Auf den Punkt: Der Schutz der Lieferkette wird zur strategischen Priorität – Unternehmen müssen Drittanbieter auf Least-Information-Basis einbinden und ihre Kontrollmechanismen in die Cyber-Resilienz-Strategie integrieren.
Unternehmen sind stärker denn je von Lieferanten und Dienstleistern abhängig, implementieren aber in der Mehrheit keine angemessenen Sicherheitskontrollen. 60 Prozent der Firmen erlebten im vergangenen Jahr Ausfälle durch Drittanbieter; nur 34 Prozent vertrauen ihren Lieferketten-Kontrollmechanismen.
Der klassische Sicherheitsperimeter existiert nicht mehr. Moderne Unternehmen sind in Ökosystemen aus Lieferanten, SaaS-Plattformen und externen Dienstleistern eingebunden – und diese gegenseitigen Abhängigkeiten werden zur Bedrohung. Eine Studie „The Ripple Effect: A Hallmark of Cybersecurity“ zeigt: 68 Prozent der IT-Führungskräfte geben an, stärker denn je auf Drittparteien angewiesen zu sein. Doch weniger als die Hälfte der Unternehmen hat entsprechende Sicherheitskontrollen implementiert.
Die Konsequenzen sind real: 60 Prozent der Unternehmen erlebten im vergangenen Jahr einen Ausfall, der von Drittanbietern verursacht wurde. 63 Prozent rechnen innerhalb der nächsten zwölf Monate mit einem weiteren Vorfall. Besonders kritisch: Nur 42 Prozent beziehen externe Dienstleister und Freiberufler in ihre Cyber-Resilienz-Strategie ein, und lediglich 34 Prozent vertrauen den Kontrollmechanismen ihrer Lieferkette. Wird ein Lieferant kompromittiert, droht eine Kettenreaktion, die den eigenen Betrieb lahmlegen, sensible Daten exponieren oder kritische Dienste unterbrechen kann.
Die Risiken sind vielschichtig: Im klassischen Szenario wird der gehackte Lieferant zum Einfallstor für laterale Angriffe. Wird ein Dienstleister mit Fernzugriff kompromittiert, gelangt der Angreifer über Netzwerkberechtigungen direkt in die Unternehmensumgebung. Ein zweites Bedrohungsszenario ist die Datenpreisgabe durch Dritte – viele Organisationen gewähren Partnern unwissentlich überdimensionierte Berechtigungen: ganze Datenbanken statt einzelner Datensätze, systemweiter Zugriff statt isolierter Funktionen. Wird der Partner angegriffen, erhalten Hacker sofort Zugriff auf umfangreiche Datensätze, geistiges Eigentum und Kundendaten.
Für CISOs ergibt sich eine zentrale Anforderung: Das Least-Privilege-Prinzip muss um ein Least-Information-Prinzip ergänzt werden. Drittanbieter sollten nur auf jene Daten und Systeme Zugriff erhalten, die sie für ihre spezifische Funktion tatsächlich benötigen – nicht mehr. Zugleich verlangen regulatorische Anforderungen wie NIS2 eine erweiterte Cyber-Resilienz-Strategie, die auch die Lieferkette einbezieht. Mit dem Einsatz autonomer KI-Agenten in Unternehmen entsteht eine zusätzliche Risikodimension: Diese synthetischen Mitarbeiter benötigen Daten- und Systemzugriff und werden zur schnell wachsenden Gruppe von „Auftragnehmern“, für die klare Sicherheitsprotokolle erforderlich sind.
Quelle: www.it-daily.net · Erschienen 28. Juli 2026
Lumi AI News — KI-assistierte Kuratierung gemaess Art. 50 EU AI Act. Paraphrase und Klassifikation durch Lumi News Pipeline v1.7.3.