Ein Drittel mehr Cyberangriffe auf Banken. Und im eigenen Betrieb?
Worum es geht
FINMA-Präsidentin Marlene Amstad hat am 14. August in der Finanz und Wirtschaft Zahlen genannt: Die Cyberangriffe auf beaufsichtigte Finanzinstitute haben um rund einen Drittel zugenommen. Zusätzlich warnt sie vor KI-gestützten Angriffen, also besserem Phishing und Deepfakes, und ordnet diese Entwicklung als Risiko für die gesamte Branche ein, nicht als Problem einzelner Institute.
Banken und Versicherer sind reguliert, geprüft und haben eigene Sicherheitsabteilungen. Wenn die Angriffszahlen dort steigen, sagt das weniger über die Banken aus als über die Angreifer: Der Aufwand pro Angriff sinkt, die Zahl der Versuche steigt.
Was das für kleinere Betriebe heisst
Ein Betrieb mit zwölf Mitarbeitenden hat kein Security-Budget, keine Sicherheitsabteilung und selten ein Inventar darüber, wo welche Daten liegen. Offerten, Kundendaten, Rechnungen und Lohnabrechnungen liegen häufig in lokalen Ordnern, in Excel-Dateien und auf Systemen, die seit Monaten kein Update gesehen haben.
Das Haupteinfallstor ist dabei selten die Technik, sondern der Zahlungsprozess. Gefälschte QR-Rechnungen, angebliche Anweisungen der Geschäftsleitung und Phishing auf das E-Banking zielen auf den Moment, in dem jemand unter Zeitdruck eine Zahlung freigibt.
Die Basics, die zuerst kommen
Keine dieser Massnahmen ist neu oder teuer. Genau deshalb fehlen sie oft.
- Zwei-Faktor-Authentifizierung überall, wo es sie gibt: E-Banking, E-Mail, Buchhaltung, Cloud-Speicher. E-Mail zuerst, denn darüber laufen die Passwort-Rücksetzungen aller anderen Dienste.
- Updates automatisieren statt aufschieben. Selbst gehostete Software ohne feste Zuständigkeit fürs Patchen ist ein Klumpenrisiko.
- Backups, die wiederhergestellt wurden. Ein Backup, das nie zurückgespielt wurde, ist eine Annahme, kein Backup.
- Vier-Augen-Prinzip bei Zahlungen ab einem definierten Betrag, und eine Regel für Kontoänderungen: Neue Bankverbindung eines Lieferanten wird telefonisch über eine bekannte Nummer bestätigt, nie über die Kontaktangaben in der Mail.
- Anbieter prüfen. Wo liegen die Daten, wer haftet, gibt es einen brauchbaren Export? Diese Fragen gehören vor den Vertragsabschluss, nicht in den Notfall.
Für den Ernstfall hat das Bundesamt für Cybersicherheit im Mai ein Cyber-Notfallkonzept für KMU veröffentlicht. Es beantwortet die Frage, die im Vorfall niemand beantworten kann: Wer entscheidet, wer informiert wen, und in welcher Reihenfolge.