Lieferketten unter Druck

Ende Juli 2026 kämpften Einsatzkräfte in Spanien und Frankreich gegen eine außergewöhnlich schwere Serie von Waldbränden. Ganze Ortschaften wurden evakuiert, Straßen gesperrt und Verkehrsverbindungen unterbrochen. Landwirtschaftliche Flächen gingen verloren, Betriebe mussten zeitweise schließen. Selbst dort, wo Produktionsstandorte nicht unmittelbar von den Flammen bedroht waren, konnten Beschäftigte ihre Arbeitsplätze nicht erreichen oder Lieferungen blieben aus.

Abgesehen von den menschlichen Tragödien, die sich in den betroffenen Gebieten abspielten, reichen die wirtschaftlichen Folgen einer Umweltkatastrophe dieses Ausmaßes weit über die betroffenen Regionen hinaus. Ein Hersteller kann technisch vollständig einsatzbereit sein und trotzdem nicht produzieren, wenn beispielsweise ein Rohstoff fehlt, der aus dem Brandgebiet stammt, oder ein Spezialteil den Standort nicht erreicht, weil Straßen oder Bahnstrecken gesperrt sind. Die verheerenden Waldbrände in Spanien und Frankreich machen ein Grundproblem moderner Lieferketten deutlich: Unternehmen sind heute so eng mit Lieferanten, Dienstleistern und Infrastrukturen verbunden, dass Störungen an einer Stelle schnell auf andere Betriebe übergreifen können. Der Ausgangspunkt liegt oft außerhalb des eigenen Einflussbereichs. Die Folgen zeigen sich jedoch in der Produktion, im Vertrieb und am Ende in der Bilanz.
 

Betriebsunterbrechungen bleiben ein zentrales Risiko

Wie stark Unternehmen ihre Abhängigkeiten beschäftigen, zeigt das Allianz Risk Barometer 2026. Für die Studie wurden weltweit mehr als 3.300 Risikoexperten aus Unternehmen, Versicherungen, Verbänden und weiteren Organisationen befragt. Cybervorfälle stehen mit 42 Prozent der Nennungen zum fünften Mal in Folge auf Platz eins der wichtigsten Geschäftsrisiken. Betriebsunterbrechungen einschließlich Störungen der Lieferkette folgen auf Platz drei, wobei lediglich drei Prozent der Befragten ihre Lieferketten als „sehr resilient“ bewerten.1

Die Zahlen zeigen unter anderem, wie eng unterschiedliche Risiken inzwischen miteinander verbunden sind. Eine Betriebsunterbrechung resultiert häufig nicht aus einem Problem im eigenen Unternehmen, sondern als Folge eines Problems bei einem Partner. Ein Cyberangriff legt die Systeme eines Logistikers lahm, ein Naturereignis blockiert Verkehrswege und beschädigt Infrastruktur oder politische Entscheidungen verhindern den Export eines wichtigen Rohstoffs. Die Risikolage wird auch deshalb schwerer beherrschbar, weil die Beschaffung global organisiert ist, Produktionsprozesse eng getaktet sind und viele Unternehmen nur über geringe Bestände verfügen. Eine Lieferkette kann im störungsfreien Betrieb über Jahre zuverlässig funktionieren. Daraus folgt aber noch keine Aussage darüber, wie sie sich unter Belastung verhält. Resilienz zeigt sich erst, wenn ein Lieferant ausfällt, ein Transportweg nicht verfügbar ist oder ein digitales System über längere Zeit gestört bleibt.
 

Geopolitik wird zum betrieblichen Risikofaktor

Neben Naturereignissen verändern auch politische Entwicklungen die Bedingungen, unter denen Unternehmen ihre Lieferketten organisieren. Kriege und internationale Spannungen wirken sich auf Verkehrswege, Energiepreise und den Zugang zu Rohstoffen aus. Sanktionen, Exportkontrollen und neue Zölle können Bezugsquellen infrage stellen, die zuvor über Jahre als verlässlich galten. Die geopolitische Entwicklung selbst lässt sich von einem einzelnen Unternehmen kaum beeinflussen. Sehr wohl beeinflussen kann es allerdings den Umfang mit seiner Abhängigkeit. Wer einen kritischen Rohstoff ausschließlich aus einer Region bezieht oder eine zentrale Komponente nur von einem Hersteller beschafft, geht ein Konzentrationsrisiko ein. Diese Entscheidung kann wirtschaftlich begründet sein. Sie sollte aber als Risiko sichtbar und von der Unternehmensleitung bewusst getragen werden.

