Das Update kam vom Hersteller – wenn die Software-Lieferkette zum Einfallstor wird

Dienstagmorgen, 8:20 Uhr, in einer Steuerberatungskanzlei mit 25 Mitarbeitenden. Auf dem Rechner einer Sachbearbeiterin erscheint ein kleines Fenster: „Eine neue Version ist verfügbar. Jetzt aktualisieren?“ Sie klickt auf „Ja“. Das Update kommt über die eingebaute Update-Funktion, nicht aus einer dubiosen E-Mail.

Drei Wochen später meldet der IT-Dienstleister ungewöhnlichen Datenverkehr zu einem Server im Ausland. Die Spur führt zurück zu genau diesem Update.

Die Kanzlei hat alles getan, was man ihr jahrelang beigebracht hat: Software aktuell halten, keine fremden Anhänge öffnen. Und trotzdem ist jemand ins Netzwerk eingedrungen.

Was bei Notepad++ passiert ist

Anfang Februar 2026 machte der Entwickler des weitverbreiteten Texteditors Notepad++ öffentlich, dass Angreifer seit Juni 2025 Zugriff auf die Infrastruktur des Update-Prozesses hatten. Die Ursache lag nicht im Programmcode, sondern beim Hosting-Provider. Update-Anfragen ausgewählter Nutzer wurden auf manipulierte Update-Informationen umgeleitet, über die Schadsoftware nachgeladen wurde. Mehrere Sicherheitsforscher ordnen den Angriff einer staatlich gesteuerten Gruppe aus China zu.

Der Angriff war gezielt, die Zahl der Opfer nach bisherigem Stand gering. Die Lehre ist trotzdem groß: Ein halbes Jahr lang ließ sich ein vertrauenswürdiger Update-Kanal missbrauchen, ohne dass es jemand bemerkte.

Wie breit das Problem inzwischen ist, zeigt ein zweiter Fall. Am 4. August 2026 begann die als „ChainDrop“ bezeichnete Kampagne: Ein sich selbst verbreitender Schädling infizierte Programmbausteine im JavaScript-Paketverzeichnis npm. Microsoft bestätigte mehr als 400 betroffene Pakete. Solche Bausteine stecken in unzähligen Webshops, Portalen und Anwendungen, auch in denen, die Ihre Agentur oder Ihr Softwarehaus für Sie betreibt.

Der Mythos: „Wir entwickeln doch gar keine Software“

Diesen Satz höre ich in kleinen und mittleren Unternehmen oft, sobald das Stichwort „Lieferkette“ fällt. Die Annahme dahinter: Software-Lieferketten sind ein Thema für Softwarehäuser und Konzerne.

Was dabei oft vergessen wird: Jedes Unternehmen ist Abnehmer einer Lieferkette. Die Buchhaltungssoftware, der PDF-Reader, das Fernwartungstool des IT-Dienstleisters, die Webseite, die Firmware der Firewall. Wer eines dieser Produkte einsetzt, vertraut nicht nur dem Hersteller, sondern auch allen, von denen der Hersteller seinerseits bezieht.

Wie schmerzhaft das werden kann, hat der Kaseya-Angriff im Juli 2021 gezeigt. Über eine Fernwartungssoftware für IT-Dienstleister erreichte die Ransomware-Gruppe REvil rund 1.500 Unternehmen, die selbst nie direkt angegriffen wurden.

Typische Fehler

• Kein Überblick: Niemand weiß genau, welche Programme auf welchen Rechnern laufen und wer sie aktualisiert.
• Wildwuchs bei den Bezugsquellen: Die Software kommt von Downloadportalen, über die erste Anzeige in der Suchmaschine oder per Selbst-Updater auf jedem einzelnen Rechner.
• Administratorrechte für alle: Jeder kann installieren, was er möchte. Damit kann es auch jede Schadsoftware, die sich als Update tarnt.
• Software-Leichen: Programme, die niemand mehr nutzt, bleiben installiert und bieten Angriffsfläche.
• Fernwartung im Dauerbetrieb: Der Zugang des Dienstleisters steht rund um die Uhr offen, ob er gebraucht wird oder nicht.

Die gute Nachricht: Updates bleiben richtig

Bevor ein falscher Schluss entsteht: Die Antwort auf vergiftete Updates ist nicht, keine Updates mehr einzuspielen. Wer das tut, landet bei dem Problem, das ich in Ausgabe 26/18 beschrieben habe: Der Patch lag bereit und wurde nicht installiert. Ungepatchte Lücken sind für kleine und mittlere Unternehmen weiterhin das größere Risiko.

Es geht also nicht um weniger Vertrauen, sondern um organisiertes Vertrauen.

