Die meisten Geschäftsleitungen von KMU stellen sich einen Cyberangriff als ein Ereignis vor, das gezielt auf sie abzielt. Jemand wählt ihr Unternehmen aus, sucht eine Schwachstelle, dringt ein.
In Wirklichkeit werden viele Unternehmen betroffen, ohne jemals gezielt angegriffen worden zu sein. Sie standen einfach auf der Kundenliste eines gehackten Dienstleisters. Das ist das Prinzip des Angriffs über die Lieferkette, und es ist der häufigste blinde Fleck in der Sicherheit Schweizer KMU.
Das Prinzip: einen Lieferanten angreifen, um dessen Kunden zu erreichen
Ein einzelnes KMU anzugreifen bringt wenig. Den IT-Dienstleister anzugreifen, der fünfzig KMU verwaltet, bringt für den gleichen Aufwand fünfzigmal mehr.
Die Angreifer haben diese Rechnung längst gemacht. Statt fünfzig Türen aufzubrechen, brechen sie eine einzige auf: die des Lieferanten, der bereits die Schlüssel zu allen anderen besitzt. Ihr IT-Dienstleister verfügt in der Regel über einen Fernzugriff auf Ihre Server, über Administratorrechte, manchmal über Ihre Passwörter. Ihr Anbieter von Fachsoftware verteilt Updates, die Ihre Geräte ohne Rückfrage installieren. Ihr Treuhandbüro verwaltet Ihre Buchhaltung und Ihre Lohndaten.
Jede dieser Verbindungen ist legitim und notwendig. Jede ist auch ein Zugangsweg, der alle Ihre Abwehrmassnahmen umgeht, weil er von innerhalb des Vertrauenskreises kommt.
Wenn ein Angreifer den Zugang Ihres Dienstleisters nutzt, bricht er keine Tür auf: Er verbindet sich wie der Dienstleister, mit dessen Zugangsdaten, von dessen gewohnten Werkzeugen aus, oft ausserhalb der Bürozeiten. Keine Firewall meldet eine autorisierte Verbindung. Das macht diese Angriffe so schwer erkennbar und so wirksam.
Der häufigste Effekt ist eine Ransomware, die gleichzeitig bei allen Kunden desselben Dienstleisters ausgerollt wird. In einer einzigen Nacht stellen mehrere Unternehmen ohne Verbindung untereinander am selben Morgen fest, dass ihre Server verschlüsselt sind. Deshalb gewinnt die ausserhalb des Standorts aufbewahrte Sicherung hier ihre volle Bedeutung: Sie muss auch vor den Zugängen Ihres Dienstleisters ausser Reichweite bleiben, wie in der 3-2-1-Backup-Regel erläutert.
Die andere Seite: Was, wenn das schwache Glied Sie selbst sind?
Drehen Sie nun die Perspektive um. Ihr KMU ist selbst der Lieferant von jemandem. Sie liefern Teile an einen Industriebetrieb, Sie entwickeln ein Modul für einen Konzern, Sie führen die Lohnbuchhaltung für Unternehmen, die grösser sind als Ihres.
Für einen Angreifer, der diesen Grosskunden im Visier hat, sind Sie ein weit zugänglicheres Ziel als er selbst. Der Konzern verfügt über ein Sicherheitsteam, Erkennungssysteme, Verfahren. Sie nicht. Aber Sie haben Zugang zu seinem Lieferantenportal, ein Konto auf seinem Extranet, einen anerkannten Rechnungskanal, oder einfach eine E-Mail-Beziehung, die niemand infrage stellt.
Diese Überlegung, und nicht übermässige Bürokratie, erklärt den in den letzten Jahren zu beobachtenden Wandel: Grosse Auftraggeber erwarten nicht mehr nur, dass ihre Lieferanten sicher sind, sie verlangen es vertraglich. Sicherheitsfragebögen, Meldeklauseln für Vorfälle, Prüfrechte, Anforderungen an starke Authentifizierung. Viele Westschweizer KMU entdecken diese Dokumente bei der Erneuerung eines wichtigen Vertrags.
Ein schlecht ausgefüllter Sicherheitsfragebogen oder die Unfähigkeit, ihn zu beantworten, kann heute eine Ausschreibung kosten. Umgekehrt hebt sich ein KMU, das seine Massnahmen auf wenigen Seiten dokumentieren kann, sofort von seinen Wettbewerbern ab. Sicherheit ist nicht mehr nur ein Kostenfaktor: Sie ist zu einem kommerziellen Argument geworden.
