Als Senior Vice President of Information Security bei Wells Fargo hat Tim Morris die 48-Stunden-Cyberangriffssimulationen, die die Bank in lokalen Auditorien für ihre massiven Sicherheitsteams durchgeführt hat, aufgehoben.
„Wir hätten etwa 100 Personen aus allen Sicherheitsabteilungen“, sagt Morris von den Marathon-Sitzungen, bei denen er simulierte Angriffe von Red-Team-Offensive überwachte, die von einfachen E- Mail-Phishing-Kampagnen bis hin zu komplexen Ransomware-Angriffen reichten. „Wir haben alle Arten von Sicherheitsvorfällen und -angriffen durchgeführt, die Sie sich vorstellen können, von verteilten Denial-of-Service-Versuchen bis hin zu großen Datenexfiltrationsversuchen.“ Er lacht: „Nach zwei Tagen wären die Leute ziemlich müde.“
Seit Jahrzehnten und sogar Jahrhunderten sind Banken und Versicherer die Torwächter sensibler Finanzinformationen von Kunden. Im Zeitalter der Finanztechnologie (auch als „Fintech“ bekannt) werden diese Daten fast ausschließlich digitalisiert – von Gehaltsscheckeinlagen und Hypothekenzahlungen bis hin zu mobilen Handelsplattformen und Bitcoin-Beständen. Auch die geschäftlichen Risiken sind viel höher.
„Mit Fintechs“, sagt Morris, „ist Daten das Produkt. Es ist die Existenzgrundlage ihrer Kunden. Wenn Einlagen oder Portfolios gestohlen werden, ist dies ein großer Schaden für den Ruf.“
Dank Technologie und pandemieinduzierter Remote-Arbeit werden Fintech-Netzwerke jetzt in nahezu jede Verbraucher-, E-Commerce- und Investorentransaktion eingeflossen. Egal, ob Sie Fan oder Skeptisch von Fintech sind, es wird immer größer. Das weltweite E-Commerce-Volumen des Sektors wird dieses Jahr 3,61 Billionen US-Dollar betragen, gegenüber 348,7 Milliarden US-Dollar im Jahr 2010, und wird laut dem Bericht von Ascential Money20/20 in nur fünf Jahren voraussichtlich 6,07 Billionen US-Dollar erreichen.
„Bei Fintechs sind Daten das Produkt. Wenn Portfolios gestohlen werden, ist das ein großer Schaden für den Ruf.“Tim Morris, ehemaliger SVP für Informationssicherheit, Wells Fargo
Die Cybersicherheitsbedrohung wird ebenfalls zunehmen. Konsistent hat Banken in allen Branchen den Großteil der Cyberkriminalitätskosten getragen. Im Jahr 2019 kam es in Accentures neunter jährlicher Studie zu Cyberkriminalität zu einer verheerenden Nr. 1. Seitdem haben sich die Dinge nur noch verschlechtert, da die globalen Kosten aller Cyberkriminalität dank der Pandemie und der Remote-Arbeit auf fast 1 Billion US-Dollar im Jahr 2020 gestiegen sind. Letztes Jahr zeigt der Cyberangriff auf die digitale Banking-App Dave, bei dem Hacker die personenbezogenen Daten von etwa 7,5 Millionen dave.com-Benutzern gestohlen haben, die Schwachstellen, denen der Fintech-Sektor ausgesetzt ist.
Für viele Kritiker sind die Algorithmen, die Online-Zahlungs-, Versicherungs- und Kreditplattformen unterstützen, ein Schlüsselproblem in ihrer Stabilität und Zuverlässigkeit. Das ist eigentlich nicht der Fall, sagt Morris. Entscheidend ist wirklich, wie diese Unternehmen Daten verwalten und die Robustheit der Systeme, die sie sichern.
Kronjuwelen
Moshe Katri ist Managing Director of Equity Research bei Wedbush Securities, einer Vermögensverwaltungs- und Investmentfirma mit rund 6 000 Kunden und 4,2 Milliarden US-Dollar verwaltet. Katri sagt, nur weil Fintechs innovativ sind, bedeutet dies nicht, dass sie höhere Risiken eingehen.
Tatsächlich neigen verbraucherorientierte Unternehmen wie Fintechs, die in Feldern mit größerer Volatilität tätig sind, sei es Kryptobörsen oder Share-Trade-Plattformen, dazu, Sicherheitsebenen hinzuzufügen. „Das Letzte, was sie wollen, ist, dass das Vertrauen bei einem Verstoß geschüttelt wird“, sagt Katri.
Es überrascht nicht, dass Morris, der jetzt als Technologiestratege bei Tanium in North Carolina arbeitet, sagt, dass Visibilität im gesamten Netzwerk der Schlüssel zur Datensicherheit ist. Um dies zu erreichen, müssen Fintech-Player wissen, wie viele Endpunkte sich in ihrem Netzwerk befinden, wie diese Endpunkte konfiguriert sind, welche Software sie ausführen und ob diese Software gepatcht und aktuell ist. Erst dann können sie ihre Angriffsfläche definieren und ihre Kronjuwelen sichern. Ein wenig zurücktreten, sagt er, sollten Fintech-Unternehmen auch ein Verständnis davon haben, wie sie selbst für einen Angreifer aussehen.
Besitzen Sie es
Cyberkriminelle zielen auf den Fintech-Sektor aus dem gleichen Grund ab, aus dem sie andere anvisieren, für einen schnellen Zahltag (oft durch Ransomware). Das gibt Sicherheitsfirmen etwas, mit dem sie zusammenarbeiten und antizipieren können. Auch wenn Angriffe oft immer raffinierter aussehen, sind sie normalerweise opportunistisch und gut geplant. Ransomware wird, sagt er, „kommerzialisiert“.
