Aufbau der operativen Resilienz für Finanzdienstleistungen: Ist Ihr Schiff seetüchtig?

Shelby Flora stellte kürzlich mehreren nicht-geschäftsführenden Direktoren in US- und britischen Finanzdienstleistungsvorständen eine einfache Frage.

War eine ihrer Institutionen an den Vorstand gekommen und hat um Geld gebeten, um Wiederherstellungsumgebungen häufiger zu testen oder die Sichtbarkeit über ihre Netzwerke zu verbessern?

Jeder von ihnen sagte nein.

Flora, Geschäftsführerin und UKIA-Leiterin für Finanzdienstleistungssicherheit bei Accenture Sicherheit, teilte den Austausch gegen Ende eines kürzlich stattgefundenen Webinars der Sicherheit Awareness Special Interest Group (SASIG) für Führungskräfte im Bereich Finanzdienstleistungssicherheit. Sie hatte die Direktoren auch gefragt, ob sie sich Sorgen darüber machen, wie schnell sich die Gefahrlandschaft verändert. Jeder sagte ja. Als sie fragte, ob sie eine Resilience-Initiative unterstützen würden, die vom Chief Operating Officer geleitet wird, sagten sie erneut ja.

Dieser Austausch erfasst, wo sich heute ein Großteil des Finanzsektors befindet. Banken und Versicherer haben jahrelang betriebliche Resilienzrahmen aufgebaut, und zumindest einige ihrer Vorstände scheinen bereit zu sein, den nächsten Schritt zu finanzieren. Was fehlt, ist die Bitte, die durch Beweise belegt wird, dass diese Pläne gültig sind, sobald ein Angreifer drinnen ist. Dieser Beweis ergibt sich aus drei Gewohnheiten: Abhängigkeiten gut genug kartieren, um einen Angriff einzudämmen, Cyber-Resilienztests als routinemäßige Übung durchzuführen und dem Vorstand einen klaren Plan mit dem Chief Operating Officer (COO) dahinter vorzulegen.

Gute Dokumentation hält die Banken nicht über Wasser

Dokumentation ist wichtig. Es ist die Grundlage für jedes Rahmenwerk, auf das Banken reagieren – von Gefahr-basierten Tests bis hin zu den Erwartungen der Prudential Regulation Authority (PRA) an wichtige Geschäftsdienstleistungen.

Das Problem ist, dass Dokumente die Umgebung beschreiben, die jemand entworfen hat, während Angreifer sich durch die heute existierende Umgebung bewegen.

Diese beiden Bilder entfernen sich mit der Zeit auseinander. Die meisten Bankumgebungen sind durch Jahrzehnte von Projekten, Übernahmen und Workarounds gewachsen, und jede Veränderung bringt zusätzliche Komplexität.

Komplexität erzeugt Nähte, und Lücken sind der Ort, an dem Angreifer Wege finden, sich nach oben oder zwischen Umgebungen zu bewegen. Die thematischen Ergebnisse der CBEST der Bank of England haben Jahr für Jahr dieselben Schwachstellen hervorgehoben – ein Muster, das Illumio in seiner Analyse des CBEST-Berichts 2025 aufzeigte.

Komplexität prägt auch, was am schlimmsten Tag passiert. Während eines Live-Vorfalls arbeiten Teams in einem "Nebel des Krieges", bei dem Abhängigkeiten nicht vollständig verstanden sind, die Sichtbarkeit teilweise ist und das Runbook möglicherweise nicht mit dem im Netzwerk übereinstimmt. Diese Unsicherheit führt zu Zögern, bei denen Einsatzkräfte befürchten, dass eine Eindämmungsmaßnahme mehr Störungen verursachen könnte als der Angriff selbst.

Im Rückblick wirkt die richtige Entscheidung oft offensichtlich. Im Moment kann eine Verzögerung einem Angreifer die Zeit geben, die er braucht, um sich auszubreiten.

Ein seetüchtiges Rahmenwerk für die Cyber-Resilienz von Finanzdienstleistungen

Als der Moderator fragte, welche Investitionen zuerst kommen sollten, griff Flora auf ihre Kindheit in Missouri zurück, als Wochenenden Bootfahren auf dem See bedeuteten. Das Erlernen eines Bootes, sagte sie, beginne mit Sicherheitskontrollen und höre nie wirklich auf, weil ein guter Kapitän das Schiff ständig inspiziert, repariert und aufrüstet.