Den nächsten geopolitischen Konflikt exakt vorherzusagen, ist zwar kaum möglich. Unternehmen können aber verschiedene Szenarien durchspielen und untersuchen, welche Folgen beispielsweise eine mehrwöchige Sperrung einer Verkehrsroute hätte oder was geschieht, wenn ein Land bestimmte Materialien nicht mehr exportiert. Auch ein Konflikt rund um einen wichtigen Produktionsstandort lässt sich als mögliches Zukunftsbild durchspielen. Eine solche Szenario-Arbeit verbindet eine äußere Entwicklung mit ihren konkreten Folgen für das Unternehmen. Aus der geopolitischen Frage, ob sich eine Lage verschärfen könnte, wird dann eine betriebliche Frage: Welche Lieferungen wären betroffen, wie lange reichen die Bestände und welche Alternativen stehen zur Verfügung? Wie Unternehmen geopolitische Szenarien entwickeln und für strategische Entscheidungen nutzen können, erläutert Dr. Konstantinos Tsetsos im Spitzengespräch dieser Ausgabe (Seiten 6 bis 8).
 

Genauer Blick auf Tätigkeiten und Prozesse

Auch eine Lieferkette vollständig abzubilden, ist bei komplexen Produkten kaum möglich. Schon ein direkter Lieferant kann von zahlreichen Unterauftragnehmern, Rohstoffproduzenten und technischen Dienstleistern abhängig sein. Eine lückenlose Darstellung würde einen erheblichen Aufwand verursachen und trotzdem nur eine Momentaufnahme liefern. Für Unternehmen ist deshalb eine risikobasierte Betrachtung sinnvoller, die bei den konkreten Geschäftsprozessen ansetzt: Welche Abläufe müssen weiter funktionieren, damit das Unternehmen seine wichtigsten Produkte herstellen oder Leistungen erbringen kann? Erst danach richtet sich der Blick auf die dafür benötigten Ressourcen. Auf diese Weise entsteht zwar kein vollständiges Lagebild der gesamten Lieferkette. Sichtbar werden jedoch die Beziehungen, deren Ausfall den Geschäftsbetrieb besonders stark treffen würde.

Der BSI-Standard 200-4 zum Business Continuity Management sieht die Business-Impact-Analyse als zentrales Instrument vor. Mit ihr ermitteln Unternehmen, welche Geschäftsprozesse zeitkritisch sind, von welchen Ressourcen sie abhängen und innerhalb welcher Frist sie wieder anlaufen müssen.² Auf Lieferanten übertragen heißt das: Nicht die Höhe des Auftragsvolumens entscheidet darüber, wie wichtig ein Geschäftspartner für den Betrieb ist. Ein kleines Unternehmen kann ein günstiges Spezialteil liefern, für das kurzfristig kein Ersatz erhältlich ist. Auch ein externer Dienstleister mit vergleichsweise geringem Vertragsvolumen kann eine Schnittstelle betreiben, deren Ausfall die Verarbeitung von Bestellungen oder Lieferabrufen verhindern würde.

Entscheidend ist daher, wie stark ein Ausfall den Geschäftsbetrieb beeinträchtigen würde. Wie lange kann ein Prozess ohne die betreffende Leistung weiterlaufen? Welche Bestände stehen zur Verfügung? Ab wann können Kundenaufträge nicht mehr erfüllt werden, und welche finanziellen oder rechtlichen Konsequenzen wären damit verbunden? Je stärker der Ausfall eines Lieferanten den Geschäftsbetrieb beeinträchtigen würde, desto höher ist seine Bedeutung für die betroffenen Prozesse. Daraus lässt sich ableiten, welche Lieferbeziehungen genauer untersucht und für welche Leistungen belastbare Alternativen vorbereitet werden müssen.
 

