Datenschutz in der digitalen Lieferkette klingt nach einem abstrakten Compliance-Thema, bis er ganz konkret wird: 

✔ Firewall auf dem neuesten Stand.
✔ Datenschutzkonzept aktuell.
✔ Mitarbeitende geschult im Erkennen von Phishing-Mails.

Und trotzdem finden sich eines Morgens Ihre Kundendaten im Netz, weil der Cloud-Anbieter Ihres Buchhaltungssystems gehackt wurde. Erfahren haben Sie es nicht durch eine interne Meldung, sondern aus den Nachrichten.

Kein Einzelfall, sondern gelebte Realität für immer mehr Unternehmen und genau die Art von Fall, über die wir auch in unserem Podcast DSGVOMG – MeinDatenschutztheater regelmäßig berichten.

Datenschutz in der digitalen Lieferkette: Wenn der Zulieferer zum Sicherheitsrisiko wird

Die Zahlen sprechen eine klare Sprache. Der aktuelle Verizon Data Breach Investigations Report 2026 zeigt: Datenschutzverletzungen mit Beteiligung von Dritten sind im Jahresvergleich um 60 Prozent gestiegen. Sie machen mittlerweile 48 Prozent aller bestätigten Datenschutzvorfälle aus. Fast jeder zweite Vorfall… nicht wegen der eigenen Nachlässigkeit, sondern wegen eines Partners.

Auch der ENISA-Bericht (Agentur der EU für Cybersicherheit)  „Good Practices for Supply Chain Cybersecurity“ zeigt eine ähnliche Lücke zwischen Problembewusstsein und tatsächlicher Umsetzung. In einer EU-weiten Befragung von über 1.000 Organisationen gaben zwar 86 Prozent an, eine Sicherheitsrichtlinie für ihre Lieferkette zu haben, doch mehr als drei Viertel verfügen über keine eigens zuständige Rolle dafür, und nur knapp die Hälfte hat dafür überhaupt ein eigenes Budget eingeplant.

Besonders bemerkenswert: Die TÜV Cybersecurity Studie 2025 zeigt, dass hier vor allem die Risikowahrnehmung hinkt. Nur gut ein Fünftel der befragten (deutschen) Unternehmen schätzt das Risiko eines Cyberangriffs über Zulieferer oder Kunden als hoch ein, mehr als drei Viertel halten es für gering. Dabei hat bereits jedes zehnte Unternehmen einen solchen Angriff tatsächlich erlebt. Das Risiko wird also eher unterschätzt als aktiv gemanagt.

Wo Sie tätig sind, entscheidet, welche Regeln gelten

Datenschutz in der Lieferkette macht an keiner Grenze halt. Ob Ihr Unternehmen in Wien, München oder gleich in mehreren Ländern tätig ist, das Grundproblem bleibt dasselbe: Je mehr externe Dienstleister im Spiel sind, desto größer die Angriffsfläche.

Trotzdem lohnt sich ein genauerer Blick, denn die einzelnen Rechtsrahmen unterscheiden sich in Details und für manche Branchen kommt sogar eine zusätzliche Ebene obendrauf:

• In Österreich setzt das NISG 2026 die europäische NIS-2-Richtlinie um und tritt am 1. Oktober 2026 in Kraft. Betroffene Unternehmen müssen auch die Sicherheit ihrer Lieferkette gewährleisten – Dienstleister und Zulieferer werden dafür vertraglich zu Risikomanagementmaßnahmen verpflichtet. Wie hoch die Strafe im Ernstfall ausfällt, hängt von der Größe des Unternehmens und der Kritikalität des jeweiligen Sektors ab: Bei Verstößen können Strafen im Millionenbereich anfallen und das nicht nur bei umsatzstarken Konzernen.
  
• In Deutschland gilt Ähnliches: Das BSI-Gesetz verpflichtet die betroffenen Unternehmen – ebenfalls nach Größe und Branche gestaffelt – im Rahmen von NIS-2 dazu, die Sicherheit ihrer Lieferkette zu gewährleisten, wie das BSI betont. Wer das versäumt, darf mit bestimmten Anbietern womöglich gar nicht mehr zusammenarbeiten, ohne selbst gegen das Gesetz zu verstoßen und riskiert laut § 65 BSIG hohe Bußgelder wie in Österreich.
• Für den Finanzsektor kommt EU-weit noch eine dritte Ebene dazu: DORA (Digital Operational Resilience Act) macht das Management von IKT-Drittanbieter-Risiken für Banken, Versicherungen und andere Finanzdienstleister zur ausdrücklichen Pflicht – inklusive eines Registers aller IKT-Dienstleister und verbindlicher Mindestinhalte in den entsprechenden Verträgen. Wer im regulierten Finanzsektor tätig ist, kommt an diesem Thema also gleich doppelt nicht vorbei.

