Cyberrisiken (2023/1)

Regelmässig berichten die Medien über erfolgreiche Cyberangriffe auf etablierte Unternehmen. So haben Angreifer jüngst die Sicherheitslücke im Datenaustauschprogramm «MOVEit» genutzt, um Daten zu extrahieren und anschliessend die Unternehmen zu erpressen. Für viele Beaufsichtigte ist es eine Herausforderung, solche sogenannten Zero-Day-Angriffe (eine bis dato unbekannte Schwachstelle in einem System, die von Angreifenden ausgenutzt wird) zu erkennen. Denn sie können nicht mit herkömmlichen Mitteln wie einem Schwachstellenscanner identifiziert und danach geschlossen werden.

Auch sogenannte Distributed-Denial-of-Service-Attacken (DDoS-Attacken) sind nach wie vor häufig (siehe Abbildung «Verteilung basierend auf den während der letzten zwölf Monate bei der FINMA eingegangenen Cybermeldungen»). Dabei wird mit einer hohen Anzahl Anfragen die Überlastung der Systeme (etwa einer Internetseite) bewirkt. Mit dieser Methode griffen beispielsweise jüngst politisch motivierte Gruppierungen die Internetauftritte der Bundesverwaltung und weiterer Behörden an. Auch beaufsichtigte Finanzinstitute waren betroffen, konnten den Angriffen jedoch standhalten. Im Vergleich zu den DDoS-Angriffen Ende 2020, die damals zu grösseren Ausfällen und Nichtverfügbarkeiten führten, waren die Institute sehr gut vorbereitet. Dennoch steigt die Bedrohung aufgrund politisch motivierter Cyberattacken.

Die Meldungen der Beaufsichtigten zu Cyberattacken an die FINMA belegen den Trend, dass kleinere Institute häufiger angegriffen werden (siehe Abbildung «Anzahl Meldungen zu Cyberattacken nach Aufsichtskategorien»). Ausserdem rücken im Vergleich zu früher und zu Banken auch die Versicherungsunternehmen (rund 30 Prozent) und Vermögensverwalter (rund 20 Prozent) stärker in den Fokus von Cyberangriffen. Auch der bisherige Trend, Unternehmen erfolgreich über Dienstleister anzugreifen, hat sich fortgesetzt (siehe Abbildung «Angriffsvektor»). Beispielsweise haben Angreifer in zwei verschiedenen Ransomware-Attacken auf Dienstleister Daten von einer zweistelligen Anzahl an Instituten kompromittiert. Solche Angriffe müssen nicht zwingend nur Kundendaten betreffen, sondern können auch andere, vom Unternehmen als kritisch eingestufte Daten beispielsweise von Mitarbeitenden, Geschäftsgeheimnissen, Anlagestrategien usw. betreffen.

(Aus dem Risikomonitor 2023)