Banken müssen Cyber-Bedrohungslandschaft mit fortschrittlicher Sicherheitsstrategie begegnen

Cyber-Sicherheit als Rückgrat des modernen Bankwesens basiert auf Vertrauen und zuverlässiger digitaler Technologie

[datensicherheit.de, 06.12.2024] Banken müssten der Cyber-Bedrohungslandschaft mit fortschrittlichen Sicherheitsstrategien begegnen – von der Nutzung von Zero-Trust-Frameworks bis zur Gefahrenaufklärung bei Kunden, rät Marco Eggerling, „Global CISO“ bei Check Point Software Technologies, in seiner Stellungnahme zum 4. Dezember, dem „Internationalen Tag der Banken“. In diesem Kontext sollte man über die Rolle der Digitalisierung und IT-Sicherheit als Garant für Vertrauen im modernen Bankwesen nachdenken. Transaktionen würden immer häufiger digital getätigt, daher müsse die Sicherheit dieses digitalen Zahlungsverkehrs garantiert sein, um Malware, Datenlecks, Phishing und Betrug zu vermeiden. „Andernfalls ist das Vertrauen der Kunden in die Bank schnell verloren!“

Marco Eggerling: Vertrauen, welches die Kunden in die Banken setzen, von der Güte der Cyber-Sicherheit abhängig!

Banken in Deutschland wöchentlich 899 Cyber-Attacken ausgesetzt

Eggerling erläutert: „Blickt man auf die Zahlen, dann sieht man, dass Banken in Deutschland nach Erkenntnis unserer Sicherheitsforscher wöchentlich 899 Attacken hinnehmen müssen. Damit liegen sie auf Platz 8 der gefährdeten Bereiche in Deutschland, wobei die Zahlen im ersten Halbjahr 2024 höher lagen.“ Außerdem habe es hierzulande bereits einige bedenkliche Zwischenfälle gegeben:

„So wurde im Jahr 2023 bekannt, dass ein Datenleck bei einem Dienstleister dafür sorgte, dass Tausende von Kundendaten von vier großen Banken in Deutschland gestohlen wurden. Ebenfalls 2023 wurde die Deutsche Leasing AG, eine Tochter der Sparkassen, von Hackern angegriffen, wobei sowohl die Mitarbeiter als auch die Kunden den Zugriff auf die Systeme verloren haben.“ Im Juni 2024 sei herausgekommen, dass die Kunden der Immobilientochter der DZ-Bank, „die zweitgrößte Bank in Deutschland und Mutter der Volksbanken“, das Opfer eines Hacker-Angriffs geworden seien.

Finanz-Sektor verlor in den letzten 20 Jahren rund 11,4 Milliarden Euro durch über 20.000 Cyber-Attacken

Gemäß Daten von IMF (International Monetary Fund) and Advisen cyber loss data, habe der Finanz-Sektor in den letzten 20 Jahren rund zwölf Milliarden US-Dollar (ca. 11,4 Milliarden Euro) durch über 20.000 Cyber-Attacken verloren. „Dies macht deutlich, wie wichtig die Cyber-Sicherheit für das Bankwesen ist!“ Robuste Frameworks stellten sicher, dass die Finanzinstitute ihre Versprechen gegenüber den Kunden im Digitalen Zeitalter einhalten könnten.

Die Art und Weise der Attacken und ihre Wirkung lasse sich in diesem Sektor in drei Punkte zusammenfassen:

1. Finanzielle Verluste
Direkter Diebstahl von Geldern oder Ressourcen, welche für die Wiederherstellung der Systeme erforderlich sind.

2. Unterbrechung Kritischer Bankdienstleistungen
Verzögerungen bei elektronischen Zahlungen und beim Zugang zu Konten wirkten sich auf das tägliche Leben der Kunden aus.

3. Erosion der Marke
Unzufriedenheit der Kunden und die Berichterstattung in den Medien schadeten dem Ruf.

Modernes Bankings mit Apps über Smartphones besondere Herausforderung an Cyber-Sicherheit

Eine solche Bedrohung der finanziellen und wirtschaftlichen Stabilität durch die Erosion des Vertrauens in die Finanzsysteme könnte weitere weitreichende Folgen haben, welche möglicherweise so weit gehen könnten, „dass die globalen Finanzoperationen gestört werden, indem der Kreditfluss zwischen den Finanzinstituten behindert wird“.

Die Aufrechterhaltung des Kundenvertrauens hänge jetzt von der Fähigkeit einer Bank ab, sensible digitale Informationen zu schützen und nahtlose, sichere Transaktionen zu gewährleisten – besonders angesichts des modernen Bankings mit Apps über Smartphones.

Weltweit Vorschriften zur Stärkung der Cyber-Sicherheit im Bankwesen erlassen

Weltweit hätten die Regierungen daher Vorschriften zur Stärkung der Cyber-Sicherheit im Bankwesen erlassen, „die in letzter Zeit an Fahrt gewonnen haben, da der Finanzsektor häufig als Kritische Infrastruktur (KRITIS) für jedes Land angesehen wird“. In Europa setze die Datenschutzgrundverordnung (DSGVO) der EU strenge Datenschutzgesetze durch, „die von den Banken verlangen, robuste Cyber-Abwehrmaßnahmen zum Schutz der Kundendaten umzusetzen“.

Fragt man Experten nach „Best Practices“, so könne Folgendes empfohlen werden:

Implementierung einer Zero-Trust-Architektur
Alle Geräte und Benutzer würden standardmäßig als „nicht vertrauenswürdig eingestuft“, bis sie das Gegenteil bewiesen hätten.

