Zulieferer als attraktives Angriffsziel von Hackern

Supply Chain Attacks (zu deutsch: Lieferketten-Angriffe) haben sich in den letzten Jahren als eine der gefährlichsten und am schwersten zu entdeckenden Formen von Cyberangriffen etabliert. Unternehmen, insbesondere Banken und Betreiber kritischer Infrastrukturen (KRITIS), sind auf eine Vielzahl von Drittanbietern angewiesen, um ihre Systeme aufrechtzuerhalten. Diese Abhängigkeit bietet Cyberkriminellen eine Chance, indirekt über die Lieferkette in hochsensible Netzwerke einzudringen.

Dieser Artikel beleuchtet die Mechanismen von Supply Chain Attacks, beschreibt prominente Beispiele und gibt konkrete Empfehlungen, wie Unternehmen ihre Lieferkette und IT-Systeme absichern können.

Was sind Supply Chain Attacks?

Angriffe auf die Lieferkette zielen darauf ab, Schwachstellen bei Zulieferern oder Drittanbietern auszunutzen. Hacker kompromittieren hierbei die Systeme von Dienstleistern, um über vertrauenswürdige Verbindungen Zugang zu den Netzwerken ihrer eigentlichen Ziele zu erlangen.

Vorgehensweise

Angreifer wählen gezielt Dienstleister oder Zulieferer, deren Sicherheitsmaßnahmen schwächer sind als die der Hauptziele. In vielen Fällen sind es diese Drittparteien, die sensible Informationen verwalten oder Zugriffsrechte auf kritische Systeme besitzen.

Durch Malware, infizierte Updates oder manipulierte Software erhalten die Angreifer Zutritt zu den Systemen ihrer eigentlichen Ziele, ohne direkt auf deren Netzwerke zugreifen zu müssen.

Beispielhafte Angriffsmethoden

1. Infizierte Software-Updates: Hacker schleusen Malware in legitime Software-Updates, die an Unternehmen verteilt werden.
2. Kompromittierte Hardware: Manipulierte Hardwarekomponenten, die in der Lieferkette eingefügt werden, dienen als Einfallstor.
3. Missbrauch von Zugangsdaten: Zulieferer, die privilegierte Zugangsdaten zu den Systemen eines Unternehmens besitzen, werden gezielt attackiert, um diese Daten zu stehlen.

Warum Supply Chain Attacks zunehmen

Zulieferer als Einfallstor werden für Cyberkriminelle immer beliebter. Laut Bitkom kam es bei 26% der Unternehmen, bei denen es zu einem Supply Chain Attack in den letzten zwölf Monaten kam oder es zumindest einen Verdachtsfall gab, zu Produktionsausfällen, Lieferengpässen oder Reputationsschäden.

Zwar haben 37% der Unternehmen einen Notfallplan, sollte es zu einem Sicherheitsvorfall in der Lieferkette kommen. Jedoch sagt dieselbe Anzahl der Befragten, dass in ihrem Unternehmen das Bewusstsein für solche Angriffe fehle und nur 19% führten regelmäßig Sicherheitsbewertungen bei ihren Zulieferern durch, um das Risiko von Angriffen zu minimieren.

Die Zunahme von Supply Chain Attacks ist kein Zufall, sondern die Folge mehrerer Trends in der globalen Wirtschaft und der IT-Landschaft. Die Abhängigkeit von Drittanbietern und die zunehmende Vernetzung bieten Angreifern neue und oft schwerer zu kontrollierende Angriffsvektoren:

1. Globalisierung der Lieferketten: Unternehmen operieren zunehmend global und verlassen sich auf Zulieferer aus verschiedenen Ländern, was die Überprüfung von Sicherheitsstandards erschwert. In einer global vernetzten Welt haben Cyberangriffe auf einen Anbieter im Ausland oft auch Auswirkungen auf Unternehmen in anderen Ländern.
2. Komplexität der IT-Systeme: Moderne IT-Infrastrukturen sind hochkomplex und oft fragmentiert. Jedes neue Software-Update oder jede zusätzliche Komponente kann potenziell eine Schwachstelle darstellen. Insbesondere in der Bankenbranche und bei KRITIS sind die Systeme oft über Jahrzehnte gewachsen und enthalten alte, schwer zu wartende Komponenten.
3. Vertrauensbeziehungen zwischen Unternehmen: Angriffe auf die Lieferkette nutzen oft das Vertrauen aus, das Unternehmen in ihre Dienstleister setzen. Viele Banken und KRITIS-Betreiber verlassen sich darauf, dass ihre Lieferanten sicher arbeiten, ohne deren Sicherheitsmaßnahmen im Detail zu überprüfen. Hacker können diese blinden Flecken ausnutzen.

Prominente Supply Chain Attacks der letzten Jahre

Mehrere Cyberangriffe der letzten Jahre verdeutlichen die massive Bedrohung, die Supply Chain Attacks darstellen. Sie zeigen, dass selbst Unternehmen mit hohen Sicherheitsstandards anfällig werden, wenn ihre Zulieferer kompromittiert werden.

