Lieferketten sind das Kreislaufsystem der digitalen Finanzwirtschaft: durch sie fließen Rechenleistung, Software, Daten, Identitäten, Beratung, Rechenzentrumsfläche, Cloud-Services, Zahlungsplattformen, Support. Lange wurde über sie gesprochen, als ginge es um Einkaufskonditionen oder Service Levels. Heute stehen sie im Mittelpunkt zweier Aufsichtswelten, die sich nicht mehr ignorieren lassen: digitale Resilienz nach DORA und Nachhaltigkeit nach ESG-Regimen wie CSRD, CSDDD, Lieferketten- und Umweltauflagen. Was früher zwei parallele Gespräche waren – Sicherheit hier, Nachhaltigkeit dort –, verwandelt sich in eine einzige Führungsaufgabe. Denn dieselben Lieferanten, die Kernprozesse am Laufen halten, sind zugleich Ursprung von CO₂-Fußabdrücken, Menschenrechts- und Umwelt­risiken, Daten- und KI-Fragen.

Dieser Beitrag zeigt, warum die beiden Welten sich gerade ineinander verschrauben, weshalb klassische Third-Party-Checklisten scheitern, wie ein integriertes Steuerungsmodell für DORA- und ESG-Pflichten aussieht, welche Metriken zählen, wie Verträge zu Führung werden, welche Anti-Patterns sicher ins Aus führen – und wie sich in 180 Tagen ein Fundament legen lässt, das Prüfungen besteht und Betriebe stabilisiert. Kurz: Wie man Lieferketten im Stress in eine belastbare, prüfbare, zukunftsfähige Architektur überführt.

„Das Bauchgefühl war bisher gar nicht so schlecht“ – dieser Satz fällt in Vorständen erstaunlich oft, wenn es um Risikoentscheidungen geht. Und ja: Erfahrung, Intuition und Brancheninstinkt sind wertvoll. Aber sie sind nicht reproduzierbar, nicht auditierbar und nicht skalierbar. Spätestens wenn Risiken mit Technologiegeschwindigkeit wachsen, Lieferketten global verästeln, Regulierungen Evidenz verlangen und Budgets knapp sind, kommt die Stunde der Risikoquantifizierung 2.0: ein Set aus Daten, Modellen, Messpunkten, Routinen und Kultur, das Unsicherheit nicht romantisiert, sondern handhabbar macht – ohne den Irrtum zu pflegen, man könne die Zukunft exakt berechnen. Es geht nicht um Zahlenfetisch, sondern um entscheidungsreife Transparenz: So viel Risiko können wir tragen, so schnell müssen wir reagieren, so stark wirken Maßnahmen, so teuer ist Verzögerung. Dieser Beitrag zeigt, wie der Sprung gelingt – von Scorecards und Farbfeldern zu belastbaren Verteilungen und Zeit-Kosten-Profilen; von Einmalstudien zu laufender Beweisführung; von Bauchgefühl zu messbarem Ermessen.

1) Wozu quantifizieren? Vom Schönreden zum Steuern

Die Grundfrage ist banal und radikal zugleich: Wieviel Risiko können wir uns leisten, um unsere Ziele zu erreichen? Die klassische Heatmap beantwortet sie kaum. Sie ordnet ein, färbt ein, schafft Konsens – aber selten Entscheidungen. Risikoquantifizierung 2.0 macht aus Diskussionen Handlungsoptionen:

