Das wird unweigerlich passieren. Der Finanzleiter eines mittelständischen Unternehmens erhält vom Vorstandsvorsitzenden eine vertrauliche E-Mail mit dem Vermerk „dringend“, in der er angewiesen wird, 750 000 US-Dollar als Anzahlung für eine anstehende Übernahme auf ein Bankkonto im Ausland zu überweisen.
Da er wusste, dass ein solches Geschäft gerade in Vorbereitung war, und da er die Anweisung eines hochrangigen Führungskräften nicht in Frage stellen wollte, kam der Schatzmeister dieser schnell nach und machte sich auf den Heimweg.
Am nächsten Morgen wurde der Schatzmeister durch einen wütenden Anruf des Vorstandsvorsitzenden geweckt, der wissen wollte, warum eine derart hohe Geldsumme ohne seine persönliche Genehmigung ausgezahlt worden war. Später am Nachmittag, als sich herausstellt, dass die Verwirrung auf einen Spear-Phishing-Betrug unter dem Namen „ “ zurückzuführen ist und das Geld gestohlen wurde, wird der Schatzmeister entlassen.
Finanzvorstände stehen in Unternehmen in der Regel nicht besonders im Rampenlicht. Sie sind in der Regel die unsichtbaren Rädchen im Finanzgetriebe, die interne und externe Auszahlungen abwickeln und dafür sorgen, dass der Finanzbereich reibungslos und effizient funktioniert. Doch seit der Umstellung der Treasury-Management-Systeme (TMS) auf den Online-Betrieb sind Treasury-Transaktionen nun für die ganze Welt – und für Hacker – einsehbar geworden.
Infolgedessen sehen sich viele Finanzvorstände mit einer unerwarteten neuen Aufgabe konfrontiert: der Bekämpfung von Cyberkriminalität.
„Der Reichtum an personenbezogenen und unternehmensbezogenen Daten einer Finanzabteilung, ihre Befugnis, Zahlungen zu tätigen und große Bargeldbeträge zu bewegen, sowie ihre oft komplexe Struktur machen sie zu einem attraktiven Ziel für Cyberkriminelle“, heißt es in einem Bericht mit dem Titel „ “ ( ) der Economist Intelligence Unit und der Deutschen Bank.
Hackerangriffe auf die Finanzabteilungen von Unternehmen sind nur eine Frage der Zeit
Viele der besonders Aufsehen erregenden Angriffe, an denen Finanzverwalter beteiligt waren, richteten sich gegen staatliche Behörden. Das bedeutet jedoch nicht, dass Finanzvorstände von Unternehmen davon ausgenommen sind. Eine Umfrage der „ “ der Association for Financial Professionals (AFP) ergab, dass im Jahr 2021 71 % der Unternehmen Opfer von Zahlungsbetrugsangriffen oder -versuchen wurden und fast 70 % Ziel von „Business Email Compromise“ (BEC) waren, wobei die Kreditorenbuchhaltung am stärksten gefährdet war.
“Es wird irgendwo jemanden geben, der einen Weg in Ihr System findet. Finanzvorstände müssen planen, wie sie in einem solchen Fall vorgehen werden.”Naresh Aggarwal, stellvertretender Direktor für Politik und Technik bei der Association of Corporate Treasurers
Naresh Aggarwal, stellvertretender Direktor für Politik und Technik bei der Association of Corporate Treasurers (ACT) im Vereinigten Königreich, erklärt, dass viele dieser Angriffe zwar oft von der Öffentlichkeit unbemerkt bleiben, es jedoch nur eine Frage der Zeit sei, bis auch die Finanzabteilungen von Unternehmen Opfer der groß angelegten Hackerangriffe werden, von denen ihre Kollegen im öffentlichen Sektor bereits heimgesucht wurden.
„Es ist ein Trugschluss zu glauben, dass sich irgendeine Organisation gegen Angriffe immun machen kann“, sagt Aggarwal. „In diesem Sicherheitsspiel, das wir spielen – ein Spiel von Katz und Maus –, wird es irgendwo jemanden geben, der einen Weg in Ihr System findet.“ „Die Schatzmeister müssen im Voraus planen, was sie tun werden, wenn es soweit ist.“
Aggarwal erklärt, dass Finanzvorstände als Hüter der Finanzen von Natur aus dazu neigen, als Risikomanager zu agieren. Leider verfügen relativ wenige von ihnen über einen technischen oder sicherheitsbezogenen Hintergrund.
Finanzverantwortliche entwickeln zunehmend ein Bewusstsein für Cybersicherheit
Angesichts der zunehmenden Raffinesse von Cyberangriffen und der dringenden Notwendigkeit, zu verhindern, dass Treasury-Management-Systeme zu digitalen Schnellstraßen in die Unternehmenskassen werden, ändert sich dies nun.
