Lieferkettenangriff

Was ist ein Lieferkettenangriff?

Ein Lieferkettenangriff ist ein Cyberangriff, bei dem Angreifer mindestens einen vorgelagerten Lieferanten oder eine von ihm bereitgestellte Leistung kompromittieren und diesen Angriffsweg nutzen, um den Kunden als eigentliches Ziel anzugreifen.

Technische Einordnung: Eine bloße Abhängigkeit, Schwachstelle oder Sicherheitsstörung in der Lieferkette genügt dafür nicht. Entscheidend ist, dass der Lieferant oder seine Leistung als Angriffsweg zum eigentlichen Ziel missbraucht wird. „Lieferkettenangriff“ ist eine technische Bezeichnung und keine Legaldefinition des BSIG.

Der Normwortlaut

Die maßgebliche deutsche Rechtsgrundlage ist § 30 Abs. 1 und Abs. 2 Satz 1 und Satz 2 Nr. 4 BSIG:

Besonders wichtige Einrichtungen und wichtige Einrichtungen sind verpflichtet, geeignete, verhältnismäßige und wirksame technische und organisatorische Maßnahmen, die in Absatz 2 konkretisiert werden, zu ergreifen, um Störungen der Verfügbarkeit, Integrität und Vertraulichkeit der informationstechnischen Systeme, Komponenten und Prozesse, die sie für die Erbringung ihrer Dienste nutzen, zu vermeiden und Auswirkungen von Sicherheitsvorfällen möglichst gering zu halten.

Die Maßnahmen müssen auf einem gefahrenübergreifenden Ansatz beruhen.

Die Maßnahmen müssen zumindest Folgendes umfassen:

[…]

4. Sicherheit der Lieferkette einschließlich sicherheitsbezogener Aspekte der Beziehungen zu unmittelbaren Anbietern oder Diensteanbietern,

Rechtliche Einordnung: Die Maßnahmen müssen auf einem gefahrenübergreifenden Ansatz beruhen. Bei ihrer Verhältnismäßigkeit sind Risikoexposition, Größe und Umsetzungskosten sowie Eintrittswahrscheinlichkeit und Schwere von Sicherheitsvorfällen einschließlich gesellschaftlicher und wirtschaftlicher Auswirkungen zu berücksichtigen. Einschlägige unmittelbar anwendbare EU-Durchführungsrechtsakte können nach § 30 Abs. 3 und 4 BSIG vorgehen. Die Norm definiert oder verbietet den Lieferkettenangriff nicht; sie begründet eine präventive Risikomanagementpflicht.

Wie funktioniert ein Lieferkettenangriff technisch?

Der Angreifer nutzt einen Lieferanten oder eine vorgelagerte Abhängigkeit als Vertrauens- oder Verteilungsweg. Betroffen sein können Hardware, Software sowie Cloud- oder lokale Speicher- und Verteilungsmechanismen. Ein manipuliertes Update ist daher nur ein möglicher Angriffsweg. Die technische Einordnung allein sagt nicht aus, ob ein konkreter Vorfall erheblich oder meldepflichtig ist.

Für wen ist die Lieferkettenpflicht verbindlich?

Technisch kann jede Organisation Ziel eines Lieferkettenangriffs werden. Die Pflicht aus § 30 BSIG gilt dagegen nur für besonders wichtige und wichtige Einrichtungen nach § 28 BSIG. Ob eine Einrichtung dazugehört, richtet sich nach den dort geregelten Einrichtungsarten, Größenmerkmalen und Sondertatbeständen. Die Ausnahmen und Rückausnahmen in § 28 Abs. 5 und 6 bleiben maßgeblich.

Wann entsteht die Pflicht zur Lieferkettensicherheit?

Ein bereits eingetretener Angriff ist nicht erst der Auslöser. Die Pflicht besteht präventiv, sobald eine von § 28 BSIG erfasste und nicht ausgenommene Einrichtung informationstechnische Systeme, Komponenten oder Prozesse für ihre Diensteerbringung nutzt. Ihre Maßnahmen müssen gefahrenübergreifend und risikoorientiert sein, mindestens die Lieferkettensicherheit einbeziehen und dokumentiert werden. Ob daneben eine Vorfallsmeldepflicht besteht, ist getrennt nach dem anwendbaren Vorfallstatbestand zu prüfen.

Welche Grenzen und Ausnahmen gelten?

§ 30 BSIG schreibt weder eine bestimmte Technologie oder Zertifizierung noch unterschiedslos eine vollständige Kontrolle jeder Lieferkettenstufe vor. Maßgeblich sind geeignete, verhältnismäßige und wirksame Maßnahmen; ausdrücklich genannt sind die Beziehungen zu unmittelbaren Anbietern und Diensteanbietern. Für die in § 28 Abs. 5 und 6 beschriebenen Telekommunikations-, Energie-, Finanz- und Telematikinfrastruktur-Konstellationen gelten die dort festgelegten Ausnahmen, einschließlich der Rückausnahmen des § 28 Abs. 5 Satz 2 und 3. Zusätzlich sind vorrangige Anforderungen einschlägiger EU-Durchführungsrechtsakte nach § 30 Abs. 3 und 4 zu beachten.