Die Bereitstellung guter Cyber-Hygienepraktiken ist der Schlüssel, um es Kriminellen zu erschweren, einzubrechen, was oft ausreicht, um sie auf der Suche nach einem anfälligeren Opfer zu entbinden. Zu den Besten gehören: Finden und Inventarisieren aller Endpunkte und Geräte, die mit einem Netzwerk verbunden sind; Verwalten der wachsenden Anzahl von Apps und anderer Software, die sich während der Remote-Arbeitszeit vermehrt haben; Automatisieren des Patchings von sanktionierter Software (während Sie unautorisierte Apps loswerden); und Erstellen eines schnellen Reaktionsplans auf Sicherheitsbedrohungen.
Morris sagt, dass Fintech-Unternehmen Sicherheit frühzeitig in ihre Betriebstechnologie integrieren müssen, eine Praxis, die als „Shift Left“-Softwaretests bekannt ist. Dies priorisiert Tests früher im Entwicklungszyklus, anstatt sie nach dem Umstand anzuschrauben. Sie fördert auch, falls nicht erforderlich, eine stärkere Zusammenarbeit zwischen Sicherheitsteams und Entwicklern.
„Ich verwende oft ein Haus als Analogie“, sagt Morris. „Sie ermitteln die Grenzen und Schlösser, während Sie die Fenster und Türen konfigurieren.“
Eine Herausforderung für den Fintech-Sektor, wie er bei vielen kleinen Unternehmen besetzt ist, ist die Versuchung für Unternehmen, die gesamte Verantwortung für ihre IT und Sicherheit auszulagern. Fintechs können sich nicht einfach auf einen Anbieter für jeden Bedarf verlassen. (Kürzliche Lieferkettenangriffe haben ihnen das sicher gelehrt.) Sie können es nicht einstellen und vergessen. Sie müssen für ihre Sicherheitsstrategie verantwortlich sein. Das Fremdvergleichsrisiko für das Unternehmen stellt neben dem Datenrisiko ein Risiko für Dritte dar, sagt Morris.
„Firmen sollten ein Verständnis davon haben, wie sie selbst für einen Angreifer aussehen.“
Es läuft auch mit einer Vielzahl von Reglern. Das Informationssystem von Fintech muss nicht nur seine eigenen Geschäftsanforderungen erfüllen, sondern auch die von Finanz- und Sicherheitsaufsichtsbehörden. Sie müssen auch die Protokolle von Finanzdienstleistungspartnern oder Sponsoren erfüllen. Und sie können nicht serienmäßig sein.
„Man braucht wirklich gute Regeln, keine festen oder vorgefertigten Regeln“, sagt Chuck Pine, der die Compliance-Praxis bei der Buchhaltungs- und Beratungsfirma BDO leitet und deren Team sich auf Strategien zur Bekämpfung von Betrug und Geldwäsche konzentriert. „Sie müssen für Ihre Kunden oder Ihre Klienten entwickelt werden.“
Sich entwickelnde Bedrohungen
In einer Umgebung, in der die digitale Transformation weiter beschleunigt wird, entwickeln sich auch digitale Bedrohungen schnell weiter. Das macht Fintechs zu einem der wichtigsten Vormunde wertvoller Kundendaten und unterstreicht die Bedeutung des Sektors für die Aufrechterhaltung strenger Cyber-Hygienepraktiken.
Pine sagt, dass Unternehmen, die im Fintech-Bereich beginnen und sich auf die Compliance einlassen, oft nicht verstehen, dass ihr Risikoprofil aufgrund der Art der Unternehmen, in denen sie tätig sind, von Natur aus hoch ist.
[Lesen Sie auch: Die hohen regulatorischen Bußgelder in Europa brummen zurück]
Fintech selbst ist auch eine sich verändernde Landschaft. Crypto, das die Schlagzeilen zu stehlen scheint, ist eine Innovation, die Anlegern ein Produkt, digitale Münzen und eine neue Technologie, die Blockchain, bietet, die theoretisch das Potenzial hat, die gesamte Sanitäranlage der Finanzdienstleistungsbranche zu verändern. Die Befürworter der Plattform geben an, dass ihre verschlüsselten Transaktionen die Sicherheit von Finanzdienstleistungen auf ein neues Niveau bringen, während Kritiker sagen, dass sie aufgrund der Vergleichsanonymität für Missbrauch offen ist.
Katri bei Wedbush sagt, dass viel Energie bei Krypto-Ventures in die Erwartung der potenziellen Einführung von Vorschriften oder zumindest mehr Aufsicht geht.
„Crypto wird auf die eine oder andere Weise reguliert“, sagt Katri. „Es wird ein positives Ereignis für die Branche sein und eine gewisse Legitimität bieten.“
Zurück zu den Grundlagen
Daten sind nicht nur eine wertvolle Ressource für Fintech-Unternehmen. Sie kann technologische Innovationen vorantreiben und neue Märkte erschließen. Machen Sie es richtig und Fintechs haben eine große Chance auf Erfolg. Wenn es jedoch Stolpern, Systemausfälle oder Verstöße gibt, wird es Druck auf US-Watchdogs geben, zu zerkleinern und Parameter aufzuerlegen, die das Wachstum bedrohen können, das den Sektor dorthin geführt hat, wo er sich heute befindet.
Für Morris geht es viel davon auf gute altmodische Cybersicherheitspraktiken zurück. Wenn Sie eine Bedrohungsbewertung durchführen und einen potenziellen Weg für einen Angreifer sehen, in das System zu gelangen, „spüren Sie eine Grube in Ihrem Magen“, sagt er. „Aber Sie fühlen sich auch gut, weil Sie etwas vor allen anderen gefunden haben.“
