EZB fordert bessere Notfallpläne für Cyberangriffe

Die Europäische Zentralbank (EZB) fordert von den Banken der Euro-Zone, ihre Widerstandsfähigkeit gegen Cyberangriffe zu verbessern. Die EZB-Bankenaufseher haben die Cyberresilienz von 109 Kreditinstituten in einem Stresstest überprüft. Die Übung zeigte, dass Banken grundsätzlich in der Lage sind, auf Cybersicherheitsvorfälle angemessen zu reagieren und sich davon zu erholen. Jedoch gibt es Bereiche, die verbessert werden müssen. Die EZB ist seit November 2014 für die Aufsicht über die größten Banken in der Euro-Zone zuständig und hat diese 2024 erstmals einem Cyberstresstest unterzogen. Dabei wurde untersucht, wie die Geldhäuser auf einen erfolgreichen Hackerangriff reagieren, der zu Störungen im Tagesgeschäft führt.

Die Banken sollten ihre Notfallpläne sowie die Maßnahmen zur Wiederherstellung des Normalbetriebs testen. Ziel war es, Schwachstellen zu ermitteln und anschließend abzustellen. Maßnahmen zur Verhinderung von Cyberangriffen standen nicht im Mittelpunkt der Übung. Das Thema IT-Sicherheit zählt zu den Prioritäten der EZB-Bankenaufseher für die nächsten Jahre. Es gibt eine ganze Reihe von Cyberbedrohungen, schrieb Anneli Tuominen, Mitglied im Führungsgremium der EZB-Bankenaufsicht und dort für IT-Risiken zuständig, in einem Blogpost.

Bislang hatten Cybervorfälle noch keine Konsequenzen für das gesamte Finanzsystem. Eine schwere erfolgreiche Cyberattacke könnte jedoch eine bedeutende Bedrohung darstellen. Angesichts der starken Vernetzung der Banken untereinander kann ein Vorfall in einem Institut Kaskadeneffekte über viele Sektoren haben, wie bei dem jüngsten weltweiten Ausfall von Crowdstrike. Vergangene Woche sorgte ein fehlerhaftes Update einer IT-Sicherheitssoftware der US-Firma Crowdstrike dafür, dass Windows-Computer weltweit abstürzten und einen blauen Fehlerbildschirm anzeigten. In der Folge kam es weltweit zu Flugausfällen und Störungen bei Telekommunikationsunternehmen und im Finanzsektor.

Bei Banken in Deutschland gab es zeitweise Probleme beim Bargeldabheben am Geldautomaten oder bei Hintergrundarbeiten der Institute, die jedoch rasch behoben wurden. Wirklich kritische Vorfälle gab es jedoch nicht. Die Bedeutung von Cyberresilienz, also der Widerstandsfähigkeit im Falle eines Cyberangriffs, könne nicht überschätzt werden, mahnt Tuominen. Angesichts dieser großen Bedeutung müssen Banken ihre Investitionen in Cybersicherheit priorisieren und es als lebenswichtige strategische Komponente behandeln, forderte die Bankenaufseherin.

Die Zahl der Cyberattacken auf Banken hat sich nach Erkenntnissen des Internationalen Währungsfonds seit der Coronapandemie verdoppelt. Das schlägt sich auch in der wachsenden Zahl von bedeutenden Cybervorfällen nieder, die in den vergangenen Jahren an die EZB gemeldet wurden. Zuletzt griffen Hacker die genossenschaftliche Firma DG Immobilien an und erbeuteten dabei möglicherweise Daten von mehreren 10.000 Kunden von Volks- und Raiffeisenbanken. Die deutsche Finanzaufsicht Bafin beobachtet, dass die Angreifer immer professioneller werden. Irgendwann werde es zu einem groß angelegten, erfolgreichen Angriff kommen, sagte Raimund Röseler, der oberste Bankenaufseher der Bafin. Dann wird es darauf ankommen, wie gut das betroffene Unternehmen darauf vorbereitet ist.

Röselers Horrorszenario ist ein Cyberangriff, bei dem Hacker alle Konten einer großen deutschen Bank leer räumen. Die Wahrscheinlichkeit, dass es dazu komme, sei zwar furchtbar gering, betonte der Bafin-Exekutivdirektor. Aber wenn es dazu kommt, ist der Schaden extrem hoch. Laut EZB werden die Ergebnisse des Stresstests keine Auswirkungen auf die Kapitalanforderungen der Institute haben. Die gewonnenen Erkenntnisse sollen aber in die allgemeine aufsichtliche Beurteilung der Banken einfließen.

Die EZB testet regelmäßig die Widerstandsfähigkeit von Banken. Alle zwei Jahre findet ein regulärer Stresstest statt. Darin wird meist simuliert, wie sich ein Einbruch der Wirtschaft und ein Verfall von Immobilien- und Aktienpreisen auf die Kapital- und Liquiditätspuffer der Banken auswirken würde. Beim letzten regulären Stresstest 2023 schnitten die deutschen Banken vergleichsweise schlecht ab. Die DZ Bank, die Landesbanken Helaba und NordLB sowie die Deutsche Bank zählten im europaweiten Ranking zu den acht schwächsten Instituten. Anders als beim regulären Stresstest veröffentlicht die EZB nach der Cyberprüfung keine Ergebnisse von individuellen Banken.