Branche · Logistik & Transport

Eine Sendung passiert fünf Stationen. An vier davon redet ein fremdes System mit.

Luft-, Schienen- und Schiffsverkehr samt Häfen stehen in Anlage 1 BSIG, Post- und Kurierdienste in Anlage 2. Größere Umschlagpunkte wie Häfen zählen ab bestimmten Schwellenwerten zusätzlich zum KRITIS-Sektor „Transport und Verkehr“. Wir prüfen eure Sicherheit dort, wo sie sich entscheidet: entlang einer einzelnen Sendung, vom Auftragseingang über Lager, Werktor und Umschlagpunkt bis zur Zustellung. An diesen Stationen hängen Transportmanagement, Lagerverwaltung, Terminalsteuerung und das Personal am Tor, und an den meisten davon arbeitet jemand mit, der nicht zu eurem Unternehmen gehört.

Logistik-IT-Sicherheit prüfen lassen Zur Laufstrecke

Die Laufstrecke

Eine Sendung, fünf Stationen, fünf Angriffsflächen

Die Strecke folgt einer einzelnen Sendung durch eure Kette, vom Auftragseingang bis zur Zustellung. An jeder Station steht, was dort passiert, wer außer euch mitredet und was wir dort prüfen. Fast überall hängt ein fremdes System mit an der Station, und genau das macht die Kette empfindlich: Ein Stillstand bleibt selten dort, wo er entsteht.

Kundenportal, EDI, Zoll Nur eure Systeme Fremde Fahrer Umschlagpartner Zustellpartner 01 Auftrag 02 Lager 03 Werktor 04 Umschlag 05 Zustellung Auftrag angenommen Sendung zugestellt
  • Fremdes System an der Station
  • Nur eure eigenen Systeme
Quer über alle fünf Stationen liegen die Kunden- und Lieferantenschnittstellen: APIs und Portale für Sendungsverfolgung, EDI-Anbindungen und Frachtbuchung verbinden euer Netz direkt mit dem der Partner. Fällt eine Station aus, bleibt der Ausfall selten bei euch. Der nächste Partner in der Kette merkt es als Nächster, und danach merkt es der Kunde.

Die Sendung läuft von selbst über die Strecke. Ein Klick auf eine Station hält sie an, damit ihr in Ruhe lesen könnt.

Auftragseingang TMS, Kundenportal, EDI-Anbindung

Was hier passiert

Der Auftrag entsteht selten bei euch. Er kommt über ein Kundenportal, eine EDI-Anbindung oder als Mail in die Disposition und landet im Transportmanagementsystem, das Touren, Frachten und Aufträge zentral steuert. Von dort laufen dieselben Daten weiter an Zoll, Subunternehmer und Auftraggeber.

Wer außer euch mitredet

Auftraggeber mit eigenem Portalzugang, EDI-Partner, Zollagenten und Subunternehmer, die denselben Datensatz weiterverarbeiten.

Was wir hier prüfen

Authentifizierung und Mandantentrennung der Portale, Rechte an den Schnittstellen, Umgang mit fremden Frachtanfragen in der Disposition. Die Kernfrage lautet, ob ein Partnerzugang über seinen eigenen Mandanten hinauskommt.

Web-App- & API-Pentest ansehen

Lagebild

Zahlen zur Lage

Zwei unabhängige Quellen, ein Bild: Transport und Logistik stehen im Visier, und die Schwachstelle sitzt selten nur in der Technik.

  • 7,5 % aller Vorfälle trafen den Transportsektor, damit der am zweithäufigsten angegriffene SektorENISA Threat Landscape 2025
  • 20,8 % davon entfielen auf Logistik im engeren Sinne, 58,4 % auf die LuftfahrtENISA Threat Landscape 2025
  • 78,8 % der befragten Logistikunternehmen waren bereits direkt oder indirekt von einem Cyberangriff betroffenSophos/techconsult, Sept. 2025, 147 Befragte
  • 4.875 analysierte Vorfälle zwischen 1. Juli 2024 und 30. Juni 2025 als Grundlage der ENISA-AuswertungENISA Threat Landscape 2025

Die Balken zeigen den Anteil an der jeweiligen Grundgesamtheit, nicht die Lage eines einzelnen Unternehmens. Was bei euch offen steht, zeigt erst ein Test an eurer eigenen Strecke.

