Warum Lieferketten zu einem der größten Sicherheitsrisiken moderner Unternehmen geworden sind

Lieferketten sind zu einem der größten Sicherheitsrisiken für Unternehmen geworden. Viele Firmen investieren erhebliche Summen in IT-Sicherheit, Datenschutz und Risikomanagement – und unterschätzen trotzdem die Gefahr, die von Zulieferern, Dienstleistern, Software und Transportwegen ausgeht. Hier erfährst du einfach erklärt, welche Risiken in modernen Beschaffungsnetzen stecken, was Pandemie, Rotes Meer und Cyberangriffe über Dienstleister gelehrt haben, wie Unternehmen widerstandsfähiger werden, welche Regeln gelten und warum das Thema auch für Anleger wichtig ist.

Versorgungsketten gehören zu den Systemen, deren Ausfall weit über ein einzelnes Unternehmen hinausreicht. Wer verstehen will, wie Deutschland kritische Versorgungsstrukturen schützt, findet den Überblick in unserem Beitrag KRITIS: Wer schützt Deutschlands kritische Infrastruktur wirklich?

Was versteht man unter Lieferkettensicherheit?

Globalisierung, Digitalisierung und Just-in-Time-Produktion haben die Weltwirtschaft effizienter gemacht. Gleichzeitig sind komplexe Abhängigkeiten zwischen Herstellern, Zulieferern, Logistikunternehmen und Technologieanbietern entstanden. Fällt ein wichtiger Bestandteil dieser Kette aus, können Produktionslinien stillstehen, Lieferungen ausbleiben und erhebliche wirtschaftliche Schäden entstehen. Deshalb betrachten Sicherheitsexperten Lieferketten heute zunehmend als kritische Infrastruktur.

Lieferkettensicherheit umfasst alle Maßnahmen, die sicherstellen sollen, dass Waren, Dienstleistungen, Rohstoffe und Informationen zuverlässig verfügbar bleiben. Risiken entstehen nicht nur durch physische Probleme, sondern auch durch digitale Angriffe, geopolitische Konflikte oder Naturereignisse:

• Produktionsausfälle: Ein Werk eines Zulieferers steht still, etwa durch Brand, Streik oder Insolvenz.
• Transportprobleme: Häfen, Kanäle oder Straßen sind blockiert, Frachtraum wird knapp.
• Cyberangriffe: Ein Dienstleister wird gehackt, und die Angreifer gelangen über ihn zu seinen Kunden.
• Rohstoffengpässe: Wichtige Materialien kommen aus wenigen Ländern und werden knapp oder teuer.
• Politische Konflikte: Sanktionen, Zölle und Exportverbote unterbrechen Lieferbeziehungen.
• Naturkatastrophen: Erdbeben, Hochwasser oder Stürme treffen Produktionsstandorte.
• Sabotage: Gezielte Angriffe auf Anlagen, Energieversorgung oder Transportwege.
• Infrastrukturprobleme: marode Brücken, überlastete Bahnstrecken, Stromausfälle.

Die Kette ist länger, als man denkt

Viele Unternehmen kennen ihre direkten Lieferanten gut. Doch diese haben wiederum eigene Zulieferer, und die haben wieder welche. Fachleute sprechen von Lieferanten der ersten, zweiten und dritten Ebene. Gerade auf den hinteren Ebenen fehlt oft jeder Überblick. Ein Autohersteller weiß vielleicht genau, wer ihm die Steuergeräte liefert – aber nicht, aus welchem Werk der Chip in diesem Steuergerät stammt. Genau dort entstehen Engpässe, die niemand kommen sieht.

Warnsignale der letzten Jahre

Die vergangenen Jahre haben gezeigt, wie verletzlich globale Versorgungsketten sein können. Zahlreiche Unternehmen mussten feststellen, dass einzelne Komponenten plötzlich nicht mehr verfügbar waren.

