Was ist ein Supply-Chain-Angriff?

Supply-Chain-Angriff einfach erklärt

Supply Chain heißt Lieferkette. Gemeint sind alle, die einem Unternehmen etwas liefern oder für es arbeiten: Softwarehersteller, IT-Dienstleister, Cloud-Anbieter und die vielen frei verfügbaren Open-Source-Bausteine, aus denen moderne Software besteht. Deshalb spricht man auch von einem Lieferkettenangriff.

Ein Vergleich aus dem Alltag: Ein Einbrecher müsste viele Häuser einzeln aufbrechen. Einfacher ist es, beim Hausmeisterdienst einzusteigen, der die Schlüssel für die ganze Straße verwahrt. Genauso gehen Täter bei einem Supply-Chain-Angriff vor. Sie kompromittieren einen Lieferanten, dem viele Unternehmen vertrauen – und nutzen dieses Vertrauen aus.

Das Tückische: Für die Opfer sieht alles normal aus. Das Update stammt vom bekannten Hersteller, der Fernzugriff vom vertrauten Dienstleister.

So funktioniert ein Supply-Chain-Angriff

Typische Wege sind:

1. Manipulierte Software-Updates: Die Täter dringen in die Entwicklungsumgebung eines Herstellers ein und schleusen Schadcode in ein reguläres Update ein. Das Update trägt die echte digitale Signatur des Herstellers – eine Art fälschungssicheres Siegel – und wird von den Kunden arglos installiert.
2. Kompromittierte Open-Source-Pakete: Angreifer veröffentlichen Pakete mit zum Verwechseln ähnlichen Namen, übernehmen Konten von Entwicklern oder gewinnen über lange Zeit das Vertrauen eines Projekts. So gelangte 2024 eine Hintertür in eine weitverbreitete Komprimierungsbibliothek für Linux. Ein Entwickler entdeckte sie eher zufällig, bevor sie breit zum Einsatz kam.
3. IT-Dienstleister mit Fernzugang: Wer einen Dienstleister kompromittiert, der viele Kunden per Fernwartung betreut, kann über dessen Werkzeuge auf all diese Netze zugreifen.
4. Kompromittierte Lieferanten-Postfächer: Aus dem echten E-Mail-Konto eines Lieferanten verschicken Täter Rechnungen mit geänderter Bankverbindung.

Eng verwandt, aber kein Angriff im engeren Sinn, sind Schwachstellen in weitverbreiteten Bausteinen. Die Lücke Log4Shell in einer Java-Bibliothek zeigte 2021, wie viele Produkte von einer einzigen Komponente abhängen.

Ein Beispiel aus der Praxis

Ein mittelständischer Maschinenbauer lässt seine IT von einem regionalen Dienstleister betreuen. Der Dienstleister verwaltet alle Kunden über ein zentrales Fernwartungswerkzeug. Angreifer erbeuten die Zugangsdaten eines Technikers, dessen Konto nicht mit Multi-Faktor-Authentifizierung geschützt ist.

Über das Werkzeug verteilen sie in einer Nacht Ransomware an mehrere Kunden des Dienstleisters gleichzeitig. Beim Maschinenbauer stehen am nächsten Morgen Konstruktion und Auftragsabwicklung still. Die eigene Firewall hat nicht angeschlagen – der Zugriff kam schließlich über einen erlaubten, vertrauten Weg. Wäre der Dienstleisterzugang auf bestimmte Systeme und Zeitfenster beschränkt und überwacht worden, hätte sich der Schaden deutlich verringern lassen.

Warum ist das für Unternehmen wichtig?

Kaum ein Unternehmen entwickelt seine IT komplett selbst. Jeder Lieferant mit Zugang oder Software im Netz vergrößert die eigene Angriffsfläche. Klassische Schutzmaßnahmen greifen hier schlecht, weil der Angriff über einen erlaubten Weg kommt.

Auch die Regulierung reagiert. Die NIS2-Richtlinie verlangt von betroffenen Unternehmen ausdrücklich, die Sicherheit ihrer Lieferkette zu berücksichtigen. Der Cyber Resilience Act verpflichtet Hersteller von Produkten mit digitalen Elementen – mit schrittweise greifenden Fristen – unter anderem, die enthaltenen Komponenten zu ermitteln und zu dokumentieren, auch mit einer Software-Stückliste, der SBOM. Für Finanzunternehmen regelt DORA zudem den Umgang mit Risiken durch IKT-Drittdienstleister, also externe Anbieter von Informations- und Kommunikationstechnik.

So schützen Sie sich

• Lieferanten kennen: Führen Sie eine Übersicht, welche Dienstleister und Softwareprodukte Zugriff auf Ihre Systeme oder Daten haben.
• Zugänge begrenzen: Fernzugänge nur mit MFA, nur auf die nötigen Systeme, zeitlich begrenzt und protokolliert.
• Anforderungen vereinbaren: Legen Sie Sicherheitsanforderungen und Meldepflichten bei Vorfällen vertraglich fest.
• Komponenten im Blick behalten: Eine SBOM und automatische Abhängigkeitsprüfungen zeigen, ob eine neu bekannte Schwachstelle Sie betrifft. Ein zügiges Patch-Management schließt sie.
• Integrität prüfen: Installieren Sie nur signierte Software aus offiziellen Quellen. Wer selbst Software entwickelt, sollte die Systeme besonders schützen, auf denen sie gebaut und signiert wird (Build-Umgebung).
• Bankdaten verifizieren: Bestätigen Sie geänderte Bankverbindungen immer telefonisch über eine bekannte Nummer.
• Ernstfall durchspielen: Planen Sie, was zu tun ist, wenn ein Dienstleister kompromittiert wird – inklusive Kontakten und der Möglichkeit, Zugänge sofort zu trennen.

Wie Rootsektor unterstützt

Mit Code Review & Reverse Engineering prüfen wir eingebundene Bibliotheken auf bekannte Schwachstellen, erstellen und prüfen SBOMs und bewerten, wie gut Ihre Build-Kette – der Weg vom Quellcode zum fertigen Update – gegen Manipulation geschützt ist. Zugekaufte Software untersuchen wir per Reverse Engineering auch ohne Quellcode. Wie gut Dienstleisterzugänge und Fernwartung abgesichert sind, zeigt ein Penetrationstest für Netzwerk & Infrastruktur. Wurde ein Lieferant kompromittiert, klärt ein Compromise Assessment, ob Angreifer auch in Ihre Systeme gelangt sind.