Lieferkettenangriffe: Wie Unternehmen sich mit NIS2 besser schützen können

Angriffe auf die Lieferkette (Supply Chain) sind besonders gefährlich, weil sie darauf ausgelegt sind, Sicherheitsmechanismen auf Seiten der Verteidiger zu umgehen.

Beispielsweise sind bösartige Software-Updates deshalb so erfolgreich, weil ein Update meist in verschlüsselter Form direkt ins Rechenzentrum des Opfers eingeschleust wird. Unternehmen verteidigen sich dagegen häufig von außen nach innen, wobei das Rechenzentrum selbst durch verschiedenen Sicherheitsebenen nach außen geschützt ist, oft aber nur noch minimale Sicherheitsvorkehrungen von innen nach außen beinhaltet. Geht ein Angriff von innen aus, können sich die Täter meist mühelos ausbreiten. Es spielt dabei kaum eine Rolle, ob das Rechenzentrum virtuell oder cloudbasiert aufgebaut ist.

Wegen der großen Tragweite sollten Unternehmen sich der Risiken von Angriffen auf die Lieferkette unbedingt bewusst sein. Das fordert auch NIS2 ein und verpflichtet IT-Sicherheitsverantwortliche Vorkehrungen zu treffen, um Eintrittswahrscheinlichkeit und Auswirkung abzumildern.

Arten von Angriffen auf die Lieferkette

Unternehmen, die unter NIS2 fallen, müssen die Lieferkette als Risiko für die Cybersicherheit berücksichtigen, bewerten und entsprechende Maßnahmen ergreifen Dabei sind vor allem vier Formen von Angriffen auf die Lieferkette relevant:

• Bösartige Software-Updates: Diese Variante wandten die Kriminellen in den Angriffen NotPetya (2017), Kaseya (2021) und Solarwinds (2022) an. Dabei wird jeweils ein Hersteller mit großer Kundenanzahl infiltriert und dessen Update-Prozess gekapert. Statt einer normalen Aktualisierung wird ein Angriffswerkzeug an die Kunden übermittelt.
  
• Lieferkettenangriff über Service-Dienstleister funktionieren ähnlich. Hier wird meist die Installation des Dienstleisters zuerst angegangen. Die Opfer, vor allem dessen Kunden, haben dabei kaum Einflussmöglichkeit. Weltweit bekannt sind die Angriffe auf „Kaseya“ (2021) sowie MoveIT (2023).
  
• Island Hopping: Diese Variante ist ein gezielterer Angriff. Hierbei wird ein Partner in der Lieferkette durch die Angreifer übernommen. Von dieser Basis aus, werden Teilnehmer der Kette mittels normaler Kommunikationswege angegriffen. So kann zum Beispiel ein bösartiger Link oder Mailanhang aus einer vertrauenswürdigen Quelle geteilt werden. Die Gruppe Emotet automatisierte dieses Vorgehen bis zu ihrem Takedown (2021).
  
• Wiederverwendete Programmierressourcen. Um für Kunden immer wieder neue Funktionalität zur Verfügung zu stellen, muss die Entwicklung meist schnell sein. Häufig wird dies durch die Wiederverwendung vorprogrammierter Funktionen oder Codefragmente kompensiert. Daher werden bei Angriffen häufig verwendete Programmierressourcen missbraucht, um Malware an die Opfer über die Lieferkette zu verteilen. In einem Beispiel aus dem Jahr 2021 wurde ein beliebtes NPM-Paket, UAParser.js, kompromittiert, was zur Verbreitung von Malware in Millionen von Projekten führte. Deshalb fordern Experten eine Software Bill of Material (SBOM), um betroffene Segmente schneller identifizieren zu können.

Schutzmaßnahmen für die Lieferkette gemäß NIS2

Per Gesetz müssen Unternehmen sich der Risiken von Bedrohungen für die Lieferkette bewusst sein und Vorkehrungen treffen, um deren Eintrittswahrscheinlichkeit und Auswirkung entsprechend abzumildern. Die NIS2-Direktive geht dabei über diese allgemeine Risikobetrachtung der Lieferkette hinaus. Es geht nicht darum, ob ein Partner ausfällt, sondern um die ganz besonderen Risiken, die Aufgrund der Verbundenheit mit der IT entstehen. Zur Cyberrisikodiskussion empfehlen sich die folgenden Szenarien:

1. Absicherung: Die eigenen Server können zum Ausgangspunkt eines Cyberangriffs werden, weswegen auch dort Sicherheitsmechanismen etabliert sein müssen, die einen Eindringling entdecken (z.B. XDR) und die im Rechenzentrum befindlichen Systeme schützen.
2. Verhandlungen: Unternehmen sollten gemeinsam mit ihren Partnern Herangehensweisen zu automatisierten Datenaustausch erarbeiten (z.B. Frühwarnsysteme). Eines der Probleme bei MoveIT war, dass Kunden zwar von ihrem Service-Provider hörten, aber erst durch die Erpressungsversuche der Täter das Ausmaß klar wurde.

Was Angriffe über die Supply Chain zusätzlich gefährlich macht, ist die Vertrauensstellung eines Partners. So werden Sicherheitsmaßnahmen dadurch ausgehebelt. Geht der Angreifer dabei geschickt vor, schöpft der Mitarbeiter keinen Verdacht und führt eingeforderte Aktionen unüberlegt durch. Schließlich führt er die Konversation mit einem „vertrauten Menschen“.

Fazit

Lieferkettenangriffe gehören zu den erfolgreichsten Cyberwaffen, die jedes Unternehmen in unterschiedlichem Ausmaß betreffen können. Um Risiken zu minimieren, müssen Unternehmen potenzielle Gefahren abwägen und geeignete Schutzmaßnahmen ergreifen. Auch innerhalb von Netzwerken sollte der Zero-Trust-Ansatz gelten, um Angriffe zu verhindern. Neben technischen Maßnahmen empfiehlt sich der offene Austausch mit Partnern, um gemeinsam Cybersicherheitsstrategien zu entwickeln und Bedenken zu adressieren. Das sorgt nicht nur für mehr Sicherheit innerhalb der Lieferkette, sondern wirkt sich gleichzeitig positiv auf Geschäftsbeziehungen aus.