Für Unternehmen mit Standorten oder Geschäftsbeziehungen in mehreren Ländern heißt das: Es reicht nicht, eine Rechtsordnung im Blick zu haben. Gerade wer international tätig ist, braucht einen Überblick über mehrere Regelwerke gleichzeitig und die Fähigkeit, daraus eine gemeinsame, praxistaugliche Linie zu machen.

Warum „die machen das schon“ keine Rechtsgrundlage ist

Die meisten digitalen Lieferketten bestehen aus einem ganzen Geflecht: Cloud-Anbieter, Plattformen, Subunternehmer, deren Subunternehmer. Wer da noch genau weiß, wo die eigenen Daten tatsächlich landen, darf sich gratulieren, die meisten wissen es nicht.

Das ist das strukturelle Kernproblem: Qualifikation, Zuverlässigkeit und Sicherheitsniveau des Personals bei Dienstleistern entziehen sich in der Regel der direkten Kontrolle des Auftraggebers. Und genau das macht „Vertrauen“ zu einer riskanten Datenschutzstrategie. Gesetzlich sind Sie dafür verantwortlich, ob sich Ihr Zulieferer an Datenschutz- und Sicherheitsstandards hält, nicht nur moralisch, sondern auch bei einer Prüfung durch die Behörde.

Fünf Schritte zu mehr Kontrolle

Wie lässt sich Datenschutz in der Lieferkette überhaupt in den Griff bekommen? Das deutsche BSI hat dazu einen praxisnahen Rahmen entwickelt:

Das Cyber-Supply-Chain-Risk-Management, kurz C-SCRM.

Der Ansatz lässt sich auf fünf Kernaufgaben herunterbrechen:

1. Internes Fachwissen bündeln, statt Verantwortung im Unternehmen zu verstreuen
2. Einheitliche Standards für alle Lieferantenbeziehungen schaffen
3. Den Überblick über die eigenen Systeme und Assets behalten
4. Die tatsächlichen Abläufe und Abhängigkeiten in der Lieferkette verstehen
5. Getroffene Maßnahmen regelmäßig evaluieren und nachschärfen

So abstrakt das klingt: In der Praxis heißt das vor allem, dass Sie bei Ihren Zulieferern nicht nur Sicherheitsmaßnahmen vertraglich einfordern, sondern deren Einhaltung auch tatsächlich nachweisen lassen können müssen. Als organisatorisches Fundament dafür empfiehlt sich der Aufbau eines Informationssicherheits-Managementsystems (ISMS), etwa nach ISO 27001 oder dem BSI IT-Grundschutz.

Und genau hier kommen die guten alten TOMs ins Spiel: die technischen und organisatorischen Maßnahmen, die die DSGVO ohnehin von jedem Verantwortlichen und jedem Auftragsverarbeiter verlangt. Bei der Lieferkette reicht es aber nicht, nur die eigenen TOMs sauber zu dokumentieren. Sie müssen auch nachvollziehen können, welche TOMs Ihre Dienstleister tatsächlich umsetzen und nicht nur, welche im Vertrag stehen. Ein Blick ins Vertragswerk allein genügt da erfahrungsgemäß selten.

Es braucht mehr als eine Firewall

Genau hier zeigt sich, warum Datenschutz in der Lieferkette selten ein reines IT-Thema ist. Es ist ein Zusammenspiel aus Recht, Organisation und Technik, genau in diesem Zusammenspiel liegt unsere tägliche Arbeit bei MeineBerater.

Ein paar Beispiele, wo das konkret ansetzt:

