Cybersicherheit im Bankenwesen: Prävention statt Reaktion

Die Dunkelziffer virtueller Banküberfälle

Bereits 1994 machte Microsoft-Gründer Bill Gates Schlagzeilen mit der Aussage: „Banking is necessary, banks are not“. Genau diesen Trend beobachtet man heute in Verbindung mit der zunehmenden Digitalisierung des Bankengeschäfts. Dies gilt insbesondere für den Bereich „Online-Shopping“. Die Risiken werden dabei häufig unter den Teppich gekehrt.

Die Dunkelziffer bei professionell angelegten Diebeszügen ist sehr hoch. Dabei sind nicht nur die großen Banken betroffen.

Im Bereich „Online-Shopping“ hat sich beispielsweise der Bezahldienst Paypal als Anbieter von eigenen Zahlungskonten für Händler und Kunden fest etabliert hat. Lastschriftenbasierte Lösungen gehören bei den Online-Riesen wie Amazon selbstverständlich dazu. Ein weiterer Trend bei den Bezahlvorgängen ist die direkte Weiterleitung des Kunden zu einer Bankwebseite bzw. zu den Zahlungsdienstleistern – Stichwort „Sofortüberweisung“. Die Vorteile dieser Lösungen liegen auf der Hand. Im hektischen Alltag sollen die Kunden immer und überall, egal wo sie sich gerade aufhalten, Zugriff auf ihre Konten haben und Bezahlvorgänge möglichst einfach, schnell und flexibel durchführen können.

Kritiker an diesen Entwicklungen werden nicht selten als rückständig oder technologiefeindlich bezeichnet, zu verlockend sind die Vorteile der digitalen Revolution. So werden die Risiken teilweise verschwiegen und unter den Teppich gekehrt oder einfach als solche nicht erkannt. Dies gilt insbesondere für das Thema „Sicherheit“. Doch aufgrund der allumfassenden Digitalisierung im Privat- wie Geschäftskundenbereich steigt die Anfälligkeit der Systeme für Sicherheitslücken massiv an. A10 Networks, ein Anbieter von Netzwerk- und Sicherheitsanwendungen, hat kürzlich eine Studie in Auftrag gegeben, in der u.a. IT-Sicherheitsbeauftragte in Nordamerika und Europa befragt wurden, von denen der Großteil in der Finanzbranche tätig ist. 83 Prozent der befragten Finanzinstitute berichten von mehr als 50 Cyberattacken pro Monat.

Professionell angelegte Diebeszüge


Welche Folgen solche Angriffe haben können, zeigen einige Fälle, die in der letzten Zeit bekannt wurden. Auf Banken-Servern befinden sich enorme Mengen sensibler Kundendaten, die das Hacken von Servern zusehends lukrativer machen. Bei einem Großangriff auf die US-amerikanische Bank JPMorgan Chase im Sommer 2014 stahlen Hacker rund 83 Millionen Nutzerdaten von Privathaushalten und Unternehmen. Die Cyberattacke zählt zu den größten, die sich in den USA bislang ereignet haben. Die Angreifer erbeuteten vor allem Nutzerdaten, Adressen, Telefonnummern und E-Mail-Adressen.

Im Februar 2016 war es Hackern gelungen, 81 Mio. US-Dollar von der Zentralbank in Bangladesch zu stehlen und damit zugleich die Verwundbarkeit des internationalen Zahlungsverkehrssystems Swift zu demonstrieren. In der Folge erklärte die Vorsitzende der US-Börsenaufsicht, Mary Jo White, Hackerangriffe seien derzeit das größte Risiko für das Finanzsystem. Dass der Schaden nicht größer ausfiel, lag nur an einem Tippfehler in einem Überweisungsformular, der eine Bank misstrauisch werden ließ.

Die Dunkelziffer bei diesen professionell angelegten Diebeszügen ist sehr hoch. Dabei sind nicht etwa nur die großen Banken betroffen, auch kleine Finanzinstitute geraten zunehmend ins Visier, wie mehrere Studien bestätigen, da sie als leichtere Ziele gelten.

 

Virtueller Banküberfall


Man kann sich eine Cyberattacke wie einen virtuellen Banküberfall vorstellen. Die internationalen Angreifer aus dem Netz gehen ganz gezielt vor, wenn sie an vertrauliche Informationen gelangen wollen. Entweder attackieren sie direkt Rechner bestimmter Mitarbeiter, von denen sie wissen, dass diese Zugang zu relevanten Bereichen im Unternehmen haben. Die Schädlinge erreichen – in einer E-Mail als Anhang getarnt – ihre Opfer und breiten sich von dort im System aus. Nach kurzer Zeit haben die Hacker gefunden, was sie suchen, und entfernen die Schadprogramme.

