Als Senior Vice President für Informationssicherheit bei Wells Fargo genoss Tim Morris die 48-stündigen Cyberangriffssimulationen, die die Bank in örtlichen Veranstaltungsräumen für ihre umfangreichen Sicherheitsteams durchführte.
„Wir hatten etwa 100 Teilnehmer aus allen Sicherheitsabteilungen“, sagt Morris über die Marathon-Sitzungen, in denen er simulierte offensive Angriffe des ‚Red Teams‘ beaufsichtigte, die von einfachen E-Mail-Phishing-Kampagnen nach dem „ “-Prinzip bis hin zu ausgeklügelten Ransomware-Angriffen reichten. „Wir haben jede nur erdenkliche Art von Sicherheitsvorfall und Angriff durchgespielt, von verteilten Denial-of-Service-Angriffen bis hin zu groß angelegten Versuchen der Datenexfiltration.“ Er lacht: „Nach zwei Tagen wären die Leute ziemlich erschöpft.“
Seit Jahrzehnten, ja sogar seit Jahrhunderten, sind Banken und Versicherungen die Hüter sensibler finanzieller Kundendaten. Heute, im Zeitalter von „ “ und der Finanztechnologie (auch bekannt als „Fintech“), sind diese Daten fast ausschließlich digitalisiert – von Gehaltsüberweisungen und Hypothekenzahlungen bis hin zu mobilen Handelsplattformen und Bitcoin-Beständen. Auch wirtschaftlich steht viel mehr auf dem Spiel.
„Bei Fintech-Unternehmen“, so Morris, „sind Daten das Produkt.“ Es ist die Existenzgrundlage ihrer Kunden. „Sollten Einlagen oder Portfolios gestohlen werden, bedeutet dies einen enormen Reputationsschaden.“
Dank der Technologie und der durch die Pandemie bedingten Arbeit im Homeoffice sind Fintech-Netzwerke mittlerweile fester Bestandteil nahezu jeder Transaktion von Verbrauchern, im E-Commerce und bei Investoren. Ganz gleich, ob Sie ein Befürworter oder ein Skeptiker von Fintech sind – dieser Bereich wird weiter wachsen, und zwar erheblich. Das weltweite E-Commerce-Volumen der Branche wird in diesem Jahr bei 3,61 Billionen US-Dollar liegen, nach 348,7 Milliarden US-Dollar im Jahr 2010, und soll laut dem Bericht „ “ von Ascential Money20/20 in nur fünf Jahren 6,07 Billionen US-Dollar erreichen.
„: Bei Fintechs sind Daten das Produkt.“ Sollten Portfolios gestohlen werden, bedeutet dies einen enormen Reputationsschaden.”Tim Morris, ehemaliger Senior Vice President für Informationssicherheit bei Wells Fargo
Auch die Bedrohung durch Cyberangriffe wird zunehmen. Über alle Branchen hinweg hat der Bankensektor durchweg die größte Last der durch Cyberkriminalität verursachten Kosten zu tragen. Im Jahr 2019 belegte es in der neunten jährlichen Studie „ “ von Accenture zum Thema „Kosten der Cyberkriminalität“ ( ) den traurigen ersten Platz. Seitdem hat sich die Lage nur noch weiter verschlechtert, da die weltweiten Kosten für alle Arten von Cyberkriminalität im Jahr 2020 aufgrund der Pandemie und der Arbeit im Homeoffice auf fast 1 Billion US-Dollar in die Höhe geschossen sind. Der Cyberangriff auf die Digital-Banking-App „Dave“ im vergangenen Jahr, bei dem Hacker die personenbezogenen Daten von etwa 7,5 Millionen Nutzern von dave.com entwendeten, verdeutlicht die Schwachstellen, mit denen die Fintech-Branche konfrontiert ist.
Für viele Kritiker stellen die Algorithmen, die Online-Zahlungs-, Versicherungs- und Kreditplattformen unterstützen, ein zentrales Problem hinsichtlich deren Stabilität und Zuverlässigkeit dar. Das ist jedoch nicht der Fall, sagt Morris. Entscheidend ist vor allem, wie diese Unternehmen mit Daten umgehen und wie robust die Systeme sind, die diese Daten schützen.