Cyberrisiken treffen die physische Lieferfähigkeit

Digitale und physische Lieferketten lassen sich heute kaum noch trennen. Bestellungen werden elektronisch ausgelöst, Produktionsdaten automatisch übermittelt, Lieferungen über Plattformen gesteuert und Wartungsunternehmen greifen aus der Ferne auf Maschinen zu. Diese Verbindungen beschleunigen die Abläufe, erweitern aber zugleich die Angriffsfläche.

Das BSI beschreibt einen Supply-Chain-Angriff als indirekten Weg zum eigentlichen Angriffsziel. Cyberkriminelle kompromittieren einen Hersteller oder Dienstleister, um über dessen Produkte, Zugänge oder Geschäftsbeziehungen weitere Organisationen zu erreichen.4 Der direkte Angriff auf ein gut geschütztes Großunternehmen ist dann nicht erforderlich. Ein schwächer abgesicherter Zulieferer kann den einfacheren Zugang bieten. Für kleine und mittlere Unternehmen ist das eine wichtige Einordnung. Ihre Größe schützt sie nicht vor Angriffen. Nach Angaben des BSI richteten sich rund 80 Prozent der angezeigten Cyberangriffe gegen KMU.5 Angreifer suchen nicht ausschließlich nach bekannten Marken oder besonders großen Unternehmen. Sie suchen erreichbare Systeme, verwertbare Daten und Zugänge zu weiteren Geschäftspartnern.
 

Lieferantenprüfung zwischen Fragebogen und Nachweis

Für die Bewertung externer Partner stehen Unternehmen unterschiedliche Instrumente zur Verfügung. Die NIST-Publikation SP 800-161 nennt unter anderem Selbstauskünfte der Lieferanten, Prüfungen durch den Auftraggeber und Bewertungen durch unabhängige Dritte.3 Welche Prüftiefe erforderlich ist, hängt vom jeweiligen Risiko ab. Maßgeblich sind die Bedeutung der gelieferten Leistung, vorhandene Zugänge zu Daten und Systemen sowie die möglichen Folgen eines Ausfalls. Ein Fragebogen kann dabei einen ersten Überblick liefern. Bei einem kritischen Lieferanten reicht die Selbstauskunft allein jedoch kaum aus. Ergänzend können Sicherheitsrichtlinien, Notfallkonzepte, Auditberichte oder dokumentierte Wiederanlauftests herangezogen werden. Auf diese Weise richtet sich die Prüfung stärker danach, wie wichtig ein Partner für den Geschäftsbetrieb ist und ob die angegebenen Schutzmaßnahmen tatsächlich umgesetzt wurden.

Auch Abhängigkeiten hinter dem direkten Vertragspartner sollten berücksichtigt werden. NIST SP 800-161 empfiehlt, Risiken der digitalen Lieferkette in das allgemeine Risikomanagement einzubeziehen und dabei mehrere Ebenen der Organisation und der Lieferkette zu betrachten.3 Zwei Lieferanten erhöhen die Widerstandsfähigkeit beispielsweise nur begrenzt, wenn beide dasselbe Vorprodukt oder dieselbe Cloud-Plattform nutzen.

Für die systematische Steuerung bieten unter anderem ISO 28000 und ISO 22301 Orientierung. Während ISO 28000 Sicherheitsmanagementsysteme mit Bezug zur Lieferkette behandelt, beschreibt ISO 22301 Anforderungen an das Business Continuity Management.⁶ ⁷ Das Bundesamt für Wirtschaft und Ausfuhrkontrolle (BAFA) weist außerdem darauf hin, dass Standards, Audits und Zertifikate die Prüfung unterstützen, die Bewertung der konkreten Lieferbeziehung aber nicht ersetzen.⁸

Alternativen müssen belastbar sein

Die ISO/TS 22318 überträgt die Grundsätze des Business Continuity Managements auf die Beziehungen zu Lieferanten. Sie soll Organisationen dabei unterstützen, ihre Abhängigkeiten zu verstehen und eine Strategie für die Kontinuität ihrer Lieferkette zu entwickeln. Dabei werden sowohl vorgelagerte Lieferanten als auch nachgelagerte Geschäftspartner einbezogen.⁹