So machen Sie Ihre Lieferkette beherrschbar

• Inventar erstellen: Setzen Sie sich mit Ihrem IT-Dienstleister zusammen und erstellen Sie eine einfache Tabelle: Programm, Version, Hersteller, auf welchen Rechnern, wer aktualisiert. Unter Windows zeigt der Befehl „winget list“ eine erste Übersicht. Wer eine zentrale Geräteverwaltung nutzt, bekommt die Liste per Knopfdruck.
• Eine Bezugsquelle pro Programm: Legen Sie für jede Software fest, woher sie kommt, idealerweise aus der zentralen Softwareverteilung des Dienstleisters. Wo das nicht geht, hinterlegen Sie den direkten Link zur Herstellerseite im Intranet. Niemand sollte Software über die Suchmaschine finden müssen.
• Erst testen, dann verteilen: Bestimmen Sie zwei, drei Pilotrechner, auf denen neue Versionen ein paar Tage laufen, bevor der Rest folgt. Updates für aktiv ausgenutzte Lücken gehen sofort raus.
• Adminrechte einsammeln: Im Alltag arbeitet niemand mit Administratorrechten. Wer etwas installieren muss, fragt den Dienstleister. Das kostet am Anfang zwar etwas Geduld, spart später aber viel Ärger.
• Einmal im Jahr ausmisten: Was niemand mehr braucht, fliegt raus. Jedes entfernte Programm ist ein Glied weniger in der Kette.
• Fernwartung nur auf Abruf: Der Zugang des Dienstleisters wird für den konkreten Einsatz freigeschaltet und danach wieder geschlossen.
• Beim Einkauf fragen: Wie lange gibt es Sicherheitsupdates? Wie erfahre ich von einem Vorfall? Welche Fremdkomponenten stecken drin (vgl. meinen Artikel zur Komponentenliste in Ausgabe 26/14)? Die Antworten verraten viel über die Sicherheitskultur eines Anbieters.

Für den Ernstfall: der Zettel für die Schublade

Wenn ein Hersteller meldet, dass sein Update-Kanal kompromittiert war, entscheidet die erste Stunde. Halten Sie die Schritte vorher fest:

1. Anhand des Inventars klären, auf welchen Rechnern das Programm läuft.
2. Diese Rechner vom Netz trennen und den IT-Dienstleister informieren.
3. Passwörter, die auf diesen Rechnern genutzt wurden, von einem sauberen Gerät aus ändern.
4. Den Anweisungen des Herstellers folgen und die bereinigte Version nur von der offiziellen Quelle installieren.

Ohne Inventar beginnt an dieser Stelle die Suche im Blindflug.

Nicht für den Prüfer, sondern für den eigenen Betrieb

Natürlich gibt es auch Vorschriften. Der Cyber Resilience Act der EU verpflichtet Hersteller seit dem 11. September 2026, aktiv ausgenutzte Schwachstellen zu melden, und das NIS2-Umsetzungsgesetz verlangt von den erfassten Unternehmen, die Sicherheit ihrer Lieferkette zu berücksichtigen.

Der bessere Grund zu handeln liegt aber im eigenen Haus. Wenn die Systeme stehen, steht Ihr Betrieb, nicht der des Herstellers. Die Mandantendaten, die abfließen, sind Ihre. Und immer mehr große Kunden schicken ihren Zulieferern Fragebögen zur IT-Sicherheit. Wer dann ein Inventar, klare Regeln und ein Notfallkonzept vorweisen kann, punktet, ganz ohne Paragrafen.

Checkliste: Ihre Software-Lieferkette

1. Gibt es ein aktuelles Verzeichnis aller installierten Programme?
2. Ist für jedes Programm festgelegt, woher es bezogen wird?
3. Gibt es Pilotrechner für neue Versionen?
4. Arbeiten Mitarbeitende im Alltag ohne Administratorrechte?
5. Wann wurde zuletzt nicht mehr benötigte Software entfernt?
6. Ist die Fernwartung nur bei Bedarf geöffnet?
7. Liegen die Schritte für einen kompromittierten Update-Kanal schriftlich vor?

Fazit

Sicherheit endet nicht an der eigenen Firewall. Sie reicht so weit wie die Kette der Hersteller, Dienstleister und Entwickler, denen Sie jeden Tag vertrauen. Dieses Vertrauen lässt sich nicht abschaffen. Aber es lässt sich organisieren, der Anfang ist an einem Nachmittag geschafft. Dann fängt die Fleißarbeit an.

Die Frage ist nicht mehr, ob Ihre Lieferkette angegriffen wird, sondern ob Sie es rechtzeitig bemerken.