Eine weitere Möglichkeit ist es, kleine Spionage-Applikationen („Spybots“) einzuschleusen, mit denen sich Daten abzapfen lassen. Diese Programme sind ständig auf der Jagd nach bestimmten Transferprotokollen. Wenn es dem Spybot gelingt, eine brauchbare Information abzufangen, leitet er sie an den Hacker weiter. Der Hacker kann ohne große Mühe den Datenaustausch beobachten, Buchungen auswerten und so an Kreditkartennummern sowie persönliche Daten herankommen.

Angesichts dieser Gefahren ist es erstaunlich, dass Maßnahmen zum Schutz gegen Cyberattacken oft nur zögerlich umgesetzt werden. Ein Grund dafür ist das schwer zu beziffernde Kosten-Nutzen-Verhältnis. Bei der Kostenplanung für eine neue Firewall lässt sich das Einsparungspotential durch abgewehrte Angriffe schwer beziffern. Hier gibt es häufig ein Spannungsverhältnis zwischen IT-Abteilung und Controlling. Dennoch liegt ein besserer, sicherer Online-Zahlungsverkehr im Interesse aller Beteiligten. Wenn technische Fragen jedoch nicht stringent gelöst werden, treten Sicherheitslücken vermehrt auf, deren Folgen nicht abzusehen sind.

Einsatz von Verschlüsselungstechnologie


Im Bankenbereich wird Verschlüsselungstechnologie häufig zum vermeintlichen Schutz der Daten während der Übertragung, beispielsweise bei Online-Banking und in mobilen Apps, eingesetzt. Die eingangs erwähnte Studie hat ergeben, dass heute bereits 32 Prozent des Datenverkehrs im finanziellen Umfeld verschlüsselt ist – Tendenz steigend. In den kommenden 12 Monaten soll die Zahl auf 46 Prozent ansteigen. Zunehmend zeigt sich aber auch die andere Seite der Medaille. SSL-Verschlüsselung sorgt zwar dafür, dass sensible Daten privat ausgetauscht werden können, kann aber auch dazu führen, dass Cyberattacken unerkannt bleiben. Verborgen im verschlüsselten Datenverkehr passieren Schadprogramme Firewalls, Intrusion-Prevention-Systeme (IPS) oder UTM-Gateways.

40 Prozent der befragten Finanzinstitute bestätigten, dass die Attacken in ihren Organisationen im letzten Jahr auf verschlüsselten Datenverkehr zurückzuführen waren. Das erklärt auch, warum 70 Prozent der Befragten, Verschlüsselungstechnologie zunehmend mit Besorgnis betrachten und ihre Netzwerke in Gefahr sehen. 61 Prozent gaben zu, dass ihre Sicherheitsinfrastruktur auf die aktuellen Gefahren nicht vorbereitet ist.

Obwohl sich 90 Prozent der Befragten bewusst sind, dass man den SSL-Datenverkehr genauer untersuchen sollte, wird eine Inspektion derzeit bei weniger als der Hälfte (42 Prozent) der Finanzinstitute durchgeführt. Grund dafür sind meist die fehlenden Sicherheitsanwendungen (53 Prozent), fehlende Ressourcen (43 Prozent) sowie der Mangel an geschultem Personal (34 Prozent). Ein weiteres Problem ist ein befürchteter Performanceverlust, der durch die Verschlüsselung und Entschlüsselung entsteht. Die Hälfte der Befragten gab zu, dass die eingesetzten Sicherheitslösungen bei wachsenden Bandbreitenanforderungen und Verschlüsselungslängen kollabieren würden.

Um sich vor künftigen Attacken besser schützen zu können, planen 57 Prozent der befragten Finanzinstitute, die bislang noch keine Entschlüsselung durchführen, dies in nächster Zeit in Angriff zu nehmen. Dazu sollen entsprechende Lösungen eingesetzt werden, die bei gleichbleibender oder höherer Bandbreite sowohl in der Lage sind, die Daten zu entschlüsseln, um den Datenverkehr auf Schadprogramme zu untersuchen, und diese im Anschluss aber auch wieder verschlüsseln können.

Prävention statt Reaktion


Die sich häufende Berichterstattung über weltweite Cyberattacken hat dazu geführt, dass Unternehmen und auch die Politik für das Thema zunehmend sensibilisiert werden. Die Digitalisierung wird weiter voranschreiten und ist schon untrennbar mit dem Berufs- und Privatleben verbunden. Daher ist und wird Cybersicherheit auch ein unverzichtbarer Bestandteil jeder digitalen Agenda sein. Der Einsatz von Abwehrtechniken und Sicherheitslösungen ist unverzichtbar, wie auch die Sensibilisierung von Mitarbeitern und die Vorbereitung von Notfallplänen. Gerade im digitalen Bereich sollte das Motto sein: Prävention statt Reaktion.

Bildquelle: Thinkstock/iStock

©2019Alle Rechte bei MEDIENHAUS Verlag GmbH

Unsere Website verwendet Cookies, um Ihnen den bestmöglichen Service zu bieten. Durch die weitere Nutzung der Seite stimmen Sie der Verwendung zu. Weitere Infos finden Sie in unserer Datenschutzerklärung.

ok