Wie sicher ist das Vermögen Ihrer Kunden?

Die Finanzbranche entwickelt sich immer mehr zu einer Hightech-Industrie. Sowohl für Banken als auch für Finanzintermediäre wie Berater, Vermittler, Fondsboutiquen oder Vermögensverwalter wird die eigene IT-Infrastruktur zunehmend zum Erfolgsfaktor – und zur Achillesferse. Das wurde zuletzt gestern und Anfang der Woche deutlich, als die Server der Deutschen Kreditbank (DKB) stundenlang nicht erreichbar waren. Der Grund dafür war allerdings nicht – wie so oft in diesen Fällen – ein technischer Defekt, sondern eine Cyberattacke. Recherchen des Handelsblatts zufolge wurde das Rechenzentrum einer Tochter des Sparkassen-IT-Dienstleisters Finanz Informatik mit dem Namen FI-TS gehackt. Die DKB hat, wie auch andere Unternehmen der Sparkassengruppe, Teile ihrer IT-Infrastruktur an die FI-TS ausgelagert. Deshalb kam es auch bei anderen Unternehmen wie etwa der BayernLB, der Landesbank Hessen-Thüringen (Helaba) und knapp 400 deutschen Sparkassen, die die Helaba als zentralen Dienstleister im Zahlungsverkehr nutzen, zu Ausfällen.

Der Angriff zeigt, wie verwundbar die Infrastruktur deutscher Banken und Sparkassen ist. Noch hält sich der Schaden in Grenzen. Serverausfälle und Behinderung des Zahlungsverkehrs sind zwar keine Bagatellen. Doch welche Dimensionen Cyberkriminalität annehmen kann, wenn es Hackern gelingt, Kontrolle über Zahlungsströme oder Geldautomaten zu erlangen, wurde erstmals vor fünf Jahren deutlich, als Banken, Bezahldienste und andere Institute in rund 30 Ländern angegriffen wurden. Eine Cyberbande namens Carbanak hatte sich in die Computernetzwerke von rund einhundert Kreditinstituten gehackt und mehr als eine Milliarde Euro durch gezielte Transaktionen und Bargeldauszahlungen erbeutet. Der Coup blieb über mehrere Jahre hinweg unentdeckt, weil es den Hackern gelungen war, Buchhaltungssysteme von Banken zu manipulieren. Ihr Trick: Da die Täter auch Onlinebanking- und internationale E-Payment-Systeme manipuliert hatten, hatten sie Zugriff auf bankinterne Konten und waren dadurch in der Lage, Geld zu verschieben. Sie griffen auf diese Bankkonten zu und erhöhten damit den Stand von Kundenkonten. Der entstandene Überschuss wurde von dort dann auf eigene Konten überwiesen. 

Kaum auszudenken, wenn Tätern ein noch größerer Coup gelänge. Gelänge es Kriminellen beispielsweise, die IT von Depotbanken zu manipulieren, könnten auch Vermögensverwalter ihren Kunden gegenüber in Erklärungsnot geraten. Der Schaden wäre immens.

Alarmstufe Rot 

Bei der BaFin läuten spätestens seit dem Angriff Anfang dieser Woche die Alarmglocken. Die Aufsichtsbehörde hat die betroffenen Finanzinstitute aufgefordert, nicht nur alle Details des jüngsten Cyberangriffs zu liefern, sondern auch darzulegen, wie sie solche Attacken in Zukunft abwehren wollen. Die Anspannung in der Branche ist hoch. Die Finanzbranche wird in einem gefährlichen Moment getroffen. Denn es ist kein Geheimnis, dass die IT-Infrastrukturen vieler Banken derzeit eher unzureichend geschützt sind. Der Grund: Seit dem letzten großen Angriff vor fünf Jahren haben weltweit agierende Hacker, die zum Teil sogar staatlich gelenkt werden, ihre Techniken und Fähigkeiten verfeinert, während die IT-Abteilungen der Banken vor allem damit beschäftigt waren, ihre Systeme an die neuen, komplexen Regulierungsvorschriften anzupassen. Im Wettlauf zwischen Angreifern und Verteidigern haben die Banken Boden verloren. Die Angst, dass ein großer Cyberangriff den Finanzmarkt erschüttern könnte, ist bei Banken und Aufsehern entsprechend groß. Die Bedrohungslage sei aktuell sehr hoch, sagen Insider.

Die Finanzbranche ist nicht gut auf die Bedrohung vorbereitet

Das Jahr 2020 könnte als neues Rekordjahr für Cyberattacken auf Banken in die Geschichte eingehen. Einer Erhebung der amerikanischen Carnegie-Stiftung zufolge haben Hacker allein seit Anfang Januar mehr als 20 große Angriffe auf Finanzkonzerne gestartet. Und das sind nur die Fälle, die öffentlich bekannt sind. Die Dunkelziffer dürfte deutlich höher liegen. Eine Studie der Sicherheitsfirma EfficientIP wiederum zeigt, dass keine andere Branche so oft attackiert wird wie die Finanzbranche. Gleichzeitig sind Finanzinstitute offensichtlich lohnende Opfer. Wie anfällig die IT-Systeme von Banken und Sparkassen derzeit sind, zeigt eine aktuelle Umfrage der Beratung EY unter Risikomanagern globaler Banken. Demnach ist nicht einmal jedes zweite Institut völlig oder weitgehend gegen Ausfälle durch IT-Störungen oder gegen Schäden durch mutwillige Attacken gewappnet. Stattliche 13 Prozent geben an, den Gefahren mehr oder weniger hilflos gegenüberzustehen. 

Wie sehr die Branche die Bedrohung aus dem Netz fürchtet, lässt sich auch am Ergebnis einer aktuellen Studie der Beratungsagentur Edelman ablesen, der zufolge Cyberattacken für die Finanzbranche in den kommenden Jahren zur größten Herausforderung werden – mehr noch als politische Instabilität oder der Klimawandel.

So überrascht es nicht, dass die Investition in die eigenen Sicherheitssysteme schon in den kommenden Monaten für Manager in der Finanzindustrie ganz oben auf der Tagesordnung stehen. Rund 74 Prozent der Entscheider geben dem Thema Datensicherheit und Cybersecurity höchste Priorität.

Fazit: Immerhin hat die Branche die Gefahr erkannt. Ob diese damit gebannt ist, steht auf einem anderen Blatt. In Deutschland war die Sensibilität für das Thema Cyberkriminalität bisher noch erstaunlich gering. Die Ergebnisse des Global Security Attitude Survey 2019 des Beratungsunternehmens CrowdStrike werden Cyberangriffe in Deutschland durchschnittlich nach elf Tagen entdeckt. Das ist so langsam, wie in keinem anderen westlichen Industriestaat. Der Durchschnitt liegt international bei sieben Tagen. Vielleicht hat der jüngste Angriff auf die Sparkassentochter FI-TS die Branche nun endlich aufgeweckt. Es wäre wünschenswert.