Kurz gesagt: Angreifer suchen sich nicht immer das Ziel selbst, sondern den schwächsten Zugang dorthin: den Steuerberater mit Zugriff aufs Buchhaltungssystem, den Wartungstechniker mit VPN-Zugang, das Software-Update vom Hersteller. Wer seine Lieferkette nicht im Blick hat, schützt nur die Vordertür. Drei Fragen an jeden Partner und ein paar technische Grundregeln schließen die häufigsten Hintertüren.
Stand: 03.11.2026
Welche Wege über die Lieferkette sind typisch?
- Fernzugänge: Dienstleister für Maschinen, Kassensysteme, Telefonanlagen oder Software haben oft dauerhafte Zugänge ins Netzwerk, teils mit geteilten Passwörtern.
- E-Mail-Vertrauen: Eine Mail vom bekannten Lieferanten wird geöffnet, auch wenn dessen Konto gekapert wurde.
- Software-Updates: Wird der Hersteller angegriffen, verteilt sein Update die Schadsoftware.
- Datenaustausch: Freigegebene Ordner, gemeinsame Cloud-Ablagen und Schnittstellen, die niemand mehr prüft.
Du kommst nicht weiter? Wir übernehmen das für dich, meist per Fernwartung. Ruf an: 0541 507 988 08, schreib uns oder buch ein Erstgespräch.
Warum setzt NIS2 das Thema auf die Tagesordnung?
Die NIS2-Richtlinie verpflichtet betroffene Unternehmen ausdrücklich, die Sicherheit ihrer Lieferkette zu berücksichtigen. In der Praxis heißt das: Große Kunden fragen bei ihren Zulieferern nach, welche Sicherheitsmaßnahmen umgesetzt sind. Wer diese Fragen nicht beantworten kann, verliert im Zweifel den Auftrag, auch ohne selbst direkt unter NIS2 zu fallen.
Welche drei Fragen stellst du jedem Partner mit Zugang?
- Wie greift der Partner auf unsere Systeme zu, und wer genau hat diesen Zugang?
- Wie meldet er uns einen Sicherheitsvorfall in seinem Haus, und in welcher Frist?
- Welche Nachweise kann er für seine eigene Sicherheit vorlegen, etwa Zertifizierungen, Versicherungen oder Prüfberichte?
Die Antworten gehören schriftlich in die Vertragsunterlagen.
Welche technischen Grundregeln gelten für Fremdzugänge?
Jeder Dienstleister bekommt ein eigenes Konto, keine geteilten Zugänge. Fernzugänge sind zeitlich begrenzt oder werden bei Bedarf freigeschaltet, nicht dauerhaft offen. Zugriff nur auf die Systeme, die wirklich gebraucht werden, im Idealfall über ein getrenntes Netzsegment. Mehrfaktor-Anmeldung auch für externe Konten. Und ein Protokoll, wer wann zugegriffen hat. Bei unseren Kunden führen wir dafür eine Liste aller Fremdzugänge, die vierteljährlich geprüft wird, denn vergessene Zugänge ehemaliger Dienstleister sind ein Klassiker.
Was darfst du von deinem eigenen IT-Dienstleister erwarten?
Auch wir sind Teil deiner Lieferkette. Deshalb arbeiten wir mit personalisierten Konten, Mehrfaktor-Anmeldung, dokumentierten Zugriffen und Fernwartung, die nur mit deiner Zustimmung startet. Frag das bei jedem Anbieter ab, bevor du ihm Zugang gibst.
So unterstützen wir dich
Wir erfassen alle Zugänge Dritter in dein Netzwerk, sichern sie ab und liefern die Antworten, die deine Kunden im Rahmen von NIS2 erwarten. In Osnabrück und Umgebung vor Ort, entfernter per Fernwartung. Wie unsere eigene Fernwartung abläuft und warum sie nur mit deiner Zustimmung startet, liest du auf der Seite Fernwartung.
Häufige Fragen
Wir sind zu klein für NIS2. Ist das Thema trotzdem relevant?
Ja. Angreifer nutzen kleine Zulieferer als Weg zu größeren Zielen, und große Kunden geben ihre NIS2-Anforderungen an Zulieferer weiter.
Wie viele Fremdzugänge hat ein typisches Unternehmen?
Mehr als gedacht. Bei einer Bestandsaufnahme finden wir regelmäßig fünf bis fünfzehn aktive Zugänge, davon einige von Dienstleistern, mit denen längst nicht mehr zusammengearbeitet wird.
Was ist mit Software-Updates, kann man die verweigern?
Nein, ungepatchte Software ist das größere Risiko. Wichtig sind vertrauenswürdige Bezugsquellen, ein Backup vor größeren Updates und Monitoring, das ungewöhnliches Verhalten danach erkennt.
Muss ich das vertraglich regeln?
Ja. Sicherheitsanforderungen, Meldefristen und Zugriffsregeln gehören in Verträge oder eine Vereinbarung zur Auftragsverarbeitung.
