Vertrauen ist die Währung des modernen Wirtschaftssystems. Ohne Vertrauen, dass Lieferanten liefern, Dienstleister leisten, Plattformen stabil bleiben und Updates sicher sind, stünde jede Organisation still. Doch genau an diesem Punkt entsteht ein Paradox: Je mehr wir auslagern, standardisieren und „as-a-Service“ konsumieren, desto öfter liegt der kritischste Teil unserer Wertschöpfung außerhalb unserer direkten Kontrolle. Lieferketten – ob physisch, digital oder organisatorisch – werden damit zur Achillesferse. Wer sie nur verwaltet, statt sie aktiv zu führen und zu prüfen, sammelt Risiken an genau den Stellen, die Angreifer lieben: dort, wo viele Pfade zusammenlaufen, Privilegien sich bündeln, Transparenz abnimmt und Verantwortung verschwimmt.

Dieser Beitrag blickt hinter die Buzzwords, ordnet typische Schwachstellen, zeigt konkrete Angriffswege – und vor allem: er macht greifbar, wie „Vertrauen, aber prüfen“ als Führungsprinzip funktioniert. Nicht als lähmendes Misstrauen, sondern als strukturierte, messbare Praxis, die Resilienz schafft.

Warum gerade Lieferketten?

Weil sie die Schnittstellen der Organisation sind. An Schnittstellen passieren vier Dinge, die Sicherheit herausfordern:

  1. Kontextwechsel: Eigene Policies enden, fremde beginnen.
  2. Privilegienbündelung: Anbieter erhalten Zugriffe, die niemand intern in der Breite hätte.
  3. Transparenzverlust: Einblick in Infrastruktur, Personal, Subdienstleister und Prozesse ist begrenzt.
  4. Skalierungseffekte: Ein Fehler beim Lieferanten wirkt multipliziert – auf viele Kunden zugleich.

Genau deshalb zielen moderne Angriffe seltener auf die gut gehärtete Festung und häufiger auf das Torhaus: Managed-Service-Provider, Software-Updates, Integrations-Plugins, Logistik-Schnittstellen, Zahlungsabwickler, Cloud-Identitäten. Ein Treffer dort öffnet viele Türen auf einmal.

Die fünf Gesichter der Lieferkette

1) Software-Lieferkette

Alles beginnt im Code – und endet im Update. Zwischen beiden liegen Repositories, Abhängigkeiten, Build-Systeme, Artefakt-Server, Signaturen und Ausrollpfade. Typische Risiken:

2) Cloud- & SaaS-Lieferkette

SaaS ist zur Grundversorgung geworden: Kommunikation, Kollaboration, CRM, HR, Finance, Ticketing, Observability. Dazu kommen Cloud-Dienste als Plattform für die eigene IT. Risiken hier:

3) Service-Lieferkette (Menschen & Prozesse)

Von Wartung über 24/7-Operations bis hin zu Entwicklungsteams „as-a-Service“: Externe Menschen arbeiten mit internen Systemen und Daten.

4) Physische Lieferkette

Hardware, Ersatzteile, Datenträger, Etiketten, Verpackungen, Transport – viel davon geht durch viele Hände.

5) Daten- & Wissenslieferkette

Nicht nur Dinge und Software fließen – auch Wissen fließt: Prompt-Uploads in KI-Dienste, Analyse-Partnerschaften, Forschungskooperationen, Außendienst-Apps.

So brechen Angriffe in Lieferketten durch – realistische Pfade

  1. Das „harmlos“ wirkende Update
    Ein legitimer Anbieter verteilt ein signiertes Update – signiert mit einem Schlüssel, den Angreifer in der Build-Pipeline abgriffen. Das Update wird überall installiert. Erst Wochen später fällt auf, dass Telemetrie zu unbekannten Servern geht und privilegierte Prozesse neue Module laden.
  2. Der Managed-Service-Provider mit „vollen Rechten“
    Ein MSP verwaltet viele Kunden. Ein Phishing-Angriff führt zu gestohlenen Admin-Credentials. Über die Remote-Management-Software rollen in einer Nacht Skripte aus, die EDR deaktivieren, Backups löschen und Ransomware starten. Die Kunden sehen denselben Takt, dieselbe Note, denselben Timer.
  3. Die OAuth-App im Unternehmens-App-Store
    Eine Produktivitäts-App erhält in der Testphase weitreichende Scopes – „lesen und schreiben in Mail, Drive, Calendar“. Die App-Entwickler nutzen einen Subdienstleister, dessen Token-Kette kompromittiert wird. Über die App fließen Mails und Dateien ab, ohne dass jemand Verdächtiges einloggt: alles wirkt wie First-Party.
  4. Die Supply-Chain im Physikland
    Ein Netzwerk-Switch, neu aus dem Karton, zeigt nach Booten unbekannte Konnektivität. Später stellt sich heraus: Im Transit wurde eine manipulierte Firmware aufgespielt. Signaturprüfung war deaktiviert. Der Switch war für einen sensiblen Segment-Core vorgesehen.
  5. Die KI-Abkürzung
    Ein Team lädt Angebotslisten und Kundendaten in einen Online-Assistenten. Wochen später erhält der Wettbewerb Angebote, die exakt unter den Schwellen liegen. Es gibt keine forensische Spur – nur einen Metadatenabdruck im Prompt-Log eines Drittanbieters, auf den niemand zugreifen kann.

Jeder Pfad nutzt dasselbe Muster: Vertrauen ohne ausreichende Prüfung, globale Wirkung durch zentrale Position, späte Sichtbarkeit.

