Bei einem Supply-Chain-Angriff auf KMU kommen die Angreifer nicht direkt, sondern über einen Partner: den Lieferanten mit Fernwartungszugang, den Softwarehersteller oder den Geschäftspartner, dessen Postfach gekapert wurde. Wer sich schützen will, muss deshalb wissen, wer von außen Zugriff hat, und diese Zugänge kontrollieren. Für Betriebe in Wertheim und im Main-Tauber-Kreis ist das kein Konzernthema: Gerade in der Industrie und im Handwerk hängen viele Firmen eng an ihren Lieferanten.
Was ist ein Supply-Chain-Angriff?
Ein Supply-Chain-Angriff ist ein Cyberangriff, der ein Unternehmen über einen vertrauenswürdigen Dritten erreicht. Statt die eigene Firewall zu überwinden, nutzen Angreifer den Zugang eines Lieferanten, ein manipuliertes Software-Update oder die gekaperte Mailadresse eines Geschäftspartners. Das Opfer vertraut diesem Partner, deshalb fällt der Angriff oft erst spät auf.
Das Problem ist verbreitet. In einer Bitkom-Befragung gaben 9 Prozent der Unternehmen an, in den vergangenen zwölf Monaten nachweislich über einen kompromittierten Zulieferer angegriffen worden zu sein. Weitere 19 Prozent hatten einen entsprechenden Verdacht.
Ein aktuelles Beispiel aus dem Oktober
Mitte Oktober 2026 traf ein Cyberangriff den Gerätehersteller Danfoss. Laut der Wochenübersicht von ComputerWeekly ist Danfoss Lieferant von Thermomanagement-Systemen für französische Handelsketten wie Super U und Intermarché. Der Angriff unterbrach dort die Kühlkette, frische und tiefgekühlte Ware musste vernichtet werden. Getroffen wurde ein Zulieferer, den Schaden hatten seine Kunden.
Über welche Wege kommen Angreifer bei KMU durch die Hintertür?
Im Mittelstand sind es selten exotische Angriffe. Meist geht es um Zugänge, die irgendwann eingerichtet wurden und seitdem niemand mehr anschaut.
Fernwartung von Maschinen und Anlagen
Maschinenhersteller, Heizungs- oder Kältetechniker greifen per VPN oder Fernwartungssoftware auf Anlagen zu. Ist ihr Zugang kompromittiert, steht der Angreifer im eigenen Netz.
Manipulierte Software-Updates
Wird der Update-Server eines Herstellers übernommen, verteilen sich Schadprogramme über ein ganz normales, signiertes Update an alle Kunden.
Gekaperte Postfächer von Geschäftspartnern
Die Mail kommt wirklich vom Stammlieferanten, nur hat jemand anderes sein Postfach übernommen. Typisch sind geänderte Bankdaten auf einer echten Rechnung.
Cloud-Dienste und Branchensoftware
Fällt ein Online-Dienst aus oder wird angegriffen, stehen alle Kunden gleichzeitig still, ohne dass im eigenen Haus ein Fehler passiert ist.
Dazu kommt ein Punkt, über den selten gesprochen wird: Auch der eigene IT-Dienstleister ist Teil der Lieferkette. Er hat in der Regel weitreichende Rechte auf Server, Firewall und Microsoft 365. Dazu mehr weiter unten.
Praxisbeispiel: Wenn die Mail vom Stammlieferanten echt aussieht
Ein Handwerksbetrieb aus dem Main-Tauber-Kreis bestellt seit Jahren beim selben Großhändler. Eines Tages kommt eine Rechnung im gewohnten Format, aus dem gewohnten Postfach, mit dem Hinweis auf eine neue Bankverbindung. Die Buchhaltung überweist. Erst die Mahnung des Großhändlers zwei Wochen später zeigt: Dessen Postfach war gekapert, das Geld ist weg.
Technisch war beim Handwerksbetrieb alles in Ordnung. Gefehlt hat eine einfache Regel: Geänderte Bankdaten werden telefonisch unter der bekannten Nummer bestätigt, nicht unter der Nummer aus der Mail. Mehr zu solchen Betrugsmails lesen Sie im Beitrag zur KI-Phishing-Welle 2026.
Supply-Chain-Angriff im KMU verhindern: fünf Schritte
Ein vollständiger Schutz ist nicht möglich, weil die Sicherheit des Partners nicht in der eigenen Hand liegt. Den Schaden zu begrenzen, gelingt aber mit überschaubarem Aufwand.
Alle Zugänge von außen auflisten
Welche Lieferanten und Dienstleister haben Fernzugriff, ein Benutzerkonto in Microsoft 365 oder Zugriff auf Daten? Die Liste ist der wichtigste Schritt, weil sie fast immer Zugänge zeigt, die niemand mehr braucht.
Zugänge nur bei Bedarf freischalten
Fernwartung muss nicht dauerhaft offen stehen. Besser ist ein Zugang, der für den Termin freigeschaltet und danach wieder gesperrt wird, abgesichert mit Multi-Faktor-Authentifizierung und mit Protokoll.
Netze trennen
Maschinen, Anlagensteuerungen und Geräte mit Fernwartung gehören in ein eigenes Netzsegment. Wer über die Anlage hereinkommt, darf nicht automatisch den Buchhaltungsrechner erreichen.
