Mobile-Menu
  DB Podcast

Cyberangriffe NIS-2: So schützen sich Unternehmen vor Lieferkettenangriffen

Ein Gastkommentar von Richard Werner 4 min Lesedauer

Anbieter zum Thema

Trend Micro (EMEA) Ltd.
CADFEM Germany GmbH
xSuite Group GmbH
Esker Software Entwicklungs-und Vertrieb

Angreifer nutzen Vertrauen in Geschäftsbeziehungen und die Sicherheitsarchitektur aus, um etwa durch bösartige Software-Updates an Daten zu gelangen. Hier kommt die NIS-2-Direktive ins Spiel.

(Bild: Konsta / Adobe Stock)
(Bild: Konsta / Adobe Stock)

Cyberangriffe auf die Lieferkette. zählen zu den erfolgsreichsten Angriffsmethoden und treffen Unternehmen direkt im Herzstück ihrer IT-Infrastruktur – dem Rechenzentrum. Die Angreifer nutzen hierfür bestehendes Vertrauen in Geschäftsbeziehungen und die Sicherheitsarchitektur aus, um zum Beispiel durch bösartige Software-Updates oder über Service-Provider Zugang zu sensiblen Daten zu erlangen. Doch mit den richtigen NIS-2-Maßnahmen können sich Unternehmen besser davor schützen.

Wegen der großen Tragweite sollten Unternehmen sich der Risiken von Angriffen auf die Lieferkette unbedingt bewusst sein.

Richard Werner, Trend Micro

NIS-2 zum Schutz der Supply Chain

Angriffe auf die Lieferkette (Supply Chain) sind besonders gefährlich, weil sie darauf ausgelegt sind, Sicherheitsmechanismen auf Seiten der Verteidiger zu umgehen. Beispielsweise sind bösartige Software-Updates deshalb so erfolgreich, weil ein Update meist in verschlüsselter Form direkt ins Rechenzentrum des Opfers eingeschleust wird. Unternehmen verteidigen sich dagegen häufig von außen nach innen, wobei das Rechenzentrum selbst durch verschiedenen Sicherheitsebenen nach außen geschützt ist, oft aber nur noch minimale Sicherheitsvorkehrungen von innen nach außen beinhaltet. Geht ein Angriff von innen aus, können sich die Täter meist mühelos ausbreiten. Es spielt dabei kaum eine Rolle, ob das Rechenzentrum virtuell oder cloudbasiert aufgebaut ist.

Wegen der großen Tragweite sollten Unternehmen sich der Risiken von Angriffen auf die Lieferkette unbedingt bewusst sein. Das fordert auch NIS2 ein und verpflichtet IT-Sicherheitsverantwortliche Vorkehrungen zu treffen, um Eintrittswahrscheinlichkeit und Auswirkung abzumildern

Möglichkeiten für Angriffe auf die Lieferketten

Unternehmen, die unter NIS-2 fallen, müssen die Lieferkette als Risiko für die Cybersicherheit berücksichtigen, bewerten und entsprechende Maßnahmen ergreifen Dabei sind vor allem vier Formen von Angriffen auf die Lieferkette relevant: 

  • Bösartige Software-Updates: Diese Variante wandten die Kriminellen in den Angriffen NotPetya (2017), Kaseya (2021) und Solarwinds (2022) an. Dabei wird jeweils ein Hersteller mit großer Kundenanzahl infiltriert und dessen Update-Prozess gekapert. Statt einer normalen Aktualisierung wird ein Angriffswerkzeug an die Kunden übermittelt. 

  • Lieferkettenangriff über Service-Dienstleister: Hier wird meist die Installation des Dienstleisters zuerst angegangen. Die Opfer, vor allem dessen Kunden, haben dabei kaum Einflussmöglichkeit. Weltweit bekannt sind die Angriffe auf Kaseya (2021) sowie MoveIT (2023).

  • Island Hopping: Diese Variante ist ein gezielterer Angriff. Hierbei wird ein Partner in der Lieferkette durch die Angreifer übernommen. Von dieser Basis aus, werden Teilnehmer der Kette mittels normaler Kommunikationswege angegriffen. So kann zum Beispiel ein bösartiger Link oder Mailanhang aus einer vertrauenswürdigen Quelle geteilt werden. Die Gruppe Emotet automatisierte dieses Vorgehen bis zu ihrem Takedown (2021). 

