Beliebtheit heißt nicht gleich Effektivität: Darauf setzt die Finanzbranche bei der IT-Sicherheit

Die gute Nachricht vorab: Deutsche Finanzdienstleister seien sicherheitstechnisch bereits sehr gut aufgestellt. Oftmals würden sie aber noch signifikante Möglichkeiten zur Verbesserung ihrer Cybersicherheit übergehen. Das hat eine aktuelle Untersuchung von YesWeHack in Zusammenarbeit mit CIO, CSO und COMPUTERWOCHE gezeigt.

Eine der zentralen Erkenntnisse sei, dass einige der als besonders effektiv eingeschätzten Methoden zum Schutz von IT-Infrastruktur und Daten noch nicht weitläufig genutzt werden. Auf der anderen Seite würde die Beliebtheit einer Maßnahme nicht unbedingt mit deren Effektivität korrelieren.

Beliebtheit vs. Effektivität: Welche Maßnahmen liegen vorne?

Die am meisten genutzten Maßnahmen zum Schutz vor böswilligen Hackern sind technischer Natur: 77 Prozent der befragten Unternehmen nutzen IT-Architektur- und IT-Security-Lösungen, sowohl hardware- als auch software-basiert. Zudem führen zwei Drittel der Befragten (66 Prozent) in ihren Unternehmen regelmäßige Sicherheitsschulungen für neue und bestehende Mitarbeiter durch. Auf Platz drei liegen punktuelle Sicherheitsaudits und Penetrationstests, unter anderem um Compliance-Standards zu erfüllen (58 Prozent) sowie Maßnahmen zur Datenverschlüsselung (57 Prozent). Die Möglichkeiten von Bug-Bounty-Programmen, im Rahmen derer eine Belohnung an ethische Hacker für die Aufdeckung von Sicherheitslücken ausgeschrieben wird, nutzen 29 Prozent der befragten Unternehmen.

Wie häufig Maßnahmen im Einsatz sind, sage allerdings wenig darüber aus, wie wirksam sie angesehen werden: Während Hardware- und software-basierte IT-Architektur- und IT-Security-Lösungen am häufigsten eingesetzt und auch von den meisten Experten als effektiv angesehen werden (ebenfalls 77 Prozent), wählten 73 Prozent die Datenverschlüsselung auf den zweiten Platz in Sachen Wirksamkeit – wobei diese Methode nur bei 57 Prozent der Befragten im Einsatz ist. Anwendungs- und Gerätekontrollen werden von 68 Prozent als wirksam oder sehr wirksam eingeschätzt – sind jedoch nur bei 49 Prozent umgesetzt. Auch bei Bug-Bounty-Programmen sieht es ähnlich aus: Mit 63 Prozent seien mehr als doppelt so viele Befragte von deren Wirksamkeit überzeugt, als sie selbst im Einsatz haben.

Sonderfall Home Office

Seit der Corona-Pandemie seien Home Office und andere hybride Arbeitsmodelle Alltag bei deutschen Unternehmen. Insbesondere Finanzinstitute standen in diesem Zusammenhang vor großen Herausforderungen, um weiterhin Datenschutz und Sicherheit zu gewährleisten. 61 Prozent setzen dafür auf eine VPN-Verschlüsselung für ihre Server. 59 Prozent führen Schulungen und Trainings durch, die speziell auf Cybersicherheit im Home Office ausgerichtet sind. 52 Prozent analysieren das Nutzerverhalten von Personen, die auf ihre Server und Netzwerke zugreifen, um unbefugten Zugriff zu identifizieren. Nur 18 Prozent nutzen dafür die Möglichkeiten künstlicher Intelligenz.

Die Ergebnisse der Studie zeigten, dass die Finanzbranche auf einen Mix verschiedener Maßnahmen setzt, um möglichst umfangreichen Schutz vor Gefahren sicherzustellen. Das ist grundsätzlich eine positive Nachricht. Jedoch wird auch deutlich, dass Maßnahmen – wie etwa Bug Bounty, die als besonders effektiv eingeschätzt werden, von vielen Unternehmen momentan noch gar nicht genutzt werden.”

Phil Leatham, Deutschland-Geschäftsführer bei YesWeHack

Die größte Hürde: Ein Mangel an Erfahrung und Expertise

Für mehr als die Hälfte der Befragten (51 Prozent) steht bei der Frage nach der größten IT-Sicherheitshürde der menschliche Faktor im Vordergrund: Sie geben an, dass es primär an Cybersicherheits-Experten in den Teams fehlt. 49 Prozent sehen in der stetig steigenden Anzahl an Cyberattacken die größte Herausforderung, 47 Prozent in den zusätzlichen potenziellen Angriffspunkten, die durch Home Office und andere hybride Arbeitsmodelle entstehen.

Zur Methodik der Befragung

Die Umfrage wurde von den Custom-Research-Teams von CIO, CSO und Computerwoche (Foundry) im Auftrag von YesWeHack (Website) im Februar und März 2022 durchgeführt. Befragt wurden 208 Experten bei Banken, Versicherungen oder Finanzdienstleistern in Deutschland, Österreich und der Schweiz, darunter Entscheider auf der Führungsebene (CEO, COO, CTO, CIO oder CISO) sowie Fachbereichsleitungen aus IT oder IT-Security.

Ein Whitepaper zur Untersuchung gibt es leider nicht. Die Ergebnisse können Sie hier kostenlos einsehen.ft