Was der Einkauf über Sie findet, bevor er anruft.

Diese Woche hat mir jemand aus der öffentlichen Beschaffung erklärt, was er über einen neuen Lieferanten herausfindet, bevor er ihn zum ersten Mal anruft. Ich hatte mit der Website gerechnet. Die gehört dazu, aber sie ist nur ein Teil.

Vor dem eigentlichen Beschaffungsprozess steht eine Marktanalyse, und die wird um eine Prüfung im ganzen Netz ergänzt: Was ist über das Unternehmen im Internet zu finden, kursiert im Darknet etwas über die Firma, gibt es kompromittierte Konten? Erst wenn es konkret wird und vertrauliche Informationen im Spiel sind, folgen formale Sicherheitsverfahren für das Unternehmen und Sicherheitsüberprüfungen für einzelne Mitarbeiter.

Das Bemerkenswerte daran ist der Zeitpunkt. Die Prüfung läuft, bevor der Lieferant weiß, dass er überhaupt in Frage kommt. Fällt er durch, erfährt er es nie. Es ruft einfach niemand an.

In der Nacht auf den 12. Oktober 2026 wurden in Frankreich die Kühlanlagen von Supermärkten manipuliert. Die Angreifer stellten über vernetzte Steuerungen des Herstellers Danfoss die Temperaturen hoch und starteten Abtauprogramme. Berichtet wird von rund 500 betroffenen Filialen mehrerer großer Handelsketten. Tiefkühlware und Frischprodukte mussten entsorgt werden, die Pariser Staatsanwaltschaft ermittelt.

Die Schwachstellen in diesen Steuerungen waren seit August öffentlich bekannt. Sicherheitsforscher hatten zudem mehr als 2.700 Steuerungen gefunden, die direkt aus dem Internet erreichbar waren, und laut Hersteller lief auf den betroffenen Geräten veraltete Software. Angegriffen wurde also nicht die IT der Supermärkte, sondern die vernetzte Technik eines Zulieferers in ihren Filialen.

Genau dieses Muster zeigt auch die aktuelle Studie „Cybersecurity in Österreich 2026“ von KPMG und dem Kompetenzzentrum Sicheres Österreich (KSÖ), für die im Februar und März 2026 knapp 1.400 österreichische Unternehmen befragt wurden:

Mehr als jedes fünfte Unternehmen wurde also schon über einen Lieferanten angegriffen. Dass Einkäufer genauer hinschauen, ist keine Formalität, sondern eine Reaktion darauf.

Seit 1. Oktober 2026 gilt in Österreich das NISG 2026, die Umsetzung der europäischen NIS-2-Richtlinie. Es verpflichtet rund 4.000 Unternehmen aus kritischen Sektoren zu Sicherheitsmaßnahmen, und dazu gehört ausdrücklich die Sicherheit der Lieferkette. Die Wirtschaftskammer weist darauf hin, was das für alle anderen bedeutet: Die Anforderungen werden entlang der Lieferkette an Lieferanten und Dienstleister weitergegeben, meist über Verträge. Mittelbar betroffen sind damit zehntausende kleinere Betriebe, die selbst gar nicht unter das Gesetz fallen.

Wer Produkte mit digitalen Elementen herstellt, hat zusätzlich den Cyber Resilience Act der EU. Seit 11. September 2026 müssen Hersteller aktiv ausgenutzte Schwachstellen und schwere Sicherheitsvorfälle melden, ab 11. Dezember 2027 gilt die Verordnung vollständig.

Für einen Zulieferer heißt das: Die Frage nach der eigenen Sicherheit kommt nicht erst im Audit. Sie kommt im Fragebogen vor der Auftragsvergabe, und davor in einer Prüfung, von der er nichts mitbekommt.

Für die automatisierte Prüfung von Lieferanten gibt es eigene Anbieter, sogenannte Security-Rating-Plattformen. Sie bewerten Unternehmen von außen, ohne Zugang zu deren Systemen, nur anhand dessen, was öffentlich sichtbar ist: DNS-Einträge, Zertifikate, E-Mail-Einstellungen, offene Ports. Ein verbreiteter Anbieter teilt seine Prüfungen in zehn Bereiche:

Vier dieser zehn Bereiche betreffen unmittelbar Ihre Website und Ihre Domain: Website-Sicherheit, Verschlüsselung, E-Mail und DNS. Am Ende steht eine Bewertung. Ob jemand die Einzelbefunde dahinter liest, entscheidet der Prüfende, nicht Sie.

Ich bin kein Sicherheitsexperte. Für Penetrationstests, die Überwachung von Datenlecks und die Umsetzung des NISG braucht es Fachleute, und die gibt es. Ein Teil dieser Prüfung liegt aber ganz bei Ihnen selbst, und es ist genau der Teil, den ein Einkäufer zuerst sieht: Ihre Website.

• Gepflegt statt nur vorhanden. Eine Website, deren Software seit Jahren nicht aktualisiert wurde, zeigt sich in jeder Prüfung von außen. Sie ist meist auch der einzige Teil Ihrer Systeme, den jeder Fremde ansehen kann.
• Ein Ansprechpartner für Sicherheitsfragen. Wer auf der Website nennt, an wen man Sicherheitsmeldungen richtet, zeigt, dass jemand zuständig ist. Dafür gibt es sogar einen Standard, die Datei security.txt.
• Die eigene E-Mail-Domain. Ob Ihre Domain gegen gefälschte Absender abgesichert ist, lässt sich von außen in Sekunden prüfen. Fragen Sie Ihre IT danach, das ist in der Regel kein großes Projekt.
• Dasselbe Unternehmen wie im Gespräch. Zertifizierungen, Branchen, Ansprechpartner und Datenblätter sollten auf der Website so stehen, wie Sie sie im ersten Gespräch nennen würden. Eine Prüfung, die Widersprüche findet, wird nicht wohlwollender.

Der Einkauf prüft Sie, bevor er anruft, und zwar nicht nur Ihre Website. Den größten Teil dieser Prüfung können Sie nicht steuern, außer durch gute Sicherheit im Hintergrund. Die Website können Sie steuern. Sie ist das Einzige, was ein Einkäufer von Ihnen sicher zu sehen bekommt, und sie sollte zu dem Unternehmen passen, das er danach am Telefon kennenlernen soll.