Wenn ein einzelner Angriff hunderte Unternehmen gleichzeitig kompromittiert, sprechen wir nicht mehr von einem klassischen Sicherheitsvorfall. Wir sprechen von einem Supply Chain Attack – der derzeit am schnellsten wachsenden Bedrohung in der IT-Sicherheit. Die Zahlen aus 2026 sind eindeutig: Was gestern noch eine Randnotiz war, ist heute zum geschäftskritischen Risiko geworden.
Die Zahlen sprechen für sich
Der aktuelle Verizon Data Breach Investigations Report dokumentiert die größte Veränderung, die jemals in dieser Studie gemessen wurde: Die Beteiligung von Drittanbietern an Sicherheitsvorfällen hat sich von 15 Prozent (2023) auf 30 Prozent (2025) verdoppelt. Das bedeutet: Jeder dritte Breach kommt nicht durch Ihre eigene Infrastruktur, sondern durch einen vertrauenswürdigen Partner, einen Software-Anbieter oder eine Open-Source-Komponente.
Parallel dazu verzeichnet die Software-Supply-Chain einen alarmierenden Anstieg bösartiger Pakete: 454.600 schädliche Open-Source-Pakete wurden allein 2025 identifiziert – ein Anstieg um 75 Prozent gegenüber dem Vorjahr. Bei npm, dem größten JavaScript-Paket-Repository, verdoppelten sich die Malware-Detektionen auf über 10.000 kompromittierte Pakete.
Die finanziellen Konsequenzen sind erheblich: Ein durchschnittlicher Supply-Chain-Breach kostet 4,91 Millionen US-Dollar und dauert im Median 267 Tage – länger als jeder andere Angriffsvektor. 81 Prozent der befragten Organisationen erlitten mindestens einen solchen Vorfall, durchschnittlich 3,7 Mal pro Jahr.
Wenn Security-Anbieter selbst zum Ziel werden
Besonders beunruhigend sind die jüngsten Vorfälle bei etablierten Technologie-Unternehmen. Im Mai 2026 meldete der Cybersecurity-Anbieter Trellix unbefugten Zugriff auf Teile seines Source-Code-Repositorys. Der Angriff war Teil der breiteren TeamPCP-Kampagne, die gezielt CI/CD-Pipelines und GitHub Actions kompromittierte. Wenn Sicherheitsanbieter angegriffen werden, erhalten Angreifer nicht nur Zugang zu Code – sie gewinnen Einblicke in Erkennungsmechanismen und können gezielt Schwachstellen ausnutzen.
Noch dramatischer war der LiteLLM-Angriff im März 2026: Dieselbe Gruppe kompromittierte Publishing-Tokens über den zuvor gehackten Security-Scanner Trivy. Zwei backdoored Versionen von LiteLLM waren nur 40 Minuten online – genug Zeit, um 153 Gigabyte Daten von über 2.500 Organisationen über 434.000 CI/CD-Pipelines zu exfiltrieren. Betroffen waren Cloud-Credentials, API-Tokens und Konfigurationsdateien – der Schlüsselbund zur gesamten Infrastruktur.
Warum traditionelle Abwehr nicht mehr ausreicht
Supply Chain Attacks sind deshalb so gefährlich, weil sie die Grundannahme klassischer IT-Sicherheit aushebeln: dass Bedrohungen von außen kommen. Wenn jedoch schädlicher Code über ein vertrauenswürdiges Software-Update, ein legitimes npm-Paket oder einen autorisierten Dienstleister-Zugang ins Netzwerk gelangt, versagen Firewalls und Perimeter-Security.
Das Problem wird durch die wachsende Komplexität moderner Software verschärft. Kaum ein Unternehmen hat vollständigen Überblick über alle eingesetzten Drittanbieter-Komponenten, Open-Source-Bibliotheken und Cloud-Services. Eine aktuelle Studie zeigt: 78 Prozent der Organisationen überwachen weniger als die Hälfte ihres Vendor-Ökosystems. Was man nicht sieht, kann man nicht schützen.