  • Wiederverwendete Programmier-Ressourcen: Um für Kunden immer wieder neue Funktionalität zur Verfügung zu stellen, muss die Entwicklung meist schnell sein. Häufig wird dies durch die Wiederverwendung vorprogrammierter Funktionen oder Codefragmente kompensiert. Daher werden bei Angriffen häufig verwendete Programmierressourcen missbraucht, um Malware an die Opfer über die Lieferkette zu verteilen. In einem Beispiel aus dem Jahr 2021 wurde ein beliebtes NPM-Paket, UAParser.js, kompromittiert, was zur Verbreitung von Malware in Millionen von Projekten führte. Deshalb fordern Experten eine Software Bill of Material (SBOM), um betroffene Segmente schneller identifizieren zu können. 

Schutzmaßnahmen für die Lieferkette gemäß NIS-2

Per Gesetz müssen Unternehmen sich der Risiken von Bedrohungen für die Lieferkette bewusst sein und Vorkehrungen treffen, um deren Eintrittswahrscheinlichkeit und Auswirkung entsprechend abzumildern. Die NIS2-Direktive geht dabei über diese allgemeine Risikobetrachtung der Lieferkette hinaus. Es geht nicht darum, ob ein Partner ausfällt, sondern um die ganz besonderen Risiken, die Aufgrund der Verbundenheit mit der IT entstehen. Zur Cyberrisikodiskussion empfehlen sich die folgenden Szenarien:

  • Absicherung: Die eigenen Server können zum Ausgangspunkt eines Cyberangriffs werden, weswegen auch dort Sicherheitsmechanismen etabliert sein müssen, die einen Eindringling entdecken (zum Beispiel XDR) und die im Rechenzentrum befindlichen Systeme schützen. 

  • Verhandlungen: Unternehmen sollten gemeinsam mit ihren Partnern Herangehensweisen zu automatisierten Datenaustausch erarbeiten (zum Beispiel Frühwarnsysteme). Eines der Probleme bei MoveIT war, dass Kunden zwar von ihrem Service-Provider hörten, aber erst durch die Erpressungsversuche der Täter das Ausmaß klar wurde.

    Jetzt Newsletter abonnieren

    Verpassen Sie nicht unsere besten Inhalte

    Mit Klick auf „Newsletter abonnieren“ erkläre ich mich mit der Verarbeitung und Nutzung meiner Daten gemäß Einwilligungserklärung (bitte aufklappen für Details) einverstanden und akzeptiere die Nutzungsbedingungen. Weitere Informationen finde ich in unserer Datenschutzerklärung. Die Einwilligungserklärung bezieht sich u. a. auf die Zusendung von redaktionellen Newslettern per E-Mail und auf den Datenabgleich zu Marketingzwecken mit ausgewählten Werbepartnern (z. B. LinkedIn, Google, Meta).

    Aufklappen für Details zu Ihrer Einwilligung

Was Angriffe über die Supply Chain zusätzlich gefährlich macht, ist die Vertrauensstellung eines Partners. So werden Sicherheitsmaßnahmen dadurch ausgehebelt. Geht der Angreifer dabei geschickt vor, schöpft der Mitarbeiter keinen Verdacht und führt eingeforderte Aktionen unüberlegt durch. Schließlich führt er die Konversation mit einem „vertrauten Menschen“. 

Fazit

Lieferkettenangriffe gehören zu den erfolgreichsten Cyberwaffen, die jedes Unternehmen in unterschiedlichem Ausmaß betreffen können. Um Risiken zu minimieren, müssen Unternehmen potenzielle Gefahren abwägen und geeignete Schutzmaßnahmen ergreifen. Auch innerhalb von Netzwerken sollte der Zero-Trust-Ansatz gelten, um Angriffe zu verhindern. Neben technischen Maßnahmen empfiehlt sich der offene Austausch mit Partnern, um gemeinsam Cybersicherheitsstrategien zu entwickeln und Bedenken zu adressieren. Das sorgt nicht nur für mehr Sicherheit innerhalb der Lieferkette, sondern wirkt sich gleichzeitig positiv auf Geschäftsbeziehungen aus.

NIS-2Richard Werner
ist Security Advisor bei Trend Micro.

Bildquelle: Trend Micro

Weiterführende Inhalte