SolarWinds-Hack (2020)

Einer der bekanntesten Angriffe auf die Lieferkette war der SolarWinds-Hack. Hierbei kompromittierten Angreifer die Update-Mechanismen des IT-Dienstleisters SolarWinds und schufen eine Backdoor in der Netzwerkmanagement-Software Orion. Über 18.000 Kunden waren potenziell betroffen, darunter Regierungsbehörden, Banken und IT-Unternehmen wie Microsoft und Nvidia.

Der Angriff blieb monatelang unentdeckt und gilt als einer der weitreichendsten Supply Chain Attacks der jüngeren Geschichte.

Kaseya-Angriff (2021)

2021 nutzten Cyberkriminelle eine Zero-Day-Schwachstelle im Code des IT-Dienstleisters Kaseya aus. Über ein Software-Update verteilten sie Ransomware an die Kunden des Unternehmens.

Da viele dieser Kunden selbst als Managed Service Provider fungierten, verbreitete sich die Ransomware weltweit und traf über 1.500 Unternehmen.

MOVEit-Datenleck (2023)

Der MOVEit-Vorfall von 2023 betraf insbesondere Banken, darunter die Deutsche Bank, ING und Comdirect. Eine Schwachstelle in der Datenübertragungssoftware MOVEit führte zu einem massiven Datendiebstahl, bei dem Informationen von mehr als 85 Millionen Menschen betroffen waren.

Wie Unternehmen sich vor Supply Chain Attacks schützen können

Der Schutz vor Supply Chain Attacks erfordert mehr als nur die Sicherung der eigenen IT-Systeme. Unternehmen müssen sicherstellen, dass auch ihre Zulieferer und Dienstleister strenge Sicherheitsstandards einhalten.

Risikomanagement in der Lieferkette

1. Risikobewertung von Lieferanten: Unternehmen sollten regelmäßige Lieferantenaudits durchführen, um die Sicherheit ihrer Zulieferer zu überprüfen. Dazu gehört die Überprüfung von Sicherheitszertifikaten, Penetrationstests und Sicherheitsberichten. Als Cyber Security Unternehmen bietet Admijalo Lieferantenaudits speziell für Unternehmen der Bankenbranche und anderen KRITIS an - gerade auch im Hinblick auf die NIS2-Richtlinie.
2. Segmentierung von Netzwerken: Externe Dienstleister sollten nur auf die Teile eines Netzwerks Zugriff haben, die für ihre Arbeit notwendig sind. So wird verhindert, dass ein kompromittierter Zulieferer auf das gesamte System zugreifen kann.
3. Monitoring und Überwachung: Unternehmen sollten ein aktives Monitoring einrichten, das auffällige Aktivitäten von Drittanbietern erkennt und meldet. Anomalien in den Datenflüssen zwischen dem eigenen System und dem der Dienstleister können auf einen Angriff hindeuten.

Sicherheitsstandards und Compliance

1. Durchsetzung von Sicherheitsprotokollen: Unternehmen sollten strenge Sicherheitsprotokolle für alle Drittanbieter durchsetzen. Dazu gehören Zwei-Faktor-Authentifizierung sowie die Verschlüsselung und regelmäßige Patches.
2. Vertragsmäßige Verpflichtungen: In Verträgen mit Dienstleistern sollte festgelegt werden, welche Sicherheitsstandards eingehalten werden müssen und welche Haftung bei Sicherheitsvorfällen besteht.

Notfallmanagement und Recovery

1. Incident Response Plan: Ein detaillierter Reaktionsplan für den Fall eines Angriffs auf die Lieferkette ist unerlässlich. Dieser Plan sollte sicherstellen, dass das Unternehmen schnell reagieren kann, um den Schaden zu begrenzen.
2. Backups und Disaster Recovery: Regelmäßige Backups und ein funktionierender Wiederherstellungsplan sind wichtig, um im Falle eines Angriffs schnell wieder arbeitsfähig zu sein.

Fazit: Awareness und Zusammenarbeit als Schlüssel zum Schutz der Lieferkette

Supply Chain Attacks sind eine der größten Herausforderungen, denen Banken und Betreiber kritischer Infrastrukturen zukünftig gegenüberstehen werden. Die zunehmende Komplexität der IT-Systeme, die Abhängigkeit von Drittanbietern sowie die immer vielschichtigeren Angriffsmethoden, machen es Kriminellen leicht, Schwachstellen auszunutzen. Nur durch eine strenge Überprüfung von Zulieferern, die Durchsetzung hoher Sicherheitsstandards und eine gute Vorbereitung auf den Ernstfall können Unternehmen das Risiko solcher Angriffe langfristig minimieren.

Die Verantwortung darf dabei nicht einzig bei den IT-Sicherheitsabteilungen liegen, sondern müssen auf Führungsebene verankert werden. Geschäftsführer, Vorstände und Compliance-Manager sind in der Pflicht, dass die Sicherheit der Lieferkette als kritischer Bestandteil der gesamten Organisation behandelt wird.