BCM: Schlüssel zur Cybersicherheit in der Lieferkette

Cyberangriffe über die Lieferkette gehören zu den größten Risiken für Unternehmen – und stellen Managementstrukturen auf die Probe. Die SECURAM Consulting warnt aktuell vor den Folgen eines Datenlecks bei Adidas: Ein externer Dienstleister wurde zum Einfallstor für Cyberkriminelle. Der Fall zeigt: Management muss Sicherheit über Unternehmensgrenzen hinausdenken – insbesondere bei IT-Dienstleistern und Partnern.

Fast zwei Drittel aller erfolgreichen Angriffe auf deutsche Unternehmen haben ihren Ursprung bei Dritten. Strategien zum Schutz der Lieferkette müssen zur Chefsache werden.

Lehren aus dem Adidas-Datenleck: Verantwortung beginnt im Management

Angreifer nutzten eine Sicherheitslücke bei einem externen Support-Dienstleister, um an personenbezogene Daten von Adidas-Kunden zu gelangen. Zwar waren keine Zahlungsdaten betroffen – aber der Vorfall zeigt: Die Lieferkette ist nur so stark wie ihr schwächstes Glied.

Adidas reagierte rasch, meldete den Vorfall gemäß DSGVO, leitete Untersuchungen ein und informierte Betroffene. Dieses Vorgehen demonstriert, wie wichtig ein vorbereitetes Krisen- und Informationssicherheitsmanagement ist – mit Rückhalt aus dem Top-Management.

Sicherheitsrisiko Lieferkette: Eine Frage strategischer Führung

Laut BSI-Lagebericht 2024 zählen Lieferkettenangriffe zu den größten Bedrohungen für deutsche Unternehmen. Besonders betroffen: kleine und mittelständische Unternehmen (KMU) sowie IT-Dienstleister.

Prominente Beispiele wie der SolarWinds-Hack 2022 belegen: Ein kompromittierter Zulieferer kann tausende Unternehmen gleichzeitig gefährden. Solche Vorfälle erfordern klare Sicherheitsvorgaben, Risikobewertungen und Auditpflichten – gesteuert durch das Management.

Compliance & Verantwortung: Was das Management leisten muss

Die DSGVO verpflichtet Unternehmen zur unverzüglichen Meldung relevanter Vorfälle – meist innerhalb von 72 Stunden. Auch Normen wie ISO/IEC 27001, BSI-Grundschutz oder TISAX fordern ein strukturiertes Vorgehen bei Sicherheitsvorfällen und den Umgang mit Lieferantenrisiken.

Doch Zertifikate allein genügen nicht. Es ist Aufgabe der Unternehmensleitung, sicherzustellen, dass Prozesse nicht nur dokumentiert, sondern im Alltag gelebt werden. Mit dem Inkrafttreten der NIS2-Richtlinie und des geplanten KRITIS-Dachgesetzes steigt der regulatorische Druck – und damit die Führungsverantwortung.

Ganzheitliches Risikomanagement: Eine Managementpriorität

Effektives Risikomanagement umfasst nicht nur technische Aspekte. Es fordert klare Verantwortlichkeiten, gelebte Sicherheitsprozesse und regelmäßige Überprüfungen – auch bei Partnern.

Wichtige Maßnahmen:

• Systematische Schwachstellenanalyse, auch bei Drittanbietern

• Starke Zugriffskontrollen & Verschlüsselung

• Netzwerksegmentierung & Monitoring verdächtiger Aktivitäten

• Regelmäßige Audits & Penetrationstests

• Notfallpläne, Wiederherstellungsstrategien & gelebte Sicherheitskultur

Ein ISMS (Informationssicherheits-Managementsystem) nach ISO 27001 oder BSI-Grundschutz stellt dafür den methodischen Rahmen.

Business Continuity Management: Führungskompetenz im Ernstfall

Business Continuity Management (BCM) stellt sicher, dass Ihr Unternehmen bei Störungen handlungsfähig bleibt. Der Fokus liegt auf:

• Identifikation kritischer Geschäftsprozesse

• Aufbau von Redundanzen (z. B. Backup-Systeme, alternative Lieferanten)

• Dokumentierte Notfallpläne & wiederkehrende Tests

• Einbindung externer Partner in Krisenreaktionspläne

Branchenstandards wie ISO 22301 unterstützen Unternehmen dabei, BCM professionell zu etablieren. Für KMU besonders wichtig: Auch Lieferanten müssen über funktionierende Notfallstrukturen verfügen.

Aufgabe des Management: Konkrete Schritte für Ihre Organisation

1. Drittanbieter-Prüfung vor Vertragsabschluss

Führen Sie Due-Diligence-Prüfungen durch: Prüfen Sie Zertifikate, Sicherheitskonzepte und Referenzen.

2. Vertragliche Sicherheitsanforderungen

Sichern Sie SLAs ab: Regelungen zu Verschlüsselung, Updatezyklen und Vorfallmeldungen schaffen klare Erwartungen.

3. Monitoring der Partner-Sicherheit

Etablieren Sie regelmäßige Audits, Berichtspflichten und ein Meldesystem bei Sicherheitsvorfällen.

4. Beschränkung von Zugriffsrechten

Verfolgen Sie das Prinzip „Least Privilege“: Nur notwendige Rechte minimieren die Angriffsfläche.

5. Gemeinsame Notfallübungen mit Partnern

Proben Sie den Ernstfall mit kritischen Zulieferern. Krisenszenarien dürfen keine Theorie bleiben.

6. Cyber-Versicherung als Ergänzung

Eine Versicherung kann finanzielle Schäden abfedern – sie ersetzt jedoch kein strukturiertes Risikomanagement.

Als Spezialistin für Informationssicherheit, Datenschutz, Risikomanagement und Compliance begleitet SECURAM Consulting Unternehmen beim Aufbau robuster Sicherheitsstrukturen. Besonders KMU profitieren von praxisorientierter Unterstützung:

• Einführung von ISMS und BCM

• Vorbereitung auf ISO-Zertifizierungen

• Durchführung von Risikoanalysen & Lieferantenbewertungen

• Schulungen für Führungskräfte & Mitarbeitende

Unser Ziel: Mehr Sicherheit, weniger Komplexität – mit messbarem Mehrwert für Ihre Organisation.

Fazit: Management entscheidet über Resilienz

Der Fall Adidas ist ein Weckruf für alle Unternehmen. Wer auf externe Dienstleister setzt, trägt Verantwortung – für Daten, Prozesse und Kundenbeziehungen. Sicherheitsmanagement ist heute eine Führungsaufgabe. Nur mit einem integrierten Ansatz aus Technik, Prozessen und Kultur kann ein Unternehmen langfristig widerstandsfähig bleiben.

Management bedeutet: Jetzt handeln – bevor es zu spät ist.

Quellen: https://www.bitkom.org/, https://www.it-daily.net/, https://www.dataguard.de/blog