Wie aufsehenerregende Cybervorfälle die tatsächlichen Auswirkungen von Schwachstellen in der Lieferkette auf Unternehmen verdeutlichen

Cyberangriffe richten verheerende Schäden in Unternehmen an. Sie können den Geschäftsbetrieb lahmlegen, finanzielle Verluste verursachen und das Vertrauen der Kunden untergraben. Häufig werden sie nicht durch IT-Schwachstellen in den eigenen Systemen der Opfer hervorgerufen, sondern durch solche in deren digitalen Lieferketten.

Ein aktuelles Beispiel hierfür ist der katastrophale Cyberangriff auf Jaguar Land Rover (JLR), den Experten des Cyber ​​Monitoring Centre (CMC) schätzen. behandelt Ein schwerer Schlag für die britische Wirtschaft in Höhe von 1.9 Milliarden Pfund. Der Autohersteller musste die Produktion für mehrere Wochen einstellen, was das Wachstum der britischen Automobilindustrie bremste. Man geht davon aus, dass die Vernetzung der globalen IT-Infrastruktur von Jaguar Land Rover, deren Integration mit den Betriebstechnologien der Werke und die Abhängigkeit von Lieferkettensystemen es Hackern ermöglichten, schnell zu agieren und gleichzeitig die Eindämmung des Angriffs durch die IT-Teams erschwerten.

Weitere kostspielige Cyberangriffe auf die Lieferkette trafen in diesem Jahr Marks & Spencer (M&S) und Co-op. M&S ergriff eine £ 300 Mio. Einbußen bei den Gewinnen, während Co-op mit Verlusten rechnet. £ 120 Mio. Die Vorfälle wirkten sich negativ auf den Jahresgewinn aus. Beide Vorfälle führten zu Lieferengpässen bei den Einzelhändlern und verdeutlichten die betrieblichen Störungen, die Hackerangriffe in Unternehmen verursachen können. Ursache waren Sicherheitslücken bei einem Drittanbieter, die durch Social-Engineering-Taktiken ausgenutzt wurden.

Da eine Mischung aus Schwachstellen in der Lieferkette und mangelhaften IT-Managementpraktiken zu den Cyberangriffen auf JLR, M&S und Co-op beigetragen hat, was können Unternehmen anders machen, um ihre Cyberabwehr und digitalen Lieferketten zu stärken?

Ein Domino-Effekt

Moderne Unternehmen sind heutzutage stark auf ein Ökosystem aus verschiedenen Plattformen, Software, Anwendungen und physischen Technologien angewiesen – allesamt von unterschiedlichen Anbietern –, um wettbewerbsfähig zu bleiben. Gelingt es Cyberkriminellen, in einen Teil dieses Systems einzudringen, sind die Folgen unvorstellbar und schwer einzudämmen.

„Eine einzelne kompromittierte Abhängigkeit führt nicht nur zu einem eintägigen technischen Ausfall“, sagt Tom Finch, Entwicklungsleiter beim Anbieter von Container-Sicherheitssoftware Chainguard. „Sie löst eine Kettenreaktion aus, die Betriebsstörungen, Notfall-Patching-Zyklen, Kundenverunsicherung und behördliche Prüfungen nach sich zieht, von denen sich die Betroffenen wochen- oder sogar monatelang erholen müssen.“

Sobald diese Kettenreaktion in Gang gesetzt ist, werden verschiedene Geschäftsbereiche – alle durch Software miteinander verbunden – schnell beeinträchtigt. Pete Hannah, Vizepräsident für Westeuropa beim Backup-Speicheranbieter Object First, erklärt, dass ein einziger kompromittierter Anbieter einen Dominoeffekt im gesamten betroffenen Unternehmen auslösen und dessen „Betrieb, Lieferungen, Kundeninteraktionen und finanzielle Leistungsfähigkeit“ erheblich beeinträchtigen kann.

Hannah fügt hinzu, dass selbst kleinste Unterbrechungen der Lieferkette „Produktionsverzögerungen, Vertragsstrafen und Kundenabwanderung“ auslösen können. Und während die Bewältigung solcher Probleme die Finanzen eines Unternehmens stark belasten kann, glaubt er, dass der „Vertrauensverlust noch nachhaltiger sein kann“.

Schwache digitale Lieferketten

Lieferkettenangriffe sind in der heutigen Geschäftswelt zu einer häufigen Störungsquelle geworden. Laut Pierre Noel, Field CISO EMEA beim Managed Detection and Response-Anbieter Expel, liegt die Ursache in „strukturellen“ Schwachstellen, die in digitalen Lieferketten vorhanden sind.

Obwohl Unternehmen zunehmend auf voneinander abhängige Systeme und Technologien angewiesen sind, werden sie laut Noel durch „unbekannte oder unzureichend validierte Sicherheitsvorkehrungen“ geschwächt, die derzeit in allen Teilen der digitalen Lieferkette vorhanden sind. Dies führe zu mangelnder Transparenz und Verantwortlichkeit, wodurch Angriffe auf die Lieferkette oft über längere Zeiträume unbemerkt blieben und niemand genau wisse, wie man damit umgehen solle oder wer die Schuld trage.

Diese Ansicht teilt auch Finch von Chainguard, der Software-Lieferketten als „strukturell fragil“ bezeichnet. Er sagt, dass durch die „Vernetzung“ moderner Software, die aus vielen verschiedenen Komponenten besteht, die „von Tausenden von Menschen entwickelt und gewartet werden“, ein „blinder Fleck in der Sicherheit“ entsteht.

