Lieferantenmanagement: Das unterschätzte Risiko in der Cyber- und Betriebssicherheit

Lieferantenmanagement bedeutet weit mehr als Preisverhandlungen und Vertragsabschlüsse. Für Geschäftsführer, IT-Leiter und Verwaltungsräte in KMU ist es ein zentraler Baustein der Betriebs- und Cybersicherheit. Wer seine Lieferkette nicht aktiv steuert, riskiert Produktionsausfälle, Cyberangriffe über Dritte und im schlimmsten Fall die Existenz des eigenen Unternehmens. Die gute Nachricht: Lieferantenrisiken lassen sich mit den richtigen Schritten wirksam managen.

Wenn eine Anlage ausfällt – und niemand damit gerechnet hat

In einer Notfallübung bin ich auf einen Fall gestossen, der das Problem auf den Punkt bringt.

Ein Unternehmen musste eine zentrale Steuerungsanlage ersetzen. Als die Verantwortlichen das Projekt aufsetzen wollten, kam die böse Überraschung: Die Lieferzeit für die Anlage betrug mehr als ein Jahr. Niemand hatte dieses Risiko auf dem Radar. Im Ernstfall hätte das einen ganzen Jahres-Produktionsausfall bedeutet.

Dieses Beispiel zeigt, wie gravierend mangelndes Lieferantenmanagement sein kann – nicht nur für die Cybersicherheit, sondern für das gesamte Unternehmen.

Typische Risiken in der Lieferkette: Was ich immer wieder sehe

In meiner Arbeit mit KMU aus Industrie und Energieversorgung begegnen mir immer wieder dieselben Muster:

• Lieferant als Einfallstor für Cyberangriffe: Hacker suchen gezielt den schwächsten Punkt. Oft ist das nicht das eigene Unternehmen, sondern ein Partner mit geringeren Sicherheitsstandards.

• Abhängigkeit von einem einzigen Lieferanten: Fällt dieser aus – durch Lieferengpässe, Insolvenz oder geopolitische Gründe – steht die eigene Produktion still.

• Unklare Verträge und fehlende Sicherheitsanforderungen: Viele Verträge regeln Service und Preis, aber nicht, welche Sicherheitsstandards eingehalten werden müssen.

• Fehlende Transparenz in der Lieferkette: Unternehmen kennen oft ihre direkten Lieferanten, aber nicht deren Sub-Lieferanten. Damit bleibt ein Teil des Risikos unsichtbar.

Jedes dieser Muster kann im Ernstfall teuer werden – finanziell und operativ.

Lieferantenmanagement als Teil der Cybersicherheit

Viele Unternehmen denken bei Cybersicherheit zuerst an Firewalls, Antivirensoftware oder Passwortrichtlinien. Das ist richtig, aber nicht vollständig. Angreifer nutzen gezielt Schwachstellen in der Lieferkette, um in gut geschützte Unternehmen einzudringen. Ein Lieferant mit schwacher IT-Sicherheit kann zur Hintertür werden.

Gleichzeitig geht es nicht nur um digitale Risiken. Betriebskontinuität – also die Fähigkeit, auch in Krisensituationen handlungsfähig zu bleiben – hängt direkt davon ab, wie gut ein Unternehmen seine Abhängigkeiten kennt und steuert.

Was Unternehmen konkret tun können

Die gute Nachricht: Lieferantenrisiken lassen sich managen, wenn man es konsequent angeht. Wichtige Schritte sind:

1. Risiken systematisch bewerten: Welche Lieferanten sind wie kritisch fürs Unternehmen? Welche Abhängigkeiten bestehen? Welche Cyberrisiken gehen von ihnen aus?

2. Abhängigkeiten reduzieren: Alternative Lieferanten aufbauen oder strategische Vorräte anlegen, wo es sinnvoll ist.

3. Klare Anforderungen definieren: Sicherheitsstandards, Zertifizierungen und Notfallpläne gehören in jeden Vertrag mit kritischen Lieferanten.

4. Transparenz schaffen: Nicht nur den direkten Lieferanten betrachten, sondern die gesamte Kette – inklusive Sub-Lieferanten.

Diese Schritte sind keine Raketenwissenschaft. Sie erfordern aber Konsequenz und eine klare Verantwortlichkeit im Unternehmen.

Praxisbeispiel: Industriebetrieb

Ein produzierendes KMU mit rund 80 Mitarbeitenden stellte im Rahmen einer Risikoanalyse fest, dass es für eine kritische Produktionskomponente ausschliesslich auf einen einzigen Lieferanten angewiesen war. Gleichzeitig hatte dieser Lieferant Fernzugriff auf die Produktionsanlage – ohne dass klare Sicherheitsanforderungen vertraglich geregelt waren.

Im ersten Schritt wurde der Fernzugriff des Lieferanten auf das Notwendige beschränkt und technisch abgesichert. Im zweiten Schritt wurden zwei alternative Lieferanten evaluiert und ein kleines Ersatzteillager aufgebaut. Das Ergebnis: Das Unternehmen ist heute deutlich resilienter – sowohl gegen Cyberangriffe über Dritte als auch gegen operative Ausfälle.

Jetzt den ersten Schritt machen

Lieferantenmanagement ist kein reines Einkaufsthema mehr. Es ist ein zentraler Baustein der Cyber- und Betriebssicherheit. Wer hier nicht proaktiv handelt, riskiert nicht nur finanzielle Verluste, sondern im schlimmsten Fall die eigene Existenz.

Mein Tipp für den Einstieg: Erstellen Sie eine Liste Ihrer zehn wichtigsten Lieferanten und fragen Sie sich für jeden: Was passiert, wenn dieser Lieferant morgen ausfällt? Allein diese Übung zeigt, wo der dringendste Handlungsbedarf liegt.

Möchten Sie Ihre Lieferkette auf Risiken prüfen?

Ich unterstütze KMU dabei, Lieferantenrisiken systematisch zu bewerten und konkrete Massnahmen umzusetzen – pragmatisch, verständlich und auf Ihre Ressourcen abgestimmt. Nehmen Sie Kontakt auf und wir schauen gemeinsam, wo Ihr Unternehmen steht.

Häufig gestellte Fragen

Was versteht man unter Lieferantenmanagement im Kontext der Cybersicherheit?
Lieferantenmanagement in der Cybersicherheit bedeutet, dass ein Unternehmen nicht nur die eigene IT-Sicherheit im Blick hat, sondern auch die Sicherheitsstandards seiner Lieferanten und Partner bewertet und steuert. Denn Angreifer nutzen gezielt schwach gesicherte Dritte als Einfallstor.

Warum ist die Abhängigkeit von einem einzigen Lieferanten ein Risiko?
Fällt ein einziger kritischer Lieferant aus – durch Insolvenz, Lieferengpass oder einen Cyberangriff – kann das die eigene Produktion zum Stillstand bringen. Wer keine Alternativen hat, ist in einer solchen Situation handlungsunfähig.

Was gehört in einen Vertrag mit einem kritischen Lieferanten?
Neben Preis und Lieferkonditionen sollten Verträge mit kritischen Lieferanten auch Sicherheitsanforderungen, Zertifizierungen (z. B. ISO 27001), Notfallpläne und Regelungen für den Fernzugriff enthalten.

Wie fange ich mit dem Lieferantenmanagement an?
Ein guter Einstieg ist eine einfache Bestandsaufnahme: Welche Lieferanten sind für den Betrieb unverzichtbar? Welche haben Zugang zu internen Systemen? Welche Sicherheitsstandards erfüllen sie? Aus dieser Übersicht lassen sich erste Prioritäten ableiten.