Die Panzerknacker des 21. Jahrhunderts: Neue Allianzen gegen Banking-Trojaner

März 2018: Europol gelingt ein entscheidender Schlag gegen organisierte Cyberkriminalität. Über fünf Jahre hatte eine professionalisierte Hackerbande eine Milliarde Euro erbeutet. Unter den Geschädigten waren 100 Banken aus über 40 Nationen. Mit Hilfe einer eingeschleusten Schadsoftware war es den Kriminellen nicht nur gelungen, Kontostände von Bankkunden zu manipulieren, sondern auch dieses Geld über reguläre Geldautomaten nach Belieben auszugeben. Wer nach dem erfolgreichen Europol-Schlag nun auf ein Ende der Cyberangriffe gegen Banken hoffte, sollte bereits im Juni 2018 eines Besseren belehrt werden: Diesmal war es Hackern gelungen, 10 Millionen Dollar von der Bank of Chile zu erbeuten. Geldautomaten wurden für den Coup nicht benötigt. Mit Hilfe manipulierter Online-Überweisungen, wurde das Geld einfach auf internationale Konten transferiert.

Was wie der Plot eines futuristischen Finanzthrillers klingt, ist bereits heute Realität: Cyberkriminelle sind hinter dem großen Geld her. Und sie haben die technischen und logistischen Möglichkeiten, es sich zu holen.

Planspiele gegen Cyberattacken

Zurück im Juli 2019: Den führenden Kreditinstituten sind die steigenden Gefahren durch Hackerbanden wohl bewusst, das zeigt ein gemeinsames Planspiel der österreichischen Finanzmarktaufsichtsbehörde (FMA) und der Österreichischen Nationalbank (OeNB). Anstoß für für die Durchführung des Tests dürfte der neue IT-Sicherheitsleitfaden sein, den die FMA 2018 auf den Weg gebracht hatte. Dieses Maßnahmenpaket sollte Finanzinstitutionen besser auf mögliche IT-Gefahren vorbereiten sowie Vorgaben für den Ernstfall machen.

Ziel dieses ersten institutsübergreifenden Planspiels: eine realistische Einschätzung der Reaktionsfähigkeit und Handlungsfähigkeit führender Finanzinstitutionen in Zusammenarbeit mit technischen Dienstleistern und Behörden. Das Planspiel wurde durch das „Computer Emergency Response Team Austria“ und das österreichische Innenministerium begleitet – ein weiteres Indiz für die große wirtschaftliche, politische und symbolische Bedeutung der Versuchsreihe. Getestet wurden 10 Institutionen und deren Partner aus dem IT-Bereich. Insgesamt waren mehr als 100 Spezialisten an dem groß angelegten Stresstest beteiligt.

Die Realität simulierter Gefahr

Im Zentrum des Planspiels standen 170 simulierte Angriffe, auf die die beteiligten Institutionen zu reagieren hatten. Die Szenarien wurden dabei soweit möglich der Realität entlehnt: Getestet wurde unter anderem der Umgang mit Ransomware, DDoS-Angriffen und Datenverlusten. Besonders im Blickpunkt der Versuchsanordnung: Die Beobachtung menschlichen Verhaltens. Denn spricht man über Cyberkriminalität, so spricht man automatisch auch über den berühmten „Faktor Mensch“. Einerseits sind, wie Studien beweisen, ein Großteil der IT-Sicherheitsbedrohungen auf menschliche Fehler im Umgang mit der Technik zurückzuführen – andererseits wird die Lösung von IT-Problemen nicht zuletzt zu einer Aufgabe für die Kommunikation. Darum war ein zentraler Bestandteil des Planspiels, die Zusammenarbeit zwischen Institutionen und Behörden kritisch zu untersuchen. Technische und organisatorische Lösungen wurden damit gleichermaßen in die Pflicht genommen.

Aufatmen nach dem Stresstest

Nach dem Planspiel ziehen die beteiligten Institutionen ein insgesamt positives Fazit unter die Versuchsreihe. Vertreter der FMA äußerten sich zufrieden über die Vorbereitung der beteiligten Institutionen, sowie deren Bereitschaft im Ernstfall effektiv zusammenzuarbeiten. Doch auch kritische Töne sind im Nachgang zu hören: Demnach habe sich die „praktische Ausgestaltung als sehr unterschiedlich erwiesen“, so der recht vage Kommentar der FMA-Vorstandsmitglieder Helmut Ettl und Klaus Kumpfmüller. Die Analysen aus dem Planspiel sollen nun zur Grundlage für weitere Maßnahmen der Aufsichtsbehörde werden. Weitere Regulierungen dürften die Folge sein.

Neue Allianzen gegen Hackerbanden

Und das scheint dringend angeraten. Bereits im Juni trafen sich Vertreter der G7-Staaten sowie Nationalbanken in Paris, um über den „Schutz des Finanzsektors in der Weltwirtschaft“ zu diskutieren. Auch hier wurde eine international steigende Bedrohungslage im Finanzbereich betont. Sabine Lautenschläger aus dem EZB-Direktorium führt dies insbesondere auf eine „steigende Komplexität des Finanzbereichs“, eine Professionalisierung der Cyberkriminellen, Fachkräftemangel bei den Institutionen und eine vorschnelle Einführung technischer Innovationen, ohne deren Implementierung in das IT-Sicherheitskonzept, zurück. 

Auch an diesem aktuellen Ereignis wird deutlich: Institutionen und Behörden weltweit richten die Aufmerksamkeit auf den Finanzsektor. Zusammenarbeit scheint im Angesicht der vergangenen Jahre unerlässlich; eine effektive Allianz scheint sich zu formieren. Ins Bild passt auch eine aktuelle Bitdefender-Fallstudie, die akribisch die berühmten Carbanak-Angriffe von 2018 analysiert. 

Doch Ungewissheit bleibt: Inwieweit können die Vorfälle der Vergangenheit helfen, das Vorgehen der Cyberkriminellen zu verstehen, während diese durch immer neue ausgeklügelte Strategien stets einen Schritt voraus zu sein scheinen?

Auf der Suche nach der richtigen Strategie

Das Planspiel der österreichischen Finanzinstitutionen ist ein anschauliches Beispiel dafür, wie Finanzwirtschaft und Politik angesichts aktueller Vorfälle versuchen, die eigene Strategie an die sich laufend weiterentwickelnde Bedrohungslage anzupassen. Deutlich wird, dass der Paradigmenwechsel der vergangenen Jahre – weg vom rein technischen Konzept, hin zu einer gesamtorganisatorischen Aufgabe – zunehmend konkreter zu werden scheint. IT-Sicherheit im Jahr 2019 meint demnach die Zusammenarbeit von Technik und Infrastruktur, Organisation und Kommunikation, Politik und Wirtschaft.