Station 03 · Faktor Mensch

Der größte Angriffsvektor in der Logistik heißt nicht Firewall

An Werktoren, Terminals und Laderampen laufen täglich Dutzende fremde Fahrer, Subunternehmer und Zustelldienste durch, dazu kommt hohe Personalfluktuation im Wachdienst. Genau diese Routine nutzt jemand aus, der sich als Fahrer eines Subunternehmers oder als Zustellpartner ausgibt: selbstbewusstes Auftreten, ein angeblicher Liefertermin, und schon winkt das an diesen Verkehr gewöhnte Torpersonal durch. Ist der Zutritt einmal geschafft, sind Lagerhallen, Terminalbereiche und oft auch ungesicherte Netzwerkanschlüsse in Reichweite.

Der Punkt ist nicht, dass Torpersonal unaufmerksam wäre. Der Punkt ist, dass es an einem normalen Tag genau das tun soll: Fremde zügig durchlassen, damit die Rampe frei bleibt. Wer das prüfen will, muss es unter realen Bedingungen prüfen, und danach mit den Leuten sprechen, statt sie vorzuführen.

„Die größte Herausforderung bleibt der Faktor Mensch.“

Michael Veit, Sicherheitsexperte bei Sophos

Drei Vorwände, die im Alltag funktionieren

Wir bauen keine Filmszenen nach. Diese drei Ansätze kommen aus dem Betrieb selbst und lassen sich an fast jedem Standort durchspielen.

  1. Zutritt am Werktor

    Selbstbewusstes Auftreten, ein angeblicher Liefertermin, ein passender Name aus dem öffentlich einsehbaren Umfeld. Danach sind Lagerhalle, Verladung und oft ungesicherte Netzwerkdosen in Reichweite.

  2. Manipulation im TMS oder LVS

    Wer über eine schwache Mandantentrennung oder eine ungeschützte Partner-Schnittstelle ins System kommt, kann Touren umleiten, Bestände verändern oder Sendungsdaten abgreifen, ohne je ein Werktor zu sehen.

  3. Phishing in der Disposition

    Zeitdruck, Fahrer-Kommunikation und ständig neue Kontakte ergeben die ideale Umgebung für eine gefälschte Frachtanfrage mit Anhang oder Login-Link. In der Disposition wird eine Mail nach Dringlichkeit sortiert, nicht nach Absenderdomain.

Drei Fälle

Was in der Branche bereits passiert ist

Drei Vorfälle bei Logistikunternehmen, wie sie laut Medienberichten abgelaufen sind. Kein Einzelfall, sondern ein Muster.

  1. Hellmann Worldwide Logistics

    Osnabrück · Ransomware

    Der in Osnabrück ansässige Logistikdienstleister wurde Ziel eines Ransomware-Angriffs.

  2. Swiss Post Cargo Deutschland

    ca. 1.600 Geschäftskunden

    Ein Cyberangriff auf das Unternehmen betraf rund 1.600 Geschäftskunden. Die Zahl zeigt, was an einer Kette hängt: Betroffen ist am Ende jeder, dessen Sendungen über dieses Unternehmen laufen.

  3. DSV

    Oktober 2025

    Im Oktober 2025 nannte die Gruppe „CoinbaseCartel“ den Speditionsriesen auf ihrer Leak-Seite als Opfer. DSV bestätigte einen Angriff nicht und erklärte, Systeme und Betrieb seien nicht beeinträchtigt.

Angaben nach öffentlicher Berichterstattung. Access Granted war an diesen Vorfällen nicht beteiligt.

