Best Practices gegen Supply-Chain-Attacken
Wie verwundbar die Lieferketten heutiger Industrieunternehmen sind, zeigte der Cyberangriff auf die Lieferkette von Toyota im März 2022, bei dem ein Drittel der weltweiten Produktion des Unternehmens lahmgelegt wurde.
Der japanische Automobilhersteller musste den Betrieb aller 28 Produktionslinien in seinen 14 inländischen Werken unterbrechen, nachdem ein wichtiger Zulieferer durch einen Cyberangriff einen IT-Systemausfall erlitten hatte. Die Angriffe auf die Software-Lieferkette werden zwar immer raffinierter, können aber eingedämmt werden.
Schon immer haben Angreifer das schwächste Glied in der Kette gesucht, um eine Verteidigung zu durchbrechen. Das hat sich auch in der heutigen hochdigitalisierten Wirtschaftswelt nicht geändert und schließt die Lieferkette der Zulieferindustrie mit ein. Lieferanten haben oft Zugang zu den internen Systemen ihrer Kunden, und ein Hackerangriff auf einen scheinbar unbedeutenden Zulieferer kann für Hackergruppen den Eintritt in das Netzwerk eines Weltkonzerns bedeuten.
Noch häufiger und in ihren Auswirkungen dramatischer sind Angriffe über die Software-Lieferkette. Anstatt das Zielunternehmen direkt anzugreifen, nehmen Cyber-Kriminelle die Software-Distributoren ins Visier. Sie identifizieren Anbieter mit unzureichenden Sicherheitspraktiken und schleusen dort Schadcode in eine vertrauenswürdige Softwarekomponente ein. Mit dem nächsten Update sind sie am Ziel: im Netzwerk des Großunternehmens.
Was macht Lieferketten-Angriffe 2023 so brisant?
Jüngste Vorfälle haben es vor Augen geführt: Im Zuge der globalen Digitalisierungsfortschritte haben Lieferketten-Angriffe neue Dimensionen angenommen und sorgen für eine völlig neue Ausgangslage in der Cybersicherheit. Sie bedeuten für Unternehmen eine unangenehme Erkenntnis: Das schwächste Glied in der Kette befindet sich oft außerhalb ihrer Sicherheitsstruktur und damit abseits ihrer Kontrolle. Durch die Kompromittierung eines einzelnen Lieferanten können Angreifer jede verkaufte Anwendung oder jedes Software-Update in trojanische Pferde verwandeln. Ein großer Service-Anbieter kann somit unwissentlich mit einer einzigen Aktualisierung Tausende Unternehmen infizieren. Diese hohe Effizienz hat dazu geführt, dass Supply-Chain-Angriffe bei Cyberkriminellen immer beliebter werden.
Die Bedrohung durch Angriffe auf die Lieferkette stellt heute ein erhebliches Risiko für moderne Unternehmen dar, und die finanziellen Schäden können enorm sein – vom Produktionsausfall über den Aufwand für die Untersuchung des Sicherheitsvorfalls, Verluste aufgrund von Reputationsschäden bis hin zu behördlichen Geldstrafen.
Eines der verheerendsten Beispiele ist der Lieferketten-Angriff auf das Softwareunternehmen SolarWinds im Jahr 2020, von dem zahlreiche Organisationen, darunter auch die US-Regierung, betroffen waren. SolarWinds war ein attraktives Ziel, da das angebotene IT-Überwachungssystem weit verbreitet ist und privilegierten Zugang zu IT-Systemen hat, um Protokoll- und Systemleistungsdaten zu erhalten.
Ein weiterer schwerwiegender Fall war der Supply-Chain-Angriff auf den IT-Dienstleister Kaseya im Juli 2021, bei dem letztlich Ransomware über ein manipuliertes Software-Update verbreitet wurde und weltweit rund 1.500 Unternehmen betroffen waren. Zu den bekanntesten Opfern in Europa gehörte die Supermarktkette Coop-Schweden, die 800 ihrer Filialen vorübergehend schließen musste, weil ein Zahlungsdienstleister für ihre Kassensysteme ausgefallen war.
Wie verwundbar die Lieferketten heutiger Industrieunternehmen sind, hat auch der Cyberangriff auf die Supply-Chain von Toyota im März 2022 gezeigt, bei dem ein Drittel der weltweiten Produktion des Unternehmens lahmgelegt wurde. So musste der japanische Automobilhersteller den Betrieb aller 28 Produktionslinien in seinen 14 inländischen Werken unterbrechen, nachdem ein wichtiger Zulieferer durch einen Angriff einen IT-Systemausfall erlitten hatte.
Über den Tellerrand hinausblicken
Die Angriffe auf die Software-Lieferkette werden zwar immer raffinierter, sie können jedoch eingedämmt werden. Der Verzicht auf Updates kommt nicht in Frage, aber Unternehmen müssen sich bewusst machen, dass selbst die vertrauenswürdigsten Lieferanten nicht vor Einbrüchen und Verstößen gefeit sind. Deshalb müssen Sicherheitsverantwortliche über traditionelle Risikobewertungen von Anbietern hinausgehen.
Selbst gegenüber Standardsoftware großer Hersteller gilt das Prinzip „Null Vertrauen“ (Zero Trust). Jede Applikation auf jedem Endgerät muss kontinuierlich überwacht werden, und zwar sowohl auf Endpoint-Ebene als auch auf Netzwerk-Ebene. Nur dann fällt auf, wenn eine Anwendung das gewohnte Verhalten ändert und zum Beispiel Zugriff auf andere Applikationen sucht, Daten über die Netzwerksgrenze verschickt oder Dateien von bislang unbekannten Quellen nachlädt.
Um ein Zero-Trust-Modell durchzusetzen, sollten Unternehmen auf die adäquate Vergabe und Verwaltung von Zugriffsrechten achten. In vielen Unternehmen verfügen Mitarbeiter, Partner und Softwareanwendungen über unnötig hohe Berechtigungen, welche die Durchführung von Angriffen auf die Lieferkette erleichtern. Deshalb sollte hier nach dem Least-Privilege-Prinzip vorgegangen werden, bei dem Mitarbeitern und Softwareprogrammen nur die Berechtigungen zugewiesen werden, die sie wirklich benötigen, um ihre Aufgaben zu erfüllen. Es gibt keinen Freibrief mehr: Jeder Zugriff auf weitere Ressourcen wird geprüft.
Bewährte Maßnahmen zur Zugriffskontrolle sind beispielsweise Multi-Faktor-Authentifizierung (MFA) sowie die Netzwerksegmentierung. Dadurch wird verhindert, dass Software von Drittanbietern ungehinderten Zugang zu jedem Winkel des Netzwerks haben, baut Schutzwälle gegen Angriffe auf und dämmt so den Erfolg von Angriffen ein. Falls ein Angriff auf die Lieferkette einen Teil des Netzwerks beeinträchtigt, bleibt der Rest dennoch geschützt.
Um Compliance und Prozesse ihrer genutzten Software-Anbieter zu bewerten, sollten Unternehmen zudem regelmäßig Sicherheitsfragebögen versenden. Es geht darum sicher zu stellen, dass sie Best Practices einhalten, um jegliche Manipulation des Codes zu verhindern.
