Risiken für die Cybersicherheit in der Elektronik-Lieferkette: Was Beschaffungsteams wissen müssen

Gefälschte Bauteile, manipulierte Firmware und undurchsichtige Lieferantennetzwerke führen zu Sicherheitslücken, die bereits lange vor dem Erreichen des Endverbrauchers entstehen. 

Wenn Cybersicherheitsexperten über Cybersicherheit in der Lieferkette sprechen, konzentrieren sie sich oft auf kompromittierte Software-Updates oder angegriffene Cloud-Dienste. Für Originalgerätehersteller (OEMs), die in der Elektronikfertigung für die Luft- und Raumfahrt, die Verteidigungsindustrie, die Automobilbranche und den Bereich kritischer Infrastrukturen tätig sind, gehen die größten Cybersicherheitsrisiken in der Elektronik-Lieferkette jedoch häufig von der physischen Lieferkette aus, insbesondere von den auf die Leiterplatte gelöteten Bauteilen.

Die Cybersicherheit in der Elektronik-Lieferkette gewinnt angesichts zunehmender Cyberbedrohungen, die auf die Lieferkette abzielen, immer mehr an Bedeutung. Komponentenengpässe zwingen Beschaffungsteams dazu, auf unbekannte Lieferanten, Graumarkt-Vermittler und beschleunigte Beschaffungsprozesse zurückzugreifen, bei denen die Überprüfung der Herkunft oft hinter der Einhaltung von Produktionsfristen zurücksteht. Die Electronics Reseller Association International (ERAI) meldete für 2024 einen Anstieg gefälschter Bauteile um 25 % im Vergleich zu 2023 – das höchste Volumen seit 2015. Da die Lieferzeiten für Halbleiter Anfang 2026 bis zu 40 Wochen betragen werden, ist die Minderung von Lieferkettenrisiken unerlässlich geworden, um die Effizienz und Sicherheit des Lieferkettenmanagements aufrechtzuerhalten.

Warum die Cybersicherheit in der Elektronik-Lieferkette eine Herausforderung für den Einkauf darstellt

Bislang wurde Cybersicherheit als IT-Aufgabe behandelt, wobei der Schwerpunkt auf Firewalls, Endgeräteschutz und Netzwerküberwachung unter der Aufsicht des CISO lag. In der Elektronikfertigung beginnt die Angriffsfläche jedoch bereits bei den Komponenten, die während der Produktentwicklung ausgewählt und im Rahmen der Beschaffung bezogen werden. Ein kompromittierter integrierter Schaltkreis (IC) auf einer Leiterplatte ist eine Schwachstelle, die durch Netzwerküberwachung nicht erkannt werden kann. Daher müssen die Teams in den Bereichen Beschaffung, Entwicklung und Qualitätssicherung Strategien zur Risikobewertung und -minderung in der Lieferkette umsetzen, um zu verhindern, dass kompromittierte Komponenten die Fertigungslinie erreichen.

Diese Unterscheidung verdeutlicht, dass sich die Cybersicherheit in der Elektronik-Lieferkette mit physischen Bedrohungen und solchen auf Firmware-Ebene befasst, darunter Diebstahl geistigen Eigentums und Insider-Bedrohungen – im Gegensatz zur IT-Cybersicherheit, die in erster Linie vor Angriffen auf Software-Ebene schützt. Beschaffungsentscheidungen, die Qualifizierung von Lieferanten und Verfahren zur Rückverfolgbarkeit von Komponenten bilden die erste Verteidigungslinie gegen diese Risiken.

Vier wesentliche Angriffsvektoren für die Cybersicherheit in der Elektronik-Lieferkette

1. Gefälschte Bauteile mit veränderter oder eingeschränkter Funktionalität

Gefälschte elektronische Bauteile stellen das häufigste Cybersicherheitsrisiko in der Lieferkette dar. Moderne Fälschungen erfolgen unter Einsatz ausgefeilter Taktiken wie wiederverwerteter Chips mit verminderter Zuverlässigkeit, neu beschrifteter Teile mit falschen Spezifikationen und geklonter Geräte, die echte Komponenten nachahmen, ohne deren volle Funktionalität zu bieten. ERAI verzeichnete seit 2015 das höchste Volumen an mutmaßlich gefälschten und nicht konformen Teilen, wobei die jährlichen finanziellen Verluste weltweit 100 Milliarden US-Dollar übersteigen. In sicherheitskritischen Systemen stellen gefälschte Komponenten, die die Eingangskontrolle bestehen, aber im Betrieb versagen, ein ernstes Risiko für die Produktsicherheit und die Integrität der Lieferkette dar.