Tatsächlich nannten Finanzvorstände in einer weltweiten Umfrage von 2022 ACT („Treasurers on High Alert“) die Cybersicherheit als ihr Hauptanliegen, das sogar Themen wie Inflation, COVID-19, geopolitische Unsicherheiten und ökologische Herausforderungen in den Schatten stellte. Achtzig Prozent der befragten Finanzvorstände gaben an, dass ihre Unternehmen in Cybersicherheitstechnologien investieren; im Jahr 2021 lag dieser Wert noch bei 72 %.
Finanzvorstände entscheiden in der Regel nicht über die Sicherheitslösungen, die ihre Unternehmen erwerben, obwohl viele von ihnen an Entscheidungen zum Abschluss von Cyberversicherungen beteiligt sind. Im Vergleich zur Situation vor etwa einem Jahrzehnt arbeiten sie bei solchen Anschaffungen zunehmend mit den Führungskräften aus den Bereichen Finanzen, Betrieb und Sicherheit zusammen. Zudem tragen sie gemeinsam die Verantwortung dafür, die Genehmigung für die Finanzierung von Technologievorhaben durch die Geschäftsleitung und den Vorstand von „ “ einzuholen.
Risiken bekämpfen und Namen notieren
Aggarwal erklärt, dass die effektivsten Finanzvorstände nicht nur regelmäßig mit Kollegen auf Führungsebene in Kontakt stehen und sich über Risikomanagement austauschen, sondern auch dabei helfen, die Rollen und Zuständigkeiten für jeden Funktionsbereich im Hinblick auf künftige Cyberangriffe zu planen und zu klären. Darüber hinaus halten sie die Geschäftsleitung und den Vorstand über die von ihnen implementierten Sicherheitsmaßnahmen sowie über die von ihnen durchgeführten Penetrationstests auf dem Laufenden. Kurz gesagt: Sie sind kooperativ und kommunikativ.
„Das Treasury-Team sollte niemals isoliert arbeiten“, betont Aggarwal. „Es ist wichtig, dass sie in diesem Bereich des finanziellen Risikomanagements die Diskussion anführen. „Und das bedeutet, dass sie die Cyberrisiken vollständig verstehen müssen, auch wenn sie nicht alle technischen Details dahinter nachvollziehen können.“
Um Unternehmen dabei zu helfen, Hackerangriffe abzuwehren und den Schaden im Falle eines Angriffs so gering wie möglich zu halten, empfehlen Finanzvorstände im Gespräch mit Endpoint die folgenden Maßnahmen.
1. Tragen Sie zur Festlegung globaler Sicherheitsrichtlinien bei. Laut ACT sollte der Schatzmeister mit führenden Fachkräften im Bereich Cybersicherheit zusammenarbeiten, um einheitliche Sicherheitsrichtlinien zu erstellen und durchzusetzen, insbesondere im Zusammenhang mit Zahlungen. Die Richtlinien sollten eine Reihe digitaler Kontrollmechanismen vorsehen, um Spear-Phishing-Szenarien zu verhindern, bei denen Mitarbeiter dazu verleitet werden, Geld auf Konten Dritter zu überweisen. Aggarwal erklärt, dass die Maßnahmen auch die Einrichtung eines „Zahlungsbeauftragten“ umfassen könnten, der große Auszahlungen vor deren endgültiger Abwicklung genau prüft.
2. Stellen Sie sicher, dass die IT-Abteilung der Treasury-Funktion Priorität einräumt. IT-Führungskräfte widmen häufig den Abteilungen die größte Aufmerksamkeit, in denen die meisten Nutzer auf deren Systeme zugreifen. Royston Da Costa, stellvertretender Konzern-Finanzvorstand bei Ferguson, einem 23 Milliarden US-Dollar schweren Sanitär- und Heizungsunternehmen, erklärt jedoch, dass Führungskräfte im Bereich Cybersicherheit dem Schutz kritischer Ressourcen – wie beispielsweise der Finanzabteilung eines Unternehmens – ebenso viel Aufmerksamkeit widmen sollten wie dem Schutz der Endgeräte.
