Erster „Cyber-Stresstest“ für österreichische Banken

Am ersten Cyber-Stresstest, der vom „Kuratorium Sicheres Österreich“ (KSÖ) unterstützt wurde, beteiligten sich zehn repräsentative Kreditinstitute, deren ITProvider, das „Computer Emergency Response Team Austria“ (CERT.at) und das Innenministerium. In dem eintägigen Cyber-Planspiel wurden 170 individualisierte Hackerangriffe simuliert, auf die die Teams aus den beteiligten Kreditinstituten und Institutionen zu reagieren hatten. Die Attacken reichten dabei von Lösegeld-Erpressung mit Ransomware, der Kompromittierung von „Root-CAs“1 und von „Online Banking Apps“, der Lahmlegung von Bankomaten und Websites, dem Ausfall des Electronic Bankings, Manipulationen von Kontoständen und – transaktionen, Verlust von Kundendaten, „Phishing Mails“ und DDoS-Attacken2 bis hin zu Kundenbeschwerden und Shitstorms in Social Media.

„Praktische Ausgestaltung sehr unterschiedlich“

„Das Cyber-Planspiel hat gezeigt, dass die Kreditinstitute im Großen und Ganzen organisatorisch gut auf Cyber-Attacken vorbereitet sind, wobei jedoch die praktische Ausgestaltung sich als sehr unterschiedlich erwiesen hat“, so der Vorstand der FMA, Helmut Ettl und Klaus Kumpfmüller. Darauf aufbauend werde die Aufsicht ihre regulatorische und aufsichtliche Strategie weiterentwickeln und in weiteren Cyberstresstests prüfen und evaluieren. Im Vorjahr hat die FMA ein Paket von IT-Sicherheits-Leitfäden erlassen, deren Einhaltung einen Prüfschwerpunkt in diesem Jahr bildet.