Wichtige Maßnahmen in unsicheren Zeiten So sichern Unternehmen ihre Software-Lieferkette gegen Cyberbedrohungen ab

Anbieter zum Thema

Hornetsecurity GmbH

CADFEM Germany GmbH

d.velop AG

xSuite Group GmbH

Die Software-Lieferkette gerät immer öfters ins Fadenkreuz von Cyberangriffen. Wie man seine Anwendungen schützt, verrät im Interview Dr. Yvonne Bernard, CTO bei Hornetsecurity.

Software-Lieferketten werden immer anfälliger für Cyberattacken, weil moderne Anwendungen aus vielen Drittanbieter- und Open-Source-Komponenten bestehen und über komplexe CI/CD-Pipelines ausgeliefert werden. Die Sicherheit von Software-Lieferketten beginnt daher mit dem Verständnis, dass jedes Glied – vom Entwickler über den Dienstleister bis zum Update-Kanal – Vertrauen und Verantwortung teilt. Angreifer nutzen genau diese Vertrauenskette aus, weshalb Transparenz darüber, welche Komponenten im Einsatz sind und woher sie stammen, zentral ist.

Unternehmen sollten ihre Partner sorgfältig auswählen, klare Anforderungen und Meldewege vereinbaren und Updates nicht blind durchwinken, sondern nach definierten Freigabeprozessen prüfen. Ebenso wichtig sind eine gelebte Sicherheitskultur, regelmäßige Überprüfungen und die Übung von Notfallabläufen, damit im Ernstfall schnell und koordiniert reagiert werden kann. So wird aus reiner Effizienz ein widerstandsfähiges Ökosystem, in dem Risiken früh erkannt und gemeinsam reduziert werden.

Wie sehen die aktuellen Herausforderungen in der Sicherheit von Software-Lieferketten aus? Welche konkreten Maßnahmen sollten Unternehmen ergreifen, um sich und ihre Partner vor Angriffen über die Lieferkette zu schützen? Und wie sieht die Lieferketten-Sicherheit von morgen aus? DIGITAL BUSINESS spricht darüber mit Dr. Yvonne Bernard, CTO bei Hornetsecurity.

Frau Dr. Bernard, welche aktuellen Herausforderungen sehen Sie in der Absicherung von Lieferketten?

Dr. Yvonne Bernard: Aktuelle Herausforderungen bei der Absicherung von Lieferketten entstehen durch die Verschmelzung von Cybergefahren und physischen Risiken in einem instabilen globalen Umfeld. Während sich die Bedrohungen aus dem virtuellen Raum in komplexen Supply-Chain-Attacken manifestieren, wird der physische Teil der Lieferkette zeitgleich auch massiv durch geopolitische Instabilität beeinflusst. Lange und unflexible Ketten in Verbindung mit Naturkatastrophen führen zudem dazu, dass die operative Resilienz unzureichend ist. Zudem werden die Regularien immer komplexer. Für Unternehmen wird es daher wichtiger, nicht nur auf die Kosten zu achten, sondern auch die Risiken gezielt zu reduzieren.

Unternehmen sind bei ihrer IT-Infrastruktur heute zunehmend auf externe Anbieter angewiesen. Das erhöht jedoch das Risiko von Cyberangriffen, da jedes Glied der Lieferkette ein potenzielles Einfallstor für Attacken sein kann.

Dr. Yvonne Bernard, CTO bei Hornetsecurity by Proofpoint

Wie groß ist eigentlich die Gefahr, dass Unternehmen über ihre Software-Lieferkette Opfer eines Cyberangriffs werden – und warum ist diese Schwachstelle so schwer abzusichern?

Dr. Yvonne Bernard: Unternehmen sind bei ihrer IT-Infrastruktur heute zunehmend auf externe Anbieter angewiesen. Das erhöht jedoch das Risiko von Cyberangriffen, da jedes Glied der Lieferkette ein potenzielles Einfallstor für Attacken sein kann. Software-Anbieter nutzen beispielsweise oft Komponenten und Dienste von Drittanbietern, etwa für Produkt-Updates, da dies effizienter ist als Eigenentwicklungen. Zwar kontrollieren sie ihr eigenes Produkt nach bewährten Methoden, doch die Kontrolle über externe Update-Komponenten liegt beim Anbieter und ist somit anfällig für Missbrauch.

Und das lässt sich nicht einfach absichern?

Dr. Yvonne Bernard: Die Absicherung der Schwachstellen einer Lieferkette ist schwierig, denn moderne Software-Lösungen können aus fremden Open-Source-Komponenten und kommerzieller Software von Drittanbietern bestehen. Über die Sicherheitspraktiken dieser Komponenten haben Unternehmen keine Kontrolle. Darüber hinaus mangelt es oft an Transparenz bezüglich der exakten Software-Bestandteile. Dadurch bleiben Schwachstellen mitunter tief in der Versorgungskette verborgen und Angriffe auf die Entwicklungs- und Bereitstellungsplattformen (CI/CD-Pipelines) der Zulieferer sind schwer zu erkennen.