• Auftragsverarbeiter- und Lieferantenverträge: Sicherheitsanforderungen gehören nicht ins Kleingedruckte, sondern klar und prüfbar in den Vertrag, inklusive Nachweispflichten.
• Datenschutz-Folgenabschätzungen (DSFA): Wenn ein neuer Dienstleister mit besonders heiklen Daten arbeitet, muss vorab klar sein, welches Risiko tatsächlich entsteht.
• Business Continuity Management: Was passiert, wenn genau der eine Zulieferer ausfällt, auf den Ihr Betrieb angewiesen ist? Ohne Notfallplan wird aus einem IT-Problem schnell ein Geschäftsrisiko.
• Externer CISO / CISO-as-a-Service: Gerade kleinere und mittlere Unternehmen haben selten eine eigene Sicherheitsleitung, die Verantwortung für die Lieferkette bleibt dann oft liegen, weil niemand offiziell zuständig ist.
• Awareness-Trainings: Die beste Vertragsklausel nützt wenig, wenn Mitarbeitende nicht wissen, worauf sie bei neuen Dienstleistern achten müssen.
• Risikomanagement als Gesamtblick: Lieferketten-Risiko ist am Ende ein Teil des unternehmensweiten Risikomanagements, wer beides getrennt betrachtet, übersieht leicht Wechselwirkungen.
• ISMS-Aufbau nach ISO 27001: Ein sauber aufgesetztes Informationssicherheits-Managementsystem ist die organisatorische Basis, um TOMs nicht nur zu behaupten, sondern auch nachweisen zu können, bei sich selbst wie bei den eigenen Zulieferern.
• Besondere Anforderungen für Finanzdienstleister (WAG-Compliance & DORA-Umsetzung): Wer im regulierten Finanzsektor tätig ist, hat bei der Auslagerung an Dritte noch einmal deutlich strengere Vorgaben zu erfüllen, von der Auslagerungs-Governance bis zum Führen eines IKT-Dienstleisterregisters.

Diese Themen greifen ineinander und werden am wirkungsvollsten nicht isoliert, sondern gemeinsam gedacht.

Der Soforttest: 5 Fragen an sich selbst

Bevor Sie weiterlesen, testen Sie kurz, wie gut Sie selbst aufgestellt sind. Ehrlich beantwortet, braucht das keine zwei Minuten:

1. Wissen Sie auf Anhieb, welche Ihrer Dienstleister Zugriff auf personenbezogene Daten haben?
2. Steht in Ihren Verträgen konkret, welche Sicherheitsmaßnahmen der Dienstleister einhalten muss?
3. Wurde diese Einhaltung in den letzten zwölf Monaten überprüft oder nur vertraglich vereinbart?
4. Wissen Sie, ob Ihr Dienstleister selbst wieder Subunternehmer einsetzt?
5. Gibt es einen Notfallplan, falls einer dieser Partner ausfällt oder kompromittiert wird?

Wenn Sie bei mehr als einer Frage gezögert haben: Sie sind damit nicht allein, aber Sie sollten es sich nicht bequem machen.

Die etwas gründlichere Checkliste

Für alle, die tiefer einsteigen wollen, hier ein strukturierterer Blick auf die wichtigsten Handlungsfelder:

Verträge & rechtliche Basis

• Auftragsverarbeitungsverträge sind aktuell und mit allen relevanten Dienstleistern abgeschlossen
• Sicherheitsanforderungen sind konkret formuliert, nicht nur allgemein referenziert
• Es gibt vertraglich vereinbarte Auditrechte gegenüber dem Dienstleister

Organisation & Prozesse

• Es existiert eine aktuelle Übersicht aller Dienstleister mit Datenzugriff
• Kritikalität der Dienstleister wurde bewertet (nicht jeder Zulieferer ist gleich riskant)
• Es gibt einen definierten Prozess für die Aufnahme neuer Dienstleister

Nachweise & Kontrolle

• Zertifizierungen (z. B. ISO 27001) der wichtigsten Partner liegen vor und sind aktuell
• Es finden regelmäßige, risikobasierte Überprüfungen statt, nicht nur bei Vertragsabschluss

Notfall & Resilienz

• Es gibt einen Notfallplan für den Ausfall kritischer Dienstleister
• Verantwortlichkeiten im Ernstfall sind klar zugewiesen

Diese Liste gibt Ihnen eine gute Orientierung, wo Sie stehen. Was sie bewusst nicht leistet: eine rechtssichere Bewertung Ihrer individuellen Situation, passende Formulierungen für Ihre Verträge oder eine Priorisierung, womit Sie konkret anfangen sollten. Das hängt zu stark von Ihrer Branche, Ihrer Größe und Ihren tatsächlichen Datenflüssen ab, um sich pauschal beantworten zu lassen.

Und jetzt? MeineBerater-Fazit!

Datenschutz in der digitalen Lieferkette ist kein Projekt, das man einmal abschließt und dann abhakt. Es ist ein fortlaufender Prozess und einer, bei dem sich ein Blick von außen fast immer auszahlt, weil betriebsblinde Flecken so am schnellsten sichtbar werden.

Wenn Sie nach dem Lesen das Gefühl haben, dass in Ihrem Unternehmen noch die eine oder andere Frage offen ist: Genau dafür sind wir da. Vereinbaren Sie gerne ein unverbindliches Erstgespräch mit uns. Wir schauen uns gemeinsam an, wo Ihre Lieferkette tatsächlich steht und was als Nächstes sinnvoll ist.

MeineBerater – die Beratungsboutique für Datenschutz, Compliance & Informationssicherheit.