Wenn der Lieferant zum Einfallstor wird: Supply-Chain-Ransomware unter NIS2, DORA und revDSG

Die europäische Ransomware-Lage 2026 lässt sich auf drei zusammenlaufende Kräfte verdichten: steigende Ransomware-Volumina, Lieferanten als Einfallstor und eine europäische Rechtslage, die Organisationen für die Sicherheit ihrer Dritten haftbar macht (Datengrundlage: 2026 Europe Cyber Risk Report, Black Kite). Während der erste Punkt Schlagzeilen macht, ist der zweite der strukturell gefährlichere, und der dritte verwandelt ihn von einem IT- in ein Vorstandsthema. Dieser Beitrag seziert die Lieferketten-Dimension und ihre regulatorischen Folgen für die Schweiz.

64 Organisationen, ein Lieferant: die Anatomie der Kaskade

Der Report identifiziert im 31-Länder-Datensatz 64 europäische Organisationen, die nicht über die eigenen Systeme, sondern über einen Lieferanten in einen Ransomware- oder Daten-Erpressungsvorfall hineingezogen wurden. Das eigentlich Beunruhigende: 34 dieser 64 Fälle, also mehr als die Hälfte, gehen auf ein einziges Ereignis zurück, die Kompromittierung des schwedischen Software-Lieferanten Miljödata am Wochenende des 23. August 2025.

Miljödata stellt HR-Systeme für rund 80 % der schwedischen Gemeinden bereit. Genau diese Marktdurchdringung verwandelte einen einzelnen Einbruch in eine nationale Störung: Rund 200 Gemeinden und Regionen waren betroffen, etwa 250 Kunden meldeten sich bei der schwedischen Datenschutzbehörde, und die Daten von über einer Million Personen wurden online veröffentlicht, obwohl keine dieser Organisationen einen direkten Einbruch in die eigenen Systeme erlebt hatte.

Die Methodik des Reports macht das Bild sogar konservativ: Kaskaden über einen Lieferanten werden in der Volumen-Statistik als ein Vorfall gezählt. Der Bericht hält explizit fest, dass die 34 namentlich dokumentierten Miljödata-Opfer nur eine Teilmenge einer weit grösseren betroffenen Population sind. Die reale Reichweite solcher Vorfälle ist also grösser als jede Vorfallszahl suggeriert.

Salesforce, Drift und die Markenopfer

Miljödata ist kein Einzelfall, nur der grösste. Über die Kompromittierung des Salesforce- und Drift-Ökosystems wurden sieben weitere europäische Organisationen in Vorfälle gezogen, darunter Namen wie Chanel, Pandora, Air France-KLM und Stellantis (über Salesforce-Umgebungen) sowie Esker, Sophos und ContentSquare (über die angebundene Drift-Integration). Das Muster ist identisch: Nicht das Zielunternehmen wurde gehackt, sondern eine geteilte Plattform, die es nutzte.

Collins Aerospace: wenn geteilte Infrastruktur Flughäfen lahmlegt

Wie physisch dieser Effekt werden kann, zeigte sich im September 2025: Ein Ransomware-Angriff auf die MUSE-Plattform von Collins Aerospace, eine geteilte Check-in- und Boarding-Infrastruktur, zwang die Flughäfen Heathrow, Brüssel, Berlin, Dublin und Cork tagelang zur manuellen Abfertigung. Der Vorfall wurde von der Gruppe Everest beansprucht und von der ENISA bestätigt. Ein Lieferant, fünf Länder, ein sichtbarer Stillstand.

Warum IT-Dienstleister das attraktivste Ziel sind

Hinter diesen Fällen steht eine Logik, die der Report mit harten Zahlen belegt: Computer Systems Design and Related Services, also klassische IT-Dienstleister, ist mit 5,4 % aller Vorfälle die meistangegriffene Subindustrie Europas. Das ist kein Zufall. Ein IT-Dienstleister sitzt in den Abläufen, Netzwerken und Identitäten seiner Kunden. Wer ihn kompromittiert, erhält nicht ein Ziel, sondern ein Portfolio.

Verschärft wird das durch eine strukturelle Abhängigkeit: Laut dem Report bezieht die EU über 80 % ihrer wesentlichen digitalen Produkte, Dienste, Infrastrukturen und geistigen Eigentums von ausserhalb der EU. Der Bericht verweist auf das politische Ziel, diese Abhängigkeit bis 2030 deutlich (auf rund 40 %) zu senken, eine Stossrichtung, die auch das im Juni 2026 vorgestellte EU Tech Sovereignty Package aufgreift. Für die Schweiz als eng vernetzten Nicht-EU-Markt heisst das: Die Lieferkette reicht fast immer über die eigene Jurisdiktion hinaus.

