5 Maßnahmen So kämpft Bafin gegen Cyberangriffe
Neben Zinsrisiken, insbesondere für kleinere Banken, warnt die Bundesanstalt für Finanzdienstleistungsaufsicht (Bafin) Finanzfirmen nun auch vor Cyberattacken mit einem besonders hohen Schadenspotenzial. Diese nähmen weltweit zu, so die Behörde. Schuld sei zum einen die Corona-Pandemie und die damit verbundene Auslagerung vieler Tätigkeiten ins Homeoffice. Zum anderen seien „schlagkräftig organisierte Wirtschaftskriminelle und politisch motivierte oder sogar staatlich initiierte Cyberattacken“ eine nicht zu unterschätzende Bedrohung. Letztere hätten sich seit Ausbruch des Ukraine-Kriegs vervielfacht, so die Finanzaufsicht.
Ransomware-und DDoS-Angriffe
Besonders gefährlich sind laut Bafin sogenannte Ransomware-Angriffe. Das sind Schadprogramme, welche die Daten des Opfers verschlüsseln und erst gegen Zahlung eines Lösegelds wieder freigeben. Dabei entstehen Kollateralschäden, da Systeme abgeschaltet werden müssen. Eine weitere häufige Angriffsart sei der Distributed-Denial-of-Service-Angriff (DDoS). Dabei wird das Kommunikationsnetz eines Unternehmens absichtlich mit einer Flut von Datenanfragen über das Internet überlastet.
„Erfolgreiche Cyberangriffe – zumal solche mit schwerwiegenden Auswirkungen – sind bislang im deutschen Finanzsektor nicht in nennenswerter Zahl festgestellt worden – auch seit Ausbruch des Kriegs in der Ukraine nicht“, schreibt die Behörde in ihrem aktuellen Bericht „Risiken im Fokus“. Die Unternehmen seien sich der Risiken bewusst und stärken ihre Verteidigungslinien. Dennoch sei die Bedrohung für den Finanzsektor sehr hoch, da die Unternehmen dort mit zwei besonders attraktiven Gütern arbeiten: mit Geld und sensiblen Daten.
Daher nennt die Bafin folgende fünf Maßnahmen, die die Finanzdienstleister vor Cyber-Attacken schützen sollen:
- Die Bafin wird weiterhin bei ausgewählten Unternehmen des Finanzsektors – auch bei Kryptoverwahrern und Zahlungsdienstleistern – prüfen, inwiefern deren Geschäftsorganisation gegen Cyberrisiken gewappnet ist.
- Die Bafin engagiert sich weiter im Nationalen Cyber-Abwehrzentrum und tauscht sich eng mit anderen nationalen und internationalen Behörden aus.
- Die Bafin wird planmäßig zu Mitte Januar 2025 die neue, sektorübergreifende EU-Regulierung, den Digital Operational Resilience Act (DORA), in den einzelnen Aufsichtsbereichen effektiv umsetzen. Sie wird zentrale Meldestelle für das Vorfallsmeldewesen (Incident Reporting) sein, das sich dann auf alle Sektoren des Finanzsektors erstrecken wird.
- Die Aufsicht analysiert anhand der seit Ende November 2022 über die elektronische Meldeplattform der Bafin eingehenden sektorweiten Anzeigen von (wesentlichen) Auslagerungen, welche Aktivitäten und Prozesse die Unternehmen des Finanzsektors auf welche Dienstleister ausgelagert haben. Auf diese Weise kann die Aufsicht Auslagerungslandkarten erstellen und Risiken für einzelne beaufsichtigte Unternehmen und Konzentrationsrisiken für den gesamten Finanzsektor erkennen.
- Auf Grundlage dieser Erkenntnisse überwacht die Bafin ausgewählte IT-Mehrmandantendienstleister und ordnet zusätzlich Prüfungen an, um deren Risikomanagement in den Blick zu nehmen. Damit soll indirekt die operative Resilienz einer Vielzahl von Unternehmen des Finanzsektors gestärkt werden.