Aus Sicht der Cybersicherheit sind gefälschte Komponenten nicht geprüft und unberechenbar, was die Anfälligkeit für Datenlecks und Betriebsausfälle erhöht.

2. Hardware-Trojaner und böswillige Schaltkreismodifikationen

Hardware-Trojaner – böswillige Manipulationen an integrierten Schaltkreisen während der Entwicklung, Fertigung oder Montage – gehören zu den technisch anspruchsvollsten Bedrohungen für die Cybersicherheit in der Lieferkette. Diese Trojaner können bis zu ihrer Aktivierung im Ruhezustand verbleiben, was ihre Erkennung erschwert. Die geografische Konzentration der Halbleiterfertigung, insbesondere in Taiwan, Festlandchina und Südostasien, verschärft die Risiken im Zusammenhang mit Risiken durch Dritte und dem Lieferkettenmanagement. Rüstungsunternehmen, die mit kontrollierten, nicht klassifizierten Informationen (CUI) umgehen, müssen die Herkunft der Komponenten als entscheidenden Sicherheitsfaktor berücksichtigen.

3. Sicherheitslücken bei Firmware und eingebetteter Software

Programmierbare Komponenten wie Mikrocontroller, FPGAs und Netzwerkprozessoren sind auf Firmware angewiesen, die ihr Verhalten definiert. Die Kompromittierung von Firmware stellt einen zunehmend verbreiteten Angriffsvektor dar. So entdeckten Forscher im Jahr 2023 beispielsweise, dass der Firmware-Update-Mechanismus von Gigabyte keine ordnungsgemäße Überprüfung der kryptografischen Signatur vorsah, wodurch Angreifer kompromittierte Firmware einschleusen konnten. Das Cisco-Router-Implantat „SYNful Knock“ zeigte, dass Backdoors auf Firmware-Ebene von herkömmlichen Sicherheitstools unentdeckt bleiben können. Beschaffungsteams, die programmierbare Komponenten über nicht autorisierte Kanäle beziehen, riskieren, Schwachstellen in der Firmware-Integrität einzuführen.

4. Undurchsichtige Lieferantennetzwerke und nicht überprüfbare Herkunft

Das größte Risiko für die Cybersicherheit ist die mangelnde Transparenz in der Lieferkette. Laut Umfragedaten von Accuris haben 41 % der Unternehmen keinen vollständigen Überblick über das Herkunftsland der Lieferanten und die Fertigungsstandorte, und 27 % können Zoll- und geopolitische Risiken nicht schnell einschätzen. Ohne umfassende Transparenz in der Lieferkette und kontinuierliche Überwachung steigt das potenzielle Risiko durch das Eindringen von Fälschungen, die Kompromittierung von Firmware und Hardware-Trojaner erheblich. Diese Transparenzlücke ist besonders akut bei Komponentenengpässen, wenn die Beschaffung über Zwischenhändler und Sekundärvertrieb notwendig wird, wodurch weitere Glieder in der Kette hinzukommen, an denen Risiken auftreten können.

Regulatorisches Umfeld und Compliance-Anforderungen

Die Cybersicherheit in der Elektronik-Lieferkette wird zunehmend durch vertragliche und regulatorische Rahmenbedingungen vorgeschrieben, insbesondere innerhalb der Verteidigungsindustrie. Die Durchsetzung der „Cybersecurity Maturity Model Certification“ (CMMC) 2.0 begann im November 2025 mit Phase 1 der endgültigen DFARS-Verordnung. Verteidigungsunternehmen, die mit Federal Contract Information (FCI) oder Controlled Unclassified Information (CUI) umgehen, müssen die Einhaltung von Kontrollen zum Risikomanagement in der Lieferkette nachweisen. Phase 2, die im November 2026 beginnt, erweitert die Zertifizierungsanforderungen für CMMC-Stufe 2, während Stufe 3 die Einhaltung der erweiterten Sicherheitsstandards gemäß NIST SP 800-172 vorschreibt, wobei der Schwerpunkt auf der Risikobewertung und -minderung in der Lieferkette liegt.

Branchenstandards wie SAE AS6171 (Erkennung von Fälschungen), SAE AS6081 (Maßnahmen zur Eindämmung von Fälschungen für Händler) und SAE AS5553 (Maßnahmen zur Verhinderung von Fälschungen für Erstausrüster) bieten Rahmenbedingungen zur Aufrechterhaltung der Lieferkettensicherheit und zum Schutz geistigen Eigentums in der gesamten Elektronikfertigung.

