Wettbewerbsvorteil Lieferantenmanagement

Vor einigen Monaten saß ich in einer dieser typischen Software-Roadshows in einem Systemhaus und stellte die Frage, wo die Software Bill of Materials (SBOM)¹ für das vorgestellte Softwareprodukt zu finden sei. Schließlich handelte es sich um ein Sammelsurium verschiedener Open-Source-Technologien, die der Hersteller zu einem proprietären Produkt verwoben hat. Die Frage ist berechtigt, da diese Software des von mir nicht genannten Herstellers gezielt für kritische Infrastruktur zum Management von vLANs und Switchen angeboten wird.²

Auf Fragen wie diese gibt es ein paar gute und viele schlechte Antwortmöglichkeiten. Eine gute Antwort wäre, dass die SBOM nachgereicht wird. Eine eher schlechte Antwort: “Sowas haben wir nicht”. Ich erhielt als Antwort: “Äh, was ist eine SBOM?” Der Blick in die Runde offenbarte, das scheinen andere auch nicht zu wissen.

Vor einigen Jahren habe ich bereits Einblick gegeben, wie Lieferanten mit Fernzugriff sicher an die Hand zu nehmen sind.³ Mit dem heutigen Blogbeitrag möchte ich das Thema organisatorisch näher beleuchten und Einblick in die Praxis geben. Viel Spaß beim Lesen! Wie immer gilt: Your mileage may vary, kein Anspruch auf Vollständigkeit oder Allgemeingültigkeit.

Wie Lieferketten falsch bewertet werden

Ich behaupte mal, bei den meisten mittelständischen Unternehmen werden Risiken der Informationssicherheit in der Lieferkette falsch bewertet. Geschäftsführer reagieren hier oft dünnhäutig. Gerade dann, wenn autoritäre Persönlichkeiten sich nicht mit Richtlinien oder Maßnahmen “ins Geschäft” reinreden lassen wollen. Es ist aber auch wahr, dass der Begriff “Lieferkette” in der Vergangenheit politisiert und von Übereifrigen regelrecht kaputt administriert wurde.

Starker Aufschlag Tomas, jetzt musst Du auch liefern: Hier eine Auflistung der häufigsten Fehler aus der Praxis:

1. Fehler: Alle Lieferanten sind zu bewerten

Nein, es sind nur relevante Lieferanten zu identifizieren und risikobasiert zu bewerten.⁴ Einige sind erstaunt, dass noch nicht einmal diese typischen Fragebögen zur Selbstauskunft notwendig sind. Keine mir bekannte Norm schreibt das vor. Zur risikobasierten Bewertung reicht auch die eigene Beobachtung, ein Interview oder die gesammelten Erfahrungswerte, sofern alles nachvollziehbar dokumentiert ist.

Wenn auf der Website eines Softwarelieferanten zum Beispiel Downloads ohne Prüfhashes und Code-Signing stehen, eine SECURITY.TXT⁵ fehlt und auch sonst keine Möglichkeit zur verschlüsselten Übermittlung von vertraulichen Dingen per S/MIME oder PGP angeboten wird, dann sagt das bereits viel aus. Diese Indizien zur Informationssicherheit sind sogar automatisiert abrufbar.

Erst wenn das alles nicht ausreichen sollte, können gezielt weitere Evidenzen angefordert werden.⁶

2. Fehler: Es muss ein Lieferanten-Verzeichnis geführt werden

Eine weitere Fehlannahme. Warum parallel zu einer gelebten Warenwirtschaft ein neues Datensilo aufbauen, das nach kurzer Zeit veraltet und mühsam gepflegt werden muss? Ein zusätzliches Datenbank-Feld reicht oftmals aus, zusammen mit einem geeigneten Prozess, der den Lebenszyklus beschreibt. Und schon kann man damit arbeiten und hat ganz viel administrativen Overhead eingespart.⁷

3. Fehler: Jährliches Review ist kein kontinuierliches Management

Einmal im Jahr kommt die Liste mit allen relevanten Lieferanten auf den Tisch zum Review. Meistens wird nur geprüft, ob der Lieferant noch aktiv ist, das Datum geändert und dann ist wieder für 12 Monate Ruhe. Blöd nur, wenn der Lieferant vor drei Wochen aufgekauft wurde, seine Cloud-Infrastruktur wechselte oder einen besonders dummen Sicherheitsvorfall hatte. Kontinuierlich bedeutet nicht jährlich und risikobasiert bedeutet auch dann hinzusehen, wenn sich etwas am Risiko beim Lieferanten ändert.⁸