Kronjuwelen
Moshe Katri ist Geschäftsführer des Aktienresearchs bei Wedbush Securities, einem Vermögensverwaltungs- und Investmentunternehmen mit rund 6 000 Kunden und einem verwalteten Vermögen von 4,2 Milliarden US-Dollar. Katri sagt, dass die Tatsache, dass Fintech-Unternehmen innovativ sind, nicht bedeutet, dass sie höhere Risiken eingehen.
Tatsächlich neigen verbraucherorientierte Unternehmen wie Fintechs, die in Bereichen mit höherer Volatilität tätig sind – seien es Kryptobörsen oder Aktienhandelsplattformen –, dazu, zusätzliche Sicherheitsebenen einzurichten. „Das Letzte, was sie wollen, ist, dass ihr Vertrauen durch einen Sicherheitsverstoß erschüttert wird“, sagt Katri.
Es überrascht nicht, dass Morris, der mittlerweile als Technologiestratege bei Tanium in North Carolina tätig ist, erklärt, dass die Transparenz über das gesamte Netzwerk hinweg der Schlüssel zur Datensicherheit ist. Um dies zu erreichen, müssen Fintech-Unternehmen wissen, wie viele Endpunkte sich in ihrem Netzwerk befinden, wie diese Endpunkte konfiguriert sind, welche Software auf ihnen läuft und ob diese Software gepatcht und auf dem neuesten Stand ist. Erst dann können sie ihre Angriffsfläche definieren und ihre wertvollsten Vermögenswerte schützen. Wenn man einen Schritt zurücktritt, so sagt er, sollten Fintech-Unternehmen auch ein Gespür dafür haben, wie sie selbst aus der Sicht eines Angreifers wirken.
Stehen Sie dazu
Cyberkriminelle nehmen den Fintech-Sektor aus demselben Grund ins Visier wie andere Branchen auch: um schnell an Geld zu kommen (häufig durch Ransomware). Das gibt Sicherheitsunternehmen eine Grundlage, auf der sie aufbauen und mit der sie planen können. Zudem sind Angriffe laut Morris zwar oft auf den ersten Blick immer ausgefeilter, in der Regel jedoch opportunistisch und gut geplant. Ransomware, so sagt er, werde zunehmend zu einer „Massenware“.
Die Umsetzung von bewährten Praktiken der Cyberhygiene ist entscheidend, um Kriminellen das Eindringen zu erschweren – was oft schon ausreicht, um sie dazu zu bewegen, sich ein anfälligeres Opfer zu suchen. Zu den wichtigsten Aufgaben zählen: das Auffinden und Erfassen aller Endpunkte und Geräte, die mit einem Netzwerk verbunden sind; die Verwaltung der wachsenden Anzahl von Apps und anderer Software, die sich im Zeitalter der Telearbeit stark vermehrt haben; die Automatisierung der Patching-Maßnahmen für zugelassene Software (bei gleichzeitiger Beseitigung nicht zugelassener Apps); sowie die Erstellung eines Plans zur schnellen Reaktion auf Sicherheitsbedrohungen.
Morris erklärt, dass Fintech-Unternehmen Sicherheitsmaßnahmen frühzeitig in ihre Betriebstechnologie integrieren müssen – eine Vorgehensweise, die als „Shift-Left-“ im Bereich der Softwaretests bekannt ist. Dadurch wird dem Testen bereits in einer frühen Phase des Entwicklungszyklus Vorrang eingeräumt, anstatt es erst nachträglich anzuhängen. Zudem fördert dies – wenn nicht sogar erfordert – eine stärkere Zusammenarbeit zwischen Sicherheitsteams und Entwicklern.
[Lesen Sie auch: Das Wesentliche messen: Die Risikomessung auf die Unternehmensziele abstimmen]
„Ich verwende oft ein Haus als Vergleich“, sagt Morris. „Die Begrenzungen und die Verriegelungen legen Sie fest, während Sie die Fenster und Türen konfigurieren.“
Eine Herausforderung für die Fintech-Branche, in der es viele kleine Unternehmen gibt, ist die Versuchung für diese Unternehmen, die gesamte Verantwortung für ihre IT und Sicherheit auszulagern. Fintechs können sich nicht bei jedem Bedarf einfach auf einen Anbieter verlassen. (Die jüngsten Angriffe auf die Lieferkette haben ihnen dies sicherlich vor Augen geführt.) Sie können das nicht einfach einmal einrichten und dann vergessen. Sie müssen die Verantwortung für ihre Sicherheitsstrategie übernehmen. „Wenn man dies auf Armeslänge auslagert, entsteht für das Unternehmen zusätzlich zum Datenrisiko ein Risiko durch Dritte“, so Morris.
