Der Einbruch findet beim Anderen statt, die Folgen landen bei Ihnen

Die meisten Sicherheitsvorfälle stellt man sich als Angriff auf das eigene Haus vor: ein Klick, eine Infektion, ein verschlüsselter Rechner. Ein zweiter Weg bleibt dabei meist unbeachtet — er führt über Dritte: über einen Dienstleister, einen Lieferanten, ein Softwareprodukt, einen Cloud-Anbieter. Fachleute sprechen von einem Lieferkettenangriff (englisch supply chain attack):

Angegriffen wird nicht das eigentliche Ziel, sondern jemand, dem das Ziel vertraut.

Wie viel dabei in fremde Hände gerät, zeigt die Bitkom-Erhebung 2025 — sie misst Datendiebstahl insgesamt, nicht nur den über Dritte: Bei 66 Prozent der deutschen Unternehmen wurden Geschäftsdaten gestohlen oder es wird vermutet. Entwendet wurden vor allem Kommunikationsdaten (69 Prozent) und Kundendaten (57 Prozent), bei 27 Prozent der Betroffenen auch Zugangsdaten und Passwörter. Diese Datensätze gehören selten nur einem Unternehmen: In Kommunikations- und Kundendaten stecken die Vorgänge, Namen und Konditionen der Geschäftspartner. Das eigene Haus taucht deshalb in der Statistik eines anderen auf.

Zwei Seiten derselben Medaille

Dieser Weg hat zwei Spielarten, und beide stehen in dieser Lektion. Zuerst die missbrauchte Kommunikation — eine echte Mail aus einem gekaperten Postfach. Danach die Software: Dort kommt der Schadcode als korrekt signierte Datei vom offiziellen Server des Herstellers. Die erste lässt sich stoppen. Die zweite nicht.

Sie erfahren davon auf drei Wegen — keiner davon ist Ihr eigener Rechner

Das Tückische an dieser Lage: Die eigenen Systeme zeigen nichts. Kein Warnhinweis, kein langsamer Rechner, keine verschlüsselte Datei. Alles funktioniert.

1. Der Geschäftspartner meldet sich

Oft kommt die Information über das Datenleck per E-Mail vom Geschäftspartner selbst. Das ist keine Höflichkeit, sondern Pflicht: Wenn ein Datenleck ein hohes Risiko für die Betroffenen bedeutet, müssen diese nach Artikel 34 der DSGVO informiert werden — verständlich, mit Angaben dazu, welche Daten betroffen sind, was daraus entstehen kann und was bereits unternommen wurde

Mal schreibt Ihnen der Anbieter direkt, mal kommt die Nachricht aus dem eigenen Haus. Für Sie macht das keinen Unterschied — was zu tun ist, steht weiter unten und gilt in beiden Fällen.

2. Es steht in der Presse

Große Vorfälle stehen in den Nachrichten, bevor die Mail des Anbieters ankommt.

3. Sie merken es an den Folgen

Der dritte Weg ist der unangenehmste: Sie merken es erst, wenn der Schaden schon da ist. Der Lieferant ruft an und fragt, wo die Zahlung bleibt. Oder ein Mahnschreiben kommt ins Haus.

Ihre Phishing-Regeln
greifen hier nicht

Das Mitlesen von Mails erledigen Angreifer nicht in Handarbeit. Die Schadsoftware Emotet hat das Prinzip bekannt gemacht: Sie liest Kontaktbeziehungen und E-Mail-Inhalte automatisiert aus den Postfächern der Opfer aus. Mit diesen Informationen weiß der Angreifer, wer mit wem worüber verhandelt hat, in welchem Ton geschrieben wurde und unter welcher Vorgangsnummer die Kommunikation läuft.

Deshalb braucht es auch keine zweite Mail, die auffallen könnte. Der Angreifer wartet ab und klinkt sich in den laufenden Schriftwechsel ein, dort, wo es für ihn interessant wird — als Fortsetzung eines Gesprächs, das der Empfänger selbst begonnen hat.

Was Sie über Phishing gelernt haben, trägt hier also nicht:

keine Rechtschreibfehler, keine seltsame Anrede, kein falscher Absender. Nicht weil Sie es falsch gelernt hätten — sondern weil dieser Angriff eine Stufe darüber ansetzt.

