Lieferanten & Softwareentwicklung · SUP-01
Verdacht auf kompromittierten Lieferanten
Ein Lieferant, Dienstleister oder Softwareanbieter meldet einen Sicherheitsvorfall, oder seine Kommunikation wirkt plötzlich auffällig. Der Angriff trifft ein anderes Unternehmen, die Auswirkungen landen trotzdem bei euch.
Erste 15 Minuten
Sofortmaßnahmen.
- Lieferant informiert über einen Sicherheitsvorfall
- Bekannter Ansprechpartner schickt plötzlich seltsame Anhänge
- Mail mit geänderten Bankdaten eines Lieferanten
- Softwareanbieter warnt vor manipuliertem Update
- 01
Keine Zahlung freigeben und keine Stammdaten ändern, solange der Vorfall nicht geklärt ist.
- 02
Aktuelle Mails und Anhänge dieses Lieferanten nicht öffnen und nichts installieren, was von dort kam.
- 03
Rückfragen ausschließlich über eine bekannte Telefonnummer aus dem eigenen System, nie über Kontaktdaten aus der verdächtigen Nachricht.
- 04
Festhalten, welche Zugänge dieser Lieferant zu euren Systemen hat, etwa Fernwartung, Portal oder Schnittstelle.
- 05
Sofort melden, auch wenn der Vorfall beim anderen Unternehmen passiert ist.
Melden
Wen informieren, und wie.
Wen
IT-Verantwortliche oder IT-Dienstleister und die für den Lieferanten zuständige Fachabteilung. Bei Zahlungsbezug zusätzlich Buchhaltung und Geschäftsführung.
Wie
Über den internen Meldeweg aus dem Kontaktblatt. Verdächtige Nachrichten als Anhang weitergeben, nicht als Weiterleitung mit anklickbaren Links.
Was bereithalten
- Um welchen Lieferanten es geht
- Woher die Information über den Vorfall stammt
- Welche Zugänge oder Schnittstellen bestehen
- Ob offene Zahlungen oder Bestellungen laufen
- Ob zuletzt Software oder Updates von dort kamen
Häufige Fehler
Nicht tun.
-
Geänderte Bankdaten übernehmen, weil die Mail vom bekannten Ansprechpartner kommt.
-
Die Rückfrage über die Kontaktdaten aus der verdächtigen Nachricht stellen.
-
Den Fernwartungszugang des Lieferanten stillschweigend offen lassen, bis sich jemand meldet.
-
Andere Kunden oder Partner des Lieferanten eigenständig warnen.
Nach der Meldung
Was danach passiert.
Ab hier übernehmen IT, Datenschutz und Geschäftsführung. Für dich ist der Vorfall mit der Meldung abgeschlossen.
-
Die IT sperrt oder beschränkt die Zugänge des Lieferanten und prüft die Protokolle auf Zugriffe über diesen Weg.
-
Die Fachabteilung klärt über einen gesicherten Kanal, welche Daten und Prozesse betroffen sind, und dokumentiert die Antworten.
-
Sind eigene personenbezogene Daten betroffen, folgt die Bewertung nach Art. 33 DSGVO durch die Datenschutz-Ansprechperson.
-
Wesentliche und wichtige Einrichtungen nach NISG 2026 prüfen, ob daraus ein erheblicher Cybersicherheitsvorfall im eigenen Haus wird, der nach § 34 zu melden ist.
Zum Aushängen
Dieses Playbook als PDF.
Eine A4-Seite, gebrandet und druckbar, ohne Anmeldung. Für die Ablage im Team, das Onboarding oder den Aushang neben dem Arbeitsplatz.
PDF · 1 Seite · ohne Anmeldung
Hintergrund
Der Angriff passiert woanders und kommt trotzdem an
Lieferantenvorfälle wirken auf drei Wegen ins eigene Haus. Erstens über Zugänge: Fernwartung, Portale und Schnittstellen sind legitime Verbindungen, die ein Angreifer im kompromittierten Lieferanten einfach weiterverwendet. Zweitens über Kommunikation: Aus einem übernommenen Postfach kommen Nachrichten mit echter Historie, echten Namen und echten Vorgangsnummern. Drittens über Software: Ein manipuliertes Update wird auf dem regulären Weg verteilt und von der eigenen IT arglos installiert.
Für Mitarbeitende zählt vor allem der zweite Weg. Eine Mail aus einem übernommenen Lieferantenpostfach besteht jede Plausibilitätsprüfung, weil sie echt ist. Nur der Inhalt ist es nicht.
Die Bankdatenänderung ist der teuerste Einzelfall
Der wirtschaftlich größte Schaden entsteht selten durch Verschlüsselung, sondern durch eine Überweisung auf ein fremdes Konto. Das Muster ist immer ähnlich: eine bestehende Rechnungskorrespondenz, ein höflicher Hinweis auf eine neue Bankverbindung wegen Bankwechsel oder Umstrukturierung, und ein Betrag, der zur laufenden Geschäftsbeziehung passt.
Dagegen hilft eine einzige Regel, konsequent angewendet: Eine Änderung von Bankdaten wird ausschließlich mündlich über eine Nummer bestätigt, die aus dem eigenen Stammdatensatz stammt. Nicht über die Nummer in der Signatur, nicht über eine Rückantwort auf die Mail.
Der Zugang ist das, was übersehen wird
Wenn ein Lieferant einen Vorfall meldet, konzentriert sich die Aufmerksamkeit auf die Frage, welche eigenen Daten dort lagen. Ebenso wichtig ist die umgekehrte Richtung: Welche Zugänge hat dieser Lieferant zu unseren Systemen? Fernwartungssoftware, ein Konto im ERP, ein Zugang zur Maschinensteuerung oder eine Schnittstelle im Webshop bleiben oft jahrelang bestehen, ohne dass jemand sie im Blick hat.
Diese Frage in der Meldung zu beantworten beschleunigt die Reaktion erheblich. Das österreichische NISG 2026 verlangt in § 32 von wesentlichen und wichtigen Einrichtungen ausdrücklich Maßnahmen zur Sicherheit der Lieferkette, einschließlich der Beziehungen zu unmittelbaren Anbietern und Dienstleistern.
Erstgespräch
Sicherheit braucht ein Gegenüber, kein Tool.
Im 30-Minuten-Erstgespräch klären wir, wo Ihr Unternehmen steht und welcher nächste Schritt sinnvoll ist.