Was IT-Verantwortliche jetzt tun sollten
Die gute Nachricht: Wirksamer Schutz ist auch für mittelständische Unternehmen umsetzbar. Die wichtigsten Maßnahmen:
1. Kritische Lieferanten identifizieren und priorisieren. Welche Anbieter haben privilegierten Zugang zu Ihren Systemen? Payment-Provider, Cloud-Dienstleister, Managed Service Provider und Software-Lieferanten mit Administratorrechten gehören auf diese Liste. Diese sollten quartalsweise überprüft werden.
2. Software Bill of Materials (SBOM) einfordern. Neue Verträge sollten die Verpflichtung enthalten, transparente Komponentenlisten bereitzustellen. Nur so können Sie nachvollziehen, welche Open-Source-Bibliotheken in kritischen Anwendungen stecken und ob bekannte Schwachstellen vorliegen.
3. Vendor-Zugriffe strikt begrenzen. Dienstleister benötigen selten dauerhaften Vollzugriff. Implementieren Sie Just-in-Time-Zugang: Rechte werden nur bei Bedarf erteilt und automatisch nach definierter Zeit entzogen. Multifaktor-Authentifizierung ist für alle externen Zugänge Pflicht.
4. Incident-Response für Lieferantenrisiken vorbereiten. Was geschieht, wenn ein wichtiger Dienstleister kompromittiert wird? Wer wird informiert, welche Systeme müssen isoliert werden, wie lange darf die Wiederherstellung dauern? Diese Fragen sollten in Playbooks beantwortet und in Übungen getestet werden.
Fazit: Von der Compliance zum Geschäftsrisiko
Supply Chain Security ist 2026 kein IT-Randthema mehr, sondern ein zentrales Geschäftsrisiko. Die Verdopplung der Drittanbieter-Beteiligung an Breaches innerhalb von zwei Jahren zeigt: Die Angreifer haben die Schwachstelle erkannt und nutzen sie systematisch aus. Unternehmen, die jetzt nicht handeln, riskieren nicht nur finanzielle Verluste und Reputationsschäden – sie verlieren das Vertrauen ihrer Kunden und Partner.
Die Investition in präventive Maßnahmen ist dabei ein Bruchteil der Kosten eines erfolgreichen Angriffs. Beginnen Sie mit dem Überblick: Welche Lieferanten haben Zugang? Welche Software-Komponenten sind im Einsatz? Wer wird im Ernstfall benachrichtigt? Die Antworten auf diese Fragen sind der erste Schritt zu resilienteren Lieferketten – und zu ruhigeren Nächten für IT-Verantwortliche.
Häufig gestellte Fragen
Was ist ein Supply-Chain-Angriff in der IT-Sicherheit?+
Bei einem Supply-Chain-Angriff kompromittieren Cyberkriminelle nicht das Zielunternehmen direkt, sondern eine vertrauenswürdige Software, Bibliothek oder einen IT-Dienstleister in dessen Lieferkette. Über infizierte Updates oder manipulierte Pakete gelangt Schadcode dann unbemerkt in die Systeme vieler nachgelagerter Organisationen.
Warum wird dieses Risiko 2026 als besonders kritisch eingestuft?+
Moderne Software besteht zu großen Teilen aus Open-Source-Komponenten und externen Abhängigkeiten, deren Herkunft und Pflegezustand oft schwer nachvollziehbar sind. Ein einziger kompromittierter Baustein kann so tausende Unternehmen gleichzeitig betreffen, was Supply-Chain-Angriffe zu einem der effizientesten Angriffsvektoren macht.
Wie können Unternehmen ihre Softwarelieferkette absichern?+
Zentrale Maßnahmen sind eine lückenlose Software Bill of Materials (SBOM), automatisiertes Schwachstellen-Scanning von Abhängigkeiten sowie die Verifizierung von Signaturen bei Updates und Paketen. Ergänzend sollten Unternehmen Zugriffsrechte von Drittanbietern nach dem Least-Privilege-Prinzip begrenzen und Lieferanten regelmäßig sicherheitsseitig auditieren.
