Lieferanten-Analyse: Wie leicht heute Daten über Dritte zu beschaffen sind – und warum das Ihr größtes Risiko ist

Eine fundierte Lieferanten-Analyse ist 2026 kein exklusives Werkzeug von Behörden mehr. Was früher Wochen kostete, lässt sich heute mit frei verfügbaren Quellen und kommerziellen Daten-Tools in unter einer Stunde zusammentragen – über jeden Ihrer Zulieferer, Dienstleister und Geschäftspartner.

Was öffentlich zugänglich ist

• Handels- und Firmenregister (Firmenbuch AT, Handelsregister DE, Zefix CH) liefern Geschäftsführer, UBOs, Bilanzen und Beteiligungen.
• Sanktionslisten (EU, OFAC, UK HMT) sind offen abrufbar – inklusive Listenhistorie.
• Domain- und Infrastruktur-Daten (WHOIS, Certificate Transparency Logs, Shodan) zeigen IT-Stack, offene Ports und exponierte Dienste.
• Leak-Aggregatoren im Clear- und Darknet bündeln Milliarden geleakter Zugangsdaten – durchsuchbar nach Firmen-Domain.
• Datenbroker (LexisNexis, Acxiom, Bisnode/Dun & Bradstreet, regionale Anbieter) verkaufen detaillierte Firmen- und Personenprofile legal an jeden zahlenden Kunden.

Fünf reale Fälle, die die Lage zeigen

1. National Public Data, 2024 – Beim US-Datenbroker wurden Namen, Adressen und Sozialversicherungsnummern exponiert. Die vielzitierte Zahl von 2,9 Milliarden Datensätzen stammt aus einer Sammelklage in Florida und ist nicht bestätigt; das Unternehmen selbst meldete dem Maine Attorney General rund 1,3 Mio. betroffene Personen. 2. Snowflake-Kunden, 2024 – Über kompromittierte Snowflake-Konten ohne MFA wurden Datenbestände von AT&T (rund 110 Mio. Kunden) und Ticketmaster (rund 560 Mio. Datensätze) abgegriffen. Bestätigt durch Mandiant-Report und SEC-Filings. 3. LinkedIn-Scrape, 2021 – Daten von rund 700 Mio. Profilen wurden in einem Untergrundforum zum Verkauf angeboten; LinkedIn bestätigte, dass öffentlich zugängliche Profildaten per Scraping aggregiert wurden. 4. Facebook-Leak, 2021 – Daten von 533 Mio. Nutzern aus 106 Ländern, inklusive Telefonnummern, wurden frei im Netz verteilt; bestätigt durch Meta sowie irische Datenschutzbehörde DPC (Bußgeld 265 Mio. EUR, 2022). 5. MOVEit-Welle (Clop), 2023 – Die Ausnutzung einer Schwachstelle im Filetransfer-Tool MOVEit traf nach Emsisoft-Auswertungen (Stand Ende 2024) rund 2.600 Organisationen und über 90 Mio. Personen – darunter zahlreiche europäische Banken und Behörden über deren Dienstleister.

Diese Fälle sind keine Einzelfälle, sondern Bausteine: Wer heute eine Lieferanten-Analyse durchführt, kann auf diese Datentöpfe zugreifen – legal kombiniert ergibt sich ein präzises Bild eines Dritten, inklusive Schwachstellen.

Warum das Ihr Risiko ist

Die ENISA stuft Supply-Chain-Angriffe seit ihrem Threat-Landscape-Report 2023 konstant als eine der Top-Bedrohungen ein. Der EU-Rechtsrahmen reagiert: NIS2 (Art. 21 Abs. 2 lit. d) verpflichtet wesentliche und wichtige Einrichtungen ausdrücklich zur Sicherheit der Lieferkette; DORA (Art. 28 ff.) verlangt von Finanzunternehmen ein vollständiges Register kritischer IKT-Drittdienstleister. Wer seine Lieferanten nicht überwacht, verletzt seit 2025 geltendes Recht.

Was eine professionelle Lieferanten-Analyse leistet

Unser [Lieferantenmonitoring](/lieferantenmonitoring) kombiniert genau diese Quellen kontinuierlich – nicht als Einmalbericht, sondern als Live-Überwachung. Wir alarmieren, sobald ein Zulieferer im Darknet auftaucht, auf einer Sanktionsliste landet oder seine Infrastruktur kompromittiert wird. Ergänzend liefern unser [Darknet Monitoring](/darknet-monitoring), [Domain Monitoring](/domain-monitoring) und unsere strukturierten [Background Checks](/backgroundchecks) die menschliche Komponente: Wer steht hinter dem Lieferanten, und welche Risiken bringt diese Person mit?

Sofortmaßnahmen

1. Erstellen Sie ein vollständiges Verzeichnis Ihrer kritischen Dritten – Pflicht unter NIS2 und DORA. 2. Prüfen Sie deren externe Angriffsfläche mit unseren [Security-Tools](/tools). 3. Aktivieren Sie kontinuierliches Monitoring – ein Jahresaudit reicht 2026 nicht mehr.

Die Daten sind da. Die Frage ist nur, ob Sie sie nutzen, bevor es ein Angreifer tut.