GRC – Governance, Risk & Compliance – galt jahrelang als vernünftiger Dreiklang, in der Praxis aber oft als Dreifaltigkeit der Silos. Governance schrieb Richtlinien, Risk malte Heatmaps, Compliance pflegte Ordner – jede Disziplin korrekt im eigenen Kosmos, selten im Gleichklang. Das Ergebnis: viele Aktivitäten, wenig Wirkung. Heute, mit überlappenden Aufsichten (DORA, NIS2, AI Act, CRA, CSRD), komplexen Lieferketten und softwaregetriebener Wertschöpfung, bricht dieses Modell sichtbar. Was fehlt, ist kein weiterer Standard, sondern eine Arbeitsweise, die GRC zu einem System macht: aus einem Guss geplant, aus Daten gespeist, im Betrieb verankert, mit Nachweisen, die aus dem Tun entstehen – nicht aus dem Nachzeichnen. Dieser Beitrag zeigt, wie die Integration gelingt: organisatorisch, technisch, kulturell. Und warum „integriert“ nicht bedeutet, alles zu zentralisieren, sondern Schnittstellen so zu gestalten, dass Arbeit fließt.

1) Warum die alte GRC-Logik scheitert – und zwar zuverlässig

Silos sind bequem. Jedes Team setzt seine Tools, seine Taxonomie, seine KPIs. Doch drei strukturelle Brüche machen das alte Modell unhaltbar:

Jede Organisation kennt sie, fast niemand denkt an sie: Multifunktionsgeräte, Druckerflotten, Scanner, Plotter, Etikettendrucker, Fax-Module, Kioskdrucker für Belege. Sie stehen unscheinbar im Flur, summen leise vor sich hin, produzieren zuverlässig Seiten – und werden in Security-Runden oft nur dann erwähnt, wenn es um Kosten oder papierlose Initiativen geht. Dabei sind genau diese Geräte in vielen Netzen hochprivilegierte, dauerhaft präsente, schwach gehärtete Systeme mit direktem Draht zu Fileservern, E-Mail-Gateways, Verzeichnisdiensten und manchmal sogar ins öffentliche Internet. Wer sie ignoriert, baut eine Sicherheitsarchitektur mit offener Seitentür. Zeit, das Licht einzuschalten: Warum sind Drucker, Scanner & Co. so attraktiv für Angreifer? Wo liegen die Schattenrisiken? Und wie macht man aus einem grauen Kasten im Flur ein steuerbares, belastbares Asset – statt einer vergessenen Schwachstelle?

Warum ausgerechnet Drucker? Die Logik des Angreifers

Angreifer suchen nicht den glamourösen Weg, sondern den einfachen. Sie lieben überall verfügbare Geräte mit weit offenen Protokollen, seltenen Patches, Standardpasswörtern, großzügigen Netzwerkrechten und Administrationsoberflächen, die niemand überwacht. Multifunktionsgeräte liefern dieses Paket frei Haus:

Es knirscht selten laut, wenn es passiert. Kein großer Knall, keine rot blinkenden Warnlampen. Stattdessen: eine kleine Konfigurationsänderung bei einem Dienstleister, ein unscheinbares Update, eine freundliche E-Mail eines „Partners“, ein Browser-Plugin aus einem Hersteller-Marketplace. Wochenlang wirkt alles normal, die Dashboards bleiben grün. Und doch hat sich die Risikolage grundlegend verschoben – nur eben nicht dort, wo das eigene SOC hinschaut. Die Schwachstelle liegt außerhalb des Perimeters, außer Reichweite der üblichen Telemetrie und häufig auch jenseits der eigenen Zuständigkeiten. Genau dort, wo moderne Wertschöpfung in der Praxis stattfindet: bei Third Parties.

Dass Drittparteien zur Achillesferse werden, ist keine überraschende Schlagzeile – aber die Mechanik dahinter wird in vielen Unternehmen unterschätzt. Third Parties stehen mitten in unseren Prozessen, tragen weitreichende Berechtigungen, hosten Daten, signieren Updates, verwalten Identitäten, triagieren Tickets, betreiben Infrastruktur und liefern das, was Kundinnen und Kunden direkt erleben: Verfügbarkeit, Geschwindigkeit, Qualität. In dieser Rolle sind sie nicht „außen“, sondern innen – oft mit mehr Rechten, mehr Einblick und mehr Steuerungsmacht als das, was wir im eigenen Haus für selbstverständlich halten.