Die Bedeutung von Cybersicherheit in der Lieferkette und Beschaffung

Cyberangriffe gibt es in allen Branchen, und Supply Chain Angriffe sind leider keine Ausnahme. 

Aus dem Bericht der ENISA (Agentur der Europäischen Union für Cybersicherheit) geht hervor, dass 39 % (WEF, 2022) bzw. 62 % (Anchore, 2022) der befragten Unternehmen von Cyberangriffen Dritter betroffen waren. Darüber hinaus geht aus dem Bericht hervor, dass Supply Chain Angriffe 17 % aller Cyberangriffe im Jahr 2021 ausmachen (Mandiant, 2022). ENISA-Studien zeigen, dass in 66 % der untersuchten Fälle die Beschaffungsexperten entweder nicht wussten, wie die Cyberattacken erfolgten, oder sie haben nicht offen über diese Vorfälle gesprochen. In 62 % der befragten Unternehmen wurde Malware als Angriffstechnik eingesetzt.

Diese Statistiken sind alarmierend, aber nicht völlig unerwartet. Heutzutage verlassen sich immer mehr Firmen auf digitale Lieferketten und E-Procurement-Systeme. Für den reibungslosen Betrieb von virtuellen Lösungen ist der Austausch sensibler Daten notwendig. Diese Daten sind jedoch oft das Ziel von Cyber Angreifern, die versuchen, auf die Kontaktdaten des Unternehmens sowie seiner Kunden und Lieferanten zuzugreifen, Vertragsdetails zu erhalten und finanzielle Informationen zu klauen. 

Cyberabwehr sollte im Jahr 2023 als oberste Priorität betrachtet werden, um sich vor Supply Chain Angriffen zu schützen. In diesem Artikel behandeln wir die prominentesten Typen von Supply Chain Angriffen beziehungsweise Cyberattacken und zeigen Ihnen, wie Sie für maximale Cybersicherheit in Ihren Beschaffungsprozessen sorgen können.

Wir werden die folgenden Themen näher beleuchten: 

1. Welche Arten von Cyberattacken, bzw. Supply Chain Angriffen gibt es?
2. Die häufigsten Ursachen für Supply Chain Angriffe und die damit verbundenen Beschaffungsrisiken
3. 7 Tipps für maximale Cybersicherheit und minimale Beschaffungsrisiken 

Welche Arten von Cyberattacken, bzw. Supply Chain Angriffen gibt es?

In der Vergangenheit waren Geschäftsabläufe eher auf Stift und Papier ausgerichtet, und die größte Bedrohung bestand in physischen Einbrüchen. 

Heutzutage sind Cyber-Bedrohungen, also digitale Angriffe, eine bedeutendere Gefahr. Das Verständnis der heutigen Cyber-Bedrohungen ist entscheidend, da sie von der Kompromittierung persönlicher Daten bis zur schwerwiegenden Beeinträchtigung des Geschäftsbetriebs verheerende Schäden verursachen können.

Was genau ist eine Cyberattacke?

Eine Cyberattacke zielt darauf ab, Daten zu manipulieren, zu stehlen oder die Integrität und Verfügbarkeit digitaler Systeme und Informationen im Allgemeinen zu untergraben. 

Cyber-Attacken können sowohl von externen als auch internen Personen oder Organisationen ausgehen. Externe Cyberangriffe, meist von Hackern und kriminellen Gruppen durchgeführt, stehen oft im Fokus der Berichterstattung über Supply Chain Angriffe. Diese Angreifer nutzen typischerweise Sicherheitslücken aus, um umfassende Infrastrukturangriffe durchzuführen oder Phishing-E-Mails zu versenden. Interne Cyberangriffe werden hingegen oft von Mitarbeitern initiiert, sei es durch unbeabsichtigte Datenlecks oder einen fahrlässigen Umgang mit den digitalen Ressourcen des Unternehmens. Beide Arten von Cyberangriffen, sowohl externe als auch interne, können erheblichen Schaden verursachen.

Arten von Supply Chain Angriffen und ihre Auswirkungen auf die Cybersicherheit:

• Phishing-Mails: Häufig tarnen sich Angreifer als vertrauenswürdige Unternehmen und verleiten Einzelpersonen dazu, sensible Informationen preiszugeben. Ein ahnungsloser Beschaffungsmanager könnte beispielsweise dazu verleitet werden, Zahlungsdaten weiterzugeben, weil er annimmt, mit einem seriösen Lieferanten in Kontakt zu sein.
  

