Die Gefahren von Cyber-Kriminalität für die Finanzbranche sind laut BSI massiv gestiegen. Auch wenn sich Banken, Versicherer und Vermögensverwalter gut gewappnet fühlen, wollen viele ihre IT-Sicherheit verbessern, so eine aktuelle Studie. Dabei sollten die Unternehmen auf einen ganzheitlichen Ansatz achten.
Finanzdienstleister müssen vor Cyber-Angriffen auf der Hut sein und technische wie menschliche Risiken bei ihrer Sicherheitsstrategie im Blick behalten.
tippapatt / stock.adobe.com
Für 85 Prozent der deutschen Finanzdienstleister gehört die Cyber-Sicherheit 2022 zu den Investitionsschwerpunkten. Wie das Analysehaus Lünendonk & Hossenfelder in dem 2021 veröffentlichten Report "Der Markt für IT-Dienstleistungen in Deutschland" herausfand, stehen bei den Entscheidern in der Branche Themen wie die IT-Modernisierung oder die Cloud-Transformation ganz oben auf der Agenda.
Täter nehmen kritische Infrastruktur ins Visier
Wie wichtig die Resilienz der Finanzdienstleister in Bezug auf Angriffe aus dem Internet ist, macht der Krieg in der Ukraine deutlich. Dieser hat laut Bankmagazin-Autorin Anja Kühner "die Verwundbarkeit kritischer Infrastrukturen überdeutlich aufgezeigt". In ihrem Beitrag "Wer unter doppelter Beobachtung steht" (Ausgabe 6 | 2022) schreibt sie:
Dabei geht es nicht nur um Angriffe mit konventionellen Waffen, sondern auch um Cyber-Kriminalität. Bereits im Januar, also noch vor Kriegsausbruch, fand in der Ukraine eine Angriffswelle auf Rechner kritischer Infrastrukturen statt - auch auf jene von Banken. Dabei wurde ein neuer sogenannter Wiper entdeckt, also ein Schadprogramm, das Daten löscht und die betroffenen Computer dadurch unbrauchbar macht. Dieser Wiper wurde überdies nicht nur in den Systemen ukrainischer Geldhäuser gefunden, sondern auch bei deren Dienstleistern in Litauen und Lettland."
Da solche Cyber-Attacken auch deutsche Ziele ins Visier nehmen können, reagierte das Bundesamt für Sicherheit in der Informationstechnik (BSI) und setzte die IT-Bedrohungslage in Deutschland Ende Februar auf die zweithöchste Warnstufe "Orange" hoch.
IT-Sicherheit ist Teil der Wertschöpfung
Für die jüngst veröffentlichte Erhebung "Von Cyber Security zur Cyber Resilience", die Lünendonk gemeinsam mit der Unternehmensberatung KPMG durchgeführt hat, bezogen erneut rund 100 Verantwortliche aus Banken, der Assekuranz und Vermögensverwaltungen in telefonischen Interviews zur aktuellen Sicherheitslage im Unternehmen und zu möglichen Gefahrenquellen in ihren Systemen Stellung.
Von den befragten Managern sehen 92 Prozent ihr Unternehmen gut gegen kriminelle Angriffe aus dem Internet geschützt. 87 Prozent der Teilnehmer stimmen der These "voll" oder zumindest "überwiegend" zu, dass die IT-Sicherheit als Wertschöpfungsfaktor und fester Bestandteil der digitalen Transformation gesehen wird.
Die Entscheider betrachten sogenannte Ransomware und Phishing-Mails sowie die Nutzung unautorisierter Devices als größte Gefahren (66 Prozent). 55 Prozent fürchten zudem, Opfer einer sogenannten Ddos-Attacke (Distributed-Denial-of-Service) zu werden, die Dienste oder Webseiten blockieren und unbenutzbar machen. Gelingt ein Cyber-Angriff, sind das Abgreifen von Kundendaten (73 Prozent) und der Verlust kritischer Unternehmensdaten (67 Prozent) die mit Abstand problematischsten Folgen. Vor hohen Lösegeldforderungen (33 Prozent) oder Umsatzeinbußen (31 Prozent) fürchten sich deutlich weniger Befragte.
