Die größte Angriffsfläche liegt außerhalb deiner IT
NIS2 verpflichtet rund 30.000 deutsche Unternehmen zu nachweisbarer Lieferkettensicherheit – mit Bußgeldern bis 10 Mio. € oder 2 % Weltumsatz und persönlicher Geschäftsführerhaftung. Die meisten Sicherheitsvorfälle 2026 beginnen nicht im eigenen Netz, sondern beim MSP, SaaS-Anbieter oder Wartungspartner. Wer nicht weiß, wer Zugriff hat, hat keine Sicherheit – nur Hoffnung.
Was fordert NIS2 für die IT-Lieferkette?
NIS2 verpflichtet betroffene Unternehmen zu vier Kernpflichten entlang ihrer gesamten Lieferanten- und Dienstleisterkette – flankiert von harten Sanktionen und festen Meldefristen.
Risikoanalyse
Systematische Bewertung aller Lieferanten und digitalen Abhängigkeiten.
Vertragliche Anforderungen
Sicherheitsklauseln, Audit-Rechte und Meldepflichten für Dritte.
Audit-Nachweise
Jederzeit prüfbare Dokumentation gegenüber Behörden.
Kontinuierliches Monitoring
Laufende Überwachung externer Zugriffe und Lieferketten-Risiken.
Die neue Realität: Digitale Abhängigkeiten statt isolierter Systeme
Klassische IT-Sicherheit dachte in Perimetern. Innen war sicher, außen war gefährlich. 2026 existiert dieser Perimeter nicht mehr. Unternehmen sind hochgradig vernetzt – und genau dort, wo Vertrauen ohne Kontrolle gewährt wird, entstehen die kritischen Lücken.
- On-Prem Server im eigenen Rechenzentrum
- Klar definierte Netzwerkgrenzen
- Wenige externe Schnittstellen
- Firewall als zentrale Verteidigung
- SaaS überall: M365, CRM, HR, ERP, Ticketing
- Managed Service Provider mit Vollzugriff
- Hunderte APIs zwischen Systemen
- Externe Entwickler, Wartungspartner, Hyperscaler
Ergebnis: ein hochgradig verteiltes, dynamisches System mit implizitem Vertrauen. Genau dieses Vertrauen ist das Problem.
Supply Chain Attacks: Der bevorzugte Angriffsweg 2026
Angreifer denken wirtschaftlich. Sie suchen maximale Wirkung bei minimalem Aufwand und hoher Skalierbarkeit. Die Lieferkette liefert genau das: Ein einziger erfolgreicher Einbruch kompromittiert nicht ein Unternehmen, sondern Dutzende oder Hunderte gleichzeitig. Kaseya, SolarWinds, 3CX, MOVEit – die letzten Jahre haben gezeigt, dass diese Logik funktioniert.
Das Kernproblem: Implizites Vertrauen
Viele Unternehmen arbeiten – meist unbewusst – nach diesen drei Sätzen:
Das ist kein Sicherheitsmodell. Das ist Vertrauen ohne Kontrolle.
Und genau das wird mit NIS2 nicht mehr akzeptiert – weder von Auditoren noch von Versicherungen, noch von Behörden.
NIS2 zwingt zum Paradigmenwechsel
Die NIS2-Richtlinie wurde im Oktober 2024 in nationales Recht überführt. Sie löst die alte NIS-Richtlinie ab und erweitert den Geltungsbereich von rund 2.000 KRITIS-Betreibern auf geschätzt 30.000 deutsche Unternehmen in 18 Sektoren. Maßgeblich sind Größe (≥ 50 Mitarbeitende oder ≥ 10 Mio. € Umsatz) und die Einstufung als „wesentliche“ oder „wichtige“ Einrichtung. Vier konkrete Pflichten betreffen die Lieferkette:
1. Risikoanalyse über die gesamte Lieferkette
Nicht nur eigene Systeme: Hosting-Anbieter, SaaS-Dienste, IT-Dienstleister, Hardware-Lieferanten, Wartungspartner und Software-Komponenten gehören in die Risikoanalyse. Jeder externe Akteur wird Teil deines Risikoprofils.
