Ein Supply-Chain-Angriff kompromittiert nicht das Ziel direkt, sondern einen Lieferanten, Dienstleister oder Softwareanbieter und nutzt dessen Vertrauensstellung als Einstieg.
Ein Supply-Chain-Angriff – auf Deutsch Lieferkettenangriff – zielt nicht direkt auf das eigentliche Opfer, sondern auf einen Partner in dessen Liefer- oder Dienstleistungskette. Der Angreifer kompromittiert einen Softwarehersteller, einen IT-Dienstleister, einen Zulieferer oder einen Cloud-Anbieter und nutzt die bestehende Vertrauensbeziehung als Einstieg. Das kann ein manipuliertes Software-Update sein, das der Hersteller selbst verteilt, ein kompromittiertes Open-Source-Paket, der Fernzugang eines Wartungsdienstleisters oder ein gekaperter Lieferantenaccount. Der Reiz für Angreifer: Ein erfolgreicher Angriff auf einen gut vernetzten Anbieter öffnet den Zugang zu vielen Unternehmen auf einmal.
In MITRE ATT&CK sind die relevanten Techniken „Supply Chain Compromise“ (T1195) und „Trusted Relationship“ (T1199, der Weg über berechtigte Dritte). Die Bedeutung wächst messbar: Laut Verizon DBIR 2025 waren Drittparteien an 30 Prozent der Sicherheitsverletzungen beteiligt – eine Verdopplung gegenüber dem Vorjahr.
Varianten
- Software-Supply-Chain: Der Angreifer schleust Schadcode in ein legitimes Produkt oder Update ein, das der Hersteller signiert und an seine Kunden verteilt. Das Update wird vertrauensvoll installiert – die Malware kommt durch die Vordertür.
- Abhängigkeiten (Dependencies): Kompromittierte oder bösartige Pakete in Open-Source-Registries gelangen über automatische Builds in die eigene Software.
- Dienstleisterzugang: Der Fernzugang eines Wartungs- oder IT-Dienstleisters wird übernommen und als Erstzugriff genutzt – oft mit weitreichenden Rechten, weil Dienstleisterzugänge selten eng begrenzt sind.
- Hardware und Firmware: Manipulation von Geräten oder Firmware vor der Auslieferung; seltener, aber besonders schwer zu entdecken.
Allen gemeinsam ist, dass die üblichen Perimeterkontrollen ins Leere laufen: Der Angriff kommt über einen Kanal, dem das Unternehmen bewusst vertraut.
Bedeutung für Unternehmen
Supply-Chain-Angriffe verschieben das Risiko dorthin, wo das Unternehmen am wenigsten Kontrolle hat. Man kann die eigene IT härten, aber nicht unmittelbar die eines Lieferanten. Das macht die Lieferkette zu einem Schwerpunkt der neuen Regulatorik: NIS2 verpflichtet betroffene Einrichtungen ausdrücklich, Risiken in der Lieferkette zu steuern, und der Cyber Resilience Act nimmt Produkthersteller in die Pflicht. Der verbreitete Fehler ist, Dienstleisterzugänge mit weiten Rechten dauerhaft offen zu halten und Software-Abhängigkeiten nicht zu inventarisieren.
In unseren Red-Team-Einsätzen bilden wir den Weg über Dritte als Szenario ab – etwa über einen simuliert kompromittierten Dienstleisterzugang. So wird sichtbar, wie weit ein Angreifer käme, der nicht die Vordertür, sondern den Lieferanteneingang nutzt.
Schutz und Prüfung
- Dienstleisterzugänge begrenzen: Least Privilege, zeitlich befristete und protokollierte Zugänge, eigene Konten statt geteilter, MFA auch für Externe.
- Software-Inventar (SBOM): Abhängigkeiten kennen und auf bekannte Schwachstellen und verdächtige Änderungen überwachen.
- Lieferanten bewerten: Sicherheitsanforderungen vertraglich festlegen, kritische Dienstleister regelmäßig prüfen und in Notfallübungen einbeziehen.
- Segmentierung: Zugänge und Systeme Dritter in eigene Zonen legen, damit eine Kompromittierung nicht das ganze Netz erfasst.
- Szenario testen: Unser Ratgeber Lieferkette und Drittparteien-Risiko testen zeigt, wie sich die Resilienz gegen Angriffe über Dritte praktisch überprüfen lässt.