(openPR) Der Angriff auf Klinik-Dienstleister zeigt ein strukturelles Problem deutscher Unternehmen
Warum klassische Third-Party-Risk-Management-Ansätze bei modernen Lieferketten zunehmend versagen
Der jüngste Cyberangriff auf den externen Abrechnungsdienstleister mehrerer deutscher Universitätskliniken war weit mehr als ein isolierter Sicherheitsvorfall. Obwohl die Kliniken selbst nicht direkt kompromittiert wurden, konnten über einen externen Dienstleister sensible Daten von zehntausenden Patienten betroffen sein.
Der Vorfall zeigt exemplarisch ein strukturelles Problem, das sich derzeit durch nahezu alle Branchen zieht: Unternehmen sichern ihre eigene IT immer besser ab – verlieren aber gleichzeitig zunehmend die Kontrolle über Risiken innerhalb ihrer Lieferketten und digitalen Drittparteien.
Besonders problematisch ist dabei, dass sich Risiken innerhalb digitaler Lieferketten häufig gegenseitig verstärken.
Im Rahmen einer externen Analyse identifizierte das Cyber-Intelligence-Unternehmen Darkscope bei öffentlich erreichbaren Systemen und Diensten unter anderem eine ungewöhnlich große externe Angriffsfläche, mehrere öffentlich erkennbare Schwachstellen sowie zahlreiche exponierte Dienste und offene Ports. Zusätzlich fanden sich Hinweise auf frühere Datenleaks und Darknet-Erwähnungen rund um die internationale Marke „Unimed“.
Solche Vorfälle erhöhen häufig die Sichtbarkeit einer Organisation innerhalb krimineller Ökosysteme. Angreifer beobachten Marken, Domains und Lieferketten sehr genau. Bereits öffentlich verfügbare Informationen oder frühere Datenleaks können ausreichen, um weitere Reconnaissance-Aktivitäten, Typosquatting oder gezielte Folgeangriffe auszulösen.
Geschäftsprozesse hängen heute von einer Vielzahl externer Dienstleister ab:
- Cloud-Anbieter
- SaaS-Plattformen
- externe Entwickler
- Managed Service Provider
- spezialisierte Zulieferer
- und teilweise mehreren Ebenen von Sub-Lieferanten
Die eigentliche Herausforderung liegt dabei nicht nur in der Anzahl der Partner, sondern in der fehlenden Transparenz über deren tatsächliche Abhängigkeiten.
Viele Unternehmen wissen heute zwar, wer ihre direkten Lieferanten sind — häufig aber nicht:
- welche weiteren Drittparteien dahinterstehen,
- welche kritischen Geschäftsprozesse davon abhängen,
- welche Risiken dadurch entstehen,
- oder wie sich Veränderungen innerhalb der Lieferkette auf den eigenen Geschäftsbetrieb auswirken können.
Genau hier stoßen klassische Ansätze des Third-Party Risk Managements zunehmend an ihre Grenzen.
In vielen Unternehmen basiert Third-Party Risk Management noch immer auf statischen Fragebögen, jährlichen Audits, Excel-Listen und manuellen Bewertungen. Diese Prozesse wurden ursprünglich für deutlich einfachere Lieferketten entwickelt.
Die Realität moderner digitaler Geschäftsmodelle sieht jedoch anders aus: Risiken verändern sich heute nahezu täglich. Neue Schwachstellen, kompromittierte Dienstleister, geopolitische Entwicklungen, Cloud-Abhängigkeiten oder Änderungen innerhalb von SaaS-Ökosystemen können innerhalb weniger Stunden Auswirkungen auf kritische Geschäftsprozesse haben.
Mit NIS2 verschärfen sich die Anforderungen zusätzlich. Unternehmen müssen künftig deutlich besser nachweisen können:
- welche Drittparteien kritisch sind,
- wie Risiken überwacht werden,
- welche Abhängigkeiten bestehen,
- und welche Maßnahmen im Ernstfall greifen.
Viele Unternehmen müssen heute komplette Zusammenhänge verstehen: vom Produkt, über die gesamte Value Chain und kritische Geschäftsprozesse bis hin zu Dienstleistern und mehreren Ebenen von Sub-Lieferanten.
Third-Party Risk Management entwickelt sich damit zunehmend weg von einer reinen Compliance-Funktion — hin zu einem strategischen Thema für operative Resilienz und Geschäftsfortführung.
Die zentrale Frage lautet künftig nicht mehr nur:
„Ist ein Lieferant compliant?“
Sondern:
- Welche Geschäftsprozesse hängen daran?
- Welche kritischen Abhängigkeiten existieren?
- Welche Risiken entstehen indirekt?
- Und wie schnell können Veränderungen erkannt werden?
Unternehmen benötigen dafür kontinuierliche Transparenz statt punktueller Bewertungen. Denn moderne Lieferketten sind dynamische Systeme — keine statischen Tabellen.
Darkscope arbeitet bereits mit Unternehmen, kritischen Infrastrukturen sowie etablierten Security- und Beratungspartnern aus Deutschland und Europa zusammen. Dazu gehören unter anderem BDO Digital, ODIV SecuSys, Apasec und cyber complete GmbH.
Das Unternehmen verbindet klassische Informationssicherheit mit KI-gestützter Cyber-Intelligence und entwickelt Technologien zur Analyse digitaler Risiken, Bedrohungen und Lieferketten-Abhängigkeiten.