2. Sicherheitsanforderungen für Dritte
Mindeststandards (MFA, Logging, Patch-Management, Verschlüsselung) müssen vertraglich verankert werden. Ergänzt um Reaktionszeiten bei Vorfällen, Meldepflichten an dich, Audit-Rechte und Exit-Strategien. Verträge werden zu Sicherheitsinstrumenten.
3. Nachweisbarkeit & Audit-Fähigkeit
Es reicht nicht, etwas zu tun – du musst es jederzeit beweisen können. Zugriffsprotokolle, Lieferantenbewertungen, Incident-Reports, Schulungsnachweise und dokumentierte Prozesse sind Pflicht. Behörden und Auditoren prüfen die Evidenz, nicht die Absicht.
4. Kontinuierliches Monitoring
Eine jährliche Prüfung reicht nicht. Risiken verändern sich täglich – durch neue CVEs, Wechsel beim Dienstleister, neue Integrationen. Notwendig sind kontinuierliche Bewertung, automatisierte Alerts und Verhaltenserkennung über die gesamte Kette.
Shadow Interconnection: Das unsichtbare Risiko
Viele Unternehmen wissen nicht, welche Systeme tatsächlich miteinander verbunden sind, welche Daten wohin fließen und welche APIs aktiv genutzt werden. Diese unsichtbaren Verbindungen nennt man Shadow Interconnection – und jede einzelne ist ein potenzieller Angriffspfad.
Jede Verbindung = potenzieller Angriffspfad. Sichtbarkeit ist Voraussetzung für Sicherheit.
Technische Angriffspunkte in der Lieferkette
Identitäten & Zugriffe
Service-Accounts ohne MFA, API-Keys ohne Rotation, dauerhafte Admin-Zugänge bei Dienstleistern. Der größte Hebel für Angreifer – und am häufigsten unterschätzt.
APIs & Integrationen
Unsichere Authentifizierung (statische Tokens), fehlende Rate Limits, ungeprüfte Datenflüsse. Perfekt für leise Datenexfiltration – oft monatelang unbemerkt.
Remote-Zugriffe (RMM/VPN)
Dauerhaft offene Verbindungen zu Dienstleistern, breite Netzwerkrechte, kaum Monitoring. Klassischer Einstiegspunkt bei Supply-Chain-Angriffen seit Kaseya.
Software-Abhängigkeiten
Open-Source-Bibliotheken, Drittanbieter-Komponenten, Update-Mechanismen. Manipulierte Updates wie bei SolarWinds oder XZ-Utils sind das Worst-Case-Szenario.
Cloud-Fehlkonfigurationen
Öffentliche S3/Azure-Buckets, überprivilegierte Rollen, fehlende Segmentierung zwischen Tenants. Daten liegen oft monatelang offen – unbemerkt von der eigenen IT.
Zero Trust: Die einzige logische Antwort
Das klassische „Innen sicher, außen gefährlich“ ist tot. Zero Trust dreht das Modell um: Jeder Zugriff wird geprüft, jede Verbindung wird validiert, kein Vertrauen ohne Verifikation – auch nicht für interne Dienstleister oder etablierte Partner. Vier Säulen tragen das Konzept:
Identity First
- ›MFA überall – ohne Ausnahmen
- ›Least Privilege als Default
- ›Just-in-Time Zugriff statt Dauerrechten
- ›Service-Account-Rotation
Netzwerksegmentierung
- ›Dienstleister nur auf definierte Bereiche
- ›Keine Vollzugriffe auf Produktionsnetze
- ›Microsegmentation zwischen kritischen Systemen
- ›Default-Deny statt Default-Allow
Visibility & Logging
- ›Vollständige Protokollierung jeder Aktion
- ›Zentrale Auswertung (SIEM/XDR)
- ›Anomalie-Erkennung mit Verhaltens-Baselines
- ›Immutable Logs gegen Spurenverwischung
Continuous Validation
- ›Regelmäßige Re-Assessments aller Lieferanten
- ›Automatische Compliance-Checks
- ›Penetration Tests inkl. Supply Chain
