Cyberrisiken 2022

Die zunehmende Professionalisierung von Kriminellen und immer kürzere Zeiträume zwischen der Bekanntgabe und der Ausnutzung kritischer Sicherheitslücken halten die Finanzbranche in Atem. Ein erfolgreicher Angriff kann zu Ausfällen und Unterbrechungen informations- und kommunikationstechnischer Systeme führen und die Schutzziele Verfügbarkeit, Vertraulichkeit und Integrität gefährden. Spezifische Risikotreiber sind mangelndes Bewusstsein für den Umgang mit Cyber-Risiken – sei es bei den Mitarbeitern oder aufgrund unzureichender Governance. Zudem sind die Cyber-Prozesse bei vielen Institutionen zu fragmentiert, als dass sie eine umfassende Einschätzung der eigenen Cyber-Risikolage vornehmen könnten. Daher bleibt das Risiko in diesem Bereich hoch.

Erfolgreiche Cyberangriffe auf etablierte Unternehmen in der Schweiz und anderswo sorgen regelmässig für Schlagzeilen. Cyberangriffe werden immer raffinierter und Angreifer entwickeln ständig neue Methoden. Darüber hinaus entstehen immer wieder Sicherheitslücken, die Unternehmen sehr schnell schließen bzw. entschärfen müssen. Ein aktuelles Beispiel ist die Schwachstelle „Log4j“, eine Lücke in einem weit verbreiteten Protokollierungstool für Java-Anwendungen, die Ende 2021 entdeckt wurde und sehr einfach über das Internet ausgenutzt werden konnte. Viele der beaufsichtigten Unternehmen reagierten schnell, um die Lücke zeitnah zu schließen. Insbesondere Unternehmen, die für solche Szenarien Anweisungen und Vorgehensweisen erstellt und diese im laufenden Geschäftsbetrieb getestet hatten, konnten den Vorfall effektiv und zeitnah bewältigen.

Beaufsichtigte Institute meldeten der SFMA zwischen September 2020 und September 2022 insgesamt 145 Cyberangriffe. Seit der Veröffentlichung des letzten Risikomonitors kamen 65 Angriffe hinzu. Eine Auswertung der in den letzten zwölf Monaten gemeldeten Angriffe zeigt, dass sich der Fokus der Angriffe von der Art „Distributed Denial of Service“ (DDoS) hin zu Schadsoftware (insbesondere über externe Dienstleister) verlagert hat. Die häufigste Angriffsmethode erfolgte über einen externen Dienstleister im Zuge eines Outsourcings.

SFMA identifiziert derzeit die folgenden Hauptrisikotreiber in ihrer Aufsichtsarbeit:

• Einige der beaufsichtigten Unternehmen verfügen über keine oder nur unvollständige Reaktionspläne für Cybervorfälle oder überprüfen die Wirksamkeit dieser Pläne nicht.
• Beaufsichtigte Institute integrieren Cyberrisiken nicht explizit in ihr qualitatives Management operationeller Risiken. Ein systematisches und umfassendes Risikomanagement von Cyber-Risiken kann daher nicht gewährleistet werden.
• Beaufsichtigte Institute definieren ihre Cyber-Risiken und die damit verbundene Risikotoleranz nicht ausreichend oder es liegt kein Cyber-Schutzkonzept vor.
• Teilweise stellen beaufsichtigte Unternehmen keine klaren Cyber-Sicherheitsanforderungen an Dienstleister oder überprüfen nicht regelmäßig, ob diese erfüllt werden.

(Aus dem Risikomonitor 2022)

Dokumente

Diagramme und visuelle Informationen