Ein Angriff auf einen Zulieferer reicht aus, um die Produktion bei Kunden und Kundinnen zum Stillstand zu bringen. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) dokumentierte viele Fälle, in denen genau dieser Weg gewählt wurde. Für kleine und mittlere Unternehmen ist die Sicherheit der eigenen Lieferkette deshalb längst keine abstrakte Sicherheitsfrage mehr, sondern eine operative Realität.

Wenn digitale Angriffe reale Abläufe treffen

Cyberangriffe betreffen also nicht nur Büro-IT, E-Mails oder Datenbanken. In vernetzten Unternehmen können sie auch operative Prozesse erreichen. Besonders relevant ist dabei die Verbindung zwischen IT und OT. IT steht für Information Technology, also klassische Informationssysteme wie Server, Netzwerke oder Unternehmenssoftware. OT steht für Operational Technology, also Systeme zur Steuerung und Überwachung von Maschinen, Anlagen und industriellen Prozessen.

Wenn diese Welten zusammenwachsen, entstehen neue Möglichkeiten. Etwa für effizientere Wartung, bessere Produktionsplanung oder schnellere Datenflüsse. Gleichzeitig wächst die Angriffsfläche. Veraltete Steuerungssysteme, unsichere Schnittstellen, fehlende Netzwerksegmentierung oder unklare Zuständigkeiten können dazu führen, dass ein Cybervorfall nicht nur Daten betrifft, sondern Produktionsabläufe, Lieferfähigkeit und Kundenbeziehungen. Im Lagebericht 2025 des BSI wird zum Beispiel auf rund 40.000 IoT-Geräte verwiesen, die bereits vorinfiziert in den Handel kamen.

Warum KMU besonders aufmerksam sein sollten

„Wir sind doch kein lohnendes Ziel“, diesen Satz kennen viele, die mit Inhaberinnen und Inhabern mittelständischer Betriebe über Cybersicherheit sprechen. Zu klein, zu unbekannt, zu unspektakulär für professionelle Angreifer*innen. Doch das ist ein gefährlicher Irrtum.

Cyberkriminelle denken nicht in Kategorien wie Bekanntheit oder Unternehmensgröße. Sie denken in Aufwand und Ertrag. Das BSI hat in seinem Lagebericht 2024 bereits beschrieben, wie sich Angreifer*innen systematisch die Wege suchen, die den geringsten Widerstand bieten und diese Wege führen heute immer öfter direkt in den Mittelstand.

Denn Lieferketten bestehen heute nicht mehr nur aus Material, Transport und Lagerhaltung. Sie sind vernetzte Systeme, in denen digitale Plattformen, Produktionsanlagen, Maschinen, Sensoren, Dienstleister und Zulieferer eng zusammenspielen. Diese Vernetzung macht Prozesse schneller und transparenter. Gleichzeitig bedeutet sie: Eine Störung an einer Stelle kann Auswirkungen auf viele weitere Beteiligte haben. Deshalb ist Cybersicherheit keine separierte IT-Aufgabe mehr, sondern eng mit anderen Bereichen verzahnt.

Hier setzt auch die Supply Chain Resilience an. Gemeint ist die Fähigkeit auf Störungen in der Liefer- oder Wertschöpfungskette vorbereitet zu sein, auf diese angemessen zu reagieren und danach schnell wieder handlungsfähig zu werden. Für Unternehmen mit Produktion oder industriellen Komponenten wird Cybersicherheit somit auch eine Frage der Logistik und des internen und externen Datentransfers.

Kleine und mittlere Unternehmen sind häufig eng in größere Wertschöpfungsnetzwerke eingebunden. Sie liefern Komponenten, betreiben Maschinen, integrieren industrielle Produkte oder stellen digitale Schnittstellen bereit. Damit werden sie Teil der Sicherheitsarchitektur ihrer Kundschaft und auch bei Geschäftspartner*innen. Gleichzeitig verfügen viele KMU nicht über große IT-Sicherheitsabteilungen oder gar spezialisierte OT-Teams.  „Angreifer suchen sich die schwächste Stelle aus. Gerade bei besonders gut geschützten Unternehmen sind das häufig weniger gut geschützte Zulieferer“, sagt Bitkom-Präsident Dr. Ralf Wintergerst in einer veröffentlichten Pressemitteilung.

