Lieferkettenrisiko in der IT-Sicherheit
Ein Lieferkettenrisiko in der IT-Sicherheit entsteht, wenn Angreifer nicht ein Unternehmen direkt attackieren, sondern einen seiner Zulieferer. Über gekaufte Software, Updates oder Dienstleister gelangen sie so in tausende gut geschützte Systeme gleichzeitig.
Kein Unternehmen baut seine Computertechnik komplett selbst. Es kauft Programme ein, nutzt fremde Server im Internet und lässt Dienstleister die Wartung übernehmen. Jeder dieser Zulieferer bekommt dabei Zugang zu Daten oder Systemen. Ein Lieferkettenrisiko bedeutet: Nicht die eigene Firma ist die Schwachstelle, sondern jemand weiter hinten in dieser Kette. Wird ein Zulieferer angegriffen, kann der Schaden über die normale Geschäftsbeziehung bis zum Kunden durchschlagen. Der Begriff stammt aus der Logistik, wo eine gestörte Zulieferung ganze Fabriken lahmlegt — in der IT funktioniert das Prinzip genauso.
Ein Einbruch, tausende Opfer
Der Reiz für Angreifer liegt in der Hebelwirkung. Eine große Bank direkt anzugreifen ist teuer und schwierig, weil sie ganze Sicherheitsabteilungen unterhält. Der kleine Softwarehersteller, dessen Programm die Bank einsetzt, hat vielleicht zwanzig Mitarbeiter. Wer dort einbricht, erreicht über ein einziges Update alle Kunden dieses Herstellers gleichzeitig.
Der bekannteste Fall ist der Angriff auf die Firma SolarWinds im Jahr 2020. Angreifer schleusten Schadcode in ein reguläres Update einer Netzwerk-Software ein. Rund 18.000 Organisationen installierten dieses Update, darunter US-Behörden und Konzerne. Sie hatten alles richtig gemacht: Sie hielten ihre Software aktuell. Genau das wurde ihnen zum Verhängnis.
Wirtschaftlich ist das Risiko schwer zu greifen, weil es außerhalb der eigenen Bilanz liegt. Ein Unternehmen kann sein eigenes Sicherheitsbudget verdoppeln und trotzdem verwundbar bleiben. Deshalb verlangen Aufsichtsbehörden und Versicherer inzwischen, dass Firmen auch die Sicherheit ihrer Zulieferer prüfen. In der EU schreibt die Richtlinie NIS2 genau das für viele Branchen vor.
Wo Schadcode in die Kette gelangt
Der häufigste Weg führt über das Update. Software wird nach dem Verkauf ständig weiterentwickelt und lädt Korrekturen automatisch nach. Dieser Kanal ist per Definition vertrauenswürdig, sonst würde er nicht funktionieren. Wer die Update-Server des Herstellers übernimmt, verteilt seinen Schadcode mit dessen gutem Namen.
Ein zweiter Weg sind fertige Code-Bausteine. Kaum ein Programm wird von Grund auf neu geschrieben. Entwickler binden frei verfügbare Bibliotheken ein, also vorgefertigte Bausteine für Aufgaben wie Verschlüsselung oder Datumsberechnung. Ein durchschnittliches Programm enthält hunderte davon, oft gepflegt von Freiwilligen in ihrer Freizeit. Übernimmt ein Angreifer so ein Projekt, wandert sein Code beim nächsten Bauvorgang automatisch in tausende Anwendungen.
Der dritte Weg braucht gar keinen Schadcode. Viele Dienstleister haben aus praktischen Gründen weitreichende Zugangsrechte zu den Systemen ihrer Kunden. Werden deren Passwörter gestohlen, spaziert der Angreifer durch die Vordertür. Als Gegenmittel gilt die Software-Stückliste, englisch Software Bill of Materials: eine Art Zutatenliste, die auflistet, welche fremden Bausteine in einem Programm stecken. Wird irgendwo eine Lücke bekannt, lässt sich in Minuten prüfen, ob man betroffen ist.
Von der Sicherheitswarnung bis zur Quartalszahl
In den Nachrichten taucht das Thema meist auf, wenn ein Name plötzlich überall steht. So war es 2021 bei der Sicherheitslücke Log4Shell in einer weit verbreiteten Protokoll-Bibliothek. Kaum jemand kannte das Bauteil, aber es steckte in unzähligen Serverprogrammen. Wochenlang suchten IT-Abteilungen weltweit danach, wo es bei ihnen überhaupt verbaut war.
An der Börse ist das Lieferkettenrisiko längst ein Bewertungsfaktor. Ein Sicherheitsvorfall bei einem Zulieferer kann Produktion und Umsatz eines Kunden treffen, ohne dass dieser einen Fehler gemacht hat. Anbieter von Prüfdiensten, die die Sicherheitslage von Geschäftspartnern bewerten, sind zu einem eigenen Markt geworden. Auch Cyberversicherungen fragen inzwischen gezielt nach der Absicherung von Dienstleistern.
Ein verbreiteter Irrtum ist, das Thema betreffe nur Großkonzerne. Tatsächlich sind kleine Betriebe oft das Einfallstor, weil sie als Zulieferer Zugang haben und wenig Schutz aufbieten. Auch privat begegnet man dem Prinzip: Eine harmlos wirkende Browser-Erweiterung kann verkauft werden und im nächsten Update Daten abgreifen. Vertrauen in Software ist immer auch Vertrauen in alle, die daran mitgebaut haben.