Aus dieser Perspektive reicht es nicht aus, lediglich einen zweiten Anbieter auszuwählen. Unternehmen müssen beurteilen, ob die alternative Bezugsquelle bei einer Störung tatsächlich zur Verfügung stehen könnte. Dabei spielen unter anderem die benötigte Menge, Qualitätsanforderungen und die Dauer einer möglichen Umstellung eine Rolle. Auch erforderliche Zertifizierungen können einen kurzfristigen Wechsel erschweren. Welche Vorsorgemaßnahme geeignet ist, hängt von der zuvor ermittelten Kritikalität ab. Je nach Produkt und Wiederbeschaffungszeit können ein zweiter Lieferant, zusätzliche Bestände oder andere Materialien infrage kommen. Bei besonders wichtigen Komponenten kann eine begrenzte Bestellung vorab Hinweise darauf geben, ob die alternative Lieferbeziehung in der Praxis funktioniert.

Die ISO/TS 22318 bezieht Lieferantenbeziehungen ausdrücklich in die Kontinuitätsplanung ein. Daniel Fai geht mit seinem Begriff „Cross Company Resilience“ noch einen Schritt weiter. Der Leiter Informationssicherheit bei Procter & Gamble und 2. Vorsitzende des Verbands für Sicherheit der Wirtschaft Rheinland-Pfalz versteht darunter einen Resilienzansatz, der über die eigene Organisation hinausreicht (vgl. Spitzengespräch SECURITY INSIGHT, Ausgabe 3/2026, S. 6-9).

Daniel Fai zufolge sollen wichtige Lieferanten, Dienstleister und Kunden in die Sicherheits- und Krisenvorsorge einbezogen werden. Dazu können abgestimmte Ansprechpartner, Meldewege oder Notfallprozesse gehören. Auch gemeinsame Übungen sind denkbar, wenn mehrere Unternehmen von derselben kritischen Leistung oder Infrastruktur abhängen: „Resilienz muss über die Grenzen des einzelnen Unternehmens hinaus gedacht werden“, fasst Daniel Fai seinen Ansatz zusammen. „Cross Company Resilience sollte der neue Maßstab sein.“
 

Notfallpläne praktisch prüfen

Das BSI weist in seinen Hinweisen zum Notfallmanagement darauf hin, dass dokumentierte Konzepte und Regelungen regelmäßig durch Tests und Übungen überprüft werden müssen. Dabei lässt sich feststellen, ob die Planung noch aktuell ist, die vorgesehenen Abläufe funktionieren und die beteiligten Personen ihre Aufgaben kennen.² Auf die Lieferkette übertragen kann eine Übung beispielsweise vom mehrwöchigen Ausfall eines kritischen Zulieferers ausgehen. Anhand dieses Szenarios lässt sich prüfen, ob aktuelle Kontaktdaten vorliegen, wer über die Aktivierung eines Ersatzlieferanten entscheidet und welche Informationen für die Priorisierung der Produktion benötigt werden.

Das BSI empfiehlt außerdem, Übungen anschließend auszuwerten und festgestellte Mängel in einem Maßnahmenplan zu bearbeiten.² Die Übung dient damit nicht nur dem Training der Beteiligten. Sie überprüft zugleich, ob Notfallprozesse und vorbereitete Alternativen unter realistischen Bedingungen funktionieren. Welche zusätzlichen Lieferanten, Bestände oder Ausweichmöglichkeiten finanziert werden, bleibt eine unternehmerische Entscheidung. Die Business-Impact-Analyse liefert dafür eine Grundlage, indem sie zeigt, welche Ausfälle besonders schwere Folgen hätten und innerhalb welcher Zeit eine Lösung benötigt würde.
 

