Wie gut sind die großen BankenBanken im Euroraum gegen Angriffe auf ihre IT-Systeme gewappnet? Wie schnell sind Geldhäuser im Ernstfall in der Lage, CyberattackenCyberattacken abzuwehren? Die Aufseher der Europäischen Zentralbank (EZB) wollen es genauer wissen und starten Anfang 2024 ihren ersten Stresstest zu Cyberrisiken ("Cyber Resilience Stress Test"). Alles zu Security auf CIO.de Top-Firmen der Branche Banken

"Es wird ein schwerer Cyberangriff simuliert, der den Geschäftsbetrieb unterbricht. Aus Sicht der Institute wird es also ernst", hatte Anneli Tuominen, die Mitglied im Aufsichtsgremium der EZB-Bankenaufsicht ist, im November der "Börsen-Zeitung" gesagt. "Wir wollen wissen, wie die Banken auf einen Cyberangriff reagieren, sich von ihm erholen und den normalen Geschäftsbetrieb wieder aufnehmen. Unser Hauptziel ist, dabei die Schwachstellen der Banken zu ermitteln."

Die Branche erwartet am 2. Januar einen detaillierten Fragebogen mit fast 500 Fragen zu potenziellen Auswirkungen eines Cyberangriff-Szenarios sowie den dann greifenden Notfallplänen.

Fast alle von der EZB direkt beaufsichtigten Banken im Test

Fast alle der derzeit 113 direkt von der EZB beaufsichtigten Banken werden nach damaligen Angaben von Tuominen einbezogen. Etwa 20 davon müssen sich voraussichtlich ab März einem erweiterten Test stellen, bei dem sie detailliertere Informationen einreichen müssen.

Die EZB beaufsichtigt seit November 2014 die führenden Banken im Euroraum direkt. Dazu gehören derzeit aus Deutschland Deutsche BankDeutsche Bank und CommerzbankCommerzbank, DZ BankDZ Bank und DekabankDekabank sowie Deutschlands größte deutsche Sparkasse, die Hamburger HaspaHamburger Haspa, außerdem die Deutsche Apotheker- und Ärztebank (Apo-BankApo-Bank), die Volkswagen BankVolkswagen Bank sowie diverse Landesbanken (BayernLBBayernLB, LBBWLBBW, HelabaHelaba, Nord LBNord LB). Top-500-Firmenprofil für BayernLB Top-500-Firmenprofil für Commerzbank Top-500-Firmenprofil für DZ Bank Top-500-Firmenprofil für DekaBank Top-500-Firmenprofil für Deutsche Apotheker- und Ärztebank eG Top-500-Firmenprofil für Deutsche Bank Top-500-Firmenprofil für Hamburger Sparkasse AG Top-500-Firmenprofil für Helaba Top-500-Firmenprofil für LBBW Top-500-Firmenprofil für Nord/LB - Norddeutsche Landesbank Girozentrale Top-500-Firmenprofil für Volkswagen Bank

Genau hinschauen will die EZB dort, wo Banken IT-Prozesse an Drittanbieter übergeben, um Geld zu sparen. "Das geht nicht unbedingt mit gutem Risikomanagement einher", sagte Tuominen. IT- oder Cloud-Anbieter seien "sicherlich ein Thema, mit dem wir uns eingehender beschäftigen müssen".

Zunehmende Zahl von Cyberangriffen alarmiert EZB-Bankenaufsicht

Die gewaltigen Datenmengen in den IT-Systemen von Banken locken immer wieder Kriminelle an. Die EZB-Aufsicht registrierte zuletzt mehr Cyberangriffe als vor der Corona-Pandemie. Die Bedrohung habe zugenommen. Bislang habe es keinen so schwerwiegenden Angriff gegeben, dass einzelne Institute oder gar das gesamte Bankensystem destabilisiert worden wäre, bilanzierte Tuominen. Doch sie warnte: "Eine erfolgreiche Attacke ist jederzeit möglich."

Seit der weltweiten Finanz- und Wirtschaftskrise 2008/2009 prüfen Aufseher rund um den Globus mit Stresstests regelmäßig, wie anfällig die Geschäftsmodelle von Banken im Krisenfall wären. Geldhäuser müssen dabei bestimmte Szenarien durchrechnen und belegen, dass sie auch unter widrigen Umständen - etwa bei einem Wirtschaftseinbruch, einem Absturz der Immobilienpreise oder steigenden Kreditausfällen - ausreichend Kapital hätten, um ihr Geschäft fortzuführen. Ist das nicht der Fall, verlangt die Aufsicht dickere Kapitalpuffer.

Banken und Sparkassen: Moderne Sicherheitsverfahren etabliert

Die Deutsche Kreditwirtschaft (DK) betont mit Blick auf Cyberrisiken: "Banken und Sparkassen setzen umfangreiche Maßnahmen zur Gewährleistung der Cybersicherheit um, die aus den Säulen der Prävention, Detektion und Reaktion bestehen." Die Dachorganisation der fünf großen Bankenverbände in Deutschland teilte mit: "Für die IT-Systeme der Banken ist die automatisierte Überwachung und -analyse sicherheitsrelevanter Ereignisse sowie von Schwachstellen bereits etabliert."

Das schütze Kundinnen und Kunden allerdings nicht vollends vor kriminellen Machenschaften: "Da die Betrüger die modernen Sicherheitsverfahren der Banken und Sparkassen nicht mehr überwinden können, haben sie sich darauf verlegt, die Kunden am Telefon oder per Email zu übertölpeln", warnte die DK. (dpa/rs)