Lieferkettensicherheit

Lieferkettensicherheit beschreibt den Schutz vor IT-Risiken, die nicht direkt im eigenen Betrieb entstehen, sondern über externe Partner wie Softwareanbieter, Cloud-Dienstleister oder Nachunternehmer hineingetragen werden. Wird beispielsweise ein Zulieferer oder ein IT-Dienstleister erfolgreich angegriffen, kann das über gemeinsame Schnittstellen, Zugänge oder Datenaustausch auch den eigenen Betrieb betreffen, selbst wenn dessen eigene Systeme sauber abgesichert sind. Der Angriffspunkt liegt in einem solchen Fall außerhalb des eigenen Einflussbereichs. Das macht Lieferkettensicherheit zu einer Angelegenheit, die sich nicht allein durch eigene Maßnahmen lösen lässt.

Im Bauwesen ist das relevanter, als es zunächst scheint: Ein Handwerksbetrieb arbeitet oft mit mehreren Software-Anbietern gleichzeitig, tauscht Pläne und Aufmaße mit Architekturbüros aus und ist als Nachunternehmer in größere Bauprojekte eingebunden. Jede dieser Schnittstellen ist ein potenzieller Übertragungsweg für Sicherheitsprobleme, unabhängig davon, wie gut die eigene IT-Sicherheit ist, weil das schwächste Glied in der Kette oft nicht der eigene Betrieb, sondern ein Partner mit weniger sorgfältiger Absicherung ist.

Bezug zur Digitalisierung

Größere Auftraggeber, insbesondere solche, die selbst strengeren Anforderungen wie im Rahmen der NIS-2-Betroffenheit unterliegen, fragen zunehmend auch bei ihren Nachunternehmern nach grundlegenden IT-Sicherheitsmaßnahmen, etwa im Rahmen von Ausschreibungen oder Rahmenverträgen. Ein Handwerksbetrieb, der als Zulieferer oder Nachunternehmer für solche Auftraggeber tätig ist, kann also indirekt betroffen sein, auch wenn er selbst nicht unmittelbar unter die entsprechenden Regelungen fällt. Solche Anfragen häufen sich zunehmend, gerade bei größeren, langfristigen Bauprojekten mit mehreren beteiligten Gewerken.

Praktisch zeigt sich Lieferkettensicherheit vor allem im sicheren Datenaustausch mit Partnern: Pläne, Kalkulationen und Kundendaten sollten über abgesicherte, nachvollziehbare Kanäle ausgetauscht werden statt über unverschlüsselte E-Mail-Anhänge oder private Cloud-Ordner ohne klare Zugriffsregeln. Ebenso lohnt ein kritischer Blick auf die eigenen Software-Lieferanten: Wie geht der Anbieter selbst mit Sicherheitslücken um, und wie transparent informiert er, wenn tatsächlich einmal ein Vorfall auftritt, und wie schnell reagiert er dann mit Updates oder Warnhinweisen.

Für kleinere Betriebe reicht meist ein pragmatischer Ansatz: die wichtigsten Software- und Datenaustauschpartner auflisten, grob einschätzen, wie kritisch die jeweilige Verbindung ist, und bei zentralen Partnern gezielt nachfragen, welche technischen und organisatorischen Maßnahmen dort greifen, statt jedem Partner blind zu vertrauen, nur weil die Zusammenarbeit schon lange besteht und bislang keine Probleme aufgetreten sind. Ein solcher Überblick lässt sich mit überschaubarem Aufwand pflegen und regelmäßig aktualisieren.