Regulierung setzt unterschiedliche Schwerpunkte

Die gesetzlichen Vorgaben zur Lieferkette verfolgen unterschiedliche Schutzziele. Das Lieferkettensorgfaltspflichtengesetz verpflichtet die erfassten Unternehmen, ein angemessenes und wirksames Risikomanagement für menschenrechtliche und bestimmte umweltbezogene Risiken einzurichten. Dieses Risikomanagement ist in die maßgeblichen Geschäftsabläufe einzubinden.¹⁰

Die europäische Corporate Sustainability Due Diligence Directive verfolgt ebenfalls menschenrechtliche und umweltbezogene Sorgfaltsziele. Im Februar 2026 wurden ihre Vorgaben durch die Richtlinie (EU) 2026/470 vereinfacht. Dabei wurde unter anderem der Anwendungsbereich begrenzt und das Ziel verfolgt, eine pauschale Weitergabe von Anforderungen an kleinere Geschäftspartner zu verringern.¹¹

Die Regelwerke behandeln also verschiedene Risiken. Gemeinsam ist ihnen, dass Unternehmen Verantwortlichkeiten festlegen, Risiken bewerten und Maßnahmen in ihre Geschäftsabläufe integrieren müssen. Daraus folgt jedoch noch keine umfassende betriebliche Resilienz. Ein Unternehmen kann durchaus gesetzliche Pflichten erfüllen und trotzdem von einem einzigen Lieferanten oder Transportweg abhängig bleiben.
 

Lieferkettensicherheit bleibt eine Daueraufgabe

Welche Störung als Nächstes eintritt, lässt sich kaum verlässlich vorhersagen. Unternehmen können jedoch frühzeitig klären, von welchen Partnern, Transportwegen und technischen Systemen ihr Geschäft besonders abhängt. Wer Alternativen vorbereitet und Notfallpläne erprobt, verschafft sich im Krisenfall Zeit und Handlungsspielraum. Eine vollständig ausfallsichere Lieferkette wird es nicht geben. Wohl aber Lieferketten, die einen Ausfall auffangen, sich an veränderte Bedingungen anpassen und zentrale Prozesse weiterführen können.

Die Waldbrände in Spanien und Frankreich haben gezeigt, wie schnell ein regionales Ereignis weit entfernte Unternehmen erreichen kann. Beim nächsten Mal ist es vielleicht ein Cyberangriff oder der Ausfall eines wichtigen Zulieferers. Ob daraus eine nur kurze Unterbrechung oder eine ernste Krise wird, entscheidet sich häufig vor dem eigentlichen Ereignis.

Andreas Albrecht

Quellen:

1 Allianz Commercial: Allianz Risk Barometer 2026.
2 International Organization for Standardization: ISO/TS 22317:2021 – Security and resilience – Business continuity management systems – Guidelines for business impact analysis.
3 National Institute of Standards and Technology: NIST SP 800-161 Rev. 1 – Cybersecurity Supply Chain Risk Management Practices for Systems and Organizations, Update 2024.
4 Bundesamt für Sicherheit in der Informationstechnik (BSI): Die Lage der IT-Sicherheit in Deutschland 2024, Abschnitt Supply-Chain-Angriffe.
5 Bundesamt für Sicherheit in der Informationstechnik (BSI): BSI-Magazin 2025/02, Angaben zur Betroffenheit kleiner und mittlerer Unternehmen.
6 International Organization for Standardization: ISO 28000:2022 – Security and resilience – Security management systems – Requirements.
7 International Organization for Standardization: ISO 22301:2019 – Security and resilience – Business continuity management systems – Requirements.
8 Bundesamt für Wirtschaft und Ausfuhrkontrolle (BAFA): Standards, Audits und Zertifizierungen als Instrumente im Sorgfaltsprozess, 2024.
9 International Organization for Standardization: ISO/TS 22318:2021 – Security and resilience – Business continuity management systems – Guidelines for supply chain continuity management.
10 Gesetz über die unternehmerischen Sorgfaltspflichten zur Vermeidung von Menschenrechtsverletzungen in Lieferketten: Lieferkettensorgfaltspflichtengesetz.
11 Rat der Europäischen Union: Council signs off simplification of sustainability reporting and due diligence requirements to boost EU competitiveness, 24. Februar 2026.