Zusammenfassung der Bedrohungslage: Wo Beschaffungsentscheidungen Sicherheitsrisiken im Bereich Cybersicherheit verursachen 

Sechs wichtige Maßnahmen für Beschaffungs- und Technikteams

Um die Cybersicherheit in der Elektronik-Lieferkette zu gewährleisten, sollten Beschaffungs- und Entwicklungsteams sicherheitsorientierte Strategien in ihre bestehenden Lieferkettenmanagementprozesse integrieren:

• Stimmen Sie Stücklisten mit den Herkunftsdaten der Lieferanten ab:Erfassen Sie für jede Komponente die ursprünglichen Hersteller, autorisierten Vertriebskanäle und Fertigungsstandorte. Kennzeichnen Sie nicht überprüfbare Komponenten, um die Genauigkeit der Risikobewertung der Lieferkette zu gewährleisten.
• Beschränken Sie die Beschaffung bei Lieferengpässen auf autorisierte Kanäle:Legen Sie Richtlinien für nicht autorisierte Beschaffungen fest, einschließlich zusätzlicher Prüf- und Rechenschaftsmaßnahmen zur Minderung von Risiken durch Dritte.
• Führen Sie Wareneingangskontrollprotokolle ein, die der Norm SAE AS6171 entsprechen:Setzen Sie fortschrittliche Prüfverfahren wie Röntgenprüfung, Entkapselung und Analyse auf Chip-Ebene ein, um raffinierte gefälschte Bauteile zu erkennen.
• Den Status des Lebenszyklus von Komponenten kontinuierlich überwachen:Verfolgen Sie Teile, deren Lebensdauer sich dem Ende zuneigt, um den Austausch durch Fälschungen zu verhindern und die Widerstandsfähigkeit der Lieferkette zu gewährleisten.
• Geopolitische Risiken in Beschaffungsentscheidungen einbeziehen:Überwachen Sie die Produktionsstandorte und passen Sie die Beschaffung als Reaktion auf Exportkontrollen oder Sanktionen an, um sensible Daten und geistiges Eigentum zu schützen.
• Bereiten Sie sich auf die CMMC-Anforderungen an die Lieferkettendokumentation vor:Erstellen Sie umfassende Herkunftsnachweise und Prüfpfade für Lieferanten, um den sich wandelnden regulatorischen Anforderungen gerecht zu werden.

Cybersicherheit beginnt auf Komponentenebene

Die wirksamste Verteidigung für die Cybersicherheit in der Elektronik-Lieferkette ist das Vertrauen in die Identität, Integrität und Herkunft jeder einzelnen Komponente. Beschaffungs- und Entwicklungsteams spielen eine entscheidende Rolle bei diesem vielschichtigen Ansatz, der die Risikobewertung der Lieferkette, kontinuierliche Überwachung sowie die Zusammenarbeit mit Partnern und Logistikdienstleistern miteinander verbindet. Angesichts der sich im Jahr 2026 verschärfenden Komponentenengpässe, geopolitischen Risiken und regulatorischen Anforderungen werden Unternehmen, die der Cybersicherheit in der Lieferkette Priorität einräumen, einen Wettbewerbsvorteil erlangen und ihre betriebliche Effizienz sowie Liefertreue aufrechterhalten können.

Accuris Supply Chain Intelligencebietet leistungsstarke Tools für die Bereiche Entwicklung, Beschaffung, Qualitätssicherung und Lieferkette. Das System liefert umfassende Daten zum Lebenszyklus von Bauteilen, Transparenz hinsichtlich der Herkunft von Lieferanten sowie Echtzeit-Überwachung, um Risiken in der Lieferkette effektiv zu minimieren.Erfahren Sie, wie Accuris dazu beiträgt, Ihre Elektronik-Lieferkette abzusichern.

Weiterführende Literatur

• Was sich langsam zuspitzte, wird zum Brennpunkt: Lieferzeiten für elektronische Bauteile in den Jahren 2025–2026
• Die versteckten Kosten der Neugestaltung von Leiterplatten aufgrund fehlender elektronischer Bauteile
• Warum die Kosten für elektronische Bauteile im Jahr 2026 steigen und wie man damit umgeht
• Accuris Supply Chain Intelligence Suite

Quellen 

1. ERAI(Electronics Reseller Association International). Bericht über gefälschte Elektronikbauteile 2024.https://www.supplychainconnect.com/counterfeit/article/55311316/2024-counterfeit-electronic-parts-report-from-erai— Zitierte Daten: 25 % Anstieg der gemeldeten gefälschten Bauteile im Jahr 2024 gegenüber 2023, höchstes Volumen seit 2015, jährliche finanzielle Verluste von weltweit über 100 Milliarden US-Dollar im Elektroniksektor. 

