Security bei Banken: “Der Mensch ist das Problem!”

Menschliche Fehler sind eine der Hauptursachen für Cyberangriffe auf Finanzunternehmen. Sieben von zehn Finanzunternehmen wurden zu Opfern von Cyberkriminalität durch die falsche Handhabung von E-Mail-Anhängen. Besonders gefährdet seien KRITIS-Unternehmen. Das zeigt die aktuelle Studie Sichere Internetnutzung des Research- und Analystenhauses techconsult.

Knapp die Hälfte der befragten Unternehmen, die zu den Kritischen Infrastrukturen zählen, setze bei der Abwehr gegen schädliche E-Mails auf die Vorsicht der Mitarbeitenden. Diese würden schlicht den Hinweis erhalten, prinzipiell keine Anhänge zu öffnen. Dabei seien stolze 56 % der Angriffe auf KRITIS-Unternehmen Phishing-Attacken – also Angriffe, die Mitarbeitende dazu verleiten, infizierte Anhänge oder Links zu öffnen.

Jedes dritte Unternehmen gab an, dass das Anklicken einer solchen E-Mail bereits zu einem Sicherheitsvorfall geführt habe. In den Sektoren Gesundheit, Finanz- und Versicherungswesen, sowie Medien- und Kulturinstitutionen sei das sogar bei sieben von zehn der Befragten der Fall gewesen.

Ein Hinweis auf das Nicht-Öffnen von E-Mails ist ein völlig unzureichender Schutz vor Cyberangriffen. Denn der Mensch macht Fehler und solche Fehler können gravierende Folgen haben. Das ist vor allem bei Finanzinstituten der Fall. Denn ein Ausfall oder eine schwere Beeinträchtigung der Bargeldversorgung durch einen Hackerangriff kann die öffentliche Sicherheit gefährden.“

Peter Burghardt, Geschäftsführer von techconsult

Hochsensible Kundendaten schützen

In der Finanzbranche sei mit 6 bis 10 % auch die Zahl der Unternehmen am größten, die überhaupt keine Maßnahmen – weder technische noch organisatorische – zum Schutz vor E-Mail-basierten Bedrohungen einsetzen. Es bestehe für Banken dringender Handlungsbedarf, um Cyberkriminellen die Tore zum Netzwerk mit hochsensiblen Kundendaten zu verschließen.

Weiter zeige die Studie, dass 35 Prozent aller KRITIS-Unternehmen in den vergangenen zwölf Monaten Opfer eines Angriffs aus dem Internet geworden sind – mit zum Teil gravierenden Folgen für die Betriebsabläufe. Die Gefahr beim Surfen im Internet sei den Unternehmen dabei durchaus bewusst: Nur vier Prozent der befragten Unternehmen ergreifen gar keine Maßnahmen, um sich vor Angriffen aus dem Internet zu schützen. Doch die für den Schutz gewählten Mittel seien meist ungeeignet.

Mehr als ein Viertel der Unternehmen schränken die Möglichkeiten der Internetnutzung für die Mitarbeiter ein, indem sie bspw. keine aktiven Elemente wie Flash, ActiveX, JavaScript zulassen. Solche Maßnahmen haben erhebliche Folgen für die Produktivität. 40 Prozent der Teilnehmer, die aktive Elemente gesperrt haben, gaben an, dass sie nur noch einen Bruchteil der für ihre Tätigkeit relevanten Internetseiten nutzen können, was mit einem erheblichen Informationsverlust einhergeht.

Restriktive Maßnahmen bei der Internetnutzung sind eine Gefahr für die Wettbewerbsfähigkeit eines Unternehmens. Solche Einschränkungen bei der Internetnutzung sorgen nicht nur für ineffektives Arbeiten, sondern auch für Frustration bei den Mitarbeitenden. KRITIS-Unternehmen sollten stattdessen technische Mittel einsetzen, um das Internet sicher nutzen zu können – am besten geeignet ist ein virtueller Browser.“

Dr. Falk Herrmann, Geschäftsführer von Rhode & Schwarz Cybersecurity

Laut Rohde & Schwarz Cybersecurity (Website) könne ein virtueller Browser das Surfen im Internet ermöglichen, ohne dass Hacker Zugriff auf die Unternehmensnetzwerke erlangen können. Um die Sicherheitslücke “Internet” zu schließen, erfolge auf der Rechnerebene eine komplette Isolation, sodass Schadsoftware vom restlichen PC des Nutzers ferngehalten wird. Zusätzlich werde auf der Netzwerkebene der Zugang zum Internet vom Intranet getrennt. Das interne Unternehmensnetzwerk (Intranet) sei so vom Internet getrennt. Dieser Mechanismus schütze auch vor Angriffen via E-Mail-Anhängen oder Webkonferenzen mit Mikrofonnutzung und Webcam-Unterstützung.

Über die Studie

Die Studie wurde von dem Research- und Analystenhaus techconsult durchgeführt und von dem Unternehmen Rohde & Schwarz Cybersecurity unterstützt. Teilgenommen an der Umfrage haben 200 Entscheider aus KRITIS-Unternehmen mit mehr als 250 Mitarbeitern.

Die Studie können sie nach Angabe der Kontaktdaten hier herunterladen.ft