Die Lieferkette gilt als abgesichert. Der Steuerberater zählt nicht dazu.

„Ein sichereres und stärkeres Europa“ werde die Richtlinie gewährleisten, verkündete die EU-Kommission¹ am 16. Januar 2023, dem Tag, an dem NIS2 in Kraft trat. Zweieinhalb Jahre später legte Bundesinnenminister Alexander Dobrindt zum Kabinettsbeschluss des deutschen Umsetzungsgesetzes nach, in derselben Tonlage: „Mit dem neuen Gesetz schaffen wir ein deutlich höheres Sicherheitsniveau für unsere Wirtschaft und Verwaltung.“² Das Bundesamt für Sicherheit in der Informationstechnik führt dieselbe Richtlinie unter der Marke „Sichere Lieferkette“³ und warnt, ein einziger kompromittierter Zulieferer könne „IT-Systeme lahmlegen, Datenlecks verursachen und dadurch den Geschäftsbetrieb stören“. Anbieter wie ESET⁴ greifen das Bild dankbar auf und nennen die Richtlinie „den digitalen Sicherheitsgurt unserer Zeit“.

Ein Fall genügt, um diesen Anspruch zu prüfen. Ein Angreifer übernimmt das echte Postfach eines vertrauten Lieferanten, exemplarisch das eines Steuerberaters, und verschickt daraus eine echte Rechnung mit getauschter Kontonummer. Kein Link, kein gefälschter Absender, eine gültige elektronische Signatur darunter. Das Unternehmen zahlt, pünktlich, an eine falsche IBAN. Würde eine Richtlinie, die „ein deutlich höheres Sicherheitsniveau“ für genau „die Lieferkette“ verspricht, das verhindern?

Die Antwort beginnt mit einer Grenze, die selten mitgeliefert wird. NIS2 erfasst nicht jedes Unternehmen und nicht jeden Zulieferer. Betroffen sind, nach Artikel 2 der Richtlinie eur-lex.europa.eu ↗, mindestens „mittlere“ Einrichtungen, ab 50 Beschäftigten oder mehr als 10 Millionen Euro Jahresumsatz, und nur, wenn sie einem der 18 Sektoren aus Anhang I und II angehören: elf mit „hoher Kritikalität“ wie Energie, Verkehr, Bankwesen und digitale Infrastruktur, sieben weitere wie Chemie, Lebensmittel und verarbeitendes Gewerbe. Steuerberatung steht in keiner der beiden Listen. Fachanwälte für IT-Recht bestätigen das unabhängig voneinander: Kanzleien fallen „regelmäßig nicht unmittelbar unter die Kategorie der kritischen oder wichtigen Einrichtungen“⁵. Eine Steuerkanzlei bleibt außerhalb von NIS2, unabhängig von ihrer Größe, ihrem Umsatz oder der Zahl ihrer Mandanten.

Selbst für die rund 29.500 Unternehmen, die zweifelsfrei erfasst sind, verlangt der Paragraf zur Lieferkette weniger, als sein Name suggeriert. § 30 Abs. 2 Nr. 4 BSIG gesetze-im-internet.de ↗, die deutsche Fassung von Art. 21 Abs. 2 lit. d NIS2, verlangt ein „Konzept für die Sicherheit der Lieferkette einschließlich sicherheitsbezogener Aspekte der Beziehungen … zu ihren unmittelbaren Anbietern oder Diensteanbietern“. Unmittelbar, nicht die gesamte Kette bis zum Zulieferer des Zulieferers. Und die Pflicht trifft die große, erfasste Einrichtung, die ihre Lieferanten bewerten und vertraglich binden muss, nicht den Zulieferer selbst. Secjur⁶ formuliert die Kanzlei-Perspektive dazu passend: gemeint ist „nicht die gesamte Lieferkette bis zum Rohmateriallieferanten“. Der Steuerberater bekommt aus diesem Paragrafen keine einzige eigene Pflicht.