2. Fuld& Company / Accuris, „Electronic Parts Intelligence Survey“, März 2026 (N=439). Unabhängige Umfrage unter Fachleuten aus den Bereichen Luft- und Raumfahrt sowie Verteidigung, Elektronik, Automobilindustrie, Medizintechnik und industrielle Fertigung. Zitierte Statistiken: 41 % haben keinen Überblick über die Herkunftsländer der Lieferanten und die Fertigungsstandorte, 27 % können Zoll- und geopolitische Risiken nicht schnell einschätzen. 

3. Jaknunas, Greg. „Aus einem schwelenden Konflikt wird ein Brennpunkt: Lieferzeiten für elektronische Bauteile in den Jahren 2025–2026.“ Accuris Blog, 13. April 2026.https://accuristech.com/blog/the-slow-burn-becomes-a-flash-point/— Zitierte Daten: Lieferzeiten für Halbleiter erreichen im März 2026 40 Wochen, Versorgungsengpässe begünstigen das Eindringen von Fälschungen. 

4. Accuris-Berichtezu monatlichen Veränderungen der Lieferzeiten, März 2025 bis März 2026. Eigene Daten, die die durchschnittlichen Veränderungen der Lieferzeiten in Dutzenden von Kategorien elektronischer Bauteile erfassen. 

5. NIST(National Institute of Standards and Technology). „Analyzing Collusion Threats in the Semiconductor Supply Chain.“ Center for Cybersecurity Policy.https://www.centerforcybersecuritypolicy.org/insights-and-research/nist-analyzing-collusion-threats-in-the-semiconductor-supply-chain— Zitiert für: Kollusionsbedrohungen, bei denen Angreifer in verschiedenen Produktionsphasen zusammenarbeiten, um kompromittierte Hardware einzuschleusen. 

6. ReversingLabs. „Die Gigabyte-Firmware-Hintertür: Erkenntnisse zur Sicherheit in der Lieferkette.“https://www.reversinglabs.com/blog/the-gigabyte-firmware-backdoor-and-supply-chain-security-what-you-need-to-know— Zitiert wegen: Der Firmware-Update-Mechanismus von Gigabyte überprüft kryptografische Signaturen nicht ordnungsgemäß. 

7. Eclypsium. „Gefälschte Geräte und Risiken in der digitalen Lieferkette“ sowie „Die fünf häufigsten Angriffsvektoren für Firmware und Hardware“.https://eclypsium.com/blog/counterfeit-network-devices-cyber-supply-chain-risk/— Herangezogen für: SYNful Knock – Firmware-Implantat in Cisco-Routern, Persistenz von Backdoors auf Firmware-Ebene, Risiken durch gefälschte Netzwerkgeräte. 

8. US-Verteidigungsministerium. CMMC DFARS-Endgültige Regelung, in Kraft seit dem 10. November 2025. DFARS 252.204-7021.https://www.acquisition.gov/dfars/252.204-7021-contractor-compliance-cybersecurity-maturity-model-certification-level-requirements— Zitierte Daten: Die Durchsetzung von Phase 1 begann im November 2025, Phase 2 beginnt im November 2026, drei CMMC-Stufen, Anforderungen gemäß NIST SP 800-171/800-172. 

9. Holland& Knight. „CMMC Goes Live: Neue Cybersicherheitsanforderungen für Verteidigungsunternehmen.“ September 2025.https://www.hklaw.com/en/insights/publications/2025/09/cmmc-goes-live-new-cybersecurity-requirements— Herangezogen für: Umfang und Anwendbarkeit von CMMC Level 2 und Level 3 auf die industrielle Basis des Verteidigungssektors. 

10. SAEInternational. Normen AS6171 (Prüfverfahren und -abläufe zur Erkennung von Fälschungen), AS6081 (Maßnahmen zur Eindämmung von Fälschungen für Händler), AS5553 (Maßnahmen zur Verhinderung von Fälschungen für Erstausrüster). Herangezogen für: branchenübliche Rahmenwerke für die Wareneingangskontrolle, die Eindämmung von Fälschungen und die Herkunftsüberprüfung. 

11.Daten der AccurisSupply Chain Intelligence-Plattform.