• Pandemie: Fabriken schlossen, Häfen stauten sich, Frachtraten stiegen stark. Von Halbleitern bis zu medizinischen Produkten entstanden Engpässe, die ganze Branchen trafen.
• Chipmangel: Ab 2021 mussten Autohersteller weltweit die Produktion drosseln, weil Halbleiter fehlten. Fertige Fahrzeuge standen auf Halde, weil einzelne Bauteile fehlten.
• Suezkanal 2021: Das Containerschiff „Ever Given“ blockierte den Kanal für mehrere Tage. Hunderte Schiffe stauten sich, die Folgen waren noch Wochen später spürbar.
• Rotes Meer seit Ende 2023: Nach Angriffen der Huthi-Miliz auf Handelsschiffe mieden viele Reedereien die Route durch den Suezkanal und fuhren den langen Weg um Afrika. Lieferzeiten verlängerten sich, und einige Werke in Europa mussten wegen fehlender Teile zeitweise pausieren.

Viele Unternehmen begannen daraufhin, ihre Abhängigkeiten genauer zu analysieren. Die Erkenntnis war oft ernüchternd: Hinter scheinbar breiter Beschaffung steckte häufig ein einziges Land oder sogar ein einziger Hersteller.

Warum Cyberangriffe über Zulieferer ein neues Risiko sind

Die Kette besteht längst nicht mehr nur aus physischen Transportwegen. Digitale Plattformen, Logistiksoftware und Cloud-Dienste spielen eine zentrale Rolle. Dadurch entstehen neue Angriffsflächen. Ein erfolgreicher Angriff auf einen Zulieferer kann Auswirkungen auf zahlreiche weitere Unternehmen haben.

Bekannte Beispiele zeigen das Muster:

• SolarWinds (2020): Angreifer schleusten Schadcode in Updates einer weit verbreiteten Netzwerk-Software. Über die Updates gelangten sie in Behörden und Unternehmen.
• Kaseya (2021): Angreifer nutzten Schwachstellen in der Fernwartungssoftware Kaseya VSA. Darüber verbreiteten sie Ransomware bei IT-Dienstleistern und zahlreichen von ihnen betreuten Kunden.
• MOVEit (2023): Über eine Lücke in einer Software zur Dateiübertragung stahl eine Bande Daten bei zahlreichen Organisationen weltweit.

Auch große Technologieunternehmen bleiben über Umwege angreifbar. Wie ein Lieferkettenangriff sogar Mitarbeiter von OpenAI treffen konnte, zeigt unser Beitrag Sicherheitsnachrichten der Woche: Lieferkettenangriff trifft OpenAI-Mitarbeiter. Warum Datenlieferanten für KI-Systeme selbst zum Risiko werden, beschreibt der Beitrag Datenleck bei KI-Datenlieferant Mercor: was das über KI-Lieferketten verrät.

Ein Ausfall muss dabei nicht einmal ein Angriff sein. Im Juli 2024 legte ein fehlerhaftes Update einer Sicherheitssoftware weltweit Millionen Windows-Rechner lahm. Flughäfen, Kliniken und Banken waren betroffen. Der Fall zeigt, wie abhängig viele Organisationen von wenigen Softwareanbietern sind.

Ransomware trifft oft den Zulieferer

Erpressungssoftware ist für Zulieferbeziehungen besonders gefährlich. Wird ein Zulieferer verschlüsselt, kann er tage- oder wochenlang nicht liefern – und seine Kunden stehen mit ihm still. Wie selbst ein Konzern wie Foxconn getroffen wurde, beschreibt unser Beitrag Ransomware bei Foxconn: warum nichts für immer sicher ist. Wie sich Unternehmen und Selbstständige wirksam schützen, erklärt der Ratgeber Ransomware-Schutz: wie du dich wirklich absicherst.

Software als Lieferkette: Open Source und Updates

Kaum ein Programm wird heute komplett selbst geschrieben. Moderne Software besteht zu einem großen Teil aus fremden Bausteinen, oft aus Open-Source-Projekten, die von wenigen Freiwilligen gepflegt werden. Jeder dieser Bausteine ist ein Glied der digitalen Lieferkette.

Wie gefährlich das sein kann, zeigte 2024 der Fall eines weit verbreiteten Kompressionswerkzeugs unter Linux: Ein Angreifer hatte sich über Jahre das Vertrauen der Projektbetreuer erarbeitet und eine Hintertür eingebaut. Ein Entwickler entdeckte sie zufällig, bevor sie in großem Stil ausgeliefert wurde. Ähnlich arbeiten Angreifer, die präparierte Pakete in Software-Verzeichnisse hochladen. Unser Beitrag Vergiftete KI-Pakete: wie ein Lieferketten-Angriff aus Nordkorea auf Krypto-Wallets zielt zeigt ein aktuelles Beispiel.

Unternehmen reagieren darauf mit Software-Stücklisten, sogenannten SBOM. Eine SBOM dokumentiert die Softwarebausteine und ihre Versionen. Werden Schwachstellen bekannt, lassen sich potenziell betroffene Komponenten gezielter identifizieren. Ob ein konkretes System tatsächlich verwundbar ist, muss anschließend geprüft werden. Automatische Scanner helfen, bekannte Schwachstellen zu finden. Wie das funktioniert, erklärt unser Beitrag Cybersecurity-Scanner: wie Unternehmen Schwachstellen erkennen, bevor Angreifer sie finden.

Das Lieferkettenrisiko betrifft übrigens auch Privatleute: Wer Hardware aus unsicheren Quellen kauft, kann manipulierte Geräte erhalten. Wie das bei Krypto-Geräten aussieht, zeigt der Beitrag Gefälschte Hardware-Wallet erkennen: das unterschätzte Lieferketten-Risiko.

Geopolitik: warum Lieferketten politisch verwundbar sind

Viele Warenströme verlaufen über mehrere Kontinente. Politische Konflikte, Handelsbeschränkungen oder Sanktionen können deshalb direkte Auswirkungen auf Unternehmen haben. Besonders betroffen sind häufig Technologieunternehmen, die Automobilindustrie, der Maschinenbau, Elektronikhersteller, Energieunternehmen und die Pharmaindustrie.

Ein Beispiel sind Rohstoffe. Bei vielen wichtigen Materialien wie seltenen Erden, Gallium oder Germanium hat China eine sehr starke Stellung bei Abbau oder Verarbeitung. China hat in den vergangenen Jahren für mehrere dieser Stoffe Exportkontrollen eingeführt. Für europäische Hersteller von Elektronik, Motoren und Rüstungsgütern ist das ein direktes Risiko. Die EU will mit dem Gesetz über kritische Rohstoffe unabhängiger werden – durch eigene Förderung, Verarbeitung, Recycling und mehr Lieferländer.

Auch bei Halbleitern zeigt sich die Abhängigkeit. Die modernsten Chips werden in sehr wenigen Fabriken gefertigt, vor allem in Asien. Warum diese Wertschöpfungskette zugleich ein großes Investmentthema ist, erklärt unser Beitrag Wer am KI-Boom verdient: die Halbleiter-Wertschöpfungskette als Investmentthema. Die Frage nach Versorgungssicherheit wird dadurch immer wichtiger.

Transportwege und Infrastruktur

Jede Lieferkette braucht funktionierende Wege. Seekabel für Daten, Häfen und Kanäle für Container, Straßen und Schienen für die letzte Strecke. Fällt ein Nadelöhr aus, merkt es die ganze Kette.

Wie verwundbar die Verkehrsnetze in Europa sind, beschreibt unser Beitrag Warum Brücken, Tunnel und Verkehrswege zu den unterschätztesten Sicherheitsfaktoren Europas gehören. Stabile Verkehrswege sind Voraussetzung für stabile Lieferketten, weil physische Engpässe wirtschaftliche und sicherheitsrelevante Folgen auslösen können. Für den Datenverkehr gilt dasselbe am Meeresgrund, wie der Beitrag Warum Unterseekabel zu den wichtigsten Sicherheitszielen der Welt gehören zeigt.

Auch Energie ist ein Glied der Kette. Im März 2024 legte ein Brandanschlag auf einen Strommast die Produktion im Tesla-Werk in Grünheide für mehrere Tage lahm. Das Werk selbst war unbeschädigt – ihm fehlte nur der Strom.

Ein Szenario: Wie ein Engpass einen Mittelständler trifft

Wie schnell sich eine Störung durch die Kette frisst, zeigt ein vereinfachtes Beispiel. Stell dir einen Maschinenbauer mit 200 Beschäftigten vor. Er kauft ein bestimmtes Steuermodul bei einem einzigen Lieferanten. Dieser bezieht einen Chip aus einem Werk in Asien.

1. Woche 1: Das Chipwerk steht nach einem Stromausfall still. Beim Maschinenbauer merkt noch niemand etwas.
2. Woche 3: Der Modullieferant meldet Lieferverzug. Der Einkauf sucht Ersatz, findet aber keinen geprüften zweiten Anbieter.
3. Woche 5: Die ersten fast fertigen Maschinen stehen in der Halle, weil ein Bauteil im Wert weniger Euro fehlt.
4. Woche 8: Kunden verschieben Aufträge, Vertragsstrafen drohen, das Unternehmen braucht Liquidität für gebundenes Material.

Das Beispiel ist bewusst einfach gehalten, das Muster ist aber typisch: Der Auslöser liegt weit entfernt, auf einer Ebene, die im eigenen Einkauf niemand kannte. Ein zweiter geprüfter Lieferant oder ein kleiner Lagerpuffer für genau dieses Teil hätte die Kette unterbrochen.

Selbstständige und kleine Firmen: die digitale Kette

Auch wer keine Maschinen baut, hat eine Lieferkette – nur eine digitale. E-Mail-Anbieter, Cloud-Speicher, Buchhaltungsprogramm, Onlineshop-System, Zahlungsdienstleister und Website-Hoster sind die Zulieferer eines modernen Kleinbetriebs. Fällt einer davon aus oder wird er gehackt, steht das Geschäft still. Die gleichen Fragen helfen hier: Wo liegen meine Daten? Gibt es eine Sicherung außerhalb dieses Anbieters? Was mache ich, wenn der Dienst eine Woche nicht erreichbar ist? Und wer hat alles Zugriff auf meine Konten? Wie du Daten gezielt in Europa speicherst und die Kontrolle behältst, erklärt unser Beitrag Souveräne Cloud: wie du Daten in Europa speicherst und die Kontrolle behältst.

Warum Resilienz zum Wettbewerbsfaktor wird

Früher galt maximale Effizienz oft als oberstes Ziel. Lager kosteten Geld, also wurden sie möglichst klein gehalten. Heute erkennen viele Unternehmen, dass eine gewisse Reserve Vorteile bieten kann. Dazu gehören:

• Mehrere Zulieferer: Für wichtige Teile gibt es mindestens einen zweiten Lieferanten.
• Regionale Alternativen: Beschaffung näher am eigenen Standort, oft als Nearshoring bezeichnet.
• Größere Lagerbestände: Puffer für kritische Teile statt reiner Just-in-Time-Anlieferung.
• Notfallpläne: Festgelegte Abläufe, wenn ein Lieferant oder ein IT-System ausfällt.
• Regelmäßige Risikoanalysen: Abhängigkeiten werden nicht einmal geprüft, sondern laufend.

Resilienz kostet Geld, kann im Krisenfall jedoch erhebliche Schäden vermeiden. Die Kunst liegt darin, das richtige Maß zu finden: Nicht jedes Teil braucht einen Lagerpuffer, aber die wenigen Teile, ohne die gar nichts läuft, sehr wohl.

← Tabelle seitlich scrollen →

Vereinfachte Gegenüberstellung der wichtigsten Strategien.

Was Unternehmen konkret tun können

Gerade kleine und mittlere Unternehmen fragen sich, wo sie anfangen sollen. Ein pragmatischer Einstieg in fünf Schritten:

1. Abhängigkeiten erfassen: Welche Lieferanten, Dienstleister und Softwareanbieter sind unverzichtbar? Welche davon gibt es nur einmal?
2. Kritische Punkte bewerten: Was passiert, wenn dieser Partner eine Woche ausfällt? Wie schnell gäbe es Ersatz?
3. Sicherheit der Partner prüfen: In Verträgen Mindeststandards festlegen, etwa zu Zwei-Faktor-Anmeldung, Datensicherung und Meldung von Vorfällen.
4. Zugänge begrenzen: Externe Dienstleister bekommen nur die Rechte, die sie wirklich brauchen, und nur so lange wie nötig.
5. Notfall üben: Datensicherungen testen, Ersatzlieferanten kennen, Ansprechpartner und Abläufe vorher festlegen.

Getestete, getrennt aufbewahrte Datensicherungen sind eine wichtige Rückfallebene, wenn Daten zerstört oder verschlüsselt werden. Gegen Datendiebstahl und missbrauchte Dienstleisterzugänge helfen zusätzlich begrenzte Zugriffsrechte, Mehrfaktor-Authentifizierung und die Überwachung externer Zugänge. Warum Datensicherung dennoch wichtiger ist als jeder Virenschutz, erklärt unser Beitrag Backup-Tools: warum Datensicherung wichtiger ist als jeder Virenschutz. Und ob gestohlene Zugangsdaten des eigenen Unternehmens bereits im Umlauf sind, lässt sich mit Überwachungsdiensten prüfen – mehr dazu im Beitrag Dark-Web-Monitoring: warum Unternehmen gestohlene Daten frühzeitig erkennen sollten.

Welche Regeln für Lieferketten gelten

Der Gesetzgeber hat das Thema ebenfalls entdeckt, allerdings aus verschiedenen Richtungen:

• NIS2: Die EU-Richtlinie zur Cybersicherheit verpflichtet betroffene Unternehmen, auch die Sicherheit ihrer Lieferkette zu berücksichtigen, einschließlich der Beziehungen zu Dienstleistern.
• Cyber Resilience Act: Die EU-Verordnung stellt Sicherheitsanforderungen an Produkte mit digitalen Bestandteilen. Meldepflichten für aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle gelten seit dem 11. September 2026. Die wesentlichen übrigen Anforderungen greifen ab dem 11. Dezember 2027.
• KRITIS-Regeln: Betreiber kritischer Anlagen müssen ihre Versorgung auch gegen Störungen absichern.
• Sorgfaltspflichten: Daneben gibt es Regeln zu Menschenrechten und Umweltschutz bei Zulieferern. Sie betreffen ein anderes Ziel als die Versorgungssicherheit, gehören aber ebenfalls zum Lieferkettenmanagement.

Welche Pflichten NIS2 konkret mit sich bringt und wer betroffen ist, erklärt unser Beitrag NIS2 in der Praxis: Pflichten, Fristen und Haftung für Unternehmen. Einen Überblick für kleinere Firmen gibt der Beitrag EU AI Act, NIS2 und DORA: was die neuen KI- und Sicherheitsregeln für kleine Unternehmen bedeuten.

Welche Rolle spielt künstliche Intelligenz?

Moderne KI-Systeme helfen Unternehmen dabei, Risiken früher zu erkennen. Sie werten Nachrichten, Wetterdaten, Schiffsbewegungen und Lieferantendaten aus, erkennen Schwachstellen und unterstützen bei der Planung alternativer Szenarien. Dadurch lassen sich mögliche Probleme teilweise erkennen, bevor sie zu echten Störungen werden – etwa wenn ein Streik in einem Hafen droht oder ein Lieferant in finanzielle Schieflage gerät.

In Lagern und Verteilzentren übernehmen zudem Roboter immer mehr Aufgaben. Das macht Abläufe schneller und weniger abhängig von knappem Personal. Wie weit das bereits geht, zeigt unser Beitrag Autonome Logistikroboter: wenn Maschinen Pakete tragen und Prozesse steuern. Gleichzeitig gilt: Jede neue vernetzte Technik ist selbst wieder ein Glied der digitalen Lieferkette und muss abgesichert werden.

Auch kleinere Betriebe nutzen KI inzwischen, um Bestellungen, Rechnungen und Lieferantenkommunikation zu automatisieren. Welche Aufgaben sich heute schon abgeben lassen und wo Vorsicht nötig ist, zeigt unser Beitrag Automatisierung mit KI: welche Aufgaben Unternehmer heute bereits abgeben können. Jedes automatisierte Tool ist dabei ein weiterer Dienstleister in der eigenen Kette.

Wer KI-Werkzeuge an E-Mails, Dokumente und Lieferantendaten anbindet, öffnet zudem einen neuen Angriffsweg: Manipulierte Inhalte können ein Sprachmodell zu unerwünschten Aktionen verleiten. Welche neue Schutzschicht dafür entsteht, zeigt unser Beitrag KI-Firewall und Quantum-Safe-Firewall: warum nach der klassischen Firewall jetzt die AI-Wall kommt.

Warum Anleger das Thema Lieferketten beachten sollten

Lieferkettensicherheit entwickelt sich zu einem langfristigen Trend. Unternehmen, die robuste Strukturen aufbauen, können widerstandsfähiger gegenüber Krisen werden. Gleichzeitig profitieren Anbieter von:

• Logistiksoftware: Planung, Verfolgung und Steuerung von Warenströmen.
• Cybersecurity-Lösungen: Schutz vor Angriffen über Zulieferer und Software.
• Automatisierungstechnik: Roboter und Steuerungen für Lager und Produktion.
• Datenauswertung und Risikoanalysen: Frühwarnsysteme für Störungen.
• Rohstoffe und Infrastruktur: Förderung, Verarbeitung und Transport in Europa.

Für Anleger zählt aber auch die andere Seite: Unternehmen mit anfälliger Beschaffung können bei der nächsten Störung Umsatz und Gewinn verlieren. Hohe Erwartungen an Zukunftsthemen sind oft schon im Kurs enthalten. Welche Unternehmen und ETFs im Cybersecurity-Bereich infrage kommen, zeigt unser Ratgeber Cybersecurity-Aktien 2026. Die Rohstoffseite behandelt Rohstoff-Aktien Europa 2026: in Industriemetalle und Autarkie investieren, und wer Rohstoffe direkt handeln will, findet Wege und Anbieter im Beitrag Rohstoffe handeln: Gold, Öl und Co. – welcher Weg und welcher Broker passt.

Welcher Broker zu dir passt, hängt von Sparplänen, Handelsplätzen, Kosten und Bedienung ab. Unsere Übersicht stellt alle Anbieter nebeneinander.

Depot und Broker vergleichenAlle Anbieter für Tagesgeld, Festgeld und Depot auf einen Blick

Ausführliche Tests zu einzelnen Anbietern findest du zu Trade Republic und zum Aktien- und ETF-Handel bei XTB.

Fazit: Sicherheit endet nicht am Werkstor

Unternehmen sind heute Teil globaler Netzwerke. Dadurch entstehen Chancen, aber auch neue Risiken. Lieferketten gehören mittlerweile zu den wichtigsten Sicherheitsfaktoren moderner Wirtschaftssysteme. Wer Risiken frühzeitig erkennt und Abhängigkeiten reduziert, kann die Widerstandsfähigkeit seines Unternehmens deutlich verbessern.

In einer zunehmend vernetzten Welt wird Lieferkettensicherheit deshalb zu einem entscheidenden Bestandteil langfristiger Stabilität – für Unternehmen, für ganze Volkswirtschaften und für Anleger, die wissen wollen, welche Firmen die nächste Krise gut überstehen.

Glossar: die wichtigsten Begriffe

Häufige Fragen zu Lieferketten und Sicherheit