Zwei Punkte im Katalog berühren das Thema, beide nur mittelbar. § 30 Abs. 2 Nr. 8 BSIG verlangt „Konzepte und Prozesse für den Einsatz von kryptographischen Verfahren“, ohne ein Verfahren, eine Schutzstufe oder auch nur einen Anwendungsfall zu benennen. § 30 Abs. 2 Nr. 10 BSIG verlangt von der erfassten Einrichtung Multi-Faktor- oder kontinuierliche Authentifizierung sowie gesicherte Kommunikationswege, aber wieder nur für die eigenen Systeme, nicht als Vorgabe an Zulieferer. DMARC, SPF und DKIM, die Standards, die einen gefälschten Absender abweisen, kommen im Gesetzestext an keiner Stelle namentlich vor. Anbieter wie PowerDMARC⁷ und Red Sift⁸ ordnen sie der generischen Risikomanagement-Klausel zu. Verbindlich vorgeschrieben, mit einer bestimmten Schutzstufe, ist damit nichts.

Genau dieses „höhere Sicherheitsniveau“ lässt sich an einem einzigen, simplen Verwaltungsschritt messen: der Registrierung beim BSI, ohne inhaltliche Prüfung, nur eine Meldung, fällig am 6. März 2026. Zwei Wochen vor dem Termin hatten sich 4.856 der rund 29.850 verpflichteten Unternehmen gemeldet, nicht einmal jedes sechste. Einen Tag nach dem Stichtag zählte security-insider.de⁹ 11.500 Registrierungen, 38,5 Prozent, 18.350 Unternehmen fehlten weiterhin. Das BSI kommentierte zuversichtlich statt durchgreifend, die „signifikante Steigerung der Registrierungen in den letzten Tagen“ lasse „darauf schließen, dass kurzfristig viele weitere Registrierungen erfolgen werden“. Ende Mai waren es laut ad-hoc-news.de¹⁰ und borncity.com borncity.com ↗ 18.500 von 29.500, knapp zwei Drittel. Sanktionen blieben aus, it-daily.net it-daily.net ↗ notierte lediglich eine neue, weichere Frist zum 31. Juli 2026.

Auch der Zeitplan davor passt schlecht zum großen Wort. Die EU-Umsetzungsfrist lief am 17. Oktober 2024 ab, Deutschland riss sie zusammen mit 23 weiteren Mitgliedstaaten. Der erste Referentenentwurf scheiterte an der vorgezogenen Bundestagswahl. Erst am 13. November 2025 verabschiedete der Bundestag das NIS2UmsuCG, in Kraft seit dem 6. Dezember 2025, über 14 Monate nach der eigentlich verbindlichen Frist.

Registriert ist nicht abgesichert#

Und Registrierung ist, wie oben, nur der Verwaltungsvorlauf. Ob die rund 29.500 erfassten Unternehmen ihre inhaltlichen Pflichten aus § 30 BSIG tatsächlich umgesetzt haben, prüft niemand flächendeckend. Angenommen, dieser Rückstand wäre aufgeholt: Jedes erfasste Unternehmen registriert, sein Lieferkettenkonzept nach § 30 Abs. 2 Nr. 4 BSIG umgesetzt, und die Steuerkanzlei aus dem Fall wäre, rein gedanklich, selbst eine erfasste Einrichtung, etwa als Teil eines großen Kanzleiverbunds über der Schwelle. Würde das die getauschte IBAN aufhalten?

Die Multi-Faktor-Pflicht aus Nr. 10 hätte eine gewisse Chance, die ursprüngliche Kontoübernahme zu erschweren, aber nur, bevor sie passiert. Ist das Postfach einmal übernommen, über gestohlene Zugangsdaten, eine gekaperte Sitzung oder eine zugestimmte OAuth-Anwendung, verschickt der Angreifer die Rechnung über ein Konto, das jede Prüfung besteht, weil es das echte ist. Eine Authentifizierung, die schon einmal bestanden wurde, fragt danach nicht noch einmal nach.

Die Lieferkettenklausel selbst würde nichts anderes leisten als heute. Sie verpflichtet die große, erfasste Einrichtung, ihre unmittelbaren Anbieter zu bewerten und vertraglich zu binden, mit genau dem Einwand, den Sicherheitsverantwortliche gern vorbringen: „Wir pflegen unsere Zulieferer über ein Lieferantenportal.“ Ein Portal listet, befragt, auditiert. Es ändert nichts an der einen Eigenschaft, die zählt: ob die Absenderdomain der Kanzlei gegen Fälschung geschützt ist und ob ihr Postfach gegen Übernahme gehärtet ist. Beides bleibt eine technische Eigenschaft der Kanzlei selbst, nicht des Portals, das sie auflistet, und eine Fünf-Personen-Kanzlei ohne eigenes IT-Budget lässt sich über ein Auditformular nicht zu DMARC mit der Stufe p=reject zwingen, weil es dafür schlicht keine Rechtsgrundlage gibt. Selbst mit dieser Stufe wäre der Fall im Kern ungelöst: DMARC prüft nur, ob die Absenderdomain zur Berechtigung passt. Bei einem gekaperten, echten Postfach ist genau das der Fall. Die Prüfung fällt positiv aus, weil an der Adresse nichts gefälscht wurde.

