Die meisten Organisationen nutzen heute Anwendungen, Cloud-Dienste und Softwarekomponenten von Drittanbietern. Diese bilden die Software-Lieferkette – das gesamte Ökosystem aus Lieferanten, Technologien und Abhängigkeiten, das digitale Systeme trägt.
Das Nationale Direktorat für Cybersicherheit (DNSC) hat einen Leitfaden für KMU veröffentlicht, der die mit dieser Kette verbundenen Risiken erläutert sowie die Maßnahmen, mit denen Unternehmen ihre digitale Infrastruktur schützen können.
In einem Umfeld, in dem Geschäftsprozesse zunehmend digital ablaufen, hängt die Sicherheit nicht mehr allein von den internen Systemen eines Unternehmens ab, sondern auch von der Sicherheit seiner Lieferanten und der verwendeten Softwarekomponenten.
Warum die Sicherheit der Software-Lieferkette wichtig ist
Moderne Software besteht aus zahlreichen externen Komponenten:
- Open-Source-Bibliotheken
- Cloud-Dienste
- SaaS-Plattformen
- von Anbietern entwickelte Module
- online verteilte Updates und Patches
Wird eine dieser Komponenten kompromittiert, kann sich die Schwachstelle auf alle Organisationen ausbreiten, die diese Software verwenden.
Solche Vorfälle sind als Supply-Chain-Angriffe bekannt, und ihre Auswirkungen können erheblich sein, da sie mehrere Organisationen gleichzeitig treffen.
Vom DNSC identifizierte häufige Risiken
Der DNSC-Leitfaden hebt mehrere typische Szenarien hervor, durch die Schwachstellen entstehen können:
Schwachstellen in externen Softwarekomponenten
In Anwendungen integrierte Bibliotheken oder Module können ausnutzbare Sicherheitslücken enthalten.
Kompromittierte Updates
In manchen Fällen können Angreifer Schadcode in ein Software-Update einschleusen, das an Nutzer verteilt wird.
Schwache Sicherheitspraktiken bei Lieferanten
Ein Lieferant, der keine angemessenen Sicherheitskontrollen umsetzt, kann zum Einfallstor für Angreifer werden.
Fehlende Transparenz über verwendete Komponenten
Viele Organisationen haben keinen klaren Überblick über die in ihren Systemen verwendeten Software-Abhängigkeiten.
Wesentliche Empfehlungen für KMU
Das DNSC schlägt mehrere praktische Maßnahmen vor, die die Risiken deutlich verringern können.
Bewerten Sie die Sicherheit Ihrer Lieferanten
Prüfen Sie vor der Einführung einer Softwarelösung:
- den Ruf des Lieferanten
- die Sicherheitsrichtlinien
- die Praktiken im Umgang mit Schwachstellen
- die Historie von Sicherheitsvorfällen
Überwachen Sie die verwendeten Softwarekomponenten
Es ist wichtig, einen klaren Überblick über die in der Organisation verwendeten Anwendungen und Komponenten zu haben. So lassen sich Schwachstellen schnell identifizieren, wenn neue Sicherheitswarnungen erscheinen.
Führen Sie regelmäßige Updates durch
Sicherheitspatches und Updates müssen zeitnah eingespielt werden, um die Risikoexposition zu verringern.
Nehmen Sie Sicherheitsanforderungen in die Lieferantenbeziehung auf
Verträge mit IT-Lieferanten sollten Regelungen enthalten zu:
- Datensicherheit
- Meldung von Vorfällen
- Umgang mit Schwachstellen
Bereiten Sie Pläne zur Reaktion auf Vorfälle vor
Organisationen müssen klare Verfahren für den Umgang mit Sicherheitsvorfällen und die Zusammenarbeit mit kritischen Lieferanten haben.
Das Wichtigste für Führungskräfte
- Digitale Sicherheit hängt nicht nur von der internen Infrastruktur ab, sondern auch von den verwendeten Softwarelieferanten
- Moderne Anwendungen bestehen aus zahlreichen externen Komponenten
- Schwachstellen können in jedem Glied der Softwarekette auftreten
- Lieferantenbewertung und Komponentenüberwachung sind für die Risikominderung unerlässlich
Wie sichere digitale Plattformen beitragen
In digitalen Prozessen mit Dokumenten und Verträgen ist die Sicherheit der verwendeten Plattform entscheidend. Eine sichere Plattform muss bieten:
- Zugriffskontrolle für Nutzer
- vollständige Nachvollziehbarkeit der Aktionen (Audit-Trail)
- Schutz der Dokumentenintegrität
- sichere kryptografische Infrastruktur
Diese Mechanismen verringern das Risiko der Manipulation von Dokumenten und stärken das Vertrauen in digitale Prozesse.
Vollständige DNSC-Ressource
Vollständige Details und technische Empfehlungen finden Sie im Leitfaden hier:
Zu den DNSC-Leitfäden