DIE GESPRÄCHSPARTNERIN

Dr. Yvonne Bernard verantwortet seit 2021 als CTO von Hornetsecurity die strategische und technologische Ausrichtung des Produktportfolios. Sie arbeitet dabei eng mit den Experten aus unterschiedlichen Abteilungen, wie Produktmanagement, Software-Entwicklung und aus dem Security Lab zusammen. Mit annähernd zehn Jahren Erfahrung im Produktmanagement bei Hornetsecurity verfügt Dr. Bernard über ein fundiertes Verständnis der aktuellen Anforderungen im Bereich Cybersecurity. Darüber hinaus hält sie einen Doktortitel in Informatik der Leibniz Universität Hannover. 

Wie läuft denn ein typischer Supply-Chain-Angriff ab? Lässt sich hier ein Muster erkennen?

Dr. Yvonne Bernard: Supply-Chain-Angriffe verlaufen in der Regel in vier aufeinanderfolgenden Phasen, deren Ziel es ist, ein Netzwerk umfassend zu kompromittieren. Zunächst greifen Hacker einen Anbieter innerhalb der Lieferkette an. Dabei nutzen sie etwa Schwachstellen in dessen Systemen aus oder wenden Social-Engineering-Taktiken an. Ist der Zugang erfolgreich, schleusen die Angreifer in der zweiten Phase den schädlichen Code in Produkte, Software-Updates oder Dienstleistungen ein, die der Anbieter regulär an seine Kunden weitergibt.

In der dritten Phase verteilt sich die manipulierte Komponente im Rahmen gewöhnlicher Update-Prozesse oder Lieferungen an die Kunden – meist unbemerkt und unter dem Deckmantel eines legitimen Vorgangs. Sobald die infizierte Komponente in den Zielsystemen angekommen ist, beginnt die vierte Phase: Die Schad-Software wird aktiviert und ermöglicht eine Datenexfiltration, die Systemübernahme oder das Einrichten weiterer Zugriffsmöglichkeiten für die Angreifer.

Die kritischsten Schwachstellen in digitalen Lieferketten resultieren aus dem strukturellen Third-Party-Risk und dem blinden Vertrauen in Zulieferer.

Dr. Yvonne Bernard, CTO bei Hornetsecurity by Proofpoint

Und was sind dabei die häufigsten Schwachstellen in digitalen Lieferketten, die Sie beobachten?

Dr. Yvonne Bernard: Die kritischsten Schwachstellen in digitalen Lieferketten resultieren aus dem strukturellen Third-Party-Risk und dem blinden Vertrauen in Zulieferer. Organisatorisch manifestiert sich dies darin, dass viele Drittanbieter uneinheitliche oder schwächere Sicherheitsstandards aufweisen und dem Zielunternehmen die Transparenz über deren interne Protokolle fehlt. Eine zentrale technische Schwachstelle liegt in der Komplexität moderner Software, die auf Tausenden von Open-Source-Komponenten basiert, deren Schwachstellen die gesamte Software gefährden. Diese Gefahr wird durch das Fehlen von Kontrollmechanismen und das Integrieren von Schadcode in offizielle Updates – wie im Solarwinds-Fall – maximiert, da diese als legitim erscheinen und somit ungehindert ins Kernnetzwerk gelangen. Zusätzlich bergen auch Hardwarekomponenten Risiken, da manipulierte oder kompromittierte Bauteile auf Lieferantenebene in kritische Systeme gelangen können.

Vor allem Phishing wird wohl oft unterschätzt, ist aber ein zentrales Einfallstor in der Lieferkette. Warum sind gerade E-Mail-Kommunikation und Dienstleister so anfällig?

Dr. Yvonne Bernard: Die E-Mail-Kommunikation ist ein primäres Einfallstor für Phishing in der Lieferkette. Unser aktueller Cybersecurity Report 2026, für den wir jährlich 72 Milliarden E-Mails analysieren, zeigt eines ganz klar: E-Mails waren im Jahr 2025 ein konstanter Vektor für Cyberangriffe. Im Vergleich zum Vorjahr stieg die Zahl der mit Schad-Software versehenen E-Mails um 131 Prozent. Da die E-Mail das zentrale und am häufigsten genutzte Kommunikationsmittel zwischen Unternehmen, Partnern und Dienstleistern darstellt, ist sie für Angreifer die ideale Angriffsfläche.

Cyberkriminelle setzen gezielt Spear-Phishing und Social-Engineering ein, um E-Mails so zu fälschen, dass sie legitim erscheinen. Oft nutzen sie dazu bestehende Konversationen (Thread-Hijacking) oder kompromittieren Konten von Dienstleistern (Vendor Email Compromise, VEC). So verschaffen sich Angreifer über Drittanbieter Zugang zu ganzen IT-Systemen und manipulieren Software-Updates oder Cloud-Dienste.

Interview

Effektiver Schutz von Lieferketten: Strategien für Unternehmen