Welche Fristen und Schwellenwerte gelten?

Für den Begriff „Lieferkettenangriff“ und die Lieferkettenanforderung des § 30 Abs. 2 Satz 2 Nr. 4 BSIG bestehen keine eigenständige allgemeine Frist und kein eigener Schwellenwert. Größenmerkmale sind für die Einordnung nach § 28 BSIG relevant. Meldefristen entstehen nur, wenn der jeweils anwendbare Vorfallstatbestand erfüllt ist; sektorale Vorgaben können hinzutreten.

Welche Verantwortung hat die Geschäftsleitung?

Gesetzliche Pflicht: Die Geschäftsleitungen erfasster Einrichtungen müssen die nach § 30 BSIG erforderlichen Maßnahmen einschließlich der Lieferkettensicherheit umsetzen und ihre Umsetzung überwachen. Nach § 38 Abs. 1 und 3 BSIG müssen sie außerdem regelmäßig Schulungen besuchen; ein fester Zeitabstand ist nicht bestimmt. § 38 gilt nicht in den von § 28 Abs. 5 und 6 erfassten Ausnahmefällen.

Häufige Fehlannahmen

Begriff und Rechtsfolgen werden häufig zu weit oder zu eng verstanden:

• „Jede Schwachstelle eines Lieferanten ist ein Lieferkettenangriff.“ Nein. Der Lieferant oder seine Leistung muss als Angriffsweg zum Kunden genutzt werden.
• „Lieferkettenangriffe erfolgen immer über manipulierte Updates.“ Nein. Auch Hardware, Dienste sowie Cloud- oder lokale Speicher- und Verteilungswege können betroffen sein.
• „§ 30 BSIG verbietet und definiert Lieferkettenangriffe.“ Nein. Die Norm verlangt präventive Risikomanagementmaßnahmen und enthält keine Legaldefinition des Angriffs.
• „Die BSIG-Pflicht gilt für jedes Unternehmen.“ Nein. Adressaten sind besonders wichtige und wichtige Einrichtungen nach § 28 BSIG; dessen Ausnahmen bleiben zu beachten.
• „Das Gesetz verlangt eine bestimmte Zertifizierung und vollständige Kontrolle aller Lieferstufen.“ Nein. Verlangt werden geeignete, verhältnismäßige und wirksame Maßnahmen; ausdrücklich genannt sind unmittelbare Anbieter und Diensteanbieter.
• „Jeder Lieferkettenangriff löst automatisch eine feste Meldefrist aus.“ Nein. Vorfallstatbestand, Erheblichkeit und anwendbares Spezialregime sind gesondert zu prüfen.

Was die Geschäftsleitung tun sollte

Praxisempfehlung: Die folgenden Schritte bündeln den durch §§ 28, 30 und 38 BSIG belegten Mindestumfang; die konkrete Ausgestaltung bleibt risikoorientiert:

1. Prüfen, ob die Einrichtung nach § 28 BSIG besonders wichtig oder wichtig ist und ob eine Ausnahme, Rückausnahme oder ein Spezialregime greift.
2. Geeignete, verhältnismäßige und wirksame technische und organisatorische Maßnahmen festlegen und dabei die Sicherheit der Lieferkette einschließlich der Beziehungen zu unmittelbaren Anbietern oder Diensteanbietern einbeziehen.
3. Die Maßnahmen gefahrenübergreifend ausrichten und bei ihrer Verhältnismäßigkeit Risikoexposition, Größe, Umsetzungskosten sowie Eintrittswahrscheinlichkeit und Schwere möglicher Sicherheitsvorfälle berücksichtigen.
4. Die Erfüllung der Verpflichtung dokumentieren und die Umsetzung der Maßnahmen durch die Geschäftsleitung überwachen.
5. Die gesetzlich verlangten regelmäßigen Schulungen der Geschäftsleitung organisatorisch sicherstellen.

Für die Geschäftsleitung

Reichweite: Zuerst ist belastbar festzustellen, ob die Einrichtung unter § 28 BSIG fällt oder eine Ausnahme beziehungsweise ein Spezialregime greift. Entscheidung: Für erfasste Einrichtungen ist Lieferkettensicherheit präventiver Bestandteil des gefahrenübergreifenden, verhältnismäßigen Risikomanagements; ein Angriff muss nicht erst eintreten. Nachweis: Die Erfüllung der Verpflichtung nach § 30 BSIG ist zu dokumentieren; die Leitung muss die Umsetzung überwachen und regelmäßig Schulungen besuchen. Die technische Klassifikation eines Angriffs ersetzt dabei weder die Anwendungsbereichs- noch die Meldepflichtprüfung.

Quellen

• § 28 BSIG – Besonders wichtige Einrichtungen und wichtige Einrichtungen
• § 30 BSIG – Risikomanagementmaßnahmen besonders wichtiger und wichtiger Einrichtungen
• § 38 BSIG – Umsetzungs-, Überwachungs- und Schulungspflichten der Geschäftsleitungen
• ENISA – Understanding the increase in Supply Chain Security Attacks (autoritative technische Begriffsquelle)