Lieferkette absichern: Leitfaden für Startups

Inhaltsverzeichnis

Das Wichtigste in Kürze
Wo Lieferketten bei kleinen Unternehmen verwundbar sind
Lager und Ware physisch absichern
Transport absichern
Digitale Lieferkette und IT-Sicherheit bei Partnern
NIS2 und Lieferkettengesetz: Was für Startups gilt
Notfallplan für Lieferausfälle
Häufige Fragen
Quellen

Wer als Startup oder Händler seine Lieferkette absichern will, muss an drei Stellen ansetzen: am Lager, auf dem Transportweg und in der IT, über die Bestellungen, Sendungsdaten und Zugänge laufen. Die größte Lücke ist oft keine Technik, sondern das Geld: Ein Frachtführer haftet nach § 431 HGB bei Verlust oder Beschädigung nur mit 8,33 Sonderziehungsrechten pro Kilogramm, was bei leichter, teurer Ware weit unter dem Warenwert liegt. Dieser Leitfaden zeigt, welche Maßnahmen sich für kleine Unternehmen lohnen und welche Pflichten aus NIS2 und Lieferkettengesetz dich tatsächlich betreffen.

Das Wichtigste in Kürze

Drei Ebenen: physischer Schutz von Lager und Ware, Absicherung des Transports, IT-Sicherheit bei dir und deinen Logistikpartnern.
Haftungslücke: Die gesetzliche Haftung des Frachtführers ist auf 8,33 Sonderziehungsrechte pro Kilogramm Rohgewicht begrenzt (§ 431 HGB). Für teure Ware brauchst du eine eigene Transportversicherung.
Sicherheitsdienst: Gewerbliche Bewachung braucht eine Erlaubnis nach § 34a GewO. Lass dir diese vor Vertragsschluss zeigen.
NIS2: Direkt betroffen sind in der Regel erst Unternehmen ab 50 Beschäftigten oder mit mehr als 10 Millionen Euro Umsatz und Bilanzsumme in gelisteten Sektoren. Als Zulieferer spürst du die Pflichten aber über die Verträge deiner Kunden.
Lieferkettengesetz (LkSG): gilt erst ab mehr als 1.000 Beschäftigten, kann dich als Lieferant aber indirekt erreichen.

Wo Lieferketten bei kleinen Unternehmen verwundbar sind

Ein Onlinehändler mit Fulfillment-Dienstleister, ein Hardware-Startup mit Fertigung in Asien und ein Hofladen mit eigenem Lieferwagen haben unterschiedliche Risiken. Die Schwachstellen ähneln sich aber:

Bereich	Typisches Risiko	Erste Maßnahme
Lager	Diebstahl, Einbruch, Brand, unkontrollierter Zutritt	Zutrittsregeln, Alarmanlage, Inventur-Routinen
Transport	Verlust, Beschädigung, Fehlzustellung	Transportversicherung, Sendungsverfolgung, Verpackung
Lieferanten	Ausfall eines einzigen Zulieferers	zweite Bezugsquelle, Sicherheitsbestand
IT und Daten	Phishing, gekaperte Zugänge, Ausfall des Shopsystems	Mehr-Faktor-Anmeldung, Rechte-Konzept, Backups
Partner	unsichere Schnittstellen bei Spediteur oder Fulfillment	Sicherheitsanforderungen im Vertrag

Die Risiken bewertest du am besten systematisch nach Eintrittswahrscheinlichkeit und Schaden. Wie das geht, erklärt unser Artikel zum Risikomanagement.

Lager und Ware physisch absichern

Für ein kleines Lager reichen oft einfache, konsequent umgesetzte Regeln:

Zutrittskontrolle: Nur wer im Lager arbeitet, hat Zugang. Schlüssel oder Transponder werden ausgegeben und dokumentiert. Elektronische Schließsysteme zeigen, wer wann ein Tor geöffnet hat, und ein verlorener Transponder lässt sich sperren.
Wareneingang und -ausgang trennen: Fremde Fahrer warten in einem definierten Bereich und gelangen nicht ins Lager.
Hochwertige Ware gesondert lagern: Elektronik, Kosmetik oder Ersatzteile mit hohem Wert in abschließbaren Bereichen.
Inventur-Routinen: Stichprobenartige Zählungen zeigen Schwund früh. Fehlmengen fallen sonst oft erst bei der Jahresinventur auf.
Technik: Alarmanlage mit Aufschaltung, Videotechnik an Toren und Rampen. Bei Kameras gilt das Datenschutzrecht, vor allem wenn Beschäftigte im Bild sind.

Wann sich ein Sicherheitsdienst lohnt

Ein externer Wachdienst kommt in Frage, wenn Ware nachts oder am Wochenende auf dem Hof steht, wenn Baustellen- oder Messegut zwischengelagert wird oder wenn ein Standort abgelegen liegt. Ein Sicherheitsdienst wie Golden Eye nennt auf seiner Website Objekt- und Werkschutz, Wachdienst und Sicherheitstechnik und führt Produktionsstätten und Logistikunternehmen ausdrücklich als Einsatzbereich auf.

Prüfe bei jedem Anbieter diese Punkte:

Erlaubnis nach § 34a GewO: Wer gewerbsmäßig fremdes Eigentum bewacht, braucht eine behördliche Erlaubnis. Voraussetzungen sind unter anderem Zuverlässigkeit, eine Sachkundeprüfung vor der IHK und eine Haftpflichtversicherung (§ 34a GewO).
Qualifikation des Personals: Wachpersonen brauchen mindestens einen IHK-Unterrichtungsnachweis. Für Kontrollgänge in öffentlich zugänglichen Bereichen ist eine Sachkundeprüfung Pflicht.
Leistungsbeschreibung: Revierfahrten, feste Wache, Alarmverfolgung oder Torkontrolle. Lege Zeiten, Kontrollpunkte und Meldewege schriftlich fest.
Dokumentation: Wie werden Rundgänge nachgewiesen, und wann bekommst du einen Bericht?

Transport absichern

Auf dem Transportweg wechselt die Ware mehrfach die Hand, etwa vom Hersteller zum Spediteur, vom Hafen zum Lager und vom Lager zum Paketdienst. Im internationalen Seeverkehr reist sie meist im Container, der mit einem nummerierten Siegel verschlossen wird. Lass dir die Siegelnummer vorab mitteilen und vergleiche sie bei Ankunft, bevor du den Empfang quittierst.

Die Haftungslücke beim Frachtführer

Nach § 431 HGB ist die Entschädigung des Frachtführers bei Verlust oder Beschädigung auf 8,33 Rechnungseinheiten pro Kilogramm Rohgewicht begrenzt. Rechnungseinheit ist das Sonderziehungsrecht (SZR) des Internationalen Währungsfonds, dessen aktuellen Euro-Wert der IWF täglich veröffentlicht.

Rechenbeispiel: Ein Händler verschickt eine Palette Smartwatches mit 40 Kilogramm Rohgewicht und 18.000 Euro Warenwert.

Gesetzliche Höchsthaftung: 40 kg × 8,33 SZR = 333,2 SZR
Das entspricht je nach Tageskurs einem niedrigen dreistelligen Eurobetrag.
Ohne eigene Versicherung bleibt der Händler bei Totalverlust auf dem größten Teil der 18.000 Euro sitzen.

Eine Warentransportversicherung deckt dagegen den Warenwert. Paketdienste haben zusätzlich eigene Haftungsgrenzen in ihren Geschäftsbedingungen. Prüfe sie, bevor du teure Ware als Standardpaket verschickst. Welche Policen du darüber hinaus brauchst, zeigt unser Vergleich Berufshaftpflicht oder Betriebshaftpflicht.

Weitere Maßnahmen für den Versand

Sendungsverfolgung und Zustellnachweis für hochwertige Ware
neutrale Verpackung ohne Hinweis auf den Inhalt
Schäden sofort bei Annahme auf dem Lieferschein vermerken
bei Importen den Status als Zugelassener Wirtschaftsbeteiligter (AEO) deiner Spediteure prüfen: Den Status vergibt der Zoll an Unternehmen, die er als verlässlich einstuft

Digitale Lieferkette und IT-Sicherheit bei Partnern

Eine moderne Lieferkette ist auch eine Datenkette. Shopsystem, Warenwirtschaft, Fulfillment-Software und Paketdienst sind über Schnittstellen verbunden. Ein gekaperter Zugang reicht, um Lieferadressen umzuleiten oder Bestellungen abzufangen. Wer gerade seinen Shop aufsetzt, sollte das schon bei der Planung berücksichtigen, siehe Onlineshop erstellen.

Checkliste für dich und deine Logistikpartner:

[ ] Mehr-Faktor-Anmeldung für Shop, Warenwirtschaft, Bank und Versandportale
[ ] eigene Zugänge pro Person statt geteilter Passwörter, Rechte nach Bedarf
[ ] Zugänge ehemaliger Mitarbeiter und Dienstleister sofort sperren
[ ] API-Schlüssel regelmäßig erneuern und nicht per E-Mail verschicken
[ ] Änderungen von Bankverbindungen bei Lieferanten immer telefonisch über eine bekannte Nummer bestätigen
[ ] regelmäßige Backups, die getrennt vom Hauptsystem liegen
[ ] im Vertrag mit Spediteur oder Fulfillment-Dienstleister festlegen, wie schnell er Sicherheitsvorfälle meldet

NIS2 und Lieferkettengesetz: Was für Startups gilt

NIS2: Seit Dezember 2025 setzt das neu gefasste BSI-Gesetz die EU-Richtlinie NIS2 um. Betroffen sind Einrichtungen in bestimmten Sektoren, darunter Transport und Verkehr mit Straßen-, Schienen-, Luft- und Schiffsverkehr. Als wichtige Einrichtung gilt in der Regel, wer mindestens 50 Beschäftigte hat oder mehr als 10 Millionen Euro Jahresumsatz und Jahresbilanzsumme erreicht (§ 28 BSIG). Zu den Pflichtmaßnahmen gehört ausdrücklich die „Sicherheit der Lieferkette“, also der Umgang mit direkten Anbietern und Dienstleistern (§ 30 BSIG). Deshalb verlangen betroffene Kunden zunehmend Sicherheitsnachweise von kleinen Zulieferern. Ob du selbst betroffen bist, prüfst du mit unserem Artikel NIS2 für Startups.

Lieferkettengesetz: Das LkSG gilt seit 2024 für Unternehmen mit mehr als 1.000 Beschäftigten in Deutschland. Die Bundesregierung plant laut BMZ, es bis 26. Juli 2027 durch ein neues Gesetz abzulösen. Bis dahin gilt es fort. Startups trifft es nicht direkt, große Kunden geben ihre Sorgfaltspflichten aber oft per Verhaltenskodex oder Fragebogen an Lieferanten weiter.

Notfallplan für Lieferausfälle

Absicherung heißt auch, auf Ausfälle vorbereitet zu sein:

Kritische Lieferanten und Dienstleister auflisten, inklusive Ansprechpartner und Notfallnummern.
Alternativen benennen, etwa einen zweiten Spediteur oder Hersteller.
Sicherheitsbestand für Produkte festlegen, die du nicht kurzfristig ersetzen kannst.
Kommunikation vorbereiten: Textbausteine für Kunden bei Lieferverzug.
Liquiditätsreserve für Ersatzbeschaffung oder Expressversand. Wie du sie aufbaust, steht in Notfallfonds für Startups.

Häufige Fragen

Haftet der Spediteur für den vollen Warenwert?

Nein, nicht automatisch. Nach § 431 HGB ist die Haftung auf 8,33 Sonderziehungsrechte pro Kilogramm begrenzt. Für den vollen Warenwert brauchst du eine Transportversicherung oder eine vertraglich vereinbarte höhere Haftung.

Brauche ich als kleiner Onlinehändler einen Sicherheitsdienst?

Meist nicht. Für ein kleines Lager reichen Zutrittsregeln, Alarmanlage und Versicherung. Ein Wachdienst lohnt sich bei hohem Warenwert, Außenlagerung oder abgelegenen Standorten.

Bin ich als Startup von NIS2 betroffen?

In der Regel erst ab 50 Beschäftigten oder mehr als 10 Millionen Euro Umsatz und Bilanzsumme in einem gelisteten Sektor. Für einige digitale Dienste gelten Sonderregeln. Indirekt betrifft dich NIS2, wenn deine Kunden Sicherheitsnachweise von Zulieferern verlangen.

Woran erkenne ich einen seriösen Wachdienst?

An der Erlaubnis nach § 34a GewO, an nachgewiesener Qualifikation des Personals und an einer klaren schriftlichen Leistungsbeschreibung mit Berichten.