Digitaler Ärger kommt meist unverhofft
Cybersicherheit wird immer wichtiger – auch bei Banken. Zugang zu Daten erhalten Kriminelle meist durch Social Engineering. Wir fragten den ethical Hacker Romano Ramanti von der Zürcher Kantonalbank nach den neusten Cyberattacken und Abwehrmassnahmen.
Im Vergleich zum Vorjahr (50 000 Meldungen) stieg die Zahl an Cybervorfällen 2024 gemäss Bundesamt für Cyber-crime (BACS) um 13 000 Meldungen. Dieser Anstieg ist der Bundesstelle zufolge insbesondere auf Drohanrufe im vermeintlichen Namen von Behörden zurückzuführen. Gibt es auch bei der ZKB solche Drohanrufe, oder wurde im Namen Ihrer Bank gedroht?
Romano Ramanti: Bei den Zahlen des BACS sind rund ein Drittel Drohanrufe im Namen der Polizei. Wir beobachten noch weitere Betrugsszenarien wie Investment- und Romance-Scam, Warenbetrüge und gefälschte Rechnungen.
Häufig kam dieses Jahr der CEO-Betrug vor. Dabei missbrauchen Internetbetrüger die Identität von Führungspersonen, um vor allem deren Mitarbeitenden Geld abzuknöpfen. Auch beim KGV versuchten Betrüger kürzlich, so an Geld in Form von iTunes-Gutscheinen zu kommen. Stellen auch Banken wie die ZKB eine Zunahme solcher Mails an Mitarbeiter fest?
Ramanti: Ja. CEO-Betrug ist für Cyberkriminelle lukrativ. Er ist kostengünstig und erfolgreich.
Benutzer mit Administratorenrechten stellen ein Risiko für das Unternehmen dar – sie werden oft von Cyberkriminellen ausgenutzt. Wie sollte man bei der Vergabe solcher Rechte vorgehen?
Ramanti: Sehr restriktiv. Meistens werden Administratorenrechte zugeteilt, damit die Mitarbeiter ihre Tätigkeiten effizient ausführen können. Die Reduktion kritischer Rechte ist jedoch nur ein Schritt in Richtung Cybersecurity Risk Management. Multifaktor-Authentifizierung der Benutzerkonten, Schwachstellen-management, Back-up-Strategie, Mitarbeiter-Awareness usw. gehören ebenfalls dazu.
Der Mensch, nicht die Technologie ist meist das Problem. Wie gross sehen Sie die Gefahr, die von KI-Systemen ausgehen wird, um Fehlverhalten bei Mitarbeitenden zu provozieren?
Ramanti: Generative KI und KI-Agents werden von Cyberkriminellen immer mehr genutzt und stellen eine grosse Gefahr dar. Für den normalen Anwender wird es zunehmend schwieriger, Deepfakes zu erkennen. Auch hier sind Awareness-Massnahmen das Wichtigste. Wird ein Mitarbeiter beispielsweise in einem Video- oder Sprachanruf aufgefordert, eine Zahlung auszulösen, sollte dies ein Alarmzeichen sein.
Neue Antivirensoftware entsteht fast täglich. Warum raten Sie davon ab, mehrere Antiviren-Softwaresprogramme gleichzeitig zu installieren?
Ramanti: Weil sich Antiviren-softwares gegenseitig aufheben können. Die Funktionsweise der einen Software wird von der anderen als verdächtig angesehen und isoliert.
CEO-Betrug ist für Cyberkriminelle lukrativ. Er ist kostengünstig und erfolgreich.
Romano Ramanti, Ethical Hacker im eChannelSecurity-Bereich bei der Zürcher Kantonalbank
Wie raten Sie, bei der Passwortgenerierung vorzugehen? Bringt das regelmässige Ändern des Passworts tatsächlich einen Mehrwert?
Ramanti: Ein regelmässiges Ändern des Passwortes bringt sicherheitstechnisch nicht viel. Grund für diese Ausssage ist, dass die allermeisten Benutzer bei jeder Änderung das gleiche Passwort verwenden und die Zahl dahinter einfach hochgezählt wird. Beispiel: Aus Sonne21 wird dann Sonne22. Eine regelmässige Änderung nützt nur etwas, wenn jedes Mal ein komplett neues Passwort generiert wird. Dies muss jedoch nicht monatlich erfolgen.
Kommt bei der ZKB auch KI zur Erkennung und zur Abwehr von Angriffen (z.B. bei Spam- und Phishingfiltern), in der Anomalieerkennung im Netzwerkverkehr oder bei weiteren Security-Fragen zum Einsatz?
Ramanti: Ja. Unsere Systeme entsprechen dem neusten Stand der Technologie
Was genau kann die Fachstelle E-Channel-Sicherheit und -Organisation bei der Zürcher Kantonalbank unternehmen, um solche raffinierten Angriffe möglichst im Keime zu ersticken?
Ramanti: Wir analysieren die Bedrohungslage laufend. Wichtig für uns ist es zu verstehen, wer unsere Kunden angreift, wie die Cyberkriminellen vorgehen und welche Tools sie einsetzen. Dies ermöglicht uns, entsprechende Gegenmassnahmen zu definieren. Ein wichtiger Faktor ist zudem die Kunden-Awareness. In verschiedenen Workshops versuchen wir, den Kunden die einzelnen Betrugsmaschen aufzuzeigen und anhand von konkreten Beispielen davor zu warnen.
Mark Gasser
Chefredaktor
Zürcher Wirtschaft
Partner
Ihre Meinung ist uns wichtig
Partner