwerküberwachungssoftware vom Netz zu nehmen.
- Kaseya VSA (Juli 2021): Über eine Lücke in der Fernwartungssoftware wurden IT-Dienstleister und deren Kunden mit Ransomware angegriffen.
- 3CX (März 2023): Die Desktop-App des Telefonieanbieters wurde laut CISA trojanisiert ausgeliefert.
- xz utils (März 2024): In den Versionen 5.6.0 und 5.6.1 der Kompressionsbibliothek steckte eine Hintertür, erfasst als CVE-2024-3094 mit dem höchsten CVSS-Wert 10,0.
Was NIS2 verlangt
Die NIS2-Richtlinie nennt in Art. 21 Abs. 2 lit. d ausdrücklich die Sicherheit der Lieferkette, einschließlich der sicherheitsbezogenen Aspekte der Beziehungen zu unmittelbaren Anbietern und Diensteanbietern. Erfasste Einrichtungen müssen also auch prüfen, wie sicher ihre Dienstleister arbeiten. Ob Ihr Unternehmen erfasst ist, klärt der kostenlose NIS2-Betroffenheitscheck. Für Hersteller von Produkten mit digitalen Elementen kommt der Cyber Resilience Act hinzu.
Praxis für KMU und Gemeinden
- Dienstleisterzugänge im Griff: Fernwartung nur mit Multi-Faktor-Anmeldung, nur bei Bedarf freigeschaltet und protokolliert, siehe Remote Support.
- Minimale Rechte: Dienstleister und Software erhalten nur die Rechte, die sie brauchen, siehe Least Privilege.
- Schaden begrenzen: Netzwerksegmentierung verhindert, dass ein kompromittiertes System das ganze Netz erreicht.
- Wissen, was läuft: Eine Software-Stückliste (SBOM) und ein aktuelles Inventar zeigen rasch, ob eine betroffene Komponente im Einsatz ist.
- Verträge nutzen: Sicherheitsanforderungen, Meldepflichten und Prüfrechte in Dienstleisterverträgen festhalten, gerade für Gemeinden mit vielen Fachverfahren externer Anbieter.
Bezug zu TOMORIS
Im NIS2 Cockpit ordnen Sie Risiken, Lieferkette und technische Lage mit Quellen und Zeitstand ein, in einer begleiteten Einführung. Das Cockpit ist keine Rechtsberatung und erteilt keine Konformitätsbestätigung.