3 Cyber Security Aspekte, über die Banken nachdenken sollten

Das deutsche Bankwesen hat durch Covid-19 eine rasante Digitalisierung erfahren. Doch das bringt Risiken mit sich: Über 80 Prozent der deutschen Banken wurden 2020-21 Opfer von Cyberangriffen. Was bedeutet das für einen Bankensektor, der sich mitten im Wandel befindet?

Finanzinstitute müssen im Kampf gegen Cyberkriminalität aufrüsten.

Die deutschen Retail-Banken digitalisieren sich schneller denn je. Doch der Ansturm auf die Digitalisierung bleibt nicht ohne Risiko. Mit der Digitalisierung steigt die Wahrscheinlichkeit von Schwachstellen im Frontend und Backend – ein gefundenes Fressen für Cyber-Kriminelle.

80 Prozent der deutschen Finanzinstitute waren 2020-21 Opfer von Cyberangriffen. Bei Cyberangriffen gibt es quasi keine Grenzen, wie sich im Juni 2021 gezeigt hat, als über 800 Genossenschaftsbanken in ganz Deutschland Opfer eines DDoS-Angriffs (Distributed Denial-of-Service) wurden.

Drei wichtige Aspekte der Cybersicherheit

Es gibt drei Aspekte der Cybersicherheit, zu denen sich Finanzinstitute Gedanken machen sollten:

Tempo und Umfang der Digitalisierung,
Zunehmende Regulierung im Bereich Cybersicherheit sowie
Fehlende Skills, um Cyberkriminalität zu bekämpfen.

1. Tempo und Umfang der Digitalisierung

Im Gegensatz zu anderen europäischen Märkten, wie z. B. dem Vereinigten Königreich, haben sich die etablierten Banken in Deutschland bisher schwergetan, sich an die neue digitale Realität anzupassen, da sie durch jahrzehntealte Systeme behindert wurden. Mit Covid-19 hat sich das Spielfeld jedoch verändert: In der ersten Hälfte des Jahres 2020 stieg der Anteil der kontaktlosen Zahlungen auf 50 Prozent aller Transaktionen an und die Durchdringung des digitalen Bankgeschäfts nahm zwischen 2018 und 2020 von 59 Prozent auf 65 Prozent zu. Dadurch ergeben sich natürlich noch mehr Möglichkeiten für Cyber-Bedrohungen, insbesondere da die Pandemie mehr Privatkunden zu digitalen Kanälen hintreibt.

Werden nun neue und disruptive Technologien in die Gleichung einbezogen, steigt die Gefahr umso mehr. Der Einsatz von KI in Strategien zur digitalen Transformation, bietet Cyberangreifern neue Möglichkeiten, Bankensysteme und -dienstleistungen zu attackieren. Außerdem erfordern diese Technologien eine reaktionsschnellere und dynamischere Regulierung. Der EU Artificial Intelligence Act (52021PC0206) verlangt, dass Organisationen, einschließlich Finanzinstitute, Lückenanalysen in KI-basierter Software durchführen, um Schwachstellen zu minimieren.

Im operativen Bereich sind Banken zunehmend Cyber-Risiken ausgesetzt. Cloud-Banking ist ein Beispiel dafür. Immer mehr etablierte Banken in Deutschland lagern das Datenmanagement und die Datenspeicherung an externe Cloud-Anbieter aus. Dadurch ergibt sich die Möglichkeit neuer Interaktionen, die Sicherheitsrisiken bergen. Das Risiko in der Lieferkette ist der Schlüssel: Die Kette ist nur so stark wie ihr schwächstes Glied, das anfällig für Datenschutzverletzungen und das Eindringen von Malware sein könnte. Wie der technologische Fortschritt, erfordert auch das Lieferkettenrisiko eine dynamische Regulierungslandschaft.

2. Zunehmende Regulierung im Bereich Cybersicherheit

Die regulatorische Landschaft des Bankwesens verändert sich ständig, um mit dem Tempo der Digitalisierung Schritt zu halten. Bei der Cybersicherheit ist das nicht anders. Die Zahlungsdiensterichtlinie 2, die in der Europäischen Union seit Januar 2021 in Kraft ist, legt Maßnahmen zur Verringerung von Schwachstellen fest. Dazu gehören die starke Kundenauthentifizierung, bei der zwei von drei Faktoren von den Kunden zur Autorisierung von Zahlungen verwendet werden müssen, der Replikationsschutz, um sicherzustellen, dass diese Faktoren nicht kopiert werden können, und die Transaktionsüberwachung, um betrügerische Zahlungen zu verhindern. Dieses komplexe Geflecht von Vorschriften bereitet dem Zahlungsverkehr, dem Datenschutz, der Softwareentwicklung und unzähligen anderen Bankfunktionen Kopfzerbrechen.

Zusätzlicher Druck entsteht durch die überarbeitete Cybersicherheitsstrategie der Bundesregierung vom September 2021, die den Schwerpunkt auf die Verbesserung von IT-Sicherheitslösungen, sowie auf den Schutz der elektronischen Identitäten und Kommunikation der Bürger legt. In Verbindung mit der kommenden ISO 20022 wird dies wahrscheinlich die Bemühungen und Investitionen der etablierten Banken und ihrer Partner darauf lenken, Sicherheitslösungen für Identitäts- und Transaktionsbetrug zu finden – was natürlich Kosten verursacht.

3. Fehlende Skills, um Cyberkriminalität zu bekämpfen

Viele etablierte Unternehmen werden mit den Anforderungen und dem erhöhten Personalbedarf zu kämpfen haben, die Cybersicherheit an sie stellen wird. Letztlich wird es drei Optionen geben:

Neue Mitarbeiter rekrutieren, die die erforderlichen Fähigkeiten mitbringen,
interne Schulungen für bestehendes Personal oder
Auslagerung von Cybersicherheitsmaßnahmen an Dritte.

Bei der Entscheidungsfindung müssen Retail-Banken mehrere Faktoren berücksichtigen: die Kosteneffizienz der Cybersicherheitslösung, die Zeit, die für die Bereitstellung einer Lösung benötigt wird und den lokalen Vorschriften entspricht, und die langfristige Handhabung dieser Lösung. Das rasante Tempo der Digitalisierung im deutschen Privatkundengeschäft und die wachsende Zahl von Vorschriften, sowie die Tatsache, dass Cybersicherheitsbelange mehrere Abteilungen in den Banken betreffen, sind für die Entscheidung über die Bereitstellung von Ressourcen besonders heraufordernd.

Cybersicherheit im deutschen Finanzwesen: Wie geht es weiter?

Der Trend zur Digitalisierung im deutschen Privatkundengeschäft, das in der Vergangenheit hinter anderen europäischen Sektoren zurückgeblieben ist, wird die Cybersicherheit ganz oben auf die Tagesordnung der Banken setzen. Die Bedrohung könnte nicht klarer sein, da die Internetkriminalität im Finanzdienstleistungsbereich in Deutschland seit dem Ausbruch der Pandemie und der Verlagerung der Bankkunden ins Internet rapide zunimmt.

Kontaktieren Sie den Autor Christian Schultz, wenn Sie Ihre Cyber Security-Strategie optimieren möchten: Christian Schultz – Critical Software (office365.com).