Bleibt die Kontonummer selbst. Kein Artikel der Richtlinie, kein Absatz des § 30 BSIG erwähnt eine Pflicht, eine geänderte Bankverbindung gegenzuprüfen, per Rückruf, per Vier-Augen-Freigabe oder auf andere Weise. Das seit dem 9. Oktober 2025 im Euroraum verpflichtende Verification-of-Payee-Verfahren fachanwalt.de ↗ gleicht Kontoinhaber-Namen ab, greift aber in diesem Betrugsschema nicht: Der Name auf der Rechnung bleibt derselbe, nur die Ziffernfolge dahinter wechselt. Die Rechtsprechung selbst zeichnet kein einheitliches Bild. Der Bundesgerichtshof entschied am 8. Oktober 2025 (IV ZR 161/24) fachanwalt.de ↗, eine Zahlung an eine gefälschte IBAN befreie den Schuldner grundsätzlich nicht von seiner Zahlungspflicht, im Zweifel zahlt er doppelt, lehnte es aber zugleich ab, dem Gläubiger eine Pflicht zur Nutzung sicherer Übertragungswege aufzuerlegen. Das Oberlandesgericht Karlsruhe urteilte 2023 ähnlich heuking.de ↗: Für eine gewöhnliche Geschäftsrechnung bestehe keine gesetzliche Pflicht zur Ende-zu-Ende-Verschlüsselung, ein starkes Passwort und aktuelle Schutzsoftware genügten. Das Oberlandesgericht Schleswig-Holstein entschied 2024 im umgekehrten Fall schleswig-holstein.de ↗: Ein Handwerksbetrieb, der seine Rechnung nur transportverschlüsselt statt Ende-zu-Ende verschickt hatte, musste dem betrogenen Kunden Schadensersatz zahlen, der Kunde selbst zahlte nicht zweimal. Einen bundesweiten Standard für den Übertragungsweg ergibt das nicht, zwei Oberlandesgerichte reichen dafür nicht. Aber die Annahme, an einem gehärteten Kanal hänge rechtlich nichts, hält seit diesem Urteil nicht mehr uneingeschränkt.

Was übrig bleibt, ist kein Paragraf, sondern ein Ablauf, den niemand erzwingt außer dem Unternehmen selbst. Eine geänderte Bankverbindung wird nicht über die Mail bestätigt, die sie meldet, sondern über eine Nummer, die schon vorher in der eigenen Kartei stand. Über eine geänderte Kontoverbindung entscheiden im Zahllauf zwei Personen unabhängig voneinander, nie eine. Und wer nicht zum unfreiwilligen Werkzeug werden will, trägt für die eigene Domain einen DMARC-Eintrag mit der Stufe p=reject ein und macht ihn zur Vertragsbedingung gegenüber jedem, der in seinem Namen Rechnungen verschickt, dem eigenen Steuerberater eingeschlossen, ganz gleich, ob dessen Kanzlei je unter ein Gesetz fällt. Das verlangt kein Gesetz. Es verbietet auch keines.

Quellen: bmi.bund.de, bsi.bund.de, germany.representation.ec.europa.eu, gesetze-im-internet.de, eur-lex.europa.eu, security-insider.de, it-daily.net, ad-hoc-news.de, borncity.com, taxandbytes.de, secjur.com, powerdmarc.com, redsift.com, eset.com, fachanwalt.de sowie die Urteile des Bundesgerichtshofs (IV ZR 161/24), des Oberlandesgerichts Karlsruhe (19 U 83/22) und des Oberlandesgerichts Schleswig-Holstein (12 U 9/24, amtliche Pressemitteilung). Eine Reichweiten-Analyse der Regel, kein Rechtsurteil.