• Malware und Ransomware: Bösartige Software, auch bekannt als Malware, wird eingesetzt, um unbefugten Zugriff zu erlangen oder die Funktionalität eines Computersystems zu beeinträchtigen. Nehmen wir an, ein Hersteller lädt die Rechnung eines Lieferanten herunter, ohne zu bemerken, dass sie Ransomware enthält. Die hohe Anzahl von Cyberangriffen mit Malware und Ransomware verdeutlicht die Wichtigkeit einer exzellenten Cyberabwehr, um Supply Chain Angriffe zu verhindern oder zu reduzieren.
  

• Man-in-the-Middle-Angriffe: Man-in-the-Middle-Angriffe (MITM) sind eine häufige Form von Cyberangriffen, bei denen Angreifer in die Kommunikation zwischen zwei Beteiligten eingreifen. Ein Beispiel hierfür wäre, wenn ein Einzelhändler eine Bestellung bei einem vertrauenswürdigen Lieferanten aufgibt. Bei einem MITM-Angriff wird diese Kommunikation heimlich abgefangen und die Kontodaten für die Zahlung manipuliert. Der Einzelhändler überweist in der Folge das Geld unbeabsichtigt auf das Konto des Angreifers, während er glaubt, seinen Lieferanten zu bezahlen.
  

• Denial-of-Service-Angriffe: Diese Angriffe, auch als DoS-Angriffe bekannt, zielen darauf ab, Systeme, Server oder Netzwerke zu stören, indem sie diese mit einem enormen Datenverkehr überfluten und funktionsunfähig machen.

Die Identifikation von Cyberbedrohungen, ihren Ursprüngen und Arten ist der erste Schritt in der Cyberabwehr. Im Zusammenhang mit Beschaffungsrisiken werden wir als nächstes untersuchen, wo Cyberattacken im Beschaffungswesen am häufigsten auftreten.

Die häufigsten Ursachen für Supply Chain Angriffe und die damit verbundenen Beschaffungsrisiken

Die Digitalisierung kann die betriebliche Effizienz steigern, birgt jedoch ein erhöhtes Risiko von Supply Chain Angriffen für Unternehmen.

Im folgenden sprechen wir über die wichtigsten Schwachstellen im Beschaffungswesen, die für Supply Chain Angriffe besonders anfällig sind:

• Cloud-Sicherheit: Der Umstieg auf Cloud Computing hat Vorteile, aber auch Sicherheitsgefahren. Ein Beispiel: Die Beschaffungsabteilung eines großen Unternehmens nutzt eine Cloud-Plattform, um Produktanforderungen mit Lieferanten auszutauschen. Durch eine fehlerhafte Konfiguration dieser Plattform könnten sensible Daten leicht in unbefugte Hände gelangen. 
  

• Social-Media-Plattformen: Denken Sie sich vor, ein Lieferant verwendet beispielsweise Facebook oder eine ähnliche Website, um Nachrichten an andere Personen zu schicken. Denken Sie sich vor, ein Lieferant verwendet beispielsweise Facebook oder eine ähnliche Website, um Nachrichten an andere Unternehmen zu schicken. Ohne dass er es bemerkt, wird er zum Ziel eines Cyberangriffs, der über genau diese Plattform initiiert wird. Selbst bekannte und vertrauenswürdige Websites sind nicht immer sicher genug, um solche Angriffe zu verhindern. 
  

• Phishing-Schemata: Phishing-Angriffe im Bereich der digitalen Beschaffung sind mittlerweile äußerst ausgefeilt. Ein Beispiel dafür ist, wenn ein Beschaffungsmanager eine E-Mail erhält, die wie eine echte Anfrage nach Zahlungsinformationen für eine Lieferung aussieht. Später stellt sich jedoch heraus, dass diese E-Mail gefälscht ist und darauf abzielt, Geld zu stehlen.
  

• PDFs: Selbst scheinbar harmlose PDF-Rechnungen können in der heutigen Zeit eine Gefahr für die Cybersicherheit darstellen, da sie als Vehikel für schädliche Software dienen können. Ein Beschaffungsexperte könnte versehentlich Malware aktivieren, indem er eine vermeintlich vertrauenswürdige PDF-Datei von einem Lieferanten öffnet, ohne auf die oft verdächtigen Anzeichen solcher E-Mails zu achten.
  

• Datenbanken: In einer zentralisierten Beschaffungsplattform, die Lieferantenpreise, Verträge und Transaktionshistorien beinhaltet, kann bereits eine Sicherheitslücke dazu führen, dass ein Supply Chain Angriff möglich ist oder die Strategie einer gesamten Lieferkette ersichtlich ist.
  

• Unbeabsichtigte Weitergabe: Menschliche Fehler können zu erheblichen Beschaffungsrisiken führen. Zum Beispiel, wenn ein Mitarbeiter versehentlich vertrauliche Angebotsdetails per E-Mail an eine externe Partei weiterleitet, anstatt sie an ein internes Teammitglied zu senden.
  

