Ein einziger Vishing-Anruf bei einem externen Dienstleister verschaffte Angreifern im April 2025 fünf Tage lang Zugriff auf Kundendaten von Ericsson – und Ericsson selbst wurde erst sieben Monate später benachrichtigt. Bei der Sicherheitsverletzung wurden 15.661 Datensätze offengelegt, darunter Sozialversicherungsnummern, Finanzkontodaten und medizinische Informationen. Die meisten Security-Awareness-Programme schützen die eigenen Mitarbeiter eines Unternehmens. Fast keines erstreckt sich auf die Belegschaft von Dienstleistern. Genau diese Lücke nutzen Angreifer aus.
Ein Anruf bei einem Dienstleister. 15.661 Datensätze offengelegt.
Im April 2025 rief ein Angreifer einen Mitarbeiter eines externen Dienstleisters von Ericsson an. Der Anruf nutzte Social Engineering per Telefon – ein sogenannter Vishing-Angriff. Er war erfolgreich. Zwischen dem 17. und 22. April griff der Angreifer auf Systeme zu, die Namen, Sozialversicherungsnummern, Finanzkontonummern und medizinische Informationen von 15.661 Personen enthielten.
Der Dienstleister entdeckte den Eindringversuch am 28. April. Ericsson wurde erst am 10. November 2025, also fast sieben Monate später, benachrichtigt. Die forensische Untersuchung wurde am 23. Februar 2026 abgeschlossen. Ericsson gab den Vorfall am 9. März 2026 öffentlich bekannt. (Quelle: The Register, 10. März 2026, theregister.com)
Dies war kein ausgeklügelter technischer Exploit. Es war ein Telefonanruf.
Warum Dienstleister das Ziel sind
Angreifer suchen sich nicht das schwierigste Ziel aus. Sie finden den Weg des geringsten Widerstands innerhalb einer vertrauensvollen Geschäftsbeziehung.
Drittanbieter verfügen oft über denselben Datenzugriff wie die Unternehmen, für die sie tätig sind. Ein Dienstleister, der Kundendaten, Abrechnungen oder Supportfunktionen verwaltet, verarbeitet sensible Daten im Namen des Hauptunternehmens, sichert diese jedoch gemäß seinem eigenen Sicherheitsstandard ab. Die Lücke zwischen diesen beiden Standards ist der Ort, an dem Sicherheitsverletzungen geschehen.
Laut dem Verizon Data Breach Investigations Report 2025 machen Sicherheitsverletzungen bei Drittanbietern mittlerweile 30 % aller Datenpannen weltweit aus – ein Anstieg von 100 % gegenüber dem Vorjahr. (Quelle: Verizon DBIR 2025, verizon.com) Wenn eine Sicherheitsverletzung ihren Ursprung bei einem Dienstleister hat, steigen die durchschnittlichen Kosten auf 4,91 Millionen US-Dollar, verglichen mit einem weltweiten Durchschnitt von 4,44 Millionen US-Dollar. (Quelle: IBM Cost of a Data Breach 2025, ibm.com)
Die wirtschaftlichen Zusammenhänge sind eindeutig. Dienstleister sind wertvollere Ziele, als sie von außen erscheinen.
Das Security-Awareness-Programm, das an der eigenen Tür endet
Die meisten Unternehmen führen ein Security-Awareness-Training durch. Viele dieser Programme sind gut konzipiert, decken Phishing-Simulationen ab, finden in regelmäßigen Abständen statt und liefern Abschlusskennzahlen, die in einem Vorstandsbericht gut aussehen.
Sie decken jedoch nur die eigenen Mitarbeiter des Unternehmens ab.
Vishing-Angriffe haben zwischen der ersten und zweiten Jahreshälfte 2024 um 442 % zugenommen. (Quelle: CrowdStrike, zitiert in Secureframe Data Breach Statistics 2025, secureframe.com) Dieser Anstieg hängt direkt damit zusammen, warum sprachbasierte Social-Engineering-Angriffe immer effektiver werden: Die meisten Sicherheitsschulungen konzentrieren sich auf E-Mail-Phishing, nicht auf Telefonanrufe. Mitarbeiter von Drittanbietern erhalten noch weniger Schulungen.
Das strukturelle Problem besteht darin, dass Telefonanrufe anders funktionieren als E-Mails. Es gibt keinen Link, über den man mit der Maus fahren kann, keine Absenderadresse zur Überprüfung und keine Zeit zum Nachdenken. Die Stimme erzeugt in Echtzeit Dringlichkeit und eine wahrgenommene Autorität. Sicherheitsprogramme, die primär auf die Erkennung von E-Mails ausgerichtet sind, trainieren nicht die Reflexe, die bei einem Vishing-Anruf erforderlich sind. Diese Lücke ist bei Mitarbeitern von Drittanbietern, die völlig außerhalb der Sicherheitskultur des Unternehmens stehen, noch größer.
Überträgt man dieses Problem auf Drittanbieter – also Mitarbeiter, die weniger Schulungen, weniger Simulationen und weniger Investitionen in die Sicherheitskultur erhalten haben –, wird die Lücke zu einem strukturellen Sicherheitsrisiko. Ein Angreifer, der durchkommt, muss keine Firewall knacken. Er ruft einfach an.
Sieben Monate Schweigen
Der Zeitplan bei Ericsson enthält ein Detail, das über den Vorfall selbst hinaus von Bedeutung ist: die siebenmonatige Verzögerung bei der Benachrichtigung.
Der Dienstleister entdeckte den Sicherheitsvorfall im April. Ericsson erfuhr im November davon. Das sind 196 Tage, in denen die Kunden von Ericsson keine Möglichkeit hatten, sich zu schützen – keine Kreditsperre, keine Passwortänderung, keine Betrugsüberwachung.
Diese Verzögerung ist keine Ausnahme. Die durchschnittliche Zeit bis zur Offenlegung bei Sicherheitsvorfällen durch Dritte beträgt 73 Tage. (Quelle: Black Kite, zitiert in Industrial Cyber, März 2026, industrialcyber.co) Viele Verträge mit Dienstleistern legen Benachrichtigungsfristen nur allgemein fest. Nur wenige definieren Konsequenzen bei Nichteinhaltung oder verpflichten den Dienstleister dazu, das Hauptunternehmen als aktiven Akteur in die Reaktion auf Sicherheitsvorfälle einzubeziehen.
Wenn ein Dienstleister gehackt wird, erfährt das Hauptunternehmen erst davon, wenn der Dienstleister sich dazu entschließt, es mitzuteilen. 196 Tage lang hatte Ericsson keine Informationen, auf deren Basis es hätte handeln können.
Was die Grenze der Lieferkette für das menschliche Risiko wirklich bedeutet
Hier ist der neue Blickwinkel, den man aus diesem Fall mitnehmen sollte.
Programme zum Management menschlicher Risiken, die an der Unternehmensgrenze enden, reduzieren das Risiko nur für die Menschen innerhalb dieser Grenze. Jeder Dienstleister, Partner und Anbieter, der Ihre Daten verarbeitet, stellt ebenfalls ein menschliches Sicherheitsrisiko dar. Deren Mitarbeiter erhalten Telefonanrufe. Sie werden Ziel von Social-Engineering-Versuchen. Sie treffen Entscheidungen unter Druck.
Ob diese Entscheidungen innerhalb oder außerhalb Ihrer Sicherheitskultur getroffen werden, hängt ganz davon ab, was Sie von Ihren Dienstleistern verlangen. Die meisten Unternehmen verlangen bisher nicht viel.
Verhalten ist die Kontrollinstanz, die durch technische Sicherheit nicht ersetzt werden kann. Ein Mitarbeiter eines Dienstleisters, der einen Vishing-Anruf erkennt und korrekt eskaliert, ist eine bessere Sicherheitsmaßnahme als jede Richtlinie, die ihn dazu verpflichtet.
Die Sicherheitslücke an der Grenze der Lieferkette schließen
Wenn Dienstleister ein verhaltensbezogenes Sicherheitsrisiko darstellen, stellt sich die Frage, wie man Sicherheitskompetenzen nach außen verlagert, anstatt nur bessere Verträge zu schreiben.
Unternehmen, die hier Fortschritte machen, betrachten die Sicherheit von Dienstleistern nicht als bloßes Compliance-Häkchen. Sie sehen sie als echte Erweiterung ihrer eigenen Sicherheitskultur im Hinblick auf menschliche Risiken. Dieser Wandel verändert den Fokus bei Dienstleister-Audits, die Gespräche beim Onboarding und die Art und Weise, wie sie bei Sicherheitsvorfällen reagieren.
Einige Bereiche, in denen die Lücke am besten geschlossen werden kann:
Verhaltensbereitschaft statt nur Abschlussquoten. Ein Mitarbeiter eines Anbieters, der einen jährlichen Kurs zum Thema Phishing-Awareness absolviert hat, ist nicht mit jemandem zu vergleichen, der den Umgang mit einem sprachbasierten Social-Engineering-Szenario praktisch geübt hat. Die entscheidende Kennzahl ist die Erfahrung mit realistischen Simulationen, nicht der Abschluss von Trainingsmodulen – und ob dabei gezielt sprachbasierte Szenarien berücksichtigt werden.
Gemeinsame Transparenz bei Risiken. Die meisten Prozesse für Drittanbieterrisiken liefern bei Vertragsunterzeichnung einen punktuellen Risikowert und werden danach inaktiv. Die Ericsson-Timeline – 196 Tage zwischen Entdeckung und Benachrichtigung – zeigt, was passiert, wenn es keine kontinuierliche, gemeinsame Transparenz gibt. Engere Beziehungen zu wichtigen Anbietern beinhalten regelmäßige Sicherheitsüberprüfungen, nicht nur vertragliche Vereinbarungen.
Incident Response als gemeinsamer Prozess. Ein Anbieter, der in Ihrem Auftrag sensible Daten verarbeitet, sollte Sie als aktiven Stakeholder in seinem Incident-Response-Plan führen, inklusive definierter Kommunikationsfristen. Die Alternative ist, es erst nach sieben Monaten zu erfahren.
Realistische Benachrichtigungsfristen. Für Anbieter mit EU-Bezug bietet das 72-Stunden-Fenster für die erste Meldung gemäß NIS2 einen nützlichen Anhaltspunkt dafür, was „zeitnah“ in der Praxis bedeutet. Bei anderen Anbietern sollte dieses Gespräch geführt werden, bevor ein Sicherheitsvorfall eintritt, nicht erst danach.
Nichts davon erfordert, dass ein Anbieter dasselbe Sicherheitsprogramm wie Ihr Unternehmen hat. Es erfordert ein gemeinsames Verständnis darüber, wo dessen Gefährdung endet und Ihre beginnt – sowie die Anerkennung, dass diese Grenze aus Sicht eines Angreifers nicht existiert.
Die Grenze ist eine politische Entscheidung, keine technische
Der Ericsson-Vorfall erforderte keine Zero-Day-Schwachstelle. Er erforderte lediglich einen Telefonanruf und einen Mitarbeiter des Anbieters, der darauf nicht vorbereitet war.
Unternehmen, die das Risiko auf Anbieterebene reduzieren, betrachten das menschliche Risiko bei Drittanbietern als ihr eigenes und nicht als die alleinige Verantwortung des Partners. Sie weiten ihre Anforderungen an das sicherheitsbewusste Verhalten auf die Beschaffung aus. Sie prüfen, statt vorauszusetzen.
Sicherheitskultur überträgt sich nicht automatisch durch einen Vertrag. Sie verbreitet sich durch gezielte Ausweitung.
Weiterführende Lektüre
Wenn Sie Ihre Risikoposition gegenüber Drittanbietern im Hinblick auf neue, KI-gestützte Social-Engineering-Bedrohungen überprüfen, bietet unser E-Book „Human Risk and GenAI 2026“ Einblicke in Vishing, KI-Stimmklone und Schatten-KI-Risiken in Unternehmensumgebungen.
.png)