Unsere eigene Pentest-Erfahrung ansehen

Betroffenheit

Was an welcher Station reguliert ist

Luft-, Schienen- und Schiffsverkehr samt Häfen stehen in Anlage 1 BSIG, Post- und Kurierdienste in Anlage 2. Seit dem 6. Dezember 2025 gilt das neu gefasste BSI-Gesetz, und ob euer Unternehmen als wichtige oder besonders wichtige Einrichtung erfasst ist, entscheidet die Prüfreihenfolge des § 28 BSIG nach Sektor, Größe und Umsatz. Größere Umschlagpunkte wie Häfen können ab bestimmten Schwellenwerten zusätzlich als Kritische Infrastruktur gelten. Statt einer weiteren Paragrafenliste zeigt die Tabelle, was die Pflichten an derselben Strecke bedeuten.

Station Worauf es in der Praxis ankommt Fundstelle
01Auftragseingang Sicherheit in der Lieferkette und der Umgang mit Partnerzugängen gehören ausdrücklich zu den geforderten Risikomanagementmaßnahmen. Art. 21 NIS2, § 30 BSIG
02Lager & Kommissionierung Netztrennung, Zugriffskontrolle und Absicherung der eigenen Systeme nach dem Stand der Technik. § 30 BSIG
03Werktor & Verladung Zutrittskontrolle, physische Sicherheit und Personalthemen zählen zum Risikomanagement. Technik allein erfüllt die Anforderung nicht. § 30 BSIG
04Umschlagpunkt Überschreitet ein Umschlagpunkt die Schwellenwerte für Kritische Infrastrukturen, kommt ein wiederkehrender Nachweis gegenüber dem BSI dazu, seit der Reform alle drei statt zuvor alle zwei Jahre. § 39 BSIG, KRITIS-Verordnung
05Zustellung & Sendungsverfolgung Erhebliche Sicherheitsvorfälle sind gestuft zu melden: frühe Erstmeldung binnen 24 Stunden, Vorfallmeldung binnen 72 Stunden, Abschlussmeldung nach spätestens einem Monat. Wer die eigene Angriffsfläche nicht kennt, hält diese Fristen nicht ein. § 32 BSIG, Art. 23 NIS2

Wir liefern den Penetrationstest und den technischen Nachweis, den ihr in eure Dokumentation übernehmen könnt. Die Einstufung, die Registrierung beim BSI und die rechtliche Bewertung bleiben bei euch und eurer Rechtsberatung.

NIS2-Pentest im Detail KRITIS-Pentest im Detail Betroffenheit kostenlos prüfen

Unser Vorgehen

Der Test läuft dieselbe Strecke ab

Laufender Warenfluss und Zustellfristen haben Vorrang. Deshalb ist unser Vorgehen eng mit Disposition und Terminalbetrieb abgestimmt, und jede Etappe ist vorher schriftlich festgehalten.

  1. Etappe 01

    Scoping mit Rücksicht auf den Betrieb

    Gemeinsam legen wir fest, welche Stationen aktiv getestet und welche nur passiv analysiert werden, insbesondere bei Terminalsteuerung und laufenden Sendungen. Fremde Standorte und Partnersysteme bleiben außen vor, solange deren Betreiber nicht schriftlich zugestimmt hat.

  2. Etappe 02

    Reconnaissance & Angriffsvorbereitung

    Informationssammlung über öffentlich zugängliche Quellen, Netzwerk-Scans und Vorbereitung realistischer Angriffsszenarien, inklusive Pretexting-Ansätzen für Werktor und Disposition. Was über euch öffentlich auffindbar ist, ist der Startpunkt jedes echten Angreifers.

  3. Etappe 03

    Testdurchführung

    Manuelle Prüfung nach vereinbartem Scope, mit definiertem Notfallkontakt und sofortigem Stopp bei unerwarteten Auswirkungen auf den Warenfluss. Kritische Funde melden wir sofort, nicht erst im Bericht.

  4. Etappe 04

    Analyse & Risikobewertung

    Jedes Finding wird nach Schweregrad, Ausnutzbarkeit und Auswirkung auf Lieferfähigkeit und Terminalbetrieb bewertet. Ein Fund, der eine Rampe stoppt, steht damit vor einem Fund, der nur theoretisch stört.

  5. Etappe 05

    Abschlussbericht & Präsentation

    Vollständige Dokumentation mit Handlungsempfehlungen, Management-Summary und Zuordnung zu NIS2- bzw. KRITIS-Anforderungen. Auf Wunsch stellen wir die Ergebnisse Geschäftsführung und IT getrennt vor, weil beide unterschiedliche Fragen daran haben.

Die Reihenfolge steht fest, der Umfang nicht. Getestet wird an den Stationen, die ihr freigebt, und ausgelassen, was den laufenden Warenfluss gefährden würde.

Relevante Module

Diese Tests bringen eure Logistik-IT auf Stand der Technik

Von der Disposition bis zum Werktor reicht ein Test allein nicht aus. Jedes Modul deckt eine andere Station der Strecke ab, und in der Praxis ergänzen sie sich.

  • Station 03

    Physical Pentest

    Simulierter Zutritt zu Werktoren, Lagerhallen und Terminalbereichen. Deckt die physische Angriffsfläche ab, die in der Logistik besonders häufig zutrifft.

    Mehr erfahren
  • Station 03 & 05

    Social Engineering

    Phishing- und Pretexting-Simulationen, zugeschnitten auf Disposition, Fahrer-Kommunikation und den ständigen externen Publikumsverkehr am Tor.

    Mehr erfahren
  • Station 02

    Infrastruktur

    Netzwerksegmentierung zwischen Büro-IT, TMS/LVS und Terminalsteuerung, Zugriffsrechte, Hallennetz und Schnittstellenhärtung.

    Mehr erfahren
  • Station 04

    OT & Terminalsteuerung

    Steuerungssysteme am Umschlagpunkt: Netzanbindung, Fernwartung und Trennung zur Büro-IT, geprüft ohne aktiven Eingriff in den laufenden Betrieb.

    Mehr erfahren
  • Station 01 & 05

    Web-Apps & APIs

    Kundenportale, Sendungsverfolgung, Frachtbuchung und EDI-Schnittstellen, mit Fokus auf Authentifizierung und Trennung zwischen Mandanten.

    Mehr erfahren

Pentest in Logistik & Transport: eure Fragen

Nicht automatisch. Anlage 1 BSIG nennt im Transportsektor Luft-, Schienen- und Schiffsverkehr samt Häfen sowie Verkehrssteuerung, Anlage 2 die Post- und Kurierdienste; eine reine Straßenspedition oder ein Lagerdienstleister ist dort keine eigene Einrichtungsart. Ob euer Unternehmen konkret betroffen ist, hängt von Größe und Einstufung als wichtige oder besonders wichtige Einrichtung ab; die Prüfreihenfolge dafür steht in § 28 BSIG. Größere Umschlagpunkte wie Häfen können zusätzlich unter die KRITIS-Verordnung fallen.

Eine Sophos/techconsult-Umfrage vom September 2025 unter 147 Fach- und Führungskräften der Branche ergab, dass 81 % menschliches Fehlverhalten oder fehlendes Sicherheitsbewusstsein als zentrales Risiko nennen. Das passt zur Struktur der Branche: hohe Personalfluktuation, ständiger externer Publikumsverkehr an den Werktoren und Zeitdruck in der Disposition senken erfahrungsgemäß die Wachsamkeit gegenüber Phishing und Pretexting.

Ja, das gehört zu unserem Physical-Pentest-Modul. Wir simulieren realistische Zutrittsversuche, zum Beispiel als vermeintlicher Fahrer oder Subunternehmer, und prüfen, ob Werktor, Zugangskontrollen und Lagerbereiche dem standhalten. Vorab klären wir, wer am Standort Bescheid weiß und wie das Torpersonal im Nachgang eingebunden wird, ohne dass jemand bloßgestellt wird.

Ja. Gerade kleinere und mittlere Speditionen halten sich oft für „zu unwichtig“ für gezielte Angriffe, sind aber häufig über EDI-Schnittstellen und Subunternehmer-Beziehungen an größere Lieferketten angebunden und damit ein attraktiver Umweg für Angreifer. Der ENISA-Befund, dass Transport die zweithäufigste Zielbranche ist, unterscheidet nicht nach Unternehmensgröße.

Das hängt stark vom Umfang ab: wie viele Standorte, ob TMS/LVS-Systeme und Terminalsteuerung mit reinsollen, ob Physical und Social Engineering dazugehören. Nach einem kostenlosen Erstgespräch kennen wir euren Scope, und ihr bekommt ein transparentes Festpreisangebot.

Je nach Umfang dauert die Testdurchführung typischerweise ein bis drei Wochen, danach folgen Analyse und Berichtserstellung. Kritische Findings mit unmittelbarem Handlungsbedarf melden wir euch nicht erst im Abschlussbericht, sondern sofort.

NIS2 gilt für wichtige und besonders wichtige Einrichtungen im Transportsektor. KRITIS („Transport und Verkehr“) betrifft zusätzlich nur Betreiber, die bestimmte Schwellenwerte überschreiten, etwa große Häfen oder Umschlagpunkte, und bringt eigene, schärfere Nachweispflichten nach BSIG mit sich. Beide Pflichten können parallel gelten.

Ja. Wir prüfen Transportmanagement- und Lagerverwaltungssysteme ebenso wie APIs und Portale für Sendungsverfolgung oder Frachtbuchung, meist mit Fokus auf Authentifizierung, Autorisierung zwischen Mandanten und Absicherung der Schnittstellen zu Subunternehmern und Kunden.

Gar nicht, solange uns keine schriftliche Freigabe des Betreibers vorliegt. Ein Umschlagterminal oder das Rechenzentrum eines Zustellpartners ist fremdes Eigentum, und ein Test ohne Erlaubnis wäre strafbar. Was wir stattdessen tun: Wir prüfen von eurer Seite aus, was ein kompromittierter Partnerzugang bei euch anrichten könnte, und wie weit ein Partner in eure Systeme hineinreicht.

In der Regel ja. Große Verlader geben ihre eigenen Anforderungen vertraglich an die Spedition weiter, weil Sicherheit in der Lieferkette Teil ihrer eigenen Pflichten nach Art. 21 NIS2 ist. Ein Pentest-Bericht mit Scope, Methodik, Findings und Behebungsstand ist der übliche Nachweis dafür. Ob er im Einzelfall ausreicht, entscheidet euer Auftraggeber, nicht wir.

Manchmal reicht ein gefälschter Lieferschein am Werktor.

Lasst uns in einem kurzen Gespräch klären, wo ihr bei NIS2 und KRITIS steht und welche Stationen eurer Kette zuerst drankommen. Ihr bekommt danach ein Festpreisangebot, ganz ohne Verpflichtung.

Jetzt Compliance-Erstgespräch buchen Schreibt uns direkt
Diese Seite als druckbaren Flyer (PDF) mitnehmen

Kontakt

Adresse
Albert-Einstein-Straße 1, 95028 Hof
E-Mail
hello@access-granted.de
Telefon
+49 9281 5918506

AccessGranted X GmbH · HRB 7266 · Hof (Saale)

Unternehmen

Leistungen

Pentests für Regularien

Branchen

Netzwerke & Vertrauenszeichen
Vertrauenszeichen des Bundesverbands IT‑Sicherheit (TeleTrusT)
Teilnehmer der Allianz für Cyber-Sicherheit
© AccessGranted X GmbH Zuletzt aktualisiert: 18.09.2026