„Vertrauen, aber prüfen“: Von der Parole zur Praxis

Das Motto ist einfach, die Umsetzung braucht System. Fünf Felder entscheiden, ob Lieferketten zur Stärke oder Schwäche werden: Transparenz, Reduktion, Absicherung, Überwachung, Wiederanlauf.

1) Transparenz: Sehen, was da ist – nicht nur, was bestellt wurde

Transparenz ist nicht nice-to-have, sondern Voraussetzung für jede Priorisierung. Was man nicht sieht, kann man nicht sichern.

2) Reduktion: Angriffsfäche klein halten, bevor man sie härtet

Reduktion kostet Mut, denn sie verweigert kurzfristige Bequemlichkeit zugunsten langfristiger Stabilität.

3) Absicherung: Verträge, Technik, Prozesse

Verträge, die tragen

Technik, die schützt

Prozesse, die halten

4) Überwachung: Erkennen, was durchbricht

Überwachung heißt nicht „mehr Alarme“, sondern gezielte Erkennung dort, wo die Kette real zieht.

5) Wiederanlauf: Wenn es reißt – weiterarbeiten

Resilienz in Lieferketten ist vor allem Betriebsfähigkeit ohne oder trotz Lieferant – für begrenzte Zeit, kontrolliert.

Anti-Patterns: Was regelmäßig schiefgeht

Metriken, die wirklich steuern

Lieferketten lassen sich messen – nicht in Seiten Papier, sondern in Steuergrößen:

Jede Metrik braucht Owner, Zielwert, Eskalationsweg und Reviewrhythmus.

100-Tage-Programm: Vom Bauchgefühl zur Beherrschbarkeit

Tage 1–30: Sicht herstellen

Tage 31–60: Leitplanken setzen

Tage 61–80: Härtung & Reduktion

Tage 81–100: Üben & verankern

Fallstricke im Alltag – und wie man sie umgeht

„Der Anbieter liefert nur, wenn er Domain-Admin bekommt.“
Antwort: Scoped Admin + JIT + Begleitung + PAM. Alternativen anbieten (Delegationsmodelle, Aufgabentrennung). Kein pauschaler DA – nie.

„Die SBOM kommt später.“
Antwort: Rollout-Stop für nicht dringende Fälle, Zeitfenster vereinbaren, Risiko kommunizieren. Bei Dringlichkeit: begrenzte Freigabe, Mitigations (Sandbox, Canary, Telemetrie hochfahren).

„Unsere OAuth-App ist geschäftskritisch – die Scopes müssen so groß sein.“
Antwort: Use-Case aufsplitten, mehrere schmalere Apps, Proof durch Logs, Rezertifizierung. Großzügige Scopes sind Ausnahme, nicht Normalfall.

„Der Dienstleister braucht 24/7-Zugriff.“
Antwort: 24/7 JIT-Fähigkeit – nicht 24/7 Dauerrecht. Zeitfenster per Self-Service + On-Call, aber kontrolliert.

„KI ohne Daten bringt nichts.“
Antwort: Datenklassen trennen: Grün (public/neutral) frei, Gelb (intern) über Gateway/Maskierung, Rot (sensibel) nur intern/on-prem / RAG mit hartem Boundary.

Kultur: Vertrauen ist Pflicht, Prüfen ist Fürsorge

„Vertrauen, aber prüfen“ klingt hart. In reifen Organisationen ist es das Gegenteil von Misstrauen: Es ist Fürsorge für das gemeinsame Ergebnis. Gute Lieferanten schätzen klare Anforderungen, feste Meldewege, geordnete Proben, eindeutige Schnittstellen – weil sie am Ende allen die Arbeit erleichtern. Und intern bedeutet es: Niemand muss „Heldentaten“ vollbringen, indem er inoffizielle Abkürzungen nimmt. Der offizielle Weg ist benutzbar. Governance ist nicht die Mauer, sondern das Geländer.

Dazu gehört eine Kommunikation, die erklärt statt droht: Warum eine SBOM wichtig ist. Warum ein JIT-Zugang nicht Schikane, sondern Schutz für alle ist. Warum ein Exit-Test kein Misstrauensvotum, sondern Versicherung ist. Und warum ein Anbieterwechsel leichter fällt, wenn von Anfang an Portabilität gedacht wurde.

Zum Schluss: Die Kette hält, wenn jedes Glied zählen darf

Lieferketten werden bleiben – mehr noch: Sie sind die Grundlage moderner Wertschöpfung. Die Frage ist nicht, ob wir ihnen vertrauen, sondern wie. Wer blind vertraut, bekommt Geschwindigkeit mit eingebautem Fall. Wer misstrauisch verweigert, verpasst Innovation. Wer vertraut und prüft, gewinnt beides: Tempo durch klare, benutzbare Wege – und Sicherheit durch Nachweis, Begrenzung, Beobachtung und Wiederanlauf.

Die Achillesferse wird zur Stärke, wenn sie geführt wird. Das heißt: Transparenz herstellen. Angriffsfläche reduzieren. Verträge und Technik aufeinander abstimmen. Überwachen, was wirklich zählt. Üben, was selten passiert – bevor es passiert. Messen, nicht meinen. Und vor allem: Menschen und Partner so einbinden, dass sie Teil der Lösung sind.

Dann hält die Kette. Nicht, weil sie unzerbrechlich wäre, sondern weil sie geplant nachgibt und gezielt weiterträgt, wenn ein Glied reißt. Genau das ist Resilienz – und genau so funktioniert Vertrauen, das prüft.