Cyber-Sicherheit fordert Markt und FMA

10

FMA-Geschäftsbericht 2021 ZUM INHALT

CYBER-SICHERHEIT FORDERT MARKT UND FMA

Fast 90 % aller Unternehmen in der EU waren 2021 von mindestens einer Cyber-Attacke betroffen. Glücklicherweise verlaufen die meisten dieser Attacken relativ glimpflich. Dass es aber auch anders sein kann, beweisen bekannt gewordene Fälle wie Stuxnet oder WannaCry. Die FMA misst der Cyber-Sicherheit deshalb grosse Bedeutung bei.

Cyber-Risiken stellen sowohl die Finanzmarktteilnehmer als auch die FMA vor Herausforderungen. Sicherheitsvorfälle beim Einsatz von Informations- und

Kommunikationstechnologien wie beispielsweise Datenlecks oder Systemausfälle können immense Schäden verursachen. Auch Angriffe in krimineller Absicht gewinnen an Bedeutung. Die weltweiten Schäden durch Cyber-Kriminalität werden auf rund drei Millionen Franken geschätzt – pro Minute.

Finanzdienstleister zählen zu beliebten Zielen von

Cyber-Attacken. In Gefahr sind nicht nur die Unternehmen selbst. Die Angriffe gefährden den Schutz der Kunden und letztlich auch die Stabilität des gesamten liechtensteinischen Finanzmarktes. Auf der ande-

ren Seite ist auch die FMA dem Risiko von CyberAttacken ausgesetzt. Die FMA misst deshalb der Cyber-Sicherheit grosse Bedeutung bei. Um den Schutz der Kunden und die Finanzstabilität zu gewährleisten, wurde eine Richtlinie zum Umgang mit Risiken in Zusammenhang mit Informations- und Kommunikationstechnologien (IKT-Risiken) erlassen. Ihr eigenes Sicherheitsdispositiv hat die FMA auf den Prüfstand gestellt.

Mit der IKT-Richtlinie stärkt die FMA die Sicherheit des

Finanzsektors und definiert entsprechend den internationalen Standards die Anforderungen, die Intermediäre im Umgang mit IKT-Risiken erfüllen müssen. IKT-Sicherheitsvorfälle wie Datenlecks oder Systemausfälle können dabei nicht nur aus externen Ereignissen wie Cyber-Attacken, sondern auch aus internen Fehlern oder ungenügender Infrastruktur resultieren. Die zunehmende Vernetzung vergrössert die potenzielle Verwundbarkeit der IKT-Infrastrukturen von

Finanzdienstleistern.

Durch klare Vorgaben soll das Risiko von IKT-Sicherheitsvorfällen minimiert und den Marktteilnehmern

aufgezeigt werden, wie sie IKT-Risiken begegnen können. Die IKT-Richtlinie enthält u. a. Anforderungen an die Strategie und Governance der Finanzdienstleister

FOKUS FMA-Geschäftsbericht 2021 11

Zugestellte Mails Geblockte Mails

Grafik 1

Zugestellte Mails und automatisch geblockte, missbräuchliche Mails an die FMA im Jahr 2022. 100 000

80 000

60 000

40 000

20 000

0

Woche 1 Woche 2 Woche 3 Woche 4 Woche 5 Woche 6

sowie an das Informationssicherheits-Risikomanagement und die damit verbundenen Strukturen und

Prozesse.

Dabei wird auch die Verhältnismässigkeit berücksichtigt. Die Vorgaben richten sich nach der jeweiligen Risikostruktur, der Komplexität, der Grösse, dem Umfang sowie der Art des Geschäfts eines Finanzdienstleisters.

Auch die FMA selbst prüft ihr IT-Sicherheitsdispositiv regelmässig. Da die IT-Infrastruktur der FMA vom Amt für Informatik betrieben wird, ist die FMA in die risiko-

basierte Security-Strategie des Amts für Informatik eingebunden und nimmt an regelmässigen Tests und Schulungen teil.

Neben technischen Sicherheitsmassnahmen sind die

Mitarbeitenden das wichtigste Element im Sicherheitskonzept der FMA. Die Mitarbeitenden werden deshalb regelmässig zu aktuellen Cyber-Gefahren informiert und geschult. Auch in den Eintrittsschulungen für neue Mitarbeitenden nimmt die CyberSicherheit eine wichtige Rolle ein.

Eine besondere Bedrohung entstand durch die Einführung des flächendeckenden Homeoffice aufgrund der Covid-19-Pandemie. Die FMA hat deshalb einen

externen Dienstleister beauftragt, die FernzugriffInfrastruktur einer Sicherheitsprüfung zu unterziehen. Dabei konnten keine kritischen Schwachstellen ent-

deckt werden. Dennoch hat die FMA zusammen mit

dem externen Dienstleister und dem Amt für Infor-

matik Massnahmen zur weiteren Verbesserung der IT-Sicherheit definiert und rasch umgesetzt.

DIE GRÖSSTE SCHWACHSTELLE IST DER MENSCH

Phishing gilt als besonders beliebte Form des Cyber-Angriffs. Dabei nutzen Angreifer die grösste Schwachstelle von IT-Systemen aus, nämlich, dass Menschen vor den Computern Fehler machen und durch unbedachte Klicks Attacken erst ermöglichen. Die Cyber-Kriminellen geben sich beim Phishing als vertrauenswürdige Kommunikationspartner aus und verleiten die Adressaten dazu, sensible Daten preiszugeben oder direkt Schadsoftware zu installieren. Nachdem die Angreifer so einen Zugangspunkt geschaffen haben, folgt die eigentliche Attacke. Auch wenn viele Phishing-Angriffe auf technischer Ebene herausgefiltert werden können, bleibt die Schwachstelle der Mensch. Deshalb ist es wichtig, das Bewusstsein der Mitarbeitenden für IT-Bedrohungen zu stärken.