Zu wissen, was zu antworten ist, wenn dieses Dokument eintrifft, verändert vieles, und wir widmen dem Thema einen eigenen Artikel: wie Sie auf einen Sicherheitsfragebogen eines Kunden antworten.
Welche Fragen sollten Sie Ihrem IT-Dienstleister stellen?
Sie brauchen keine technischen Kenntnisse, um dieses Gespräch zu führen. Sie brauchen die richtigen Fragen und müssen wissen, wie eine gute Antwort aussieht.
| Frage an Ihren Dienstleister | Was Sie wissen möchten | Gute Antwort |
|---|---|---|
| Welche Zugänge haben Sie genau zu unseren Systemen? | Der tatsächliche Umfang der von einem Dritten gehaltenen Rechte | Eine genaue Liste, beschränkt auf das Notwendige |
| Sind diese Zugänge durch eine Zwei-Faktor-Authentifizierung geschützt? | Ob ein gestohlenes Passwort ausreicht, um einzudringen | Ja, ausnahmslos, auch bei Fernzugriffen |
| Hat jeder Techniker sein eigenes Konto? | Ob ein nicht nachverfolgbares gemeinsames Konto existiert | Namentliche Konten und eine Nachverfolgung, wer was tut |
| Was geschieht, wenn Sie selbst Opfer eines Angriffs werden? | Ob ein Plan existiert und welche Rolle Sie darin spielen | Ein schriftlicher Plan mit einer Frist zur Kundeninformation |
| Innerhalb welcher Frist informieren Sie uns bei einem Sie betreffenden Vorfall? | Ihre Fähigkeit, rechtzeitig zu reagieren | Eine konkrete Frist, idealerweise 24 bis 48 Stunden |
| Wo werden unsere Daten und unsere Backups gehostet? | Das Land und die Trennung der Kopien | Eine klare Antwort, Backups ausserhalb Ihres Netzwerks |
| Lagern Sie einen Teil unserer Leistungen an Dritte aus? | Die Kette über das erste Glied hinaus | Die Liste der Unterauftragnehmer und ihre Länder |
| Wie würden wir unsere Daten zurückerhalten, wenn wir den Dienstleister wechseln? | Ihre tatsächliche Abhängigkeit | Ein exportierbares und verwertbares Format, ohne Blockierung |
Eine methodische Anmerkung: Das Ziel ist nicht, Ihrem Dienstleister eine Falle zu stellen. Ein kompetenter Partner wird diese Fragen in der Regel begrüssen, weil sie ihm erlauben, Investitionen zu rechtfertigen, die er Ihnen vielleicht schon seit Jahren vorschlägt. Das Warnsignal ist nicht eine unvollkommene Antwort, sondern die Verweigerung der Antwort.
Welche Vertragsklauseln sind sinnvoll?
Ein Vertrag stoppt keinen Angriff. Er bestimmt, was danach geschieht, und das ist bereits viel. Vier Punkte gehören unabhängig von der Grösse des Dienstleisters hinein.
Die Meldepflicht bei Vorfällen. Der Dienstleister verpflichtet sich, Sie unverzüglich zu informieren, wenn er einen Vorfall erleidet, der Sie betreffen könnte, mit einer festgelegten Frist. Ohne diese Klausel erfahren Sie es womöglich viel zu spät, unter Umständen sogar von Ihren eigenen Kunden.
Die Regelung der Unterauftragsvergabe. Ihr Dienstleister muss Sie informieren, wenn er einen Teil der Leistung an einen Dritten überträgt, und dieser Dritte muss denselben Verpflichtungen unterliegen. Eine Kette ist nur so stark wie ihr schwächstes Glied, und oft kennen Sie nur das erste.
Die minimalen Sicherheitsmassnahmen. Zwei-Faktor-Authentifizierung für die Zugänge zu Ihren Systemen, namentliche Konten, verschlüsselte Backups, Protokollierung der Verbindungen. Diese Anforderungen lassen sich in wenigen Zeilen formulieren.
Die Rückgabe und Löschung der Daten. Am Ende des Vertrags werden Ihnen Ihre Daten in einem verwertbaren Format zurückgegeben und anschliessend beim Dienstleister gelöscht. Dieser Punkt wird systematisch vergessen und rächt sich teuer, wenn der Partner gewechselt wird.
Diese Klauseln sollten idealerweise von einer Juristin oder einem Juristen geprüft werden, insbesondere wenn der Vertrag sensible Daten oder ein erhebliches Geschäftsvolumen betrifft.
Datenschutz und die NIS2-Wirkung
Zwei regulatorische Rahmenwerke betreffen dieses Thema direkt, und es lohnt sich, sie nicht zu verwechseln.