Wie wahrscheinlich ist ein Lieferanten-Ausfall? Der RSI-Score

Lieferkettenrisiko lässt sich quantifizieren. Der Report nutzt dazu den Ransomware Susceptibility Index (RSI) von Black Kite, der auf einer Skala von 0,0 bis 1,0 die Wahrscheinlichkeit eines Ransomware-Angriffs modelliert, gespeist aus technischer Exposition (ausnutzbare Schwachstellen, exponierter Remote-Zugang, geleakte Zugangsdaten) und intrinsischen Faktoren (Branche, Standort, Grösse). Der Zusammenhang ist alles andere als linear.

Die Aussage ist klar: Ein einziger Lieferant mit schlechter Hygiene, schlecht gepatcht, exponierte Dienste, geleakte Credentials, ist kein abstraktes Risiko, sondern eine messbar erhöhte Eintrittswahrscheinlichkeit. Genau hier setzt kontinuierliches Attack-Surface-Monitoring an, wie es RECON liefert.

Die neue Haftung: NIS2, DORA und die CER-Richtlinie

Der entscheidende Unterschied zu früheren Jahren ist nicht technisch, sondern rechtlich. Unter dem europäischen Regime ist das Management von Lieferanten-Sicherheit keine freiwillige Best Practice mehr, sondern eine gesetzliche Pflicht, deren Verletzung sanktioniert wird.

NIS2 (Richtlinie (EU) 2022/2555) verankert in Artikel 21 eine Pflicht zur Lieferketten-Sicherheit und legt die Verantwortung dafür ausdrücklich bei der Geschäftsleitung. Sie gilt für 18 kritische Sektoren. Verstösse werden bei wesentlichen Einrichtungen mit bis zu 10 Mio. Euro oder 2 % des weltweiten Jahresumsatzes geahndet, bei wichtigen Einrichtungen mit bis zu 7 Mio. Euro oder 1,4 %. Die Umsetzungsfrist war der 17. Oktober 2024; bis Anfang 2026 hatten rund 20 der 27 Mitgliedstaaten NIS2 ins nationale Recht überführt, und die EU-Kommission leitete am 7. Mai 2025 gegen 19 säumige Staaten Vertragsverletzungsverfahren ein.

DORA (Verordnung (EU) 2022/2554) ist seit dem 17. Januar 2025 anwendbar und adressiert rund 20 Typen von Finanzunternehmen. Sie verlangt ein kontinuierliches Management des IKT-Drittparteienrisikos, einschliesslich eines vertraglichen Rechts auf laufende Überwachung. Kritische IKT-Drittdienstleister unterstehen einem direkten EU-Aufsichtsregime und riskieren Zwangsgelder von bis zu 1 % ihres durchschnittlichen weltweiten Tagesumsatzes (für bis zu sechs Monate); Finanzunternehmen drohen Bussen bis zu 2 % des weltweiten Jahresumsatzes. Ergänzt wird das Bild durch die CER-Richtlinie (EU 2022/2557), die für 11 kritische Sektoren eine Risikobewertung inklusive Lieferanten-Abhängigkeit verlangt.

Und die Schweiz? revDSG, FINMA und die Meldepflicht

Die Schweiz steht ausserhalb von NIS2 und DORA, aber keineswegs ausserhalb der Pflicht. Drei Punkte sind für Schweizer Organisationen zentral. Erstens: Das revidierte Datenschutzgesetz (revDSG, in Kraft seit 1. September 2023) verlangt in Art. 24 die Meldung von Verletzungen der Datensicherheit an den EDÖB, so rasch als möglich. Da Ransomware fast immer mit Datenexfiltration einhergeht, greift diese Pflicht auch dann, wenn aus dem Backup wiederhergestellt wurde, der Fall Radix hat das anschaulich gezeigt.

Zweitens: Betreiber kritischer Infrastrukturen unterliegen seit dem 1. April 2025 einer 24-Stunden-Meldepflicht an das BACS. Deren Missachtung kann seit dem 1. Oktober 2025 mit Bussen bis CHF 100'000 sanktioniert werden. Drittens: Im Finanzsektor erwartet die FINMA (Rundschreiben zu operationellen Risiken und Cyber-Risiken) ein aktives Management von Auslagerungen und IKT-Drittparteien, faktisch ein DORA-naher Anspruch, auch ohne formale DORA-Geltung.

Für ein Schweizer Unternehmen mit EU-Kundschaft, EU-Tochtergesellschaften oder als Lieferant einer EU-regulierten Einrichtung gilt zudem: Die europäischen Pflichten reichen vertraglich bis in die Schweiz hinein. Wer einen NIS2- oder DORA-pflichtigen Kunden beliefert, wird dessen Sorgfaltspflichten als Vertragsklausel wiederfinden.

Vom Punkt-in-Zeit-Audit zur kontinuierlichen Überwachung

NIS2 und DORA konvergieren in einem Punkt, den auch der Report präzise benennt: Beide verlangen kontinuierliche Überwachung von Dritten statt einer Momentaufnahme. Ein jährlicher Lieferanten-Fragebogen ist genau an dem Tag korrekt, an dem er ausgefüllt wird, und veraltet danach. Cyber-Risiken bewegen sich schneller als Audit-Zyklen. Was eine Organisation nicht sieht, kann sie nicht steuern.

Häufige Fragen