Ihre Analogie dient zugleich als Checkliste für CISOs.

Führen Sie die Sicherheitskontrollen durch, bevor Sie den Hafen verlassen

Jede Reise beginnt mit der Suche nach offensichtlichen Lecks. Sicherheitstechnisch bedeutet das starke Kernkontrollen und stetiges Patchen, ohne dass hohe oder kritische Schwachstellen offen bleiben. Es bedeutet auch, eine klare Linie bei der End-of-Life-Technologie zu halten.

Flora stellte fest, dass Angreifer weiterhin stark auf ältere Fehler in Legacy-Software setzen, weil alte, ungepatchte Fehler leichter auszunutzen sind als neue. Jedes nicht unterstützte System sollte einen finanzierten Ruhestandsplan haben.

Inspizieren Sie den Rumpf auf versteckte Lecks

Gute Wartung beginnt damit, zu wissen, wo die Schwachstellen sind. Das bedeutet, zu kartieren, welche Systeme miteinander kommunizieren und was davon abhängt. Die kritischen Systeme sind in der Regel gut bekannt, aber dahinter liegen oft überraschende Abhängigkeiten.

Dritte Personen verdienen dieselbe Prüfung. Wenn man weiß, welchen Zugang ein Anbieter hat, wo dieser Zugang landet und was von diesen Systemen abhängt, kann man den Explosionsradius eines Lieferantenkompromittierens modellieren, bevor es passiert. Auf derselben Karte sieht der normale Verkehr aus, sodass Teams Lateral Movement frühzeitig erkennen können.

Stopfe die Löcher mit modernen Materialien zu

Klebeband hält einen Rumpf nur eine begrenzte Zeit zusammen. Viele Banken bauten eine Segmentierung rund um die Netzwerktopologie auf und zwangen den Datenverkehr durch Firewalls zwischen den Zonen. Firewalls spielen weiterhin eine wertvolle Rolle an wichtigen Grenzen, doch deren Ausdehnung auf breite interne Segmentierung treibt die Kapital- und Betriebskosten schnell in die Höhe.

Mikrosegmentierung wendet Richtlinien dort an, wo sie benötigt wird, nahe an den Arbeitslasten selbst, was es praktisch macht, die Entfernung eines Angreifers zu begrenzen. Es passt auch zu moderner Entwicklung. Teams können Segmentierungsrichtlinien als Code schreiben und diese über ihre CI/CD-Pipelines bereitstellen, sodass neue Anwendungen von Anfang an mit integrierter Sicherheit gestartet werden.

Ersetzen Sie das verrottende Holz durch Stahl

Manche Reparaturen erfordern einen Neuaufbau. Die Bank of England verbrachte mehrere Jahre damit, ihren Echtzeit-Bruttoabwicklungsdienst zu erneuern, der hochwertige Sterling-Zahlungen abwickelt. Es zeigt, wie ein gezieltes Upgrade der Kerninfrastruktur aussieht.

Solche Projekte kosten Zeit und Geld und machen das ganze System stärker. Jede Institution muss entscheiden, welche alternden Plattformen hinter ihren Kerntransaktionen für die gleiche Behandlung bereit sind.

Übe die Nutzung des Rettungsboots, bis es zur zweiten Natur wird

Sogar ein gut gepflegtes Boot kann Wasser aufnehmen, also muss das Rettungsboot funktionieren. Für Ufer sind Rettungsboote Rettungsumgebungen und helfen nur, wenn sie nach dem Ruhezustand schnell wieder starten.

Hier kommt Cyber-Resilienz-Tests zum Einsatz. Flora beschrieb, wie sie einer großen multinationalen Institution riet, alle zwei Wochen Eindämmung und Wiederherstellung zu testen, obwohl die Institution nach Tests alle zwei Monate gefragt hatte.

Ihre Begründung war einfach: Das Technologiegebiet ändert sich jeden Tag, und die Gefahrenlandschaft verändert sich mit ihm. Sie schätzte außerdem, dass die Zeit von der Entdeckung einer neuen Schwachstelle bis zu ihrem ersten bestätigten Exploit von mehr als zwei Jahren im Jahr 2018 auf wenige Tage geschrumpft ist.

