Supply Chain Risk
Supply Chain Risk bezeichnet die Gefahr, dass ein Unternehmen ins Stocken gerät, weil ein Zulieferer ausfällt, ein Bauteil fehlt oder eine eingekaufte Software eine Schwachstelle enthält. In der Tech- und KI-Branche ist das Risiko besonders hoch, weil wenige Firmen und wenige Länder zentrale Bauteile liefern.
Fast kein Produkt entsteht an einem einzigen Ort. Ein Smartphone besteht aus Teilen von hunderten Zulieferern in dutzenden Ländern. Diese Kette vom Rohstoff bis zum fertigen Gerät nennt man Lieferkette, auf Englisch Supply Chain. Supply Chain Risk ist die Gefahr, dass irgendein Glied dieser Kette ausfällt und deshalb die ganze Produktion stockt. Der Ausfall kann viele Ursachen haben: ein Erdbeben, ein Krieg, eine Firmenpleite, ein politisches Exportverbot oder ein Hackerangriff. Gemeint ist immer dasselbe Grundproblem: Man ist von Dingen abhängig, die man selbst nicht kontrolliert.
Warum ein einziger fehlender Chip eine Fabrik stoppt
Eine Lieferkette ist so stark wie ihr schwächstes Glied. Ein Auto lässt sich nicht zu 99 Prozent ausliefern. Fehlt ein Steuerchip für wenige Euro, bleibt das ganze Fahrzeug stehen. Genau das passierte 2021 und 2022 in der Autoindustrie. Hersteller mussten Werke schließen, obwohl alle anderen Teile bereitlagen.
In der Technikbranche kommt eine besondere Zuspitzung dazu. Viele Schlüsselprodukte stammen von sehr wenigen Anbietern. Die modernsten Chips werden fast ausschließlich in Taiwan gefertigt, vor allem beim Auftragsfertiger TSMC. Die Maschinen, mit denen man solche Chips überhaupt herstellen kann, baut in dieser Qualität nur eine einzige Firma in den Niederlanden. Solche Engstellen heißen Single Point of Failure: ein Punkt, dessen Ausfall alles andere lahmlegt.
Deshalb ist Supply Chain Risk längst kein reines Logistikthema mehr. Es ist ein politisches und finanzielles Thema. Investoren fragen, wie abhängig ein Unternehmen von einem einzelnen Zulieferer ist. Regierungen fördern mit Milliarden den Bau eigener Chipfabriken, um die Abhängigkeit zu verringern.
Wie Unternehmen ihre Abhängigkeiten kartieren
Der erste Schritt ist eine Bestandsaufnahme. Firmen erstellen Listen, welche Teile woher kommen und welcher Lieferant hinter dem Lieferanten steht. Das klingt banal, ist aber schwer. Viele Unternehmen kennen ihre direkten Zulieferer, aber nicht deren Zulieferer. Genau dort verstecken sich die gefährlichsten Engstellen.
Danach bewertet man jedes Risiko nach zwei Größen: Wie wahrscheinlich ist der Ausfall, und wie schwer wären die Folgen? Ein seltenes, aber katastrophales Ereignis bekommt dabei oft mehr Aufmerksamkeit als ein häufiges, harmloses. Aus dieser Bewertung entstehen Gegenmaßnahmen. Typisch sind größere Lagerbestände, ein zweiter Lieferant für kritische Teile und Produktionsstandorte in mehreren Regionen.
Jede dieser Maßnahmen kostet Geld. Ein zweiter Lieferant ist meist teurer, ein volles Lager bindet Kapital. Jahrzehntelang galt das Gegenteil als vorbildlich: möglichst kleine Lager, Teile treffen genau zum Bedarf ein. Dieses Prinzip heißt Just in Time und macht Lieferketten billig, aber empfindlich. Heute wägen viele Firmen bewusst ab, wie viel Sicherheit ihnen wie viel Zusatzkosten wert ist.
Digitale Lieferketten: Bibliotheken, Modelle, Cloud
Software hat ebenfalls eine Lieferkette. Kaum ein Programm wird komplett selbst geschrieben. Entwickler bauen fertige Codebausteine anderer Leute ein, oft kostenlose aus dem Internet. Steckt in so einem Baustein ein Fehler, erben ihn alle Programme, die ihn verwenden. 2021 traf das die Protokollierungs-Bibliothek Log4j, die weltweit millionenfach im Einsatz war.
Bei KI verlängert sich diese Kette noch. Ein Chatbot eines Start-ups läuft oft auf einem fremden Sprachmodell, das auf fremden Grafikkarten in einem fremden Rechenzentrum rechnet. Ändert der Modellanbieter seine Preise oder stellt eine Version ab, ist das Produkt sofort betroffen. Auch die Trainingsdaten gehören dazu: Sind sie fehlerhaft oder rechtlich unsauber beschafft, wandert das Problem ins fertige Modell.
In den Nachrichten begegnet dir der Begriff meist in drei Zusammenhängen. Bei Exportbeschränkungen für Chips, bei Hackerangriffen über einen Softwarelieferanten und bei neuen Gesetzen wie dem Lieferkettengesetz, das Firmen für Arbeitsbedingungen bei ihren Zulieferern verantwortlich macht. Ein verbreiteter Irrtum ist, Supply Chain Risk betreffe nur Fabriken und Container. Für eine reine Softwarefirma kann es genauso existenzbedrohend sein.