„Unternehmen sollten sich darüber im Klaren sein, wie sie aus der Sicht eines Angreifers erscheinen.“
Zudem gerät das Unternehmen damit in Konflikt mit den Aufsichtsbehörden. Das Informationssystem eines Fintech-Unternehmens muss nicht nur dessen eigene geschäftlichen Anforderungen erfüllen, sondern auch die der Finanz- und Sicherheitsaufsichtsbehörden. Zudem müssen sie die Vorgaben der Finanzdienstleistungspartner oder Sponsoren erfüllen. Und es darf sich nicht um Standardprodukte handeln.
„Man braucht wirklich gute Regeln, keine vorgefertigten oder aus Vorlagen stammenden Regeln“, sagt Chuck Pine, der den Bereich Compliance bei der Wirtschaftsprüfungs- und Beratungsgesellschaft BDO leitet und dessen Team sich auf Strategien zur Betrugs- und Geldwäschebekämpfung konzentriert. „Sie müssen auf Ihre Kunden oder Ihre Auftraggeber zugeschnitten sein.“
Sich weiterentwickelnde Bedrohungen
In einem Umfeld, in dem sich die digitale Transformation immer weiter beschleunigt, entwickeln sich auch digitale Bedrohungen rasant weiter. Damit gehören Fintech-Unternehmen zu den wichtigsten Hütern wertvoller Kundendaten, was die Bedeutung strenger Maßnahmen zur Cybersicherheit in dieser Branche unterstreicht.
Pine erklärt, dass Unternehmen, die im Fintech-Bereich neu starten und sich mit Compliance-Anforderungen auseinandersetzen, oft nicht verstehen, dass ihr Risikoprofil aufgrund der Art ihrer Geschäftstätigkeit von Natur aus hoch ist.
[Lesen Sie auch: Die hohen Bußgelder in Europa erleben ein Comeback]
Auch die Fintech-Branche selbst unterliegt einem ständigen Wandel. Kryptowährungen, die offenbar die Schlagzeilen dominieren, sind eine Innovation, die Anlegern ein Produkt – digitale Coins – sowie eine neue Technologie – die Blockchain – bietet, die theoretisch das Potenzial besitzt, die gesamten Strukturen der Finanzdienstleistungsbranche zu verändern. Die Befürworter der Plattform argumentieren, dass ihre verschlüsselten Transaktionen die Sicherheit im Finanzdienstleistungsbereich auf ein neues Niveau heben, während Kritiker der Ansicht sind, dass sie aufgrund der Anonymität bei der Abwicklung missbrauchsanfällig sei.
Katri von Wedbush erklärt, dass bei Krypto-Start-ups viel Energie darauf verwendet wird, sich auf die mögliche Einführung von Vorschriften oder zumindest auf eine verstärkte Aufsicht vorzubereiten.
„Kryptowährungen werden auf die eine oder andere Weise reguliert werden“, sagt Katri. „Es wird ein positives Ereignis für die Branche sein und ihr eine gewisse Legitimität verleihen.“
Zurück zu den Grundlagen
Daten sind nicht nur für Fintech-Unternehmen ein wertvolles Gut. Dies kann technologische Innovationen vorantreiben und neue Märkte erschließen. Wenn man es richtig angeht, haben Fintechs sehr gute Chancen, erfolgreich zu sein. Sollte es jedoch zu Fehltritten, Systemausfällen oder Sicherheitsverletzungen kommen, wird Druck auf die US-Aufsichtsbehörden ausgeübt werden, hart durchzugreifen und Auflagen zu erlassen, die das Wachstum gefährden könnten, das die Branche dorthin gebracht hat, wo sie heute steht.
Für Morris kommt es vor allem auf bewährte, altbewährte Verfahren der Cybersicherheit an. Wenn man eine Bedrohungsanalyse durchführt und einen möglichen Einfallspunkt für einen Angreifer ins System entdeckt, „bekommt man ein mulmiges Gefühl im Magen“, sagt er. „Aber man fühlt sich auch gut, weil man etwas entdeckt hat, bevor es jemand anderes getan hat.“
