Der Einbruch findet beim Anderen statt, die Folgen landen bei Ihnen
Die meisten Sicherheitsvorfälle stellt man sich als Angriff auf das eigene Haus vor: ein Klick, eine Infektion, ein verschlüsselter Rechner. Ein zweiter Weg bleibt dabei meist unbeachtet — er führt über Dritte: über einen Dienstleister, einen Lieferanten, ein Softwareprodukt, einen Cloud-Anbieter. Fachleute sprechen von einem Lieferkettenangriff (englisch supply chain attack):
Angegriffen wird nicht das eigentliche Ziel, sondern jemand, dem das Ziel vertraut.
Wie viel dabei in fremde Hände gerät, zeigt die Bitkom-Erhebung 2025 — sie misst Datendiebstahl insgesamt, nicht nur den über Dritte: Bei 66 Prozent der deutschen Unternehmen wurden Geschäftsdaten gestohlen oder es wird vermutet. Entwendet wurden vor allem Kommunikationsdaten (69 Prozent) und Kundendaten (57 Prozent), bei 27 Prozent der Betroffenen auch Zugangsdaten und Passwörter. Diese Datensätze gehören selten nur einem Unternehmen: In Kommunikations- und Kundendaten stecken die Vorgänge, Namen und Konditionen der Geschäftspartner. Das eigene Haus taucht deshalb in der Statistik eines anderen auf.
Zwei Seiten derselbe Medaille
Dieser Weg hat zwei Spielarten, und beide stehen in dieser Lektion. Zuerst die missbrauchte Kommunikation — eine echte Mail aus einem gekaperten Postfach. Danach die Software: Dort kommt der Schadcode als korrekt signierte Datei vom offiziellen Server des Herstellers. Die erste lässt sich stoppen. Die zweite nicht.
Sie erfahren davon auf drei Wegen — keiner davon ist Ihr eigener Rechner
Das Tückische an dieser Lage: Die eigenen Systeme zeigen nichts. Kein Warnhinweis, kein langsamer Rechner, keine verschlüsselte Datei. Alles funktioniert.
1. Der Geschäftspartner meldet sich
Oft kommt die Information über das Datenleck per E-Mail vom Geschäftspartner selbst. Das ist keine Höflichkeit, sondern Pflicht: Wenn ein Datenleck ein hohes Risiko für die Betroffenen bedeutet, müssen diese nach Artikel 34 der DSGVO informiert werden — verständlich, mit Angaben dazu, welche Daten betroffen sind, was daraus entstehen kann und was bereits unternommen wurde
Mal schreibt Ihnen der Anbieter direkt, mal kommt die Nachricht aus dem eigenen Haus. Für Sie macht das keinen Unterschied — was zu tun ist, steht weiter unten und gilt in beiden Fällen.
2. Es steht in der Presse
Große Vorfälle stehen in den Nachrichten, bevor die Mail des Anbieters ankommt.
3. Sie merken es an den Folgen
Der dritte Weg ist der unangenehmste: Sie merken es erst, wenn der Schaden schon da ist. Der Lieferant ruft an und fragt, wo die Zahlung bleibt. Oder ein Mahnschreiben kommt ins Haus.
Ihre Phishing-Regeln
greifen hier nicht
Das Mitlesen von Mails erledigen Angreifer nicht in Handarbeit. Die Schadsoftware Emotet hat das Prinzip bekannt gemacht: Sie liest Kontaktbeziehungen und E-Mail-Inhalte automatisiert aus den Postfächern der Opfer aus. Mit diesen Informationen weiß der Angreifer, wer mit wem worüber verhandelt hat, in welchem Ton geschrieben wurde und unter welcher Vorgangsnummer die Kommunikation läuft.
Deshalb braucht es auch keine zweite Mail, die auffallen könnte. Der Angreifer wartet ab und klinkt sich in den laufenden Schriftwechsel ein, dort, wo es für ihn interessant wird — als Fortsetzung eines Gesprächs, das der Empfänger selbst begonnen hat.
Was Sie über Phishing gelernt haben, trägt hier also nicht:
keine Rechtschreibfehler, keine seltsame Anrede, kein falscher Absender. Nicht weil Sie es falsch gelernt hätten — sondern weil dieser Angriff eine Stufe darüber ansetzt.
Alles hängt an der geänderten Bankverbindung
Ob Mail und Rechnung echt sind, lässt sich am Bildschirm nicht entscheiden — bei einem gekaperten Konto stimmen alle Merkmale, die man prüfen könnte. Es gibt aber eine Stelle, an der Petra K. den Angriff stoppen kann, und Nachfragen muss:
Ist die neue Kontoverbindung richtig? Stimmt sie?
Und diese Kontrolle darf nicht per Mail erfolgen, sondern telefonisch unter der schon bereits bekannten Rufnummer. Nicht unter der, die in der Mail oder auf der Rechnung steht. Diese können ebenfalls gefälscht sein.
