Cyberrisiken 2022

Eine Zunahme der Professionalisierung der Akteure und immer kürzer werdende Zeitspannen zwischen Bekanntgabe und Ausnutzung von kritischen Sicherheitslücken halten auch die Finanzbranche auf Trab. Ein erfolgreicher Angriff kann zu Ausfällen und Unterbrechungen von Informations- und Kommunikationstechnik-Systemen führen und die Schutzziele Verfügbarkeit, Vertraulichkeit und Integrität gefährden. Konkrete Risikotreiber sind ein unzureichendes Bewusstsein für den Umgang mit Cyberrisiken – sei es bei den Mitarbeitenden oder aufgrund einer unangemessenen Governance. Zudem sind die Cyberprozesse bei vielen Instituten zu fragmentiert, als dass diese eine umfassende Einschätzung über die eigene Cyberrisikolage treffen könnten. Das Risiko bleibt deshalb unverändert hoch.

Regelmässig sorgen erfolgreiche Cyberangriffe auf etablierte Unternehmen in der Schweiz und weltweit für Schlagzeilen. Cyberangriffe werden immer ausgefeilter, und Angreifende entwickeln ständig neue Methoden. Zudem tauchen auch immer wieder Sicherheitslücken auf, welche die Unternehmen sehr schnell schliessen bzw. mitigieren müssen. Jüngstes Beispiel ist die «Log4j»-Schwachstelle, eine Lücke in einer weitverbreiteten Protokollierungsbibliothek für Java-Anwendungen, die Ende 2021 auftauchte und sehr einfach über das Internet angegriffen werden konnte. Viele der Beaufsichtigten reagierten schnell, um die Lücke zeitnah unter Kontrolle zu bringen. Insbesondere Unternehmen, die für solche Szenarien Anleitungen und Verfahren vorbereitet und diese während der regulären Geschäftstätigkeit erprobt hatten, waren in der Lage, den Vorfall effektiv und zeitnah zu bewältigen.

Meldungen
Die FINMA-Beaufsichtigten haben der FINMA zwischen September 2020 und September 2022 insgesamt 145 Cyberattacken gemeldet. Seit der Publikation des letzten Risikomonitors sind 65 Angriffe hinzugekommen. Die Auswertung der gemeldeten Angriffe der letzten zwölf Monate zeigt, dass sich der Schwerpunkt der Angriffe vom Angriffstyp «Distributed Denial of Service» (DDoS) zu Schadsoftware (vorab via externe Dienstleister) verschoben hat. Die häufigste Angriffsmethode war der Angriff über einen externen Dienstleister im Rahmen eines Outsourcings.

Angriffsvektor
Aufgrund ihrer Aufsichtstätigkeit sieht die FINMA gegenwärtig folgende Risikotreiber im Vordergrund:

Einige der Beaufsichtigten haben keine oder unvollständige Reaktionspläne für Cyber-Vorfälle im Einsatz oder überprüfen diese nicht auf ihre Effektivität.
Beaufsichtigte integrieren das Cyberrisiko nicht explizit in ihr qualitatives Management der operationellen Risiken. So kann kein systematisches und umfassendes Management der Cyberrisiken gewährleistet werden.
Beaufsichtigte definieren die Cyberrisiken und ihre dazugehörige Risikotoleranz ungenügend, oder es besteht gar kein Cyberschutzkonzept.
Beaufsichtigte haben teilweise keine klaren Anforderungen hinsichtlich der Cybersicherheit an die Dienstleister oder führen keine regelmässige Überprüfung ihrer Einhaltung durch.

(Aus dem Risikomonitor 2022)

FINMA-Risikomonitor 2022

Zuletzt geändert: 10.11.2022 Grösse: 0.53 MB

Zur Merkliste hinzufügen