- ›Threat-Intelligence-Anbindung
Was Unternehmen jetzt konkret tun müssen
Sichtbarkeit herstellen
- ▸Vollständiges Asset-Inventar inkl. externer Systeme
- ▸Datenflüsse zwischen Systemen verstehen
- ▸Alle Zugriffe (Mensch, Service, API) dokumentieren
- ▸Shadow IT und Schatten-Integrationen aufdecken
Risiken bewerten
- ▸Kritikalität jedes Partners einstufen
- ▸Tiefe der Zugriffe und Datenklassifikation
- ▸Konzentrationsrisiken (Single Points of Failure)
- ▸Geopolitische und regulatorische Faktoren
Maßnahmen umsetzen
- ▸Zero-Trust-Architektur einführen
- ▸Vertragliche Mindeststandards für Dritte
- ▸Technische Zugriffskontrollen härten
- ▸EDR/XDR auch auf Lieferanten-Schnittstellen
Governance etablieren
- ▸Klare Verantwortlichkeiten (CISO, DSB, CEO-Haftung)
- ▸Quartalsweise Lieferanten-Reviews
- ▸NIS2-konforme Dokumentations-Pipeline
- ▸Incident-Response für Supply-Chain-Vorfälle
Die meisten Unternehmen fragen: „Wie werden wir sicherer?“
Die richtige Frage 2026 lautet: „Wer hat Zugriff auf uns – und warum?“
Fazit
Die NIS2-Richtlinie zwingt Unternehmen zu einer unbequemen Wahrheit: Du kontrollierst dein Unternehmen nicht allein. Hyperscaler, MSPs, SaaS-Anbieter, Open-Source-Maintainer und Wartungspartner sind Teil deiner Angriffsfläche – ob du das willst oder nicht.
Wer 2026 nicht weiß, wer Zugriff auf welche Systeme hat, betreibt keine Sicherheit, sondern Hoffnung. Und Hoffnung ist nach NIS2 keine zulässige Strategie mehr.
Kennst du ALLE externen Zugriffe auf deine Systeme?
Wenn nicht: dann hast du keine Sicherheit – nur Hoffnung.
Häufige Fragen zu NIS2 & Lieferkette
Mehr aus dem Supply-Chain-Cluster
Vertiefende Wasacon-Analysen zu Lieferkettenangriffen und MSP-Risiken 2026.
Haftungsausschluss: Die auf Wasacon bereitgestellten Inhalte dienen nur zu Informationszwecken. Wir garantieren nicht die Qualität, Genauigkeit oder Vollständigkeit der Informationen aus Drittquellen.
Diskussion
0 Beiträge
IT-Budget Quick-Check
Wie viel sollte Ihr Unternehmen jährlich in IT investieren?
Risiko-Level: Mittel · Multiplikator: 1.2×
Richtwerte auf Basis von BSI/NIST/ENISA-Branchenbenchmarks. Keine verbindliche Empfehlung.
Das könnte Sie auch interessieren
IT-Sicherheitpm-energy gehackt? Qilin listet „Die Solarexperten“ aus Reesdorf im Darknet
Seit dem 9. August 2026 führt die Ransomware-Gruppe Qilin die pm-energy GmbH aus Reesdorf (Schleswig-Holstein) auf ihrer Leak-Seite. Was belegt ist, was Täterbehauptung bleibt – und warum Photovoltaik-Projektdaten besonders sensibel sind.
IT-SicherheitClausing Tiefbau gehackt? Qilin listet Osnabrücker Infrastruktur-Spezialisten im Darknet
Seit dem 8. August 2026 führt die Ransomware-Gruppe Qilin die Clausing GmbH Tiefbauunternehmen aus Osnabrück auf ihrer Darknet-Leak-Seite. Was belegt ist, was Täterbehauptung bleibt – und warum die digitalisierten Bauprozesse den Fall brisant machen.
IT-SicherheitThe Gentlemen listet INKA Group: Hinter der unscheinbaren Münchner Immobilienholding steckt ein weit größeres Firmengeflecht
Seit dem 7. August 2026 führt die Ransomware-Gruppe The Gentlemen die Münchner INKA Group GmbH & Co. KG als mutmaßliches Opfer. Register- und Konzerndaten zeigen ein verzweigtes Immobiliennetz – bis hin zur Hasen-Immobilien AG mit 230,5 Mio. € Bilanzsumme.