4. Fehler: Die Großen sind automatisch sicher

Bei kleinen Anbietern wird tendenziell genauer hingeschaut, wohingegen die Großen durchgereicht werden. Je mehr zentrale Dienste bei einem einzigen großen Anbieter liegen, desto dringender stellt sich aber die Frage nach dem Risiko. Bekanntheit und ein großer Name sind keine Risikobehandlung und es sind manchmal die Kleinen, die ihren Technik-Stack im Griff und folglich in der Informationssicherheit besser aufgestellt sind als die vermeintlich Großen, wo die linke Hand nicht weiß, was die rechte macht.⁹

5. Fehler: ISO 27001: Der Lieferant ist sicher

Diesen Satz höre ich öfters, ohne dass dabei der Scope des Zertifikats bekannt ist. Dienstleister und Softwarehersteller schmücken sich mitunter mit den Zertifikaten eines Rechenzentrums, in dem die Software gehostet wird. Oder es wurde nur die Hauptverwaltung zertifiziert, während die Entwicklungsabteilung oder der relevante Geschäftsbereich außerhalb des Scopes geblieben ist. Zertifikate können eine Risikobewertung erleichtern, sie ersetzen diese nicht. Einem Zertifikat sieht man nicht an, ob Informationssicherheit auch gelebt wird. Wenn Lieferanten ein halbes Jahr vor einem Reaudit in hektische Betriebssamkeit verfallen, ist das genau ein Indiz dafür.¹⁰

6. Fehler: Alle Lieferanten müssen gleich bewertet werden

Und so landet der gleiche Fragebogen sowohl beim Betreiber eines Rechenzentrums als auch beim Solo-Selbstständigen, der im Homeoffice die Website anpasst. Während der eine Fragen zum Secure Development Lifecycle mit “nicht zutreffend” beantwortet, soll der andere den Zutritt zu seinen Arbeitsräumen erklären. Am Ende des Bewertungsbogens steht irgendein Ergebnis in Prozent, Punkten oder als Ampel und niemand ist dadurch schlauer.

Die Kunst ist es, die wenigen “richtigen” Fragen zur verwendeten Technologie und zu den Prozessen zu stellen. Und manchmal reicht es auch, nur zu beobachten. Mir fallen zum Beispiel sofort jene Unternehmen positiv auf, bei denen ich beim Einlass ein Besucherbadge erhalte und mitunter eine NDA unterschreiben darf. Das bietet mehr Evidenz als irgendwelche Richtlinien, die nicht gelebt werden.¹¹

Fazit

Lieferantenmanagement und Lieferketten sind ein Themenbereich, in dem viel Potenzial auf der Strecke liegen bleibt. Wenn jemand schon viel Geld in seine Zertifizierung steckt und Lieferantenmanagement betreibt, warum nimmt er die Vorteile nicht mit? Stattdessen wird “ritualisierte Compliance” betrieben.

Wer als Softwarelieferant nicht weiß, was eine SBOM ist, hat sich genauso disqualifiziert wie ein KI-Anbieter, der nicht erklären kann, wie er Bias in seinem Modell erkennt und mitigiert.

Richtig betrieben wird Lieferantenmanagement zum Wettbewerbsvorteil, weil man Anbieter, deren Technik und Prozesse besser versteht und bewerten kann. Die eigenen Mitarbeiter werden entlastet und Entscheidungen können schneller und fundierter getroffen werden. Man beginnt aktiv zu agieren, statt hilflos zu reagieren oder, noch schlimmer, sich kommunikativ in die Opferrolle zu begeben: “Wir haben uns rechtzeitig vom Anbieter X getrennt” klingt deutlich anders als “Wir wurden Opfer einer wirklich sehr gemeinen Ransomware”.

Die gute Nachricht: Dafür braucht es häufig nicht mehr, sondern oftmals sogar weniger administrativen Overhead. Weniger fragen, mehr beobachten.

In diesem Sinne,
Euer Tomas Jakobs