SolarWinds war 2020 der Weckruf. Log4j war 2021 der Schock. 3CX war 2023 der Beweis, dass es jeden treffen kann. Und 2026? Supply-Chain-Angriffe sind kein Ausnahmeereignis mehr. Sie sind Routine.
Die Angriffsfläche wächst
Moderne Unternehmen nutzen hunderte von Software-Komponenten, Dutzende von SaaS-Diensten und mehrere IT-Dienstleister mit privilegiertem Zugang. Jede dieser Verbindungen ist ein potenzielles Einfallstor.
Die häufigsten Supply-Chain-Angriffsvektoren 2026:
- Kompromittierte Software-Updates: Angreifer infiltrieren den Build-Prozess eines Softwareherstellers und schleusen Schadcode in legitime Updates ein. Kunden installieren das Update im Vertrauen auf den Hersteller.
- Dependency Confusion / Typosquatting: Bösartige Pakete in öffentlichen Registries (npm, PyPI, NuGet) mit Namen, die legitimen Paketen ähneln. Entwickler installieren sie versehentlich.
- Kompromittierte MSPs/IT-Dienstleister: Managed Service Provider haben oft Admin-Zugang zu Kundensystemen. Ein kompromittierter MSP bedeutet Zugang zu allen Kunden gleichzeitig.
- CI/CD-Pipeline-Angriffe: Manipulation von Build-Servern, GitHub Actions, GitLab CI. Code wird während des Builds verändert, ohne dass Entwickler es merken.
Schutzstrategien
Kein Unternehmen kann seine gesamte Lieferkette kontrollieren. Aber es gibt pragmatische Massnahmen:
- Software Bill of Materials (SBOM): Fordere von jedem Softwarelieferanten eine aktuelle SBOM. Wisse, welche Komponenten in deiner Software stecken.
- Zero Trust für Dienstleister: MSPs und IT-Partner bekommen nur den Zugang, den sie brauchen. Just-in-Time-Access statt permanenter Admin-Rechte. Session-Recording für privilegierte Zugriffe.
- Signaturen und Reproducible Builds: Software-Updates nur akzeptieren, wenn sie kryptographisch signiert sind. Wo möglich: Reproducible Builds verifizieren.
- Dependency Scanning: Automatische Prüfung aller Software-Abhängigkeiten auf bekannte Schwachstellen (Dependabot, Snyk, Renovate). In die CI/CD-Pipeline integrieren.
- Netzwerksegmentierung: Dienstleister-Zugänge in separate Netzwerksegmente isolieren. Monitoring auf laterale Bewegung.
- Vertragsklauseln: Security-Anforderungen in Dienstleisterverträge aufnehmen: Patch-SLAs, Incident-Notification-Fristen, Audit-Rechte.
Supply-Chain-Security ist kein Produkt, das man kaufen kann. Es ist eine Disziplin, die kontinuierliche Aufmerksamkeit erfordert. Unternehmen, die ihre Lieferkette ernst nehmen, werden nicht unverwundbar. Aber sie werden deutlich widerstandsfähiger.
Quellen: ENISA Threat Landscape 2026, Google SLSA Framework, NIST SP 800-218 (SSDF), CISA Supply Chain Risk Management.