Unsichere IT-Lieferketten: Das bedeuten sie für den Datenschutz

Gestörte Lieferketten zeigen Abhängigkeiten

Jedes Unternehmen und jede Behörde ist Teil einer Lieferkette. Wer nicht selbst produziert und fertigt, ist mindestens am Ende der Lieferkette, als Anwender und Verbraucher.

Kommt es zu Störungen oder Ausfällen, merkt dies nicht nur die direkt betroffene Stelle, sondern jeder Teil der Lieferkette. Einem Automobilbauer fehlt dann ein Teil für die Fertigstellung, dem Vorlieferanten fehlt der ausgefallene Kunde, dem Verbraucher und Anwender fehlt das Produkt oder die Dienstleistung.

Diese Abhängigkeiten und Folgewirkungen machen Lieferketten als Angriffsziele so interessant. Entsprechend häufig zielen Angreifer auf Lieferketten oder nutzen sie für Attacken aus (Supply Chain Attacks). IT-Sicherheitsbehörden wie die Agentur der Europäischen Union für Cybersicherheit (ENISA) warnen ausdrücklich vor solchen Angriffen.

IT-Lieferketten führen zu den Daten

In der IT umfasst eine Lieferkette Hardware und Software sowie Cloud- oder lokale Speicher- und Verteilungsmechanismen. Die Hardware und die Software selbst bestehen aus Komponenten und Modulen. Sie sind ebenfalls Teil einer eigenen, angreifbaren Lieferkette.

Für den Datenschutz ist es wichtig, dass die IT-Lieferketten mit Daten „arbeiten“ und zu Daten hinführen, auch zu personenbezogenen Daten. Denn bei der Entwicklung und Erstellung von IT werden Daten verarbeitet, mit den Endprodukten, also den IT-Produkten und -Services, natürlich auch. Deshalb sind Störungen, Ausfälle, Angriffe und Abhängigkeiten bei IT-Lieferketten immer auch ein T…