Im Schweizer Finanzsektor variiert der Grad der Cybersicherheit zwischen Unternehmen erheblich. Das belegt ein Whitepaper von Mastercard, die von einer Outside-in Perspektive automatisiert den Sicherheitsgrad von Domains (Ausprägung von Sicherheitsmerkmalen) von Schweizer Finanzdienstleistern analysierte.
Innerhalb dieses Whitepapers zur Cybersicherheitslage in der Schweiz zeigt sich, dass 54 Prozent der untersuchten Unternehmen die höchste Sicherheitsbewertung A (8,5 bis maximal mögliche 10 Punkte) erhielten, 7 Prozent dagegen nur die Bewertung C (5,5 bis 6,9 Punkte) wegen wesentlicher Sicherheitsprobleme. Die Haupterkenntnisse der Studie:
- 20 Prozent der analysierten Unternehmen führten auf mindestens einem System ungepatchte Versionen von Anwendungsservern aus, die als grosse oder sogar kritische Schwachstellen eingestuft wurden. Damit bieten sie Bedrohungsakteur:innen einen leicht zugänglichen Einstiegspunkt.
- 30 Prozent zeigten grosse oder kritische Probleme, die sich auf Schnittstellen des Content-Management-Systems (CMS) zurückführen liessen. Meist waren sie von jedem Gerät aus zugänglich und erforderten nur einen Benutzernamen und ein Passwort zur Authentifizierung ohne weitere Schutzmassnahmen.
- 46 Prozent der analysierten Finanzdienstleister wiesen zumindest punktuell grosse oder kritische Schwachstellen im Netzwerkfilterbereich auf. Cyberkriminelle können hier durch Methoden wie das Erraten von Anmeldeinformationen, das Abfangen von Kommunikation und das Ausnutzen von Schwachstellen kompromittieren.
Mastercard wertete zusätzlich mit ihrer Cyberquant-Platform auch 5'935 Meldungen zu Cybervorfällen zwischen dem ersten Quartal 2021 und dem zweiten Quartal 2022 aus. Sie zeigten, dass die Cyberangriffe in der Schweiz vor allem auf drei Gruppen zurückgeführt werden können: Finanzhacker:innen (49 Prozent), politisch (staatlich) motivierte Cyberkriminelle (32 Prozent) und Aktivist:innen (12 Prozent). Sie setzen dabei, entsprechend ihrer Motive und Ziele, unterschiedlichste Methoden ein, die in der Studie ausgeführt werden. Am häufigsten waren Ransom- und Malware-Angriffe.
Aus der Studie leitet Mastercard mehrere Empfehlungen ab: Unternehmen und Behörden sollten den Bereich Cybersicherheit wegen seiner besonderen Bedeutung organisatorisch auf höchster Ebene ansiedeln und separat budgetieren (bisher durchschnittlich weniger als zehn Prozent des IT-Budgets). Die häufigsten Risiken und Angriffsmethoden sollten gezielt und aktuell in internen Trainings vermittelt und damit verbundene Geschäftsrisiken und Erfolgschancen durchgehend berücksichtigt werden.
