Supply Chain Security & Cyber Resilience im Einkauf

Management Summary

Supply Chain Security im Einkauf transformiert die Beschaffung vom reinen Kostenmanagement zur aktiven Risikoabwehr. Da Angreifer zunehmend Zulieferer als Einfallstor nutzen, müssen Einkäufer ihre Strategie anpassen, um die Versorgungssicherheit zu gewährleisten und gesetzliche Vorgaben wie NIS2 zu erfüllen.

Dieser Ratgeber behandelt die drei entscheidenden Hebel für Einkäufer:

• Prävention: Wie Sie unsichere Lieferanten vor Vertragsabschluss erkennen.
• Rechtssicherheit: Was NIS2 und CRA für Ihre Verträge bedeuten.
• Resilienz: Wie Sie die Lieferfähigkeit auch im Angriffsfall sichern.

1. Definition: Was ist Supply Chain Security & Cyber Resilience im Einkauf?

Supply Chain Security (Der Schutzschild)

Dies umfasst alle präventiven Maßnahmen, um unbefugte Zugriffe, Manipulationen oder Spionage innerhalb der Lieferkette zu verhindern.

• Ziel: Den Angriff verhindern.
• Einkaufs-Beispiel: Auditierung der IT-Standards eines Lieferanten vor Vertragsabschluss.

Cyber Resilience (Der Airbag)

Dies beschreibt die Fähigkeit einer Lieferkette, den Geschäftsbetrieb während und nach einem erfolgreichen Cyberangriff (z. B. Ransomware beim Logistiker) aufrechtzuerhalten oder schnell wiederherzustellen.

• Ziel: Den Schaden minimieren und lieferfähig bleiben.
• Einkaufs-Beispiel: Aufbau von Second-Source-Lieferanten oder vertraglich gesicherte Notfallpläne.

Der direkte Vergleich:

• Fokus: Security schaut auf die Abwehr, Resilience auf die Auswirkung.
• Frage: Security fragt “Wie verhindern wir den Hack?”, Resilience fragt “Wie schnell sind wir wieder operativ?”.
• Hebel: Security nutzt Zertifikate & Audits; Resilience nutzt Diversifizierung & Lagerbestände.

2. Die Bedrohungslage: Warum der Einkauf handeln muss

Die IT-Abteilung kann das eigene Unternehmen sichern, aber sie hat keinen Zugriff auf die Lieferanten. Hier wird der Einkauf zur ersten Verteidigungslinie (“First Line of Defense”).

“Die Sicherheit der eigenen IT endet heute nicht mehr an der Firewall des Unternehmens, sondern reicht bis zum kleinsten digitalen Zulieferer in der Kette.”

Warum dies nun Priorität hat:

• Supply Chain Attacks: Hacker greifen gezielt kleinere, schwächer geschützte Lieferanten an, um sich von dort in die Netzwerke der Großkunden zu hangeln (“Island-Hopping”).
• Produktionsstopps: Ein Cyberangriff auf einen Single-Source-Lieferanten wirkt wie ein physischer Brand in dessen Fabrik – die Teile fehlen, Ihre Bänder stehen still.
• Reputationsrisiko: Wenn Kundendaten durch ein Leck beim Dienstleister (z. B. Call-Center oder Payroll-Provider) öffentlich werden, fällt der Schaden auf den Auftraggeber zurück.

3. Praxis-Check: Typische Angriffsvektoren über die Lieferkette

Es ist wichtig zu verstehen, dass Hacker selten “die Firewall einschlagen”. Sie nutzen oft subtilere Wege über Ihre Partner. Dies sind die drei häufigsten Szenarien:

1. Software Supply Chain Attacks:
   Ein Software-Lieferant wird gehackt und ein Schadcode wird in ein reguläres Update (Patch) eingeschleust. Wenn Sie das Update installieren, holen Sie sich den Trojaner selbst ins Haus (Prominentes Beispiel: SolarWinds).
2. Compromised Credentials (Gestohlene Zugangsdaten):
   Ein Wartungstechniker Ihres Maschinenlieferanten nutzt ein einfaches Passwort ohne 2-Faktor-Authentifizierung. Hacker stehlen dieses Passwort und loggen sich ganz regulär über den Fernwartungszugang in Ihr Produktionsnetz ein.
3. CEO Fraud / Business Email Compromise:
   Hacker kapern das E-Mail-Konto eines Lieferanten. Sie schicken Ihnen eine Rechnung von der “echten” E-Mail-Adresse, aber mit einer neuen Bankverbindung. Da die Mail vertrauenswürdig wirkt, überweist die Buchhaltung das Geld an die Angreifer.

4. Rechtlicher Rahmen: NIS2 und Cyber Resilience Act

Der Gesetzgeber in der EU zwingt Unternehmen dazu, die Sicherheit ihrer Lieferkette (“Supply Chain Security”) nachweislich zu managen. Ignorieren ist keine Option mehr.

NIS2-Richtlinie (Network and Information Security 2)

Betroffene Unternehmen (Sektoren wie Energie, Transport, Banken, Pharma, Chemie, Maschinenbau) müssen Sicherheitsmaßnahmen ergreifen, die die Sicherheit der Lieferkette explizit einschließen.

• To-Do für den Einkauf: Sie müssen sicherstellen, dass Ihre direkten Lieferanten angemessene Sicherheitsvorkehrungen treffen. Die Geschäftsführung haftet persönlich für die Einhaltung.

CRA (Cyber Resilience Act)

Diese Verordnung betrifft Produkte mit digitalen Elementen.

• To-Do für den Einkauf: Wenn Sie Komponenten (Hardware/Software) einkaufen, die in Ihr Endprodukt eingehen, müssen diese Komponenten “Secure by Design” sein. Der Einkauf darf keine Komponenten mehr beschaffen, für die der Hersteller keine Sicherheitsupdates garantiert.

5. Deep Dive: Der “Crown Jewels” Ansatz zur Risiko-Priorisierung

Viele Einkaufsabteilungen scheitern daran, alle Lieferanten auditieren zu wollen. Das ist ineffizient und kaum machbar. Um Supply Chain Security skalierbar zu machen, müssen Sie den “Crown Jewels” (Kronjuwelen) Ansatz wählen.

Hierbei wird die Lieferantenbasis nicht nach Spend (Ausgabenvolumen), sondern nach Cyber-Risiko-Exposition segmentiert.

Schritt 1: Identifikation der Vektoren

Bewerten Sie jeden Lieferanten anhand von drei Fragen:

1. Datenzugriff: Verarbeitet der Lieferant personenbezogene oder geschäftskritische Daten (z. B. Payroll, R&D)?
2. Netzwerkzugriff: Hat der Lieferant eine digitale Standleitung oder VPN-Zugang zu uns (z. B. Fernwartung von Maschinen)?
3. Kritikalität: Würde ein Ausfall dieses Lieferanten unsere Produktion binnen 24 Stunden stoppen?

Schritt 2: Die Risiko-Klassen (Triage)

Profi-Tipp: Ein “C-Lieferant” nach Spend-Volumen (z. B. eine kleine Marketing-Agentur, die Ihre Website hostet) kann ein Tier-1 Cyber-Risiko sein. Lösen Sie sich von der ABC-Analyse des Einkaufsvolumens!

6. Strategie: Die 3 Phasen der Cyber-Sicherheit im Einkauf

Ein “resilienter Einkauf” integriert Cyber-Prüfungen in den gesamten Source-to-Pay Prozess.

“Die Kosten für präventive Supply Chain Security sind hoch, aber die Kosten für einen Betriebsstillstand durch einen gehackten Lieferanten sind ruinös.”

Phase 1: Präqualifikation (Pre-Contract)

Blindes Vertrauen ist fahrlässig.

• Risk Scoring: Nutzen Sie externe Datenbanken (z. B. BitSight, Riskonnect), um das Cyber-Rating eines potenziellen Lieferanten zu prüfen – ähnlich wie bei einer Bonitätsprüfung.
• K.O.-Kriterien: Definieren Sie Mindeststandards (z. B. ISO 27001 Zertifizierung für IT-Dienstleister oder MFA-Nutzung), ohne die kein Angebot akzeptiert wird.

Phase 2: Vertragsgestaltung (Contracting)

Standardverträge reichen nicht aus. Ergänzen Sie folgende Klauseln:

• Meldepflicht: Der Lieferant muss Sicherheitsvorfälle binnen 24/72 Stunden melden.
• Audit-Recht: Das Recht, die Cyber-Sicherheit des Lieferanten (auch durch Dritte) anlassbezogen zu prüfen.
• Patch-Management: Verpflichtung, Sicherheitslücken innerhalb definierter Fristen zu schließen.

Phase 3: Monitoring (Post-Contract)

Sicherheit ist eine Momentaufnahme.

• Kontinuierliches Monitoring: Überwachung der kritischen Lieferanten (Tier-1) in Echtzeit über TPRM-Tools (Third Party Risk Management).
• Gemeinsame Übungen: Führen Sie mit strategischen Partnern “Tabletop Exercises” durch: Was passiert, wenn morgen Systeme ausfallen? Funktioniert die Notfallkommunikation?

7. Fazit zu Supply Chain Security & Cyber Resilience

Supply Chain Security ist kein reines IT-Thema, sondern ein Qualitätsmerkmal eines Lieferanten. Ein Lieferant, der billig produziert, aber bei der IT-Sicherheit spart, stellt ein unkalkulierbares Risiko für die eigene Lieferfähigkeit dar.

Für den Einkauf bedeutet die Integration von Supply Chain Security & Cyber Resilience:

1. Schulung: Einkäufer müssen die Grundbegriffe der Cyber-Security verstehen.
2. Kooperation: Der CPO muss eng mit dem CISO (Chief Information Security Officer) zusammenarbeiten.
3. Prozess: Cyber-Checks müssen so normal werden wie Bonitäts-Checks.

8. FAQ zu Supply Chain Security & Cyber Resilience

Wer haftet bei einem Cyberangriff durch einen Lieferanten?

Operativ tragen Sie den Schaden (Produktionsausfall, Reputationsverlust). Rechtlich können Sie Regress fordern, wenn dies vertraglich sauber geregelt ist. Unter der NIS2-Richtlinie haftet die Geschäftsführung zudem persönlich für mangelnde Kontrollmechanismen in der Supply Chain Security.

Wie gehe ich mit kleinen Lieferanten um, die keine ISO 27001 haben?

Fordern Sie von KMUs nicht zwingend teure Zertifikate, sondern technische Nachweise zur Cyber Resilience: Werden Backups gemacht (offline)? Wird Multi-Faktor-Authentifizierung genutzt? Werden Mitarbeiter geschult? Helfen Sie strategischen kleinen Lieferanten, sich zu entwickeln (Supplier Development), statt sie sofort auszusortieren.

Führt mehr Supply Chain Security zu höheren Einkaufspreisen?

Kurzfristig oft ja, da Lieferanten Investitionen in IT-Sicherheit umlegen. In der TCO-Betrachtung (Total Cost of Ownership) ist dies jedoch günstiger: Die Kosten eines einzigen Produktionsstillstands durch Ransomware übersteigen die moderaten Preisaufschläge für sichere Infrastruktur bei Weitem. Betrachten Sie den Aufpreis als notwendige “Versicherungsprämie”.

Welche Tools unterstützen den Einkauf bei der Cyber-Security?

Spezialisierte TPRM-Plattformen (Third Party Risk Management) wie SecurityScorecard, BitSight, Riskonnect oder Module von EcoVadis scannen Lieferanten von außen. Sie liefern Risikobewertungen (Scores) zur Supply Chain Security, die direkt per API in den Einkaufsprozess (z. B. SAP Ariba) integriert werden können.