Alles hängt an der geänderten Bankverbindung

Ob Mail und Rechnung echt sind, lässt sich am Bildschirm nicht entscheiden — bei einem gekaperten Postfach stimmen alle Merkmale, die man prüfen könnte. Es gibt aber eine Stelle, an der Petra K. den Angriff stoppen kann - und an der sie nachfragen muss:

Ist die neue Kontoverbindung richtig? Stimmt sie?

Und diese Kontrolle darf nicht per Mail erfolgen, sondern telefonisch unter der schon bereits bekannten Rufnummer. Nicht unter der, die in der Mail oder auf der Rechnung steht. Diese können ebenfalls gefälscht sein.

Eine geänderte Bankverbindung muss immer telefonisch bestätigt werden!

unter der Nummer, die Sie schon vorher kannten.

Das klingt nach einer Selbstverständlichkeit, ist aber keine. Wer schon einmal in einem Betrieb die Bankverbindung gewechselt hat, kennt die Erfahrung: Es kommen kaum Rückfragen. Kunden prüfen neue Lieferanten sorgfältig — bei der Firma, mit der sie seit Jahren arbeiten, hakt niemand nach. Genau in diese Lücke zielt der Angriff.

Deshalb sollte der Rückruf eine feste Regel im Ablauf sein.

Sie gilt, sobald die Routine durchbrochen wird — eine geänderte Kontoverbindung, ein abweichender Absendername, eine Kleinigkeit, die beim letzten Mal anders war. Und sie gilt genauso, wenn sich nichts davon benennen lässt und nur das Gefühl bleibt, dass etwas nicht stimmt. Dieses Gefühl entsteht selten grundlos: Es kommt daher, dass Sie den Vorgang kennen. Es ist ein ebenso guter Grund anzurufen wie jeder sichtbare Unterschied.

Was tun ist— und was nicht

Wenn Sie erfahren, dass ein Dienst betroffen ist, den Sie beruflich nutzen, gilt eine kurze Reihenfolge:

Fall 1: Eine Nachricht will, dass Sie etwas ändern

Eine geänderte Bankverbindung, eine neue Zahlungsadresse, ein abweichender Ansprechpartner — immer dann gilt die Regel von oben: über den zweiten Kanal bestätigen, telefonisch, unter der Nummer, die Sie vorher schon hatten. Vor der Zahlung, nicht danach.

Und wenn Sie den Verdacht haben, dass etwas nicht stimmt: intern melden, auch ohne Beweis. Die Kollegin am Nachbartisch bekommt womöglich gerade dieselbe Mail.

Fall 2: Ein Dienst, den Sie nutzen, wurde kompromittiert

Hier geht es nicht um eine Zahlung, sondern um Ihre Zugangsdaten. Die Reihenfolge:

Passwort ändern — für diesen Dienst, sofort.Überall dort ändern, wo dasselbe Passwort noch liegt. Das ist der eigentliche Grund, warum ein fremdes Leck gefährlich wird: Ein Passwort, das nur an einer Stelle gilt, ist nach dem Leck wertlos. Eines, das an fünf Stellen gilt, öffnet vier weitere Türen.
Intern melden, dass Sie den Dienst nutzen. Die IT muss wissen, welche Systeme im Haus mit dem betroffenen Anbieter verbunden sind — das können Sie nicht überblicken, aber Sie wissen, dass Sie den Dienst nutzen.
Auf Nachrichten achten, die sich auf echte Vorgänge beziehen. Denn nach Fall 2 folgt oft Fall 1.

Jede Minute zählt

Haben Sie schon bezahlt? Dann sofort die eigene Bank informieren, damit sie die Überweisung zurückzuholen versucht, und parallel im Haus melden. Ein Rückholversuch hat nur Aussicht auf Erfolg, solange das Geld das Empfängerkonto noch nicht verlassen hat — und Empfängerkonten werden zügig geleert. Bei einer Echtzeitüberweisung kann das binnen Minuten geschehen.