• SMS: Diese sogenannten Smishing-Angriffe könnten sich gegen einen Beschaffungsmanager richten. Sie könnten ihn mittels einer harmlos erscheinenden Textnachricht über eine Lieferung oder Rechnung dazu verleiten, auf einen bösartigen Link zu klicken.
  

• IoT-Geräte: Mit der zunehmenden Integration von IoT-Geräten (Internet der Dinge) in die Lieferkette steigen auch die damit verbundenen Beschaffungsrisiken durch Cyberattacken. Ein Beispiel wäre ein Sensor an einem Schiffscontainer, der Standortdaten überträgt und gehackt werden kann, um Waren an einen nicht autorisierten Ort umzuleiten, was zu erheblichen Unterbrechungen in der Lieferkette führen könnte.
  

• Schlechte Haushaltsführung: Selbst in führenden Unternehmen mit modernen Cybersicherheitssystemen können Probleme auftreten, wenn Mitarbeiter schwache Passwörter wie “1234” verwenden. 
  

• Ransomware: Stellen Sie sich vor, ein globaler Einzelhändler wird durch Ransomware-Angriffe lahmgelegt, bei denen das Inventarsystem kompromittiert wird. Solche Angriffe können die gesamte Lieferkette betreffen.

Generell ermöglichen technologische Fortschritte im Beschaffungswesen Vorteile wie schnellere Transaktionen und eine reibungslosere globale Zusammenarbeit, aber sie generieren zweifellos auch erhöhte Beschaffungsrisiken durch Cyberangriffe. Daher sollten Unternehmen im Zeitalter der Digitalisierung unbedingt in Cybersicherheit investieren, um ihre digitalen Vermögenswerte und Geschäftsprozesse vor potenziellen Bedrohungen zu schützen. 

Im nächsten Abschnitt werden wir sieben bewährte Verfahren vorstellen, die jeder Beschaffungsexperte stets befolgen sollte, um die Effizienz und Sicherheit des Beschaffungsprozesses sicherzustellen. 

7 Tipps für maximale Cybersicherheit und minimale Beschaffungsrisiken 

Wie bereits erwähnt, lauern heutzutage im Beschaffungswesen Cyber-Bedrohungen hinter jeder E-Mail, jeder Transaktion und jedem virtuellen Austausch.

Wie aber lassen sich die Beschaffungsrisiken senken und die Cybersicherheit innerhalb Ihrer Lieferkette maximieren? 

Hier sind sieben bewährte Verfahren, die Sie befolgen sollten:

1. Risikobewertung: Cybersicherheit im Beschaffungswesen ist ständigen Veränderungen unterworfen, weil sich die Bedrohungen und Technologien in der digitalen Welt kontinuierlich weiterentwickeln. Die Risikobewertung ist entscheidend, da sie Unternehmen dabei hilft, potenzielle Gefahren zu erkennen und zu verstehen. Für eine optimale Cybersicherheit sollten Sie gezielte Maßnahmen zu ergreifen:
   
   a. Analyse der Software eines Anbieters: Untersuchen Sie die Sicherheitsmerkmale und -praktiken der Software. Stellen Sie sicher, dass sie zuverlässige Authentifizierung, Verschlüsselung und Zugriffskontrollen bietet, um Daten vor unbefugtem Zugriff zu schützen.
   
   b. Zugriffsberechtigungen für Mitarbeiter: Stellen Sie sicher, dass die Software nur den berechtigten Benutzern Zugriff gewährt und dass die Zugriffsrechte entsprechend verwaltet werden können.
   
   c. Phishing-Testprogramme: Diese Programme ermöglichen es Unternehmen, ihre Mitarbeiter besser auf die Identifizierung und den Schutz vor Phishing-Angriffen vorzubereiten.
   
   d. Sicherheitsprobleme bei Cloud-Speichern: Prüfen Sie die Sicherheitsmaßnahmen Ihres Cloud-Anbieters und stellen Sie sicher, dass die Verschlüsselungs- und Sicherungsprotokolle angemessen sind.
   
   
   Trotz des anfänglichen Aufwands in Bezug auf Cybersicherheit ist zu bedenken, dass die Vernachlässigung dieser Maßnahmen langfristig zu erheblich höheren Kosten führen kann.
   
   
   
2. IT-Zusammenarbeit: Die Zusammenarbeit zwischen dem Beschaffungsteam und dem IT-Team spielt eine entscheidende Rolle in der Cybersicherheit. Angenommen, eine großer Versorger im Gesundheitswesen möchte ein neues System zur Verwaltung seines Inventars einführen, genannt Enterprise Resource Planning (ERP).
   
