In Zeiten massiver Hackerangriffe auf Unternehmens- und Kundendaten kann Finanzdienstleistern das Versagen der eigenen Cyber-Security teuer zu stehen kommen. Umso wichtiger, dass die implementierten Sicherheitslösungen ordentlich funktionieren. Doch die richtigen Tools sind genauso wichtig wie die richtigen Mitarbeiter, die Erfahrung mit kriminellen Attacken mitbringen. Von Cliff Moyce
2021 wird es 3,5 Mio. unbesetzte Stellen im Bereich der Internetsicherheit geben, schätzt Cybersecurity Ventures. Mr. X ist also Mangelware. Wie erkennt man die richtigen Spezialisten und wie gewinnt man sie für sich? Zuerst muss man wissen: Gute Leute suchen keinen Job, sie halten loyal zu ihrem Arbeitgeber. Sie sind es, die über bisher implementierte Security-Lösungen lachen! Toll formulierte Lebensläufe führen hier nicht zum Ziel. Nur verifizierte und empfohlene Experten kennen alle bekannten Attacken und wehren Denial of Service-Angriffe, Supply-Chain-Attacken, Lausch- & Backdoorangriffe, DirectAccess Attacken und Zero-Day-Exploits ab. Ebenso braucht es Spezialisten im Bereich Malware, Botnets, Ransomware und für viele andere Angriffstypen. Gesucht sind diejenigen, die sich in die Köpfe von Cyberkriminellen hineindenken und Schritte voraussehen können.
Spezialisierte Profis
Heutzutage führen professionell organisierte Hacker bösartige Angriffe auf Firmen durch. Versuche der Medien, die verübten Attacken zusammenzufassen und geografisch und politisch zu verorten, helfen nicht wirklich und verwirren eher. Cyber-Kriminelle sehen es auf Geld und nicht auf Wählerstimmen ab.
Heute zeichnen Syndikate mit hochspezialisierten Gruppierungen für den Boom der Cyber-Kriminalität verantwortlich. Diejenigen, die die Tools für Cyber-Diebstahl bauen, stimmen in den wenigsten Fällen mit denjenigen überein, die mit den Tools Geld stehlen. Persönliche Stärken führen zu Spezialisierungen. Wer Freude an der technischen und intellektuellen Herausforderung findet, Tools zu bauen, die unbemerkt in Unternehmenssysteme eindringen und sich dort vervielfältigen, unterscheidet sich von den Leuten, die Geldflüsse umlenken. Beide Aktivitäten sind kriminell, aber die Motivation unterscheidet sich. In Organisationen, die Tools entwickeln, kann es mehrere Teams geben: Eines entwickelt Malware, eines kreiert Botnets und ein anderes kümmert sich um die Verbreitungskanäle. Durch die kaum nachvollziehbaren, losen Verbindungen der verstreuten Organisationen fällt es Exekutivorganen schwer, die Konstrukte zu zerschlagen.
Die Professionalisierung der Cyber-Kriminalität stellt einen Paradigmenwechsel dar, der die gängigen Sicherheitslösungen unbrauchbar macht. Diese Einsicht muss bei Playern der Finanzbranche und Kapitalmärkte reifen. Kommerzielle Sicherheitssoftware wie z.B. Anti-Virus, Anti-Malware oder Firewalls fußen auf Vermutungen vergangener Tage. Sie halten lediglich Amateur-Hacker ab und versagen im Kampf gegen kriminelle Organisationen. Finanzdienstleister müssen ihre Denkweise komplett ändern, um nachzuvollziehen, wie professionelle Internet-Kriminelle denken. Eine enge Zusammenarbeit mit global agierenden Kriminalbehörden wie Interpol ergibt Sinn.
Vertrauen ade
Die meisten Privatkunden im Finanzsektor sind genervt von der andauernden kriminellen Bedrohung, die es im kleinen Maßstab, dafür massenhaft und mit mittlerer Wirkung durch Phishing, Vishing und SMiShing auf Nutzernamen, Passwörter oder Kreditkarten-Zugänge absieht. Hat jede Familie wenigstens ein Opfer zu beklagen, das auf solche Art und Weise Geld verlor, folgen Medienberichte über Banken, die ihre Kunden nicht für Verluste entschädigen. Kein Wunder, dass die öffentliche Skepsis gegenüber Banken wächst!
Leider gibt es eine Industrie, die von kontinuierlichen kleinen Diebstählen im Web profitiert. Hier geht es um Geldwäsche. Diese Industrie unterstützt Internetkriminalität. Geht man das Thema Geldwäsche mit Nachdruck an, dämmt das Cyber-Crime ein. Vertrauen kann wieder wachsen. Es ist nicht einmal schwer, die Geldwäscher ausfindig zu machen, denn tausende von ihnen buhlen im Internet um das Ansehen der Diebe. Mit Phrasen wie „Wir stellen keine Fragen“ machen sie Werbung für sich – und das nicht versteckt oder gar im Dark Web. Je mehr dafür getan werden kann, die Infrastruktur der Cyber-Crime-Gehilfen zu zerstören, umso besser für alle. Für dieses Ziel müssen Finanzdienstleister und Kriminalpolizei weltweit eng zusammenarbeiten.
Zum Autor
Cliff Moyce, Leiter der Finanzsparte beim global tätigen Technologiespezialisten DataArt, referiert über die Cyber-Risiken in der Finanzbranche und die Herausforderungen, denen sich Verantwortliche stellen müssen.