Mastercard-Studie: Schweizer Banken haben grosse IT-Schwachstellen

Der Finanzplatz muss bei der Cybersicherheit nachrüsten.Bild: keystone

So viele Schweizer Banken haben eine «grosse oder kritische IT-Schwachstelle»

Fast die Hälfte der hiesigen Banken ist, respektive war, gegen einen Datenverlust nicht genügend geschützt, wie eine Studie von Mastercard zeigt.

Ann-Kathrin Amstutz / ch media

Der Schweizer Finanzsektor hat Nachholbedarf bei der Cybersicherheit. Nicht alle Banken schützen sich ausreichend vor Manipulation und Diebstahl von Daten, wie eine Analyse des US-Kreditkartenunternehmens ergeben hat.

Gemäss der Mastercard-Studie erreichen nur gut die Hälfte der Unternehmen die höchste Sicherheitsbewertung. Bei jeder vierzehnten Bank tauchten sogar «wesentliche Sicherheitslücken in mehreren untersuchten Bereichen» auf. Für die Studie wurden knapp 6000 Angriffe auf Schweizer Finanzunternehmen zwischen 2021 und 2022 ausgewertet.

Wo sind die Schwachstellen?

Rund jede fünfte Firma hatte demnach mindestens ein System mit Webanwendungen, die «eine grosse oder sogar kritische Schwachstelle» darstellen würden – oft wegen veralteter Software. Bei fast jeder dritten Firma zeigten sich Mängel im Bereich Anwendungssicherheit: Dabei waren sogenannte Content-Management-Systeme (CMS), die etwa zur Gestaltung von Websites dienen, zu einfach zugänglich.

Sogar fast die Hälfte der analysierten Banken nutzen laut der Studie unsichere Netzwerkdienste. So verwendeten sie etwa unsichere Datenspeicher. Die Schwachstellen könnten dazu ausgenutzt werden, um sensible Daten abzufangen.

Grosse Dunkelziffer

Für die Mastercard-Studie wurden 5935 Meldungen von Cyberangriffen auf Schweizer Unternehmen und Behörden zwischen 2021 und 2022 analysiert. Aus diesen Daten wurden die Erkenntnisse für die Schweizer Finanzdienstleister herausgefiltert. Die Daten spiegelten jedoch nur die Anzahl der Berichte über Attacken wider und nicht die tatsächliche Anzahl der Angriffe, so handelszeitung.ch. Tatsächlich ist insbesondere bei Ransomware-Attacken und damit verbundenen Datendiebstählen von einer relativ grossen Dunkelziffer auszugehen. Das heisst, Opfer gehen auf die Erpressungsversuche der Täter ein und bezahlen.

Geldgier und politische Motive

Zusätzlich wurde in der Studie untersucht, wie sich die Cyberkriminellen charakterisieren lassen. Rund die Hälfte der Angriffe auf Banken geht demnach auf Finanzhackerinnen und -hacker zurück, die Geld erbeuten wollen. Deren Anteil ist in der Schweiz aufgrund der Bedeutung des Finanzplatzes höher als im europäischen Schnitt.

Politisch motivierte oder aktivistische Cyberkriminelle sind gemeinsam für die meisten der übrigen Angriffe verantwortlich. Nur rund ein Prozent entfällt auf Mitarbeitende, die ihren Zugang zu internen Systemen kriminell ausnutzen.

Was hilft?

Mastercard gibt auch Empfehlungen ab, wie die Banken ihre Cybersicherheit verbessern könnten. Das Thema müsse oberste strategische Priorität haben und entsprechend bei der Unternehmensführung angesiedelt sein.

Wichtig sei auch die Schulung von Angestellten sowie eine regelmässige Simulation von Angriffen, um Schwachstellen besser zu erkennen. Weiter sei eine stärkere Zusammenarbeit unter den Banken wünschenswert.

Bereits laufen Anstrengungen, den Schweizer Finanzplatz besser zu schützen. Grosse Hoffnungen ruhen dabei auf der sogenannten SCION-Technologie, die von der ETH Zürich entwickelt wurde. Sie gilt als äusserst sicher, da sie ein geschlossenes Netzwerk bereitstellt, das für Angreifer von ausserhalb der Schweiz unsichtbar ist.

Die Nationalbank hat die Technologie ausgiebig getestet – und will sie bis 2024 für den Bankenplatz einführen. So soll die Kommunikation zwischen den Finanzmarktteilnehmern deutlich sicherer werden.

So teuer ist ein Cyberangriff im Durchschnitt

5200 Franken pro Minute. Nach einer Studie des Techkonzerns IBM beträgt der Schaden nach einer Datenschutzverletzung im Schnitt 4,1 Millionen Franken, für Banken sogar 5,8 Millionen Franken. Ein möglicher Reputationsschaden ist dabei noch nicht eingerechnet.

Rund 40 Prozent der angegriffenen Firmen würden ein Lösegeld zahlen, um wieder Zugriff auf kompromittierte oder blockierte Systeme zu erhalten. Die Zahlungen belaufen sich im Schnitt derzeit auf rund 80’000 Franken (weltweit 167’000 Franken). Die anschliessende Behebung des technischen, organisatorischen und Reputationsschadens kostet jedoch mehr als 1,5 Millionen Franken.​

Quellen

• mastercard.com: Digitale Sicherheit: Mastercard-Studie zur Cybersicherheitslage im Schweizer Finanzsektor

(aargauerzeitung.ch)

Opfer einer Ransomware-Attacke? Darum sollten Betroffene nicht bezahlen

Das Nationale Zentrum für Cybersicherheit NCSC rät von der Zahlung eines Lösegeldes ab und warnt: «Es gibt keine Garantie, dass die Verbrecher nach der Bezahlung des Lösegelds die Daten nicht doch veröffentlichen oder anderen Profit daraus schlagen. Zudem motiviert jede erfolgreiche Erpressung die Angreifer zum Weitermachen, finanziert die Weiterentwicklung der Angriffe und fördert deren Verbreitung.»

Sollten Opfer dennoch das Bezahlen von Lösegeld in Erwägung ziehen, empfiehlt das NCSC dringend, diese Schritte mit der Kantonspolizei zu diskutieren.

Auf der Webseite https://www.nomoreransom.org/ gibt es Tipps, um die Schadsoftware zu identifizieren und die Möglichkeit, bereits bekannte Schlüssel herunterzuladen. Nomoreransom.org ist ein gemeinsames Projekt der niederländischen Polizei und von Europol, an dem sich auch die Schweizerische Eidgenossenschaft beteiligt.