Passwork veröffentlicht Leitfaden zur Supply-Chain-Sicherheit 2026

Supply-Chain-Angriffe sind heute eines der größten Unternehmensrisiken. Laut dem Verizon 2026 DBIR sind mittlerweile 48 % aller Datenschutzverletzungen auf Drittparteien zurückzuführen — gegenüber 30 % im Vorjahr. Ein durchschnittlicher Supply-Chain-Angriff kostet 4,91 Millionen US-Dollar und dauert 267 Tage, bis er eingedämmt ist, so der IBM Cost of a Data Breach Report 2025.

Das Problem ist struktureller Natur. Unternehmen kontrollieren nicht, wie Anbieter Zugangsdaten speichern, welche ihrer Mitarbeiter Zugriff auf Ihre Systeme haben oder was nach Projektabschluss mit diesem Zugang geschieht. Hinzu kommen verschärfte regulatorische Anforderungen in der EU — NIS2, DORA, aktualisierte ISO-27001-Kontrollen — und die Konsequenzen werden noch gravierender: Wenn ein Sicherheitsvorfall über einen Auftragnehmer entsteht, liegt die Haftung bei Ihnen.

Was der Leitfaden abdeckt

Der Leitfaden geht über die bloße Beschreibung von Bedrohungen hinaus. Er liefert konkrete Werkzeuge:

• Eine Risikokarte für den Anbieterzugang — welche Einstiegspunkte am stärksten gefährdet sind und warum gemeinsam genutzte Zugangsdaten der wichtigste Angriffsvektor bei Supply-Chain-Kompromittierungen bleiben.
• Regulatorischer Kontext — wie NIS2 und andere europäische Richtlinien die Verantwortlichkeit bei Vorfällen durch Dritte neu gestalten.
• Ein Zugangskontrollmodell — wie Sie Least-Privilege-Richtlinien für externe Auftragnehmer durchsetzen, ohne operative Engpässe zu erzeugen.
• Audit-Praxis — was zu protokollieren ist, damit eine Vorfallsuntersuchung nicht zur Suche nach der Nadel im Heuhaufen wird.
• Eine Checkliste zur Anbieterbewertung — konkrete Fragen und Kriterien, die geprüft werden sollten, bevor einem Auftragnehmer Zugang zur Infrastruktur gewährt wird.

„Die meisten Unternehmen schützen ihren eigenen Perimeter solide. Doch beim Anbieterzugang ändert sich das Bild schnell: gemeinsame Passwörter, die per Chat verschickt werden, Konten, die nach Vertragsende nie gesperrt werden, kein Aktivitätsprotokoll. Wir haben diesen Leitfaden geschrieben, weil wir dasselbe Muster immer wieder bei unseren Kunden sehen — unabhängig von Unternehmensgröße oder Branche."

— Alex Muntyan, CEO von Passwork

Der vollständige Leitfaden ist kostenlos im Passwork Blog verfügbar.