Eine geänderte Bankverbindung muss immer telefonisch bestätigt werden!
unter der Nummer, die Sie schon vorher kannten.
Das klingt nach einer Selbstverständlichkeit, ist aber keine. Wer schon einmal in einem Betrieb die Bankverbindung gewechselt hat, kennt die Erfahrung: Es kommen kaum Rückfragen. Kunden prüfen neue Lieferanten sorgfältig — bei der Firma, mit der sie seit Jahren arbeiten, hakt niemand nach. Genau in diese Lücke zielt der Angriff.
Deshalb sollte der Rückruf eine feste Regel im Ablauf sein.
Sie gilt, sobald die Routine durchbrochen wird — eine geänderte Kontoverbindung, ein abweichender Absendername, eine Kleinigkeit, die beim letzten Mal anders war. Und sie gilt genauso, wenn sich nichts davon benennen lässt und nur das Gefühl bleibt, dass etwas nicht stimmt. Dieses Gefühl entsteht selten grundlos: Es kommt daher, dass Sie den Vorgang kennen. Es ist ein ebenso guter Grund anzurufen wie jeder sichtbare Unterschied.
Was tun ist— und was nicht
Wenn Sie erfahren, dass ein Dienst betroffen ist, den Sie beruflich nutzen, gilt eine kurze Reihenfolge:
Fall 1: Eine Nachricht will, dass Sie etwas ändern
Eine geänderte Bankverbindung, eine neue Zahlungsadresse, ein abweichender Ansprechpartner — immer dann gilt die Regel von oben: über den zweiten Kanal bestätigen, telefonisch, unter der Nummer, die Sie vorher schon hatten. Vor der Zahlung, nicht danach.
Und wenn Sie den Verdacht haben, dass etwas nicht stimmt: intern melden, auch ohne Beweis. Die Kollegin am Nachbartisch bekommt womöglich gerade dieselbe Mail.
Fall 2: Ein Dienst, den Sie nutzen, wurde kompromittiert
Hier geht es nicht um eine Zahlung, sondern um Ihre Zugangsdaten. Die Reihenfolge:
Jede Minute zählt
Haben Sie schon bezahlt? Dann sofort die eigene Bank informieren, damit sie die Überweisung zurückzuholen versucht, und parallel im Haus melden. Ein Rückholversuch hat nur Aussicht auf Erfolg, solange das Geld das Empfängerkonto noch nicht verlassen hat — und mpfängerkonten werden zügig geleert. Bei einer Echtzeitüberweisung kann das binnen Minuten geschehen.
Das sind nicht ihre Aufgaben
Nicht Ihre Aufgabe ist alles Übrige: zu beurteilen, wie schwer der Vorfall wiegt, den Anbieter zu kontaktieren, eigene Recherchen anzustellen oder zu entscheiden, ob eine Meldung an die Aufsichtsbehörde nötig ist. Das liegt bei der IT und den Verantwortlichen im Haus. Wer haftet, wenn das Geld weg ist, ebenfalls — diese Frage klären Geschäftsführung und Anwälte, nicht die Buchhaltung.
Ein Betrieb kann seine eigenen Systeme vorbildlich absichern und trotzdem über einen Vertragspartner getroffen werden. Das ist keine beruhigende Nachricht, aber eine nützliche: Sie verschiebt die Aufmerksamkeit von der Frage „Ist bei uns etwas passiert?" zu der Frage, die im Alltag mehr trägt:
Passt das, was ich hier gerade lese,
zu dem, was ich weiß?
Petra K. hat nichts übersehen.
Es gab nichts zu übersehen.
Was gefehlt hat, war ein Anruf, der drei Minuten gedauert hätte.
Die zweite Spielart trifft nicht die Mail, sondern die Software
Eine Signatur beweist die Herkunft, nicht die Harmlosigkeit
Eine digitale Signatur bestätigt, dass eine Datei tatsächlich von dem angegebenen Hersteller stammt und seither nicht verändert wurde. Vereinfacht gesagt: Sie ist ein unversehrtes Siegel auf der Verpackung — eine Aussage über den Absender, keine über den Inhalt. Wurde der Schadcode eingebaut, bevor der Hersteller unterschrieb, unterschreibt er ihn ahnungslos mit. Die Prüfung meldet dann völlig korrekt: alles in Ordnung.