Nach Schweizer Recht bleibt gemäss dem Datenschutzgesetz die Verantwortung bei Ihnen. Wenn Sie personenbezogene Daten einem Dienstleister übergeben, bleiben Sie der Verantwortliche für die Bearbeitung: Nur weil das Datenleck bei ihm entstanden ist, hört es nicht auf, Ihr Problem zu sein. Das Gesetz ahndet zudem die Übertragung einer Bearbeitung an einen Auftragsbearbeiter, ohne sich vergewissert zu haben, dass dieser die Datensicherheit gewährleistet (Art. 61 nDSG). In der Praxis bedeutet dies, vor der Übertragung zu prüfen und dies zu dokumentieren. Die Einzelheiten dieser Pflichten sind in unserem Artikel zu Ihren nDSG-Pflichten behandelt.
Auf europäischer Seite gilt die NIS2-Richtlinie (Richtlinie EU 2022/2555) nicht direkt in der Schweiz. Ein hier niedergelassenes Unternehmen unterliegt ihr in der Regel nicht direkt. Sie erreicht Sie jedoch mittelbar, und genau das ist ihre Absicht: Die betroffenen europäischen Unternehmen müssen ihre Lieferkette sichern, einschliesslich ihrer ausländischen Lieferanten. Sie geben diese Anforderungen daher vertraglich weiter. Ein Westschweizer KMU, das Kunden in Deutschland oder Frankreich beliefert, unterliegt NIS2 somit faktisch, ohne ihr direkt unterstellt zu sein. Das Thema wird in unserem eigenen Artikel zu NIS2 vertieft, und Hersteller vernetzter Produkte finden einen verwandten Rahmen im Cyber Resilience Act.
In beiden Fällen ist dieselbe Vorsicht angebracht: Die genaue Einordnung Ihrer Situation hängt von Ihrer Tätigkeit, Ihren Kunden und den bearbeiteten Daten ab. Lassen Sie sich im Zweifel über eine vertragliche Verpflichtung begleiten.
Wo Sie konkret beginnen
Das Thema wirkt umfassend. In Wirklichkeit läuft es auf eine Bestandsaufnahme und wenige Entscheidungen hinaus.
Beginnen Sie damit, Ihre digitalen Lieferanten auf einer einzigen Seite aufzulisten: IT-Dienstleister, Softwareanbieter, Hosting-Anbieter, Treuhandbüro, Lohnbuchhaltungsanbieter, Kassenlösung, Kommunikationsplattform. Notieren Sie für jeden zwei Dinge: Welche Daten er besitzt und welchen Zugang er zu Ihren Systemen hat. Diese eine Seite reicht aus, um die zwei oder drei wirklich kritischen Abhängigkeiten sichtbar zu machen.
Behandeln Sie anschliessend diese zwei oder drei vorrangig, mit den Fragen aus der obigen Tabelle. Der Rest kann warten.
Fragen Sie sich für jeden wichtigen Lieferanten: Was geschieht mit meinem Unternehmen, wenn er drei Tage nicht verfügbar ist, wenn er meine Daten verliert, oder wenn ein Angreifer die Kontrolle über seine Zugänge übernimmt? Wenn Sie das nicht beantworten können, haben Sie soeben Ihre Priorität identifiziert. Drei Fragen, zehn Minuten pro Lieferant.
Zwei Anhaltspunkte zum Abschluss. Das allgemeine Klima verbessert sich nicht: Das Nationale Zentrum für Cybersicherheit erhielt 2025 64’733 freiwillige Meldungen zu Cybervorfällen, gegenüber 62’954 im Vorjahr. Und das Vertrauen der Unternehmen sinkt: Gemäss der Studie KMU Cybersicherheit 2025 halten 42 % der Schweizer KMU ihren Schutz für ausreichend, gegenüber 55 % ein Jahr zuvor. Dieser Rückgang ist nicht unbedingt eine schlechte Nachricht. Er spiegelt vor allem eine neue Klarsicht wider.
Die Kontrolle der Dritten gewährten Zugänge steht in direktem Zusammenhang mit dem umfassenderen Thema der Zugriffsverwaltung, und die Folgen einer Kompromittierung über einen Lieferanten sind jene, die in unseren Artikeln zu Ransomware und zu Datendiebstahl beschrieben werden.
Um Ihre gesamte Risikoexposition in wenigen Minuten einzuordnen, enthält der Cyber-Check-up mehrere Fragen zu Dienstleistern und externen Zugängen. Die weiteren Risiken, denen ein KMU ausgesetzt ist, sind im Themenbereich Bedrohungen zusammengefasst.