Rückruf-Regel für Zahlungen
Geänderte Bankdaten, ungewöhnliche Zahlungsaufforderungen oder neue Ansprechpartner werden immer über einen bekannten Kanal bestätigt. Das kostet zwei Minuten und verhindert die teuerste Variante des Angriffs.
Sicherheit in Verträgen regeln
Bei Lieferanten mit Zugriff gehört in den Vertrag, wie Zugänge abgesichert werden und wie schnell ein Sicherheitsvorfall gemeldet wird. Wer nichts weiß, kann nicht reagieren.
Gegen den Totalausfall hilft am Ende nur eine Sicherung, die ein Angreifer nicht erreichen kann. Worauf es dabei ankommt, steht im Artikel zum Ransomware-Schutz 2026. Für den Fall, dass trotzdem etwas passiert, lohnt ein IT-Notfallplan, in dem auch die Kontakte der wichtigsten Lieferanten stehen.
Welche Fragen sollten Sie Ihrem IT-Dienstleister stellen?
Ein IT-Dienstleister hat meist mehr Rechte als jeder Lieferant. Das ist für die Betreuung nötig, macht ihn aber auch zum lohnenden Ziel. Diese Fragen sollte jeder Dienstleister ohne Zögern beantworten können, die CoKom GmbH eingeschlossen:
| Frage | Warum sie wichtig ist |
|---|---|
| Sind alle Fernzugänge mit Multi-Faktor-Authentifizierung gesichert? | Ein gestohlenes Passwort allein darf nicht für den Zugriff auf Ihre Systeme reichen. |
| Werden für jeden Kunden eigene Zugangsdaten verwendet? | Ein einziges Passwort für alle Kunden würde bei einem Leck alle gleichzeitig treffen. |
| Wird protokolliert, wer wann auf welches System zugreift? | Nur so lässt sich im Ernstfall nachvollziehen, was passiert ist. |
| Wie und wie schnell werde ich bei einem Vorfall informiert? | Eine klare Meldekette spart im Ernstfall Stunden. |
| Welche Konten haben dauerhafte Administratorrechte? | Je weniger dauerhafte Rechte, desto kleiner die Angriffsfläche. |
Ein guter Dienstleister begrüßt diese Fragen. Wer ausweicht oder keine Antwort hat, ist selbst ein Risiko in Ihrer Lieferkette. Wie ein geordneter Anbieterwechsel abläuft, beschreibt der Beitrag IT-Dienstleister wechseln.
Was hat NIS2 mit der Lieferkette zu tun?
NIS2, die EU-Richtlinie für mehr Cybersicherheit in wichtigen Branchen, verpflichtet betroffene Unternehmen ausdrücklich, auch die Sicherheit ihrer Lieferkette zu berücksichtigen. Viele kleine Betriebe fallen selbst nicht unter NIS2. Sind sie aber Zulieferer eines betroffenen Unternehmens, kommen die Anforderungen über Verträge und Fragebögen trotzdem bei ihnen an. Welche Pflichten konkret gelten, steht im Beitrag zu den NIS2-Pflichten für KMU.
Häufige Fragen zum Supply-Chain-Angriff
Ist ein kleiner Betrieb für solche Angriffe überhaupt interessant?
Ja, oft gerade deshalb. Kleine Betriebe sind für Angreifer der leichtere Weg zu größeren Kunden. Und beim Rechnungsbetrug über gekaperte Postfächer ist jedes Unternehmen ein Ziel, das Überweisungen tätigt.
Reicht eine gute Firewall gegen Angriffe über Lieferanten?
Nein. Die Firewall lässt den Lieferanten bewusst durch, weil er Zugang haben soll. Schutz bieten hier vor allem zeitlich begrenzte Zugänge, getrennte Netze und Multi-Faktor-Authentifizierung.
Was tun, wenn ein Lieferant einen Cyberangriff meldet?
Zugänge dieses Lieferanten sofort sperren, Mails und Rechnungen der letzten Wochen kritisch prüfen und Zahlungen an geänderte Konten stoppen. Danach mit dem Lieferanten klären, welche Daten und Systeme betroffen sein könnten.
Wie oft sollten Zugänge von Dienstleistern überprüft werden?
Mindestens einmal im Jahr und zusätzlich immer dann, wenn ein Projekt endet oder ein Lieferant wechselt. Nicht mehr genutzte Zugänge werden sofort gelöscht.
Fazit: Gegen einen Supply-Chain-Angriff hilft im KMU vor allem Übersicht
Ein Supply-Chain-Angriff nutzt das Vertrauen zwischen Partnern aus. KMU schützen sich am wirksamsten, indem sie alle Zugänge von außen kennen, sie nur bei Bedarf freischalten, Netze trennen und Zahlungsänderungen immer gegenprüfen. Das ist weniger eine Frage teurer Technik als eine Frage klarer Regeln.
Die CoKom GmbH unterstützt Unternehmen und Arztpraxen in Wertheim, im Main-Tauber-Kreis und in Baden-Württemberg dabei, Fernzugänge zu ordnen und abzusichern. Mehr dazu unter IT-Sicherheit für KMU.