Als er vor 20 Jahren in sein Unternehmen eintrat, suchte Da Costa nach erstklassiger Sicherheitsunterstützung für seine Abteilung, die damals nur vier Mitarbeiter zählte. Das IT-Team lehnte die Anfrage zunächst ab. „Wir wurden ins Niemandsland verbannt“, erinnert er sich. „Es hat eine ganze Weile gedauert, bis ich sie davon überzeugen konnte.“
Schließlich gelang es Da Costa, die IT-Abteilung davon zu überzeugen, dass das Hauptproblem in dem vom Treasury-Bereich gesteuerten Risiko lag und nicht darin, wie viele Mitarbeiter die Systeme nutzten. „Das war für sie ein echter Augenöffner“, sagt er. „Damals verwalteten wir Fonds im Wert von rund 2,1 Milliarden Dollar. „Sobald ihnen das klar wurde, gingen bei ihnen die Alarmglocken an, und sie setzten uns ganz oben auf ihre Prioritätenliste.“
3. Richten Sie ein speziell auf das Finanzwesen zugeschnittenes Cybersicherheitsprogramm ein. In ihrem Bericht wies die Deutsche Bank darauf hin, dass die Finanzabteilung, sofern Cybersicherheit ein Ziel darstellt, über eine eigene Initiative zum Cybersicherheitsmanagement verfügen sollte, die idealerweise auf die Unternehmensstrategie abgestimmt ist – und dass sich diese Strategie auf alle Personen und Prozesse erstrecken sollte, die voraussichtlich mit der Finanzabteilung interagieren, einschließlich aller Mitarbeiter der Unternehmensfinanzabteilung, der Banken, die die Transaktionen eines Unternehmens abwickeln, der SWIFT-Büros, die Lösungen für die Bankanbindung bereitstellen, der automatisierten Clearingstellen, die Zahlungslösungen anbieten, sowie der Anbieter von Kreditkartenabwicklungsdiensten.
4. Nutzen Sie die Möglichkeiten moderner Technologien. Treasury-Management-Systeme sind für die Steuerung des Cashflows und der Risiken eines Unternehmens von entscheidender Bedeutung. Systeme, die vor Jahren entwickelt wurden, verfügen jedoch möglicherweise nicht über die erforderlichen Sicherheitsfunktionen, um moderne Cyberbedrohungen abzuwehren. Selbst wenn es sich um neuere Systeme handelt, können diese dennoch anfällig sein, wenn sie nicht regelmäßig aktualisiert oder mit Patches versehen werden.
“Wir verwalteten Fonds im Wert von rund 2,1 Milliarden US-Dollar. Sobald [das IT-Team] dies erhalten hatte, schlugen die Alarmglocken, und sie setzten uns ganz oben auf ihre Prioritätenliste.”Royston Da Costa, stellvertretender Konzernfinanzvorstand bei Ferguson
ACT empfiehlt, dass Finanzabteilungen regelmäßig prüfen, ob sie die aktuellen TMS-Versionen einsetzen und ob sie über ausreichende interne IT-Ressourcen verfügen, um das System zu betreiben und zu sichern. Sollte eine Finanzabteilung beschließen, eine eigene, proprietäre Technologie zu entwickeln oder einzuführen, empfiehlt Da Costa darüber hinaus, sich zu vergewissern, dass der CISO des Unternehmens seine Zustimmung erteilt hat, um mögliche Kompatibilitäts- oder Supportprobleme in der Zukunft zu vermeiden.
5. Trainieren, trainieren, trainieren. Doch selbst bei Einsatz der besten und modernsten Technologie schleichen sich immer wieder Schwachstellen ein. „Die größte Schwachstelle in der Cybersicherheit sind die Menschen, und das war schon immer so“, sagt Chris van Dijl, international tätiger Finanzvorstand, Trainer und Gründer der Unternehmensberatungsfirma Cugavadi. „Betrüger werden immer raffinierter darin, Menschen auszunutzen, und sie können jede Finanzabteilung überlisten, die nicht ausreichend darauf vorbereitet ist.“
[Lesen Sie auch: Warum Mitarbeiter gegen Cybersicherheitsrichtlinien verstoßen]
Sicherheitsexperten betonen, dass es – insbesondere angesichts der Tatsache, dass viele Mitarbeiter von zu Hause aus arbeiten – von entscheidender Bedeutung ist, die Mitarbeiter über sichere Zahlungsabläufe sowie über aktuelle Phishing-, Social-Engineering- und Malware- Bedrohungen aufzuklären. While 69% of employees in a 2021 TalentLMS and Kenna Security survey said they had completed cybersecurity training, 61% failed follow-up quizzes.
Letztendlich müssen die Finanzvorstände eine aktivere Rolle bei der Cybersicherheit ihrer Unternehmen übernehmen. Das bedeutet, sich zu engagieren, Präsenz zu zeigen und mit gutem Beispiel voranzugehen, um die finanziellen Mittel ihres Unternehmens zu sichern.
Denn wenn sie es nicht tun, gibt es keine Garantie dafür, dass es jemand anderes tun wird. Schließlich liegt die Verantwortung letztendlich bei ihnen.
