Cybercrime Finanzdienstleister
Bildnachweis: iStock.com/BrianAJackson

Ein besonderer Anstieg von Phishing-Attacken richtete sich gegen Kunden von Finanzdienstleistern. Dieser Trend ist seit einigen Jahren mit steigender Tendenz zu beobachten. Dabei ist besonders die schnelle Anpassungsfähigkeit der Täter erkennbar. Mit dem aus einem schlechten Übersetzungstool stammenden Kauderwelsch früherer Phishing-Mails haben die gegenwärtigen nichts mehr gemein. Mit perfekter Rechtschreibung, korrekter Anrede und dem Namen des Empfängers kann die Mail – getarnt im Betreff mit „Sicherheitsüberprüfung durch Ihre Bank“ – auch den größten Zweifler täuschen.

Ein Kampf gegen Windmühlen

Findet man sich nach einem kurzen Klick auf einer Eingabemaske der Bank wieder, wird man ganz gezielt nach persönlichen Daten, Bankdaten, Kreditkartendaten und Log-in-Daten für das Online Banking gefragt. Diese Masche ist sicher jedem Leser geläufig. Dennoch zeigen die Zahlen der Kriminalstatistik des BKA einen eindeutigen Zuwachs an Schäden durch Cybercrime. Tatsächlich haben Banken das Thema Cybercrime lange vor sich hergeschoben und oft nur unzureichend in die Verbesserung der IT-Infrastruktur investiert. Das Thema wurde zwar immer auf die Agenda gesetzt, und das ein oder andere Bankhaus hat inzwischen ein besseres Sicherheitskonzept, aber es bleibt nach wie vor ein Kampf gegen Windmühlen.

Denn neben der sehr kostenintensiven Investition in eine bessere IT-Infrastruktur ist mit der Beachtung von Datenschutz, Compliance und der gesetzlichen Grundlage des Bankbetriebes nur ein kleiner Teil des Terrains abgesteckt, das eine Bank erschließen muss, um halbwegs gegen Cybercrime gerüstet zu sein. Dennoch ist das operationelle Risiko in Form von Betrugsverlusten eine allgegenwertige Größe in der Bilanz und demnach im Geschäftsbericht der Bank. Auf der anderen Seite steht der Täter, welcher mit einem schier unerschöpflichen Baukasten von Möglichkeiten bewirkt, dass selbst das sicherste Mittel gegen Cybercrime eine Schwachstelle hat. Dabei ist vor allem der geringe Aufwand für den Täter entscheidend.

Der Täter muss kein Informatiker sein

Zunächst muss der Täter in Erfahrung bringen, welche Daten er für welche Bank benötigt. Im zweiten Schritt schreibt er das Script für die Phishing-Mail, das vorgibt, welche Daten, wie zum Beispiel Name, Geburtsdatum, Adresse und Kreditkartendaten,  der Empfänger der Phishing-Mail eingeben soll. Hier sei auch erwähnt, dass der Täter diese Scripts nicht selbst schreiben muss. Im „Darknet“ werden ganze Phishing-Kits zum Verkauf angeboten. Der Täter muss also nicht zwangsläufig Informatiker sein. Er benötigt nicht einmal Kenntnisse im Programmieren.

Der Täter sammelt nun fleißig Daten und erlangt so im besten Fall mehrere Tausend Datensätze. Im nächsten Schritt werden die gesammelten Daten entweder zum Verkauf im „Darknet“ angeboten oder durch den Täter selbst verwendet. Die Verwendung der gesammelten Daten ist zwar äußerst vielfältig, aber jedes Handeln des Täters führt zwangsläufig zu einem Schaden. Den Gesamtschaden, der für die Finanzbranche entsteht, ist in Zahlen nicht verlässlich zu benennen. Aber laut dem Lagebild Cybercrime des BKA lag der Schaden der über 45.000 Fälle, die im Jahr 2015 registriert wurden, bei 40,5 Millionen Euro. Die Dunkelziffer ist jedoch schwer abzuschätzen.

Es wird investiert

Betrachtet man die Aufklärung dieser Vorgänge, stellt man ernüchtert fest, dass die Quote der Aufklärung sehr gering ist. Ein möglicher Grund ist die Flexibilität der Täter und deren internationale Vernetzung. Ermittlungsbehörden sind das in der Regel nicht. Dennoch ist zu erwähnen, dass länderübergreifende Ermittlungen durchaus erfolgreich sein können. Seit 2016 wird bei den Ermittlungsbehörden ordentlich aufgestockt: Alleine im Bundesland Bayern wurden durch die Polizei 160 IT-Spezialisten gesucht. Auch die Bundeswehr hat jüngst einen neuen militärischen Organisationsbereich gegründet. Es wird demnach auch auf staatlicher Ebene in die Abwehr von Cybercrime investiert.

Eine offene und aktive Informationskultur

Entscheidend ist aber auch, was Banken für die aktive Bekämpfung von Cybercrime tun können. Eine Bank beschäftigt sich mit dem Aufspüren, Verwalten und der Abwicklung von Betrugsfällen. Doch am effektivsten begegnet man Cybercrime mit einer offenen und aktiven Informationskultur für die Kunden. Das haben seit einiger Zeit auch Banken erkannt und investieren in zusätzliche Kampagnen. Die Schäden durch Cybercrime werden kontinuierlich steigen und Banken werden zwangsläufig entscheiden müssen, wie Schäden durch Cybercrime reguliert werden.

Viele Betrugsarten mit Bezug auf Cybercrime lassen sich in späteren polizeilichen Ermittlungen nur sehr schwer rekonstruieren und selbst Geschädigte wissen meist nicht, wie der Abgriff der Daten tatsächlich stattgefunden hat. Diese Erkenntnis zeigt die Schwierigkeit dieses Betrugsphänomens. Das Thema Cybercrime wird uns zwar noch sehr lange beschäftigen, aber die Strategien zur Bekämpfung werden immer vielfältiger.  Zudem wird Cybercrime nicht mehr nur als Nischenproblem angesehen und das lässt einen optimistischen Blick in die Zukunft zu.

HINTERLASSEN SIE EINE ANTWORT

Please enter your comment!
Please enter your name here

*

code