So lief es 2017 beim Reinigungsprogramm CCleaner. Angreifer waren in die Entwicklungsumgebung des Herstellers eingedrungen; die fertige Datei trug eine gültige Signatur und wurde einen Monat lang von den offiziellen Servern verteilt. Aufgefallen ist es nicht dem Hersteller, sondern Sicherheitsforschern, die bei einem Test einer neuen Erkennungstechnik darüber stolperten. Und es ist keine Geschichte von gestern: Im März 2026 warnte das Bundesamt für Sicherheit in der Informationstechnik vor einem laufenden Angriff dieser Art — dem BSI seien „eine Reihe an Kompromittierungen" gemeldet worden, in Deutschland
Diesen Angriff können Sie nicht erkennen
Das ist die unbequeme Aussage dieses Abschnitts, und sie steht bewusst so deutlich hier. An Marcos Bildschirm gab es nichts zu bemerken. Keine Prüfung, die er hätte durchführen können, hätte den Unterschied gezeigt. Bei der geänderten Bankverbindung gab es einen Anruf, der den Angriff stoppt. Hier gibt es ihn nicht.
Was bleibt, liegt außerhalb dieses Moments, und es sind zwei Dinge. Software und Updates nur über die freigegebenen Wege — die IT, das Software-Center, die benannte Quelle. Nicht weil Ihre eigene Recherche schlechter wäre, sondern weil im Ernstfall jemand wissen muss, wer was installiert hat; ohne diese Liste dauert die Eingrenzung Tage. Und: auffälliges Verhalten nach einer Installation sofort melden, auch wenn Sie sich nicht sicher sind. Was dann zu tun ist, steht in Lektion 1.4.1 — nicht ausschalten, nichts löschen, melden.
Dass Updates im Haus manchmal erst nach ein paar Tagen ankommen und Software zentral verteilt wird, statt dass jeder selbst herunterlädt, hat denselben Grund. Es kostet Bequemlichkeit. Es ist der Preis dafür, dass ein einzelner vergifteter Download nicht den ganzen Betrieb kostet.
Bei Petra K. fehlte ein Anruf. Bei Marco S. fehlte nichts — außer der Möglichkeit, es zu wissen. Das ist unbequem, und es entlastet zugleich:
Wenn Sie den Angriff nicht erkennen können, besteht Ihr Beitrag darin, ihn schnell zu melden.
Zum Weiterlesen:
Weitere dokumentierte Fälle
Nicht Pflichtstoff — für alle, die genauer wissen wollen, warum die Verfahren sich so unterscheiden.
Die Schadsoftware gelangte über ein manipuliertes Update der ukrainischen Buchhaltungssoftware M.E.Doc in die Netze; betroffene Betriebe wurden infiziert, ohne dass jemand etwas anklicken musste. Hatte die Software Administratorrechte, verschlüsselte sie den Startbereich der Festplatte und verbreitete sich selbstständig weiter CISA Alert TA17-181A. Die US-Regierung schrieb den Angriff später dem russischen Militär zu.
Angreifer platzierten Schadcode in einer signierten Programmdatei der Überwachungssoftware Orion, die über den regulären Update-Weg an die Kunden ging. Betroffen waren US-Bundesbehörden; die zuständige Behörde ordnete an, betroffene Geräte sofort vom Netz zu nehmen, und bewertete die Bereinigung als „hochkomplex" CISA Alert AA20-352A.
Angreifer erbeuteten den Zugang zum Auslieferungsnetz eines Herstellers und tauschten dort die legitimen Dateien aus — kein Update war beteiligt. Die betroffenen Webseiten luden sie am 12. Juni für einige Stunden automatisch nach. Rund 1,2 Millionen Instanzen galten als bedroht heise, 16.06.2026.
Warum Angreifer Ihre Geschäftspartner mitbenutzen
Der Umweg über Partner ist nicht nur ein Einbruchsweg, sondern auch ein Druckmittel. Bei der sogenannten dreifachen Erpressung verschlüsseln Angreifer die Systeme des Opfers, drohen mit Veröffentlichung der gestohlenen Daten — und wenden sich zusätzlich an dessen Kunden, Partner und Lieferanten. Diese Dritten erhalten eigene, kleinere Zahlungsaufforderungen, damit ihre Daten nicht öffentlich werden. Rapid7: Ransomware-Playbook
Für Beschäftigte heißt das: Eine Zahlungsaufforderung, die sich auf einen Vorfall bei einem Geschäftspartner beruft, kann echt gemeint und trotzdem kriminell sein. Auch sie gehört nicht beantwortet, sondern gemeldet.
- Bitkom: Wirtschaftsschutz 2025 — Anteile gestohlener Daten
- BSI: Erste Hilfe bei einem schweren IT-Sicherheitsvorfall — Art. 33/34 DSGVO, Emotet-Mechanik
- Rapid7: Ransomware-Playbook — dreifache Erpressung
- Cisco Talos: CCleanup — A Vast Number of Machines at Risk (2017) — signierte Datei von offiziellen Servern
- BSI: Trivy — Supply-Chain-Angriff führt zu Kompromittierungen in Deutschland (26.03.2026)
- CISA Alert TA17-181A: Petya Ransomware (2017) — NotPetya über M.E.Doc-Update
- CISA Alert AA20-352A (2020) — signierte DLL im regulären Update-Kanal
- heise: Lieferkettenangriff auf WordPress-Plug-ins (16.06.2026)