Das sind nicht ihre Aufgaben

Nicht Ihre Aufgabe ist alles Übrige: zu beurteilen, wie schwer der Vorfall wiegt, den Anbieter zu kontaktieren, eigene Recherchen anzustellen oder zu entscheiden, ob eine Meldung an die Aufsichtsbehörde nötig ist. Das liegt bei der IT und den Verantwortlichen im Haus. Wer haftet, wenn das Geld weg ist, ebenfalls — diese Frage klären Geschäftsführung und Anwälte, nicht die Buchhaltung.

Ein Betrieb kann seine eigenen Systeme vorbildlich absichern und trotzdem über einen Vertragspartner getroffen werden. Das ist keine beruhigende Nachricht, aber eine nützliche: Sie verschiebt die Aufmerksamkeit von der Frage „Ist bei uns etwas passiert?" zu der Frage, die im Alltag mehr trägt:

Passt das, was ich hier gerade lese,
zu dem, was ich weiß?

Petra K. hat nichts übersehen.
Es gab nichts zu übersehen.
Was gefehlt hat, war ein Anruf, der drei Minuten gedauert hätte.

Die zweite Spielart trifft nicht die Mail, sondern die Software

Eine Signatur beweist die Herkunft, nicht die Harmlosigkeit

Eine digitale Signatur bestätigt, dass eine Datei tatsächlich von dem angegebenen Hersteller stammt und seither nicht verändert wurde. Vereinfacht gesagt: Sie ist ein unversehrtes Siegel auf der Verpackung — eine Aussage über den Absender, keine über den Inhalt. Wurde der Schadcode eingebaut, bevor der Hersteller unterschrieb, unterschreibt er ihn ahnungslos mit. Die Prüfung meldet dann völlig korrekt: alles in Ordnung.

So lief es 2017 beim Reinigungsprogramm CCleaner. Angreifer waren in die Entwicklungsumgebung des Herstellers eingedrungen; die fertige Datei trug eine gültige Signatur und wurde einen Monat lang von den offiziellen Servern verteilt. Aufgefallen ist es nicht dem Hersteller, sondern Sicherheitsforschern, die bei einem Test einer neuen Erkennungstechnik darüber stolperten. Und es ist keine Geschichte von gestern: Im März 2026 warnte das Bundesamt für Sicherheit in der Informationstechnik vor einem laufenden Angriff dieser Art — dem BSI seien „eine Reihe an Kompromittierungen" gemeldet worden, in Deutschland

Diesen Angriff können Sie nicht erkennen

Das ist die unbequeme Aussage dieses Abschnitts, und sie steht bewusst so deutlich hier. An Marcos Bildschirm gab es nichts zu bemerken. Keine Prüfung, die er hätte durchführen können, hätte den Unterschied gezeigt. Bei der geänderten Bankverbindung gab es einen Anruf, der den Angriff stoppt. Hier gibt es ihn nicht.

Was bleibt, liegt außerhalb dieses Moments, und es sind zwei Dinge. Software und Updates nur über die freigegebenen Wege — die IT, das Software-Center, die benannte Quelle. Nicht weil Ihre eigene Recherche schlechter wäre, sondern weil im Ernstfall jemand wissen muss, wer was installiert hat; ohne diese Liste dauert die Eingrenzung Tage. Und: auffälliges Verhalten nach einer Installation sofort melden, auch wenn Sie sich nicht sicher sind. Was dann zu tun ist, steht in Lektion 1.4.1 — nicht ausschalten, nichts löschen, melden.

Dass Updates im Haus manchmal erst nach ein paar Tagen ankommen und Software zentral verteilt wird, statt dass jeder selbst herunterlädt, hat denselben Grund. Es kostet Bequemlichkeit. Es ist der Preis dafür, dass ein einzelner vergifteter Download nicht den ganzen Betrieb kostet.

Bei Petra K. fehlte ein Anruf. Bei Marco S. fehlte nichts — außer der Möglichkeit, es zu wissen. Das ist unbequem, und es entlastet zugleich:

Wenn Sie den Angriff nicht erkennen können, besteht Ihr Beitrag darin, ihn schnell zu melden.

Zum Weiterlesen:
Weitere dokumentierte Fälle

Nicht Pflichtstoff — für alle, die genauer wissen wollen, warum die Verfahren sich so unterscheiden.

Warum Angreifer Ihre Geschäftspartner mitbenutzen

Der Angriff, der woanders begann