EZB fordert Banken zu besserer Cyber-Resilienz auf: Luft nach oben festgestellt
Die Europäische Zentralbank ruft Banken zu verstärkter Vorbereitung und Erholung von größeren Cyber-Attacken auf. In ihrem ersten Test zur Bewertung der Verwundbarkeit des Finanzsektors gegenüber der wachsenden Bedrohung durch Hacker fand die EZB erhebliche Verbesserungsmöglichkeiten in der Fähigkeit von Banken, auf solche Szenarien zu reagieren.
Der Stresstest der EZB zeigte, dass zwar bereits hochentwickelte Reaktions- und Erholungsrahmen vorhanden sind, dennoch Raum zur Verbesserung bleibt. Dies betonte Anneli Tuominen, Mitglied des Aufsichtsrates der EZB, die die führenden Geldinstitute der Eurozone überwacht.
In den letzten zwei Jahren haben insbesondere westliche Banken eine Zunahme von Cyber-Attacken erfahren. Dies ist zum Teil auf russische Hacker zurückzuführen, die als Reaktion auf Sanktionen agieren, die im Zuge des Ukraine-Krieges verhängt wurden. Auch der Einsatz von Künstlicher Intelligenz hat die Anzahl und Komplexität der Angriffe erhöht.
Tuominen hob die Bedeutung der Cyber-Resilienz hervor und verwies auf einen globalen IT-Ausfall bei CrowdStrike, der zeigte, wie sich Vorfälle in einer Institution auf mehrere Sektoren auswirken können. Die EZB betonte, dass ihr Test die Reaktion der Banken auf einen erfolgreichen Hackerangriff und nicht deren Fähigkeit zur Prävention untersucht habe.
109 Banken nahmen an dem Test teil, bei dem über Fragebögen und Dokumentationsanforderungen ihre Reaktionsfähigkeit auf schwere Cyber-Angriffe geprüft wurde. Bei 28 der Banken, die ein Querschnitt des Sektors darstellten, wurden weitergehende Tests durchgeführt, darunter IT-Erholungstests und Vor-Ort-Besuche durch EZB-Aufsichtsbeamte.
Die Ergebnisse des Tests sollen in den jährlichen Aufsichtsüberprüfungs- und Evaluierungsprozess der EZB einfließen, der die Risiken bei jeder Bank bewertet und deren Kapitalanforderungen festlegt. Ein direkter Einfluss auf die erforderliche Kapitalmenge wird jedoch nicht erwartet.
Neben der Krisenmanagement- und Geschäftskontinuitätsplanung innerhalb der Banken wurde auch ihre Kommunikationsfähigkeit mit externen Parteien wie Kunden, Strafverfolgungsbehörden und Dienstleistern geprüft. Diese mussten zeigen, dass sie in der Lage sind, Ausweichmaßnahmen zu implementieren und kritische Daten wiederherzustellen sowie mit wichtigen Drittanbietern zusammenzuarbeiten.
Die EZB bemerkte, dass die Aufsichtsbehörden jedem Institut individuelles Feedback gegeben haben und diese entsprechend weiter begleiten werden. Einige Banken haben bereits Maßnahmen zur Behebung der im Test identifizierten Mängel eingeleitet.
Die Detektion und Behebung von Schwachstellen in der betrieblichen Resilienz von Banken, insbesondere hinsichtlich Cyber-Risiken, bleibt eine vorrangige Aufgabe der Bankaufsicht der EZB für die kommenden zwei Jahre, nachdem eine deutliche Zunahme der Anzahl und Raffinesse von Hackerangriffen festgestellt wurde.
Im Oktober warnte Lloyd's of London, dass ein bedeutender Cyber-Angriff auf ein globales Zahlungssystem die Weltwirtschaft 3,5 Billionen Dollar kosten könnte. Anfang des Jahres wurde Spaniens größte Bank Santander durch einen Cyber-Angriff getroffen, bei dem Daten von Kunden in Spanien, Chile und Uruguay betroffen waren. Ein paar Wochen später wurden Daten von Millionen Kunden und Mitarbeitern, einschließlich Kontodaten und Kreditkartennummern, in einem Hackerforum zum Verkauf angeboten.
Laut dem Cybersicherheitsunternehmen Sophos stieg die Anzahl der Ransomware-Angriffe in der Finanzbranche im letzten Jahr um 64 Prozent im Vergleich zum Vorjahr. Im November wurde der New Yorker Ableger der größten Bank Chinas, ICBC, Ziel eines Ransomware-Angriffs, der den 25 Billionen Dollar schweren US-Treasury-Bond-Markt störte.