Cyber-Angreifer nutzen Island Hopping
Dabei greifen nicht nur kriminelle Organisationen an, um sich finanzielle Vorteile zu sichern. Auch Staaten oder Wettbewerber haben der Umfrage zufolge ein Interesse, an sensible Daten zu gelangen oder einem Unternehmen gezielt zu schaden.
Mit der weiter zunehmenden Vernetzung, dem Cloud Computing und dem Einbinden externer Angebote in die eigenen Systeme führen immer mehr Wege in die Banken-IT. So ist es nicht verwunderlich, dass rund 60 Prozent der weltweiten Finanzinstitute eine Zunahme von sogenanntem Island Hopping verzeichnen, also Angriffen über einen kleineren Netzwerkteilnehmer auf sie selbst", erklärt Bankmagazin-Autorin Kühner und bezieht sich dabei auf eine im April 2022 veröffentlichte Studie von VW Ware.
Budgets für Cyber Security steigen
Dem Report zufolge müssen zunächst die Sicherheitsarchitektur in den Unternehmen und die Security-Maßnahmen im Hinblick auf digitale Veränderungen durch Clouds, Apps und Plattformen kritisch überprüft werden. Um den Schutz ihrer Systeme zu erhöhen, steigen bei 61 Prozent der befragten Institute, Versicherer und Vermögensverwalter die Ausgaben für die IT-Security zum Teil deutlich, wie die nachfolgende Tabelle deutlich macht:
Im Detail liegen die technischen Investitionsschwerpunkte für die Jahre 2022 und 2023
- in der IT-Modernisierung (85 Prozent),
- der Informationssicherheit (85 Prozent),
- dem Digital Workplace (82 Prozent),
- Data Analytics (68 Prozent) sowie
- im Customer Experience Management (67 Prozent)
- als auch im Aufbau und der Implementierung von Digital-Sales-Plattformen (65 Prozent).
Zudem liegen laut Anja Kühner die menschlichen Risiken sowohl bei den Kunden als auch bei den Unternehmen selbst. So braucht es beim gezielt auf bestimmte Mitarbeitende zugeschnittenen Spearphishing braucht es nur einen einzigen erfolgreichen Versuch, damit die Angreifer beispielsweise in die Systeme einer Bank gelangen, zitiert sie Gerhard Giese, Industry Strategist für die Bankenbranche bei Akamai. "So wird es immer wichtiger, die IT-Sicherheitskompetenzen auch in der Belegschaft zu stärken."
Mitarbeiter-Awareness verbessern
Die Studienautoren raten zu mehr Aufklärung der Mitarbeiter im Hinblick auf Phishing sowie zur Automatisierung und Integration einzelner IT-Security-Systeme. Zentaler Punkt für die Finanzdienstleister sei die Stärkung der Mitarbeiter-Awareness, wie KPMG-Partner Christian Nern im Zuge der Studienveröffentlichung erklärt. Er befürwortet zum Beispiel moderne Sicherheitstrainings, die etwa auf mehrstufigen Phishing-Kampagnen beruhen. "Nach heutigem Stand geschehen 50 Prozent der Security Breaches über Mitarbeitende", betont der Experte.
Um das Thema Cyber-Sicherheit holistisch in die Unternehmensstrategie zu integrieren, rät der IT-Spezialist zu einem ganzheitlichen Ansatz mit einem Security Assessment und einem Benchmarking auf Nist-Basis, das dem National Institute of Standards and Technology, einer nachgelagerten Bundesbehörde des US-Wirtschaftsministeriums, folgt. Zudem sollten die Unternehmen die größten Risikotreiber definieren und sich in einem ersten Schritt auch an Mindeststandards und Benchmarks vergleichbarer Wettbewerber orientieren.