Die zunehmende Digitalisierung und Vernetzung von Unternehmen hat zweifellos zu einer erheblichen Effizienzsteigerung in der Beschaffung geführt. Gleichzeitig jedoch wächst das Risiko, Opfer einer Cyberattacke zu werden. Während die Aufmerksamkeit bei Cyberangriffen häufig auf Datenverlust oder finanziellen Schaden gerichtet ist, werden die tiefgreifenden Auswirkungen auf Einkaufsbereiche, Lieferketten und die Bedarfsversorgung oft unterschätzt.

Als Einkaufsleiter möchte ich hier einen detaillierten Blick darauf werfen, welche Folgen Cyberattacken haben können, wie sie den Beschaffungsprozess stören und welche präventiven Maßnahmen notwendig sind, um die Versorgungssicherheit aufrechtzuerhalten.

1. Zunehmende Häufigkeit und Professionalität von Cyberattacken

Cyberkriminalität hat sich in den letzten Jahren dramatisch professionalisiert. Hackergruppen agieren wie Unternehmen, nutzen Ransomware-as-a-Service-Modelle und greifen gezielt kritische Infrastrukturen und Schlüsselindustrien an. Besonders betroffen sind Unternehmen mit weitverzweigten Lieferketten und globaler Vernetzung, wie sie im Gesundheitswesen, in der Industrie und im Handel vorkommen.

Die Attacken zielen dabei nicht nur auf IT-Systeme, sondern auch auf operative Abläufe – bis hin zu ERP-Systemen, die für Bestellprozesse und Lagerverwaltung essenziell sind.

2. Direkte Auswirkungen auf die Beschaffung

Cyberattacken führen unmittelbar zu Störungen in der Einkaufsorganisation:

• Blockierte ERP- und Bestellsysteme: Ein Angriff kann den Zugriff auf SAP oder andere Beschaffungsplattformen unmöglich machen. Bestellungen können weder ausgelöst noch verfolgt werden.
• Verlust von Daten und Dokumenten: Wichtige Lieferantendaten, Preisvereinbarungen oder Rahmenverträge können unzugänglich werden oder verloren gehen.
• Manuelle Notprozesse: Ohne digitale Systeme müssen Einkaufsprozesse über E-Mail, Telefon oder sogar Fax organisiert werden. Das kostet Zeit, erhöht den Personalbedarf und steigert die Fehleranfälligkeit.
• Zwangsweiser Fokus auf Kernbedarfe: Nicht essenzielle Beschaffungen werden in Krisen oft eingefroren, um Ressourcen auf die Aufrechterhaltung der Grundversorgung zu konzentrieren.

3. Lieferkettenrisiken und Versorgungslücken

Cyberattacken wirken sich nicht nur intern, sondern auch extern über die gesamte Lieferkette hinweg aus.

• Attacken auf Lieferanten: Ein Cyberangriff auf einen strategischen Lieferanten kann gravierende Versorgungslücken verursachen. Wenn dessen Systeme ausfallen oder Produktionen stillstehen, sind direkte Verzögerungen unvermeidlich.
• Logistikunterbrechungen: Cyberattacken auf Speditionen, Häfen oder Zollsysteme können Transporte blockieren oder Lieferungen verzögern.
• Just-in-Time-Versorgung in Gefahr: Branchen, die auf schlanke Lagerbestände setzen, sind besonders vulnerabel. Bereits kleine Verzögerungen führen zu Produktionsstopps oder Engpässen in der Patientenversorgung im Gesundheitswesen.

4. Kostensteigerungen durch Cyberattacken

Cyberattacken führen oft zu erheblichen Mehrkosten:

• Spotkäufe und Eilbeschaffung: Um akute Versorgungslücken zu schließen, müssen Materialien häufig zu überhöhten Preisen am Spotmarkt beschafft werden.
• Vertragsstrafen und Ausfallkosten: Produktionsstillstände oder Nichterfüllung von Lieferverträgen können hohe Pönalen nach sich ziehen.
• Investitionen in Notfallstrukturen: Zusätzliche Budgets für Notfallbestände, redundante Lieferanten oder Sicherheitsmaßnahmen werden notwendig.
• Langfristige Preissteigerungen: Lieferanten kalkulieren steigende Sicherheits- und Versicherungskosten in ihre Preise ein.

5. Ausfallwahrscheinlichkeit und Reaktionsfähigkeit

Die Ausfallwahrscheinlichkeit steigt mit der Komplexität der Lieferkette und der Abhängigkeit von digitalen Systemen. Viele Unternehmen unterschätzen ihre Verwundbarkeit:

• Single-Sourcing-Risiken: Wenn ein einzelner Lieferant durch einen Angriff ausfällt, gibt es oft keinen kurzfristigen Ersatz.
• Abhängigkeit von Cloud-Diensten: Attacken auf Cloud-Anbieter oder SaaS-Dienste (z. B. E-Procurement-Plattformen) können gleich ganze Netzwerke lahmlegen.
• Verzögerte Wiederherstellung: Selbst nach der Beseitigung eines Angriffs dauert es oft Wochen, bis Systeme wieder stabil laufen und Rückstände aufgearbeitet sind.

6. Maßnahmen zur Risikominimierung im Einkauf

Aus Sicht der Beschaffung sind folgende Ansätze entscheidend:

1. Cyber-Resilienz von Lieferanten prüfen: Sicherheitsstandards (ISO 27001 etc.) sollten bei der Lieferantenauswahl eine Rolle spielen.
2. Mehrlieferantenstrategie: Kritische Materialien sollten nach Möglichkeit bei mehreren Quellen verfügbar sein.
3. Notfallpläne und Lagerbestände: Für Kernprodukte sind Sicherheitsbestände oder alternative Lieferantenbeziehungen notwendig.
4. Interdisziplinäre Krisenteams: Einkauf, IT und Logistik müssen in gemeinsamen Szenarien Angriffe simulieren und Maßnahmenpläne entwickeln.
5. Vertragsklauseln anpassen: Regelungen zu IT-Sicherheit, Incident-Meldungen und Notfallversorgung gehören heute in professionelle Lieferverträge.
6. Awareness-Schulungen: Auch der Einkauf selbst muss für Phishing, Social Engineering und Manipulation sensibilisiert werden.

7. Branchenspezifische Besonderheiten

Im Gesundheitswesen beispielsweise kann ein Angriff nicht nur ökonomische, sondern auch lebensbedrohliche Folgen haben, wenn Medizinprodukte oder Medikamente nicht mehr verfügbar sind. In der Industrie führen Produktionsstillstände zu hohen Folgekosten und Reputationsschäden. Jede Branche muss daher individuelle Szenarien entwickeln.

8. Fazit: Cybersecurity ist zur Kernaufgabe der Beschaffung geworden

Cyberattacken sind kein reines IT-Problem, sondern eine strategische Bedrohung für die Versorgungssicherheit und Wettbewerbsfähigkeit von Unternehmen. Der Einkauf trägt eine Schlüsselrolle, um Risiken zu erkennen, resiliente Liefernetzwerke zu gestalten und gemeinsam mit anderen Fachbereichen robuste Notfallstrukturen aufzubauen.

Die klare Botschaft lautet: Ohne integrierte Cyber-Resilienz in der Beschaffung ist die Bedarfsversorgung im Krisenfall gefährdet. Unternehmen, die hier rechtzeitig investieren, sichern nicht nur ihre Lieferfähigkeit, sondern auch ihre Reputation und Zukunftsfähigkeit.