die bank 06 // 2022

DIGITALISIERUNG ihr

DIGITALISIERUNG ihr ganzes Geschäftsmodell auf Cloud-Services aufgebaut, sie verfügen kaum mehr über eigene Infrastruktur vor Ort. Mit der Adaption von Cloud-Diensten steigen aber zugleich die Menge der dort gespeicherten sensiblen Daten und der Bedarf an technischer Kontrolle und Absicherung. Viele Service-Provider bieten eine ausgefeilte Monitoring-Funktionalität an, deren effektive Nutzung für die Finanzorganisationen mangels Erfahrung eine Herausforderung darstellt. Reale Angriffe auf die Cloud – und die mögliche Abwehr Im Jahr 2021 wurden die Clouds der Finanzdienstleister unter anderem durch die Nobelium-Gruppe bedroht, die mit der russischen Regierung in Verbindung gebracht wird. Sie konnte durch die Ausnutzung des SAML-Tokens eine Backdoor erstellen, um Malware einzuschleusen und sensible Informationen aus Active Directory Federation Services (AD FS) zu stehlen. Auf diese „Golden SAML-Attacks“ waren viele Organisationen nicht vorbereitet. Ebenfalls im Microsoft-Umfeld wurden die sogenannten vier „OMIGOD Vulnerabilities“ identifiziert, die auf das Open Management Infrastructure Framework (OMI) zielten. Die Lehre daraus lautet: Die Cloud-Infrastruktur ist nicht unfehlbar, und Exploits werden vorkommen. So wurde 2021 auch die erste echte Cloud-native Malware namens Siloscape entdeckt, die auf Windows-Container abzielt und dem Angreifer über eine Backdoor letztlich sowohl finanziellen Gewinn als auch Spionage ermöglicht. Nahezu alle Experten, die für die Untersuchung befragt wurden, äußerten Bedenken zur Sicherheit der Cloud-Infrastrukturen, ganz konkret für die nächsten zwölf Monate. Auch bei der Absicherung von Software-as-a- Service (SaaS) werden Probleme erwartet. Bei der weiteren Skalierung der Dienste sollte deshalb der Rat von Cyber-Security-Spezialisten unbedingt gehört werden. Bei der Evaluation der Risiken und der Entwicklung von Abwehrmaßnahmen kommt es besonders auf die Purple Teams an, bei denen die Erkenntnisse aus der Systemanalyse, aus Detektion und Response zusammenlaufen. Nur in einer umfangreichen Zusammenarbeit aller Beteiligten aus verschiedenen Blickrichtungen kann die Expertise aufgebaut werden, die nötig ist, um die Gefahren zu meistern, die daraus hervorgehen, dass Cyber-Kriminelle sich zunehmend Kenntnisse und Verfahren von den staatlich unterstützten Akteuren abschauen. Vulnerability – ein wichtiges Thema in der Finanz-IT Die Finanzwirtschaft basiert auf sehr komplexen, stark regulierten IT-Systemen, die schwer zu ersetzen sind und daher auch über einen langen Zeitraum betrieben werden. Das Vulnerability-Management in diesen ausgedehnten Netzwerken ist eine ständige Herausforderung. So haben die Cyber-Sicherheitsbehörden der USA, Großbritanniens und Australiens zusammen mit dem FBI eine Untersuchung herausgebracht, die die 30 größten Sicherheitslücken auflistet, die in den Jahren 2020 und 2021 ausgebeutet wurden. Ganz oben stehen hier Systeme wie Microsoft Exchange, Pulse Secure, Accellion, VMware und Fortinet. Als der Devisenhändler Travelex aus London 2020 wegen einer Ransomware-Attacke den gesamten Betrieb in 30 Ländern einstellen musste, steckte dahinter eine ungepatchte, kritische Sicherheitslücke in den Pulse Secure VPN-Servern. Und als Phineas Fisher in das Netzwerk der Cayman Bank eindrang, nutzte er dazu eine SonicWall VPN-Anwendung. Nach Erkenntnissen von WithSecure war eine der meistgenutzten Lücken des letzten Jahres CVE-2017-11882 in Microsoft Office inklusive 365. Sie war Einfallstor für viele Phishing- Kampagnen und wurde auch von Threat-Akteuren wie der Cobalt-Gruppe genutzt, die von finanziellen Interessen getrieben agierte. Der Financial Services Threat Landscape Report zeigt auf, dass Vulnerabilities in den vergangenen zwölf bis 18 Monaten immer schneller und in größerem Umfang ausgenutzt wurden. Für Finanzorganisationen wird es daher immer wichtiger, die Angriffsflächen mit externer Hilfe zu testen und auf diese Weise zu lernen, wo Sicherheitslücken im System verborgen sind. Ohne realistische Tests lässt sich kaum herausfinden, wie löchrig die Firmennetzwerke wirklich sind. Finanztechnologien: Gefahren auch für SWIFT und Open Banking … Zugegeben, die reichweitenstarken Berichte über den modernen, digitalen Bankraub leben vor allem von Klischees. Und doch waren einige der oben genannten, staatlich unterstützten APT-Gruppen tatsächlich in der Lage, die SWIFT-Infrastruktur anzugreifen und zu manipulieren. Der bekannteste Fall datiert aus dem Jahr 2016, als die Bank of Bangladesh durch nordkoreanische Akteure um 150 Mio US-$ erleichtert wurde. In der Folge wurden auch Banken aus Russland, der Ukraine und Vietnam über die SWIFT-Infrastruktur ins Visier genommen. Die richtige Reaktion der internationalen Bankengemeinschaft war die Einführung des Customer Security Controls Frameworks (CSCF), mit dem die operativen Netzwerke der Banken von der SWIFT-Infrastruktur getrennt wurden. So entstanden „sichere Zonen“ mit integrierten Kontrollmechanismen und Real- Time-Monitoring. Die Lockdown-Maßnahmen während der Pandemie haben nach Einschätzung der Experten die Möglichkeiten zur Auszahlung von Erlösen krimineller SWIFT-Transaktionen weiter eingeschränkt. Zudem scheint es, dass sich der Fokus der Lazarus-Gruppe, der die meisten SWIFT-Attacken zugeschrieben werden, zuletzt auf Krypto-Währungen verlegt hat. Auch bei Open Banking gibt die Untersuchung zunächst eine vorsichtige Entwarnung. Der Austausch von Transaktionsdaten über APIs wächst mit der zunehmenden Verbreitung von Open Banking zwar stetig an, doch erfordert deren Ausbeutung erhebliche technische Expertise oder Insider-Kenntnisse. Solange noch keine profitable Methode zur Monetarisierung dieser Daten gefunden ist, dürften sich die kriminellen Anstrengungen bis auf Weiteres in Grenzen halten. 60 06 | 2022

DIGITALISIERUNG FAZIT: DIE VERMEIDUNG VON RISIKEN IST NICHT MEHR GENUG … sowie Geldautomaten und Krypto- Währungen Im Bereich der Geldautomaten machen sich die Experten im Vergleich zu anderen Sektoren ebenfalls nur geringe Sorgen. Ein Bericht der EU EAST Expert Group on ATM and ATS Physical Attacks (EGAP) stellt seit Beginn der Pandemie einen Rückgang der physischen Angriffe auf ATMs um 19 Prozent fest, zugleich seien die logischen und Malware-Attacken um 44 Prozent in der Anzahl und 14 Prozent bei den Kosten gestiegen – allerdings blieben die meisten dieser Versuche erfolglos. Einige ATM-Modelle sind immer noch vulnerabel. Malware und Jackpotting kommen immer noch zum Einsatz, und es gibt auch Berichte über aufwendige Angriffe nordkoreanischer Akteure, die die Kompromittierung größerer Infrastrukturen voraussetzt. Dennoch hielten sich die Schäden in Grenzen. Vielmehr wendet sich die Aufmerksamkeit nun den Krypto-Währungen zu. Mit der Ankündigung eigener Digitalwährungen der Zentralbanken (CBDC) in den USA, Großbritannien, China und der EU kommt der Absicherung solcher Plattformen erhöhte Bedeutung zu. Da die Nutzer diese Coins in mobilen Apps verwalten werden, geraten diese ins Visier von Akteuren mit finanziellen Interessen. Nordkoreanische Gruppen und Cyber-Kriminelle, die zuvor schon Banking Apps über Click Bots, mobile Malware oder Banking- Trojaner attackiert haben, werden sich den Krypto-Währungen verstärkt widmen, nicht zuletzt, um sie zur Geldwäsche zu verwenden. Die für den Report befragten Experten und die Erkenntnisse aus der Praxis zeigen auf, dass die IT- Sicherheit in der Finanzindustrie stärker gefährdet ist als je zuvor. Die Herausforderungen werden mit zunehmender Nutzung von Cloud-Diensten und neuen Gefahren in der Lieferkette immer vielfältiger und komplexer. Ein wenig beruhigend wirkt es, dass zumindest die spezifischen Technologien wie SWIFT oder Open Banking aktuell nicht besonders stark betroffen sind, sie stellen zumindest kein systemisches Risiko für Banken und Versicherungen dar. Wie alle Branchen leidet aber auch das Finanzwesen unter der rasanten Weiterentwicklung der Ransomware. Die Drohung mit der Veröffentlichung sensibler Daten trifft den Markenkern der Finanzdienstleister im Kern: Das Kundenvertrauen wäre in Gefahr. Zur Abwendung reicht es nicht, einfach nur die Compliance- Regeln abzuhaken und Security-Patches aufzuspielen. Zur IT-Sicherheitsstrategie gehört es heute unverzichtbar, neben der reinen Vermeidung von Risiken auch die Reaktion auf einen wahrscheinlichen Vorfall mit einem Recovery Playbook optimal vorzubereiten. Ohne Detection und Response und die Entwicklung einer echten Cyber-Resilienz gibt es keine Sicherheit. Um zum Fußball zurückzukommen: Die Lücken in der Verteidigung sind nur beherrschbar, wenn der Spielplan stimmt und das ganze Team aufeinander eingespielt in jeder Situation vollen Einsatz zeigt. Und zwar lückenlos 90 Minuten lang. Autor Rüdiger Trost berät als Manager Pre-Sales D/A/CH bei der WithSecure GmbH (vormals F-Secure) Unternehmen bei der Erstellung und Umsetzung von IT-Sicherheitskonzepten. 1 „Financial Services Threat Landscape Report 2021“, veröffentlicht von WithSecure 2022. 06 | 2022 61