Neben einer schwachen und fragmentierten Software-Lieferkette warnt Hannah von Object First davor, dass viele Unternehmen die Sicherheit ihrer Drittanbieter nicht regelmäßig überprüfen. Gleichzeitig nutzen Cyberkriminelle laut Hannah routinemäßig „Software-Updates, privilegierte Zugriffsrechte, Zugangsdaten von Drittanbietern und Konfigurationsabweichungen“ aus, um sich Zugang zu Lieferketten und natürlich auch zu Unternehmen zu verschaffen.

Er sagt gegenüber IO: „Solange Unternehmen ihre Lieferkettenresilienz nicht kontinuierlich bewerten und testen, anstatt sich auf periodische Compliance-Prüfungen zu verlassen, werden sich die gleichen Störungsmuster fortsetzen.“

Gutes Lieferantenmanagement ist unerlässlich

Da digitale Lieferketten anfälliger denn je sind, ist es für Unternehmen dringend notwendig geworden, ihre Lieferanten- und Kundenmanagementpraktiken zu verbessern. Für Hannah von Object First bedeutet dies, über Lieferantenverträge hinauszugehen und sich „koordiniert“ auf Angriffe auf die Lieferkette vorzubereiten.

Dazu müssen Organisationen laut seiner Aussage eng mit ihren Lieferanten zusammenarbeiten, um Notfallpläne zu erstellen und durchzusetzen. Gleichzeitig müssen Rollen und Verantwortlichkeiten klar definiert sein, damit „die Wiederherstellung schneller erfolgt und Störungen eingedämmt werden“.

Ein weiterer Experte, der den Nutzen einer engen Abstimmung zwischen Unternehmen und Lieferanten zur Minderung von Lieferkettenrisiken erkennt, ist Finch von Chainguard. Er erklärt, dass Unternehmen schneller und präziser auf Angriffe reagieren können, wenn alle Beteiligten der Lieferkette bei der „Reaktion auf Vorfälle und der Festlegung von Kommunikationswegen“ zusammenarbeiten. Er fügt hinzu: „Diese Praktiken reduzieren gemeinsam das Ausmaß und die Unsicherheit von Vorfällen, lange bevor diese zu finanziellen oder Reputationsproblemen führen.“

Maßnahmen zur Risikominderung durch verbesserte Lieferantenkoordination sind jedoch nicht nur wichtig. Unternehmen müssen sich auch auf den schlimmsten Fall von Cyberangriffen vorbereiten, der häufig einen Vertrauensverlust bei den Kunden zur Folge hat. Für Noel von Expel bedeutet dies „klare Verantwortlichkeiten, vertragliche Prüfungen für risikoreichere Lieferanten, transparente Kommunikation und eine koordinierte Reaktion auf Vorfälle“. Er fügt hinzu: „Kunden erwarten keine Perfektion; sie erwarten Schnelligkeit, Ehrlichkeit und Kompetenz.“

Andere Änderungen

Sind neben bewährten Praktiken im Lieferanten- und Kundenmanagement weitere Änderungen notwendig? Für Noel von Expel ist die Antwort ein klares Ja – er betont, dass Unternehmen die Sicherheit ihrer Lieferkette nicht länger als einmalige Angelegenheit betrachten dürfen. Das bedeutet, reaktive Maßnahmen durch proaktives Risikomanagement zu ersetzen, wobei CISOs eng mit Lieferanten zusammenarbeiten, um digitale Lieferketten zu stärken.

Noel stimmt Finch von Chainguard zu und betont, dass Unternehmen und Drittanbieter die Sicherheit der Lieferkette als „gemeinsame unternehmerische Verantwortung“ betrachten müssen. Dies erfordere, dass Führungskräfte, Compliance-Beauftragte und Technologieexperten bestehende Silos aufbrechen und eng zusammenarbeiten, damit zukünftige Software „schneller, intelligenter und kollaborativer als je zuvor“ sei.

Während die Sicherheit der Lieferkette als gemeinsame Verantwortung betrachtet wird, ist es für die Minderung und Eindämmung von Angriffen unerlässlich, dass die Lieferanten sicherstellen, dass sie „einen besseren Einblick in ihre eigenen Lieferketten“ haben, bevor sie Produkte an Unternehmenskunden liefern.

Um künftige Angriffe auf Lieferketten zu verhindern, empfiehlt Diane Downie, leitende Softwarearchitektin beim Sicherheitsunternehmen Black Duck, dass Unternehmen „Best Practices etablieren, diese stets befolgen und kontinuierlich verbessern“. Hannah von Object First schlägt vor, dass die Nutzung einer Zero-Trust-Architektur ebenfalls hilfreich sein kann, da sie die Handlungsfähigkeit eines Angreifers innerhalb einer Umgebung einschränkt.

Man kann mit Fug und Recht behaupten, dass Lieferkettenangriffe für Unternehmen und ihre Lieferanten gleichermaßen zu einem großen Problem geworden sind. Doch die Abwehr, Erkennung und Eindämmung dieser Angriffe muss nicht so schwierig sein; Unternehmen und Lieferanten müssen lediglich gemeinsam die Sicherheit ihrer Lieferkette als kontinuierliche Verantwortung betrachten. Konkret bedeutet dies, klare Pläne, Prozesse und Verantwortlichkeiten zu etablieren, um Angreifer fernzuhalten.

Selbst bei optimalen Sicherheitsvorkehrungen kann es vorkommen, dass Angreifer in Lieferketten eindringen. In solchen Fällen ist eine koordinierte Reaktion unerlässlich. Unternehmen und ihre Partner müssen zudem transparent mit ihren Kunden kommunizieren, um deren Vertrauen zu erhalten.