Das bedeutet nicht, dass OT-Sicherheit für KMU unerreichbar ist. Es bedeutet vielmehr, dass sie verständlich, priorisiert und machbar angegangen werden muss. Der erste Schritt ist ein klarer Überblick: Welche Anlagen, Komponenten und Schnittstellen sind kritisch? Welche Systeme sind mit Netzwerken verbunden? Wo bestehen bekannte Schwachstellen? Wer ist im Ernstfall verantwortlich?

Resilienz entsteht vor dem Ernstfall

Supply Chain Resilience entsteht nicht erst, wenn eine Störung eingetreten ist. Sie entsteht durch Vorbereitung. Dazu gehören technische Maßnahmen wie sichere Konfigurationen, kontrollierte Zugänge, Updates und Netzwerksegmentierung. Ebenso wichtig sind organisatorische Maßnahmen: klare Verantwortlichkeiten, nachvollziehbare Prozesse, Schulungen, Notfall-Konzepte und ein gemeinsames Verständnis dafür, welche Systeme besonders schützenswert sind.

Auch der Cyber Resilience Act (CRA), die neue EU-Verordnung für Produkte mit digitalen Elementen, verstärkt diesen Blick auf Verantwortung über den gesamten Lebenszyklus. Für Hersteller und Integratoren industrieller Produkte wird damit wichtiger, Sicherheit nicht erst nachträglich zu betrachten. Produkte müssen sicher entwickelt, dokumentiert, gewartet und bei Schwachstellen zuverlässig unterstützt werden.

Was Unternehmen konkret angehen können

Für KMU ist entscheidend, OT-Sicherheit in handhabbare Schritte zu übersetzen. Ein sinnvoller Einstieg ist eine strukturierte Bedrohungs- und Risikoanalyse. Sie hilft dabei, relevante Risiken zu erkennen und Maßnahmen nach ihrer Bedeutung zu priorisieren. Darauf aufbauend wird Schwachstellenmanagement wichtig: Sicherheitslücken sollten nicht zufällig entdeckt und einzeln behandelt werden, sondern in einem nachvollziehbaren Prozess erfasst, bewertet und bearbeitet werden.

Ebenso wichtig ist Qualifizierung. Mitarbeitende müssen keine Cybersicherheitsprofis werden, um Risiken besser zu verstehen. Aber sie sollten wissen, warum bestimmte Anlagen, Zugänge oder Schnittstellen kritisch sind und welche Verhaltensweisen im Alltag Sicherheit stärken. Gerade in Produktionsumgebungen kann dieses gemeinsame Verständnis den Unterschied machen.

OT-Sicherheit in der Lieferkette

Das Projekt OT-CRAft richtet sich gezielt an kleine und mittlere Unternehmen sowie Start-ups, die ihre industriellen Systeme besser schützen wollen, ohne dafür eine eigene Sicherheitsabteilung aufbauen zu müssen. Die Unterstützung ist kostenlos und praxisnah: Unternehmen erhalten konkrete Handlungsempfehlungen für Bedrohungs- und Risikoanalysen, Werkzeuge für ein strukturiertes Schwachstellenmanagement und Zugang zu einer Lernplattform, die OT-Sicherheit verständlich macht. Für Anlagenbetreiber gibt es gezielte Kurse zu grundlegenden Sicherheitskonzepten, zur Bewertung von Systemen und zur Netzwerksegmentierung.

Wer seine eigenen Anlagen kennt, Risiken bewertet und Schwachstellen systematisch angeht, schützt damit nicht nur den eigenen Betrieb. Er wird zum verlässlichen Glied in einer Lieferkette, in der Sicherheit künftig eine Grundvoraussetzung wird. Handlungsempfehlungen, sowie weitere kostenfreie Hilfestellungen werden schrittweise auf dieser Webseite zur Verfügung gestellt. Abonnieren Sie jetzt den Newsletter von OT-CRAft, um keine Neuveröffentlichung zu verpassen!