   
3. Das Beschaffungsteam sucht zunächst nach einer kostengünstigen Lösung mit den benötigten Funktionen. Doch nach der Zusammenarbeit mit dem IT-Team, stellt sich heraus, dass das ausgewählte System in der Vergangenheit Sicherheitsprobleme hatte. Daher entscheiden sie gemeinsam, eine sicherere Alternative zu wählen, um maximale Cybersicherheit zu gewährleisten.
   
    
4. Eingeschränkte Zugriffsberechtigung: Für maximale Cybersicherheit sollten Sie den Netzwerkzugang als ein Privileg behandeln, das ausschließlich den relevanten Mitarbeitern gewährt wird. Ein kompaktes, gut geschultes Beschaffungsteam kann das Risiko menschlicher Fehler minimieren und somit dazu beitragen, Cybersicherheitsrisiken auf ein Minimum zu reduzieren.
   
   
5. Datenverschlüsselung: In ERP-Systemen im Beschaffungswesen werden Informationen zwischen Abteilungen übertragen, wobei Verschlüsselung verwendet wird, um sicherzustellen, dass diese Informationen vor unbefugtem Zugriff geschützt sind. Dies verhindert, dass vertrauliche Daten von Dritten abgefangen und gelesen werden können. Wenn z. B. ein Beschaffungsmanager vertrauliche Preisdetails schriftlich an einen Lieferanten senden möchte, könnten diese von Hackern abgefangen und gelesen werden. Für eine optimale Cybersicherheit sollten Informationen vor der Übertragung verschlüsselt werden. Dabei wird der Text in einen unverständlichen Code umgewandelt. Der Lieferant verwendet dann sein ERP-System, um die Daten zu entschlüsseln und die ursprünglichen Informationen wiederherzustellen.
   
   
6. Klare Verantwortlichkeiten und Sicherheitsstrukturen: In vielen Unternehmen gibt es Unklarheiten darüber, wer in Bezug auf die Cybersicherheit in der Lieferkette für die Daten verantwortlich ist und wie sie geschützt werden sollten. Um Fehler und Unsicherheiten zu vermeiden, ist es wichtig, klare Verantwortlichkeiten und Sicherheitsstrukturen für die Cybersicherheit der gesamten Lieferkette festzulegen. Dies kann erreicht werden, indem entweder eine einzige Person als Verantwortlicher benannt wird oder geeignete Datentools zur Unterstützung eingesetzt werden. 
   
   
7. Reaktionsplan für Zwischenfälle: Stellen Sie sich vor, in der Beschaffungsabteilung eines Unternehmens werden gefälschte Rechnungen von einem vermeintlichen Lieferanten eingereicht, aufgrund eines Systemverstoßes. Anstatt in Panik zu geraten, aktiviert das Team sofort ihren vorher entwickelten Notfallplan. Ein gut strukturierter Reaktionsplan bei Supply Chain Angriffen ermöglicht eine schnelle und organisierte Reaktion, um Schäden zu begrenzen und die Sicherheit wiederherzustellen. Dieser umfasst Schritte wie das Einfrieren aller Zahlungen an den verdächtigen Lieferanten, die Benachrichtigung der IT-Abteilung zur Untersuchung und Absicherung des Vorfalls sowie die Benachrichtigung anderer Lieferanten zur Überprüfung ihrer Mitteilungen. 
   
   
8. Bleiben Sie über aktuelle Cyber-Bedrohungen informiert: In der Abwehr von Supply Chain Angriffen ist es wichtig, sich nicht in falscher Sicherheit zu wiegen. Da Angreifer ständig neue Methoden und Taktiken entwickeln, ist es entscheidend, stets über die aktuellen Standards für Cybersicherheit informiert zu bleiben, um besser auf potenzielle Gefahren vorbereitet zu sein.

Fazit  

Cybersicherheit in der Beschaffung ist aus mehreren Gründen von entscheidender Bedeutung.

Im heutigen digitalen Zeitalter kann bereits ein einziger falscher Klick schwerwiegende Folgen haben. Indem Unternehmen die potenziellen Beschaffungsrisiken und Konsequenzen eines Cyberangriffs erkennen, können sie gezielt Maßnahmen ergreifen, um sich und ihre Lieferkette besser zu schützen. 

In diesem Artikel haben wir Ihnen die häufigsten Cyber-Bedrohungen, einschließlich Supply Chain Angriffe (z. B. Phishing-Betrügereien, die auf Ihre Online-Einkaufsprozesse abzielen), erläutert und 7 Tipps für maximale Cybersicherheit und minimale Beschaffungsrisiken vorgestellt.

Bedenken Sie, dass es im Beschaffungsprozess nicht nur um den Einkauf von Waren geht, sondern auch um die Sicherung der Integrität, Authentizität und Vertraulichkeit jeder Transaktion.