KI-gesteuerte Erkennung von Bedrohungen
KI könne Anomalien in Echtzeit erkennen und neutralisieren.

Verschlüsselung sensibler Daten
Sichere Daten sowohl bei der Übertragung als auch im Ruhezustand.

Regelmäßige Sicherheitsaudits
Häufige Kontrollen würden helfen, Schwachstellen zu erkennen und zu entschärfen.

Sichere Integration von Drittanbietern
Prüfung von Anbietern und Überwachung von Schwachstellen in der Lieferkette.

Kundenschulung
Die Aufklärung der Kunden über bewährte Praktiken der Cyber-Sicherheit – von strengen Passwortrichtlinien über die Förderung von Multi-Faktor-Authentifizierungen bis zur Schulung der Kunden (und Mitarbeiter) in der Erkennung von Phishing-Versuchen. „Bei einem informierten Kunden ist die Wahrscheinlichkeit geringer, dass er einem Betrug zum Opfer fällt, was sowohl das individuelle als auch das institutionelle Risiko einer Hacker-Attacke verringert.“

DORA als Meilenstein der Cyber-Sicherheit: Verfügbarkeit, Authentizität, Integrität und Vertraulichkeit der Daten und Systeme

Hinzu komme mit dem „Digital Operational Resilience Act“ (DORA) der EU eine weitere Regulierung, die ab 17. Januar 2025 anzuwenden sei. „Sie betrifft beinahe alles, was unter Bank- und Kreditwesen zusammengefasst werden kann. Zentrale Bedeutung kommt dem ITK-Risikomanagement zu, Verfügbarkeit, Authentizität, Integrität und Vertraulichkeit der Daten und Systeme sichergestellt werden.“

Auch sogenannte Awareness im Rahmen von Schulungen – auch der Geschäftsleitung – werde eine wichtige Rolle spielen. Zudem seien Kommunikationspläne und -strategien für interne und externe Zielgruppen dann Pflicht, „wobei mindestens eine Person zum Mediensprecher ernannt wird, die agieren muss, sollte es zu einem ITK-Vorfall kommen“. Was ein ITK-Vorfall ist, sei nach Kriterien klassifiziert worden – diese seien meldepflichtig.

Ansporn für Finanz-Unternehmen, holistische Konzepte zur Cyber-Sicherheit umzusetzen

Außerdem sei das Testen der Widerstandsfähigkeit der eigenen Netzwerke ebenfalls ein Bestandteil von DORA und erfordere entsprechende Programme, was damit auch Drittparteien inkludiere – und die Aufsichtsbehörden. Basistests seien eine Pflicht für den gesamten Finanzsektor und umfassten unter anderem Schwachstellen-Scans, Quell-Code-Tests und Performance-Tests, während die fortgeschrittenen Tests „Threat Led Penetration Tests“ (TLPT) meinten. Letztere beträfen aber nur systemrelevante Unternehmen im Finanz-Sektor.

Diese basierten auf dem Rahmenwerk TIBER der EU (Threat Intelligence-based Ethical Red Teaming). Somit werde die Umsetzung von DORA zwar ein Kraftakt, besonders für kleinere Banken und Finanzdienstleister, aber mit diesem Rahmenwerk könnten die Unternehmen ein holistisches Konzept der Cyber-Sicherheit umsetzen und damit eine tiefergehende Cyber-Abwehr erreichen, um ihre wertvollen Operationen zu schützen.

Cyber-Sicherheit als Rückgrat des Kundenvertrauens

„Abschließend lässt sich sagen: Im Digitalen Zeitalter beruht das Vertrauen in das Bankwesen nicht nur auf der Qualität der Dienstleistungen, sondern auch auf der Fähigkeit des Instituts, seine Computer-Systeme und die Daten zu schützen.“ Die Cyber-Sicherheit sei das Rückgrat des Kundenvertrauens und gewährleiste finanzielle Stabilität und operative Belastbarkeit.

Eggerling fasst zusammen: „Anlässlich des ,Internationalen Tages der Banken’ sollten alle sich bewusst machen, dass das Vertrauen, welches die Kunden in die Banken setzen, von der Güte der Cyber-Sicherheit abhängt! Dies sollten die Führungskräfte im Bankwesen bedenken, wenn es um Investitionen in IT-Sicherheitslösungen und Schulungen geht.“

Weitere Informationen zum Thema:

RHEINISCHE POST, Martin Kessler, 23.06.2024
Cyberattacke Volksbanken-Kunden wurden Opfer von Hackern

tagesschau, 11.07.2023
Hacker-Angriff Daten von Tausenden Bankkunden abgegriffen

Merkur.de, Bettina Menzel, 07.06.2023
Hackerangriff auf Sparkassen-Tochter – Tausende Mitarbeiter nach Hause geschickt

datensicherheit.de, 05.12.2024
Finanzsektor: Digitalisierung und Cloud bieten idealen Nährboden für Cyber-Angriffe / Tiho Saric erörtert Cyber-Risiken des Finanzsektors im Rahmen der Digitalisierung und der oftmals damit einhergehenden Migration in die „Cloud“

datensicherheit.de, 31.10.2024
Fit für DORA in 3 Schritten: Birol Yildiz rät zum effektiven Incident Management zwecks Stärkung der Cyber-Sicherheit im Finanzsektor / Der „Digital Operational Resilience Act“ (DORA) verlangt von Unternehmen im Finanzsektor, ihre Prozesse im Vorfallsmanagement gründlich zu überprüfen

datensicherheit.de, 09.07.2024
DORA: EU-Regelungen für den Finanzsektor werfen Schatten voraus / Höchste Zeit zur Vorbereitung auf den Digital Operational Resilience Act (DORA)