Das Testen klingt oft schwer, aber vieles davon kann automatisiert werden. Prüfungen, die bestätigen, Feuerkontrollen, wenn sie sollten, können selbstständig laufen, was die Leute freigibt, die Entscheidungen zu üben.

Diese Proben sollten über das Sicherheitsteam hinaus zu den Führungskräften und immer mehr zu Vorstandsmitgliedern reichen, die einen Platz bei Szenarioübungen wollen. Das Ziel ist Muskelgedächtnis, sodass niemand den Vorfallplan zum ersten Mal am schlimmsten Tag des Jahres liest.

Entscheidet, wer steuert, wenn das Wasser steigt

Automatisierte Eindämmung, bei der ein System kritische Assets isoliert, ohne auf die Genehmigung zu warten, ist ein attraktives Ziel.

KI-gesteuerte Empfehlungen verbessern sich ständig, und Vertrauenswerte helfen den Einsatzkräften, schnellere und besser informierte Entscheidungen zu treffen. Aber vorerst zählt ein Mensch, der auf dem Laufenden ist, besonders in einem Sektor, in dem ein schlechter Tag die Wirtschaft auswirken kann.

Der Schritt zur Automatisierung erfordert Arbeit auf zwei Ebenen:

• Die technische Arbeit. Eindämmung kann nur dann stattfinden, wenn man die Kontrolle über die Richtlinie hat. Umgebungen, die durch Akquisitionen zusammengestellt werden, fehlen oft an den richtigen Durchsetzungspunkten.
• Die Governance-Arbeit. Der Chief Operating Officer, Chief Risk Officer, Risikokomitees und Regulierungsbehörden sollten sich im Voraus darauf einigen, welche Reaktion angemessen ist und wer die Entscheidung trifft.

Es hilft auch, mit einer Denkweise der Sicherheitsverletzung zu beginnen. Wie Russell Goodwin, ein angesehener Lösungsarchitekt bei Illumio, sagte, kann selbst ein kritisches System kompromittiert werden, daher sollte jeder Plan berücksichtigen, wohin ein Angreifer als Nächstes gehen könnte.

Nach Floras Erfahrung sind die Institutionen, die am schnellsten auf KI-beschleunigte Angriffe vorbereiten, diejenigen, bei denen der COO die Arbeit anführt. COOs überwachen gemeinsam Risiko, Technologie und Sicherheit, sodass sie einen Weg für CIOs, CTOs, CISOs und Kommunikationsleiter schaffen können, als ein Team zusammenzuarbeiten.

Flora fügte hinzu, dass es während eines Vorfalls keine Überkommunikation gibt. Die schlimmsten Folgen führen meist auf Verwirrung darüber zurück, welche Entscheidungen getroffen werden müssen und wem sie gehören.

Pragmatismus hält das Team am Laufen. Beginnen Sie mit Ihren wichtigen Geschäftsdienstleistungen und fügen Sie dann eine Gefahr-basierte Sicht darauf hinzu, wie kriminelle Gruppen und staatliche Akteure am wahrscheinlichsten zuschlagen.

Architekturteams können bei neuen Ansätzen vorsichtig sein, daher ermöglicht ein Pilotprojekt in einer begrenzten Umgebung ihnen, Kontrollen und Verpflichtungen vor der Skalierung zu validieren. Der Versuch, alles auf einmal zu schützen, ist der Grund, warum Programme in der Analyseparalyse ins Stocken geraten.

Die operative Resilienz wartet nicht auf ruhigeres Wasser

Frontier-KI-Modelle verändern die Ökonomie von Cyberangriffen. Die Zeit und das Können, die nötig sind, um eine Schwachstelle zu finden und auszunutzen, sinken stetig, sodass Eindringlinge schneller voranschreiten. Wiederherstellung mit maschineller Geschwindigkeit wird schnell zum Standard, an den Finanzinstitute gehalten werden.

Die Direktoren, mit denen Flora gesprochen hat, sind bereits besorgt und bereit, einen vom COO geleiteten Plan zu unterstützen. Sie warