Was Geschäftsleitungen jetzt über Lieferfähigkeit, Margen und Krisenfestigkeit wissen müssen
Ein Zulieferer meldet, dass ein wichtiges Bauteil später kommt. Der Vertrieb hat dem Kunden bereits einen Liefertermin zugesagt. In der Produktion reicht der Bestand noch drei Wochen; ein Ersatzteil müsste erst technisch geprüft werden und wäre frühestens in acht Wochen verfügbar. Gleichzeitig steht die nächste größere Zahlung an den Lieferanten an.
Für die Geschäftsleitung ist das keine abstrakte geopolitische Lage. Es ist eine Entscheidung mit Folgen für Umsatz, Marge, Kundenbeziehung und Liquidität: Wird ein Auftrag vorgezogen? Wird ein anderer Kunde später beliefert? Lohnt sich ein teurerer Ersatzlieferant? Und wer darf diese Entscheidung treffen, bevor aus einem Lieferproblem ein Produktionsstopp wird?
Solche Situationen machen geopolitische Risiken für Unternehmen greifbar. Die Metis-Studie „Worst Cases II“ vom Juni 2026 beschreibt mögliche sicherheitspolitische Zuspitzungen. Sie ist ein Anlass, sich mit Störungen auseinanderzusetzen, aber keine Prognose, dass ein bestimmtes Szenario eintreten wird. Für Unternehmen zählt, welche Folgen eine Unterbrechung für die eigenen Abläufe hätte – und ob rechtzeitig eine belastbare Handlungsoption bereitsteht. [1]
Die wirtschaftliche Ausgangslage ist anspruchsvoll. In der DIHK-Umfrage „Going International 2026“ berichteten im Februar 69 Prozent von rund 2.400 befragten auslandsaktiven Unternehmen mit Sitz in Deutschland von zunehmenden Handelshemmnissen. Die Zahl steht für die Erfahrungen dieser Unternehmen, nicht für die gesamte deutsche Wirtschaft. Sie zeigt aber, dass Zölle, Exportkontrollen und lokale Anforderungen für viele international tätige Betriebe zum laufenden Geschäft gehören. [2]
Für Geschäftsleitungen ist deshalb eine einfache Unterscheidung hilfreich: Welche Risiken verändern die Kosten oder Nachfrage? Welche können die Lieferung oder Produktion unterbrechen? Und bei welchen bestehen konkrete gesetzliche Pflichten? Diese Kategorien brauchen unterschiedliche Antworten. Ein höherer Lagerbestand schützt nicht vor einem Cyberangriff; ein Notfallplan ändert keinen Zollsatz.
Erst die wenigen kritischen Abhängigkeiten finden
Eine vollständige Karte jeder Lieferstufe ist für die meisten Mittelständler weder realistisch noch nötig. Entscheidend ist, die Abhängigkeiten zu finden, die einen wichtigen Auftrag, eine Produktlinie oder einen Standort stoppen können.
Der beste Startpunkt ist ein konkretes Produkt mit hoher Bedeutung für Umsatz oder Kundenbindung. Dann wird der Ablauf rückwärts verfolgt: Welche Teile, Werkzeuge, Software, Daten und externen Dienstleistungen braucht es bis zur Auslieferung? Wo ist ein einziger Lieferant, eine einzige Produktionsstätte oder ein einzelner digitaler Dienstleister im Spiel? Wie lange dauert es, diese Abhängigkeit zu ersetzen – einschließlich technischer Freigabe und Transport?
Ein zweiter Lieferant ist erst dann eine Alternative, wenn er tatsächlich liefern kann. Zwei Händler können beim selben Hersteller einkaufen. Ein europäischer Zulieferer kann bei einem Vorprodukt von derselben asiatischen Fabrik abhängen. Der Einkauf sollte deshalb nicht nur Lieferantennamen erfassen, sondern gezielt nach Produktionsort, kritischen Vorprodukten und verfügbaren Kapazitäten fragen.
Eine Beispielrechnung schafft schnell Klarheit: Reicht der Bestand eines Bauteils drei Wochen, während Ersatzbeschaffung, Freigabe und Transport acht Wochen beanspruchen, klafft im Störungsfall eine Lücke von fünf Wochen. Die Geschäftsleitung kann dann vergleichen, was ein zusätzlicher Bestand kostet, ob ein zweiter Lieferant qualifiziert werden sollte oder ob sich das Produkt technisch ändern lässt. Das ist aussagekräftiger als eine allgemeine Vorgabe, „mehr zu diversifizieren“.
Für jede kritische Position sollte eine Person benennen können, was im Ernstfall zuerst geschieht: Welcher Auftrag wird geschützt? Welche Kunden werden informiert? Wer gibt Mehrkosten frei? Und wann wird die Geschäftsleitung eingeschaltet? Wenn diese Entscheidungen erst im Krisenmeeting verteilt werden, ist die Organisation zu spät dran.
China ist Beschaffungsmarkt und Wettbewerber zugleich
Eine DIHK-Sonderumfrage vom September 2026 zeigt, wie breit sich der Wettbewerb aus China auswirkt. Rund zwei Drittel der 1.325 befragten Unternehmen spüren zunehmende Konkurrenz; in der Industrie waren es 83 Prozent. Selbst unter Unternehmen ohne direkte China-Geschäfte berichteten 38 Prozent von stärkerem Wettbewerbsdruck. Befragt wurden zwischen dem 20. Juli und 10. August Mitglieder von Ausschüssen der IHK-Organisation. Die Ergebnisse sind daher ein aktueller Hinweis, keine repräsentative Abbildung jedes deutschen Betriebs. [3]
Für die Geschäftsleitung ergeben sich daraus zwei getrennte Prüfungen. Erstens: Bei welchen Produkten sind chinesische Lieferanten so wichtig, dass ein kurzfristiger Wechsel die eigene Wettbewerbsfähigkeit gefährden würde? Zweitens: Bei welchen Produkten verlieren deutsche Anbieter Aufträge, weil Wettbewerber mit niedrigeren Preisen oder vergleichbarer Technik auftreten?
Die Antworten führen selten zu einem pauschalen Rückzug aus China. Für ein Unternehmen kann es sinnvoll sein, weiter dort einzukaufen oder zu produzieren und gleichzeitig eine Alternative für besonders kritische Komponenten aufzubauen. Ein anderes Unternehmen muss vielleicht in Produktentwicklung, Service oder Kostensenkung investieren, weil die eigentliche Gefahr im Margenverlust liegt.
Die Zahlen sollten deshalb in die Produkt- und Investitionsplanung einfließen. Welche Produktlinien verdienen zusätzliche Entwicklungsmittel? Wo ist ein zusätzlicher Lieferweg die Kosten wert? Und wo sollte man akzeptieren, dass eine Absicherung wirtschaftlich nicht sinnvoll ist – und stattdessen die Folgen eines Ausfalls begrenzen?
Handelsvereinbarungen in Angebote und Verträge übersetzen
Die Regeln im US-Geschäft haben sich verändert. Der Handelsrahmen zwischen EU und USA trat am 1. Juli 2026 in Kraft. Für die meisten EU-Exporte beschreibt die Europäische Kommission eine US-Zollobergrenze von 15 Prozent. Es bestehen jedoch Sonderregelungen; bei Stahl- und Aluminiumderivaten nennt die Kommission weiterhin Zölle von bis zu 50 Prozent und eine Frist bis Ende 2026. Unternehmen sollten deshalb nicht mit einer einzigen Pauschalannahme kalkulieren. [4]
Bei einem konkreten Auftrag müssen Produktklassifizierung, Ursprungsregeln, Einfuhrzeitpunkt und Vertragsbedingungen zusammenpassen. Wer trägt zusätzliche Zollkosten? Kann ein vereinbarter Preis angepasst werden? Was passiert, wenn sich die Lieferung verzögert und dadurch weitere Gebühren anfallen? Vertrieb und Einkauf sollten dafür dieselbe Kalkulationsgrundlage verwenden.
Wichtig ist auch der Zeitpunkt der Exportkontrolle. BAFA-Leitlinien empfehlen interne Kontrollverfahren, die zu Größe und Geschäft des Unternehmens passen. Güter, Empfänger und Verwendungszweck sollten geprüft werden, bevor erhebliche Kosten oder verbindliche Zusagen entstehen. [5]
Neue Märkte können gleichzeitig Chancen bieten. Das EU-Mercosur-Interimsabkommen wird seit dem 1. Mai 2026 vorläufig angewendet; erste Zollsenkungen und weitere Erleichterungen sind damit bereits in Kraft. Für Unternehmen lohnt sich eine Überprüfung, ob dadurch bisher nicht attraktive Absatzmärkte oder Ausschreibungen interessanter werden. Vor einer Investition sollten jedoch Produktanforderungen, Ursprungsregeln, Vertriebspartner und Betreuung vor Ort geprüft sein. [6]
Energie: Preisrisiko und Versorgungslage getrennt betrachten
Die Bundesnetzagentur bewertet die Gasversorgung am 28. September 2026 als stabil; das Risiko einer angespannten Versorgung schätzt sie als gering ein. Zugleich liegen die Speicherfüllstände mit 57,4 Prozent deutlich unter den Vergleichswerten vergangener Jahre. Die Behörde hält die Versorgung aktuell für gesichert, verweist aber darauf, dass Entwicklungen im Nahen Osten die Großhandelspreise beeinflussen können. Wie stark diese Kosten bei Unternehmen ankommen, hängt unter anderem von Beschaffung und Vertrag ab. [7]
Für Geschäftsleitungen ist daher nicht nur die Frage relevant, ob Gas physisch verfügbar ist. Sie sollten wissen, wann Preisbindungen enden, welche Mengen zu variablen Konditionen beschafft werden und wie sich ein höherer Energiepreis auf die Marge zentraler Produkte auswirkt. Eine kurze Szenariorechnung – etwa mit mehreren Preisniveaus und den jeweiligen Folgen für Ergebnis und Liquidität – ist hilfreicher als eine pauschale Annahme über den weiteren Marktverlauf.
Auch die Verlagerung von Produktion in günstigere Stunden sollte gerechnet werden. Sie bringt nur dann einen Vorteil, wenn der Stromvertrag zeitabhängige Preise weitergibt und die Produktion sich praktisch verschieben lässt. Zusätzliche Schichtkosten, Anfahrverluste, Liefertermine und Qualitätsrisiken gehören in dieselbe Rechnung.
IT-Ausfall: Wie schnell kann der Betrieb wirklich weiterarbeiten?
Der ENISA-Threat-Landscape-Bericht 2026, veröffentlicht am 22. September, wertet Cybervorfälle aus dem Jahr 2025 aus. Er hebt Risiken durch Lieferketten und externe Dienstleister hervor. Ransomware bleibt eine besonders folgenreiche Bedrohung; geopolitische Entwicklungen prägen unter anderem politisch motivierte Angriffe auf die Verfügbarkeit von Diensten. Der Bericht ist kein vollständiges Lagebild des laufenden Jahres, aber ein deutlicher Hinweis, digitale Abhängigkeiten in die betriebliche Vorsorge einzubeziehen. [8]
Ein Vorstand muss nicht jede technische Maßnahme selbst festlegen. Er sollte jedoch verständliche Antworten auf drei Fragen erhalten: Welche Leistungen fallen bei einem IT-Ausfall zuerst aus? Wie lange kann das Unternehmen ohne sie arbeiten? Und wie lange dauert es, bis der normale Betrieb wiederhergestellt ist?
Ein Backup allein beantwortet die letzte Frage nicht. Entscheidend ist, ob Daten und Anwendungen tatsächlich wiederhergestellt werden können und ob Passwörter, Zugänge, Dienstleister und Maschinenanbindungen verfügbar sind. Eine Wiederherstellungsübung sollte daher nicht mit der Meldung „Die Sicherung läuft“ enden, sondern mit einem nachgewiesenen Ablauf: Welche Systeme sind wieder nutzbar, welche Aufträge fehlen und wer informiert Kunden und Beschäftigte?
Auch der Rechtsstand verlangt Aufmerksamkeit. Die deutsche Umsetzung von NIS-2 ist seit dem 6. Dezember 2025 in Kraft. Ob ein Unternehmen unter die Pflichten fällt, hängt von Tätigkeit, Größe und gesetzlichen Ausnahmen ab. Für betroffene Einrichtungen müssen Geschäftsleitungen die vorgeschriebenen Risikomaßnahmen umsetzen und ihre Umsetzung überwachen; hinzu kommt eine regelmäßige Schulungspflicht. [9][10]
Seit dem 11. September 2026 gelten außerdem erste Meldepflichten aus dem Cyber Resilience Act für Hersteller von Produkten mit digitalen Elementen. Bei aktiv ausgenutzten Schwachstellen und bestimmten schwerwiegenden Sicherheitsvorfällen sind Fristen von 24 beziehungsweise 72 Stunden vorgesehen. Die europäische Meldeplattform ist gestartet. Hersteller sollten deshalb sicherstellen, dass Hinweise aus Kundenservice, Produktentwicklung und IT schnell bewertet und bei Bedarf an die zuständigen Stellen gemeldet werden können. Die Hauptpflichten des Gesetzes greifen später; die Meldepflichten gelten bereits. [11][12]
Liquidität mitplanen, nicht erst im Krisenfall
Eine Störung kostet oft Geld, bevor sie in der Gewinnrechnung sichtbar wird. Ersatzlieferanten verlangen möglicherweise Anzahlungen. Ware bleibt länger unterwegs. Ein Kunde nimmt verspätet ab und zahlt später. Gleichzeitig laufen Löhne und andere Rechnungen weiter.
Eine einfache Liquiditätsrechnung kann solche Effekte sichtbar machen. Angenommen, ein wichtiger Auftrag verzögert sich um vier Wochen und der Ersatzlieferant verlangt eine Anzahlung: Wie groß ist die Finanzierungslücke bis zum Zahlungseingang? Welche Kreditlinie oder interne Reserve steht dafür bereit? Welche anderen Investitionen müssten verschoben werden, falls sich die Störung länger hinzieht?
Finanzen, Einkauf, Produktion und Vertrieb sollten dieselben Annahmen verwenden. So erkennt die Geschäftsleitung, ob eine Maßnahme die Marge schützt, die Liquidität überlastet oder beides. Auch Versicherungen gehören in diese Prüfung: Welche konkreten Ereignisse deckt die Police ab, welche Ausschlüsse und Selbstbehalte gelten, und welche Nachweise verlangt der Versicherer? Auf eine pauschale Annahme, ein Betriebsunterbruch sei versichert, sollte sich niemand verlassen.
Was in die nächste Geschäftsleitungssitzung gehört
Ein praktikabler Einstieg braucht kein neues Gremium und keine hundertseitige Risikomatrix. Nehmen Sie ein umsatzstarkes Produkt oder einen wichtigen Standort und lassen Sie Einkauf, Produktion, IT, Vertrieb und Finanzen den Weg bis zum Kunden gemeinsam durchgehen.
Am Ende sollten für diesen einen Fall fünf Antworten vorliegen: Was kann den Betrieb stoppen? Wie lange reicht der Bestand? Wie schnell wäre eine Alternative einsatzbereit? Wie viel Liquidität wird für vier oder acht Wochen Störung gebraucht? Und wer entscheidet über Mehrkosten, Priorisierung und Kundenkommunikation?
Daraus lassen sich konkrete Aufträge mit Namen und Terminen ableiten. Zum Beispiel: eine alternative Bezugsquelle technisch freigeben, den Wiederanlauf eines Systems nachweisen, einen Vertrag vor der nächsten Verlängerung prüfen oder eine Liquiditätslinie neu bewerten. Der nächste Bericht an die Geschäftsleitung sollte dann zeigen, was tatsächlich erledigt ist und wo eine Entscheidung oder Investition fehlt.
Quellen
- Metis Institut: „Worst Cases II“, Studie Nr. 49, Juni 2026.
- DIHK: „Going International 2026: Handelshemmnisse auf Rekordniveau“, 24. März 2026.
- DIHK: „Trotz wachsendem China-Druck: Rückzug ist für deutsche Unternehmen keine Option“, 3. September 2026.
- Europäische Kommission: Das Handelsabkommen EU-USA, aktualisiert am 27. Juli 2026.
- BAFA: Merkblatt zur firmeninternen Exportkontrolle.
- Europäische Kommission: Beginn der vorläufigen Anwendung des EU-Mercosur-Interims-Handelsabkommens, 30. April 2026.
- Bundesnetzagentur: Aktuelle Lage der Gasversorgung in Deutschland, Lagebewertung vom 28. September 2026.
- ENISA: „Exploring the evolution of the cyber threat landscape“, 22. September 2026; untersuchter Zeitraum: Januar bis Dezember 2025.
- Bundesregierung: Umsetzung der NIS-2-Richtlinie in Deutschland.
- BSI-Gesetz: § 28 – Anwendungsbereich, § 30 – Risikomanagementmaßnahmen und § 38 – Pflichten der Geschäftsleitungen.
- Europäische Kommission: Cyber Resilience Act – Meldepflichten, aktualisiert am 11. September 2026.
- ENISA: Start der CRA Single Reporting Platform, 11. September 2026.
Quellen geprüft am 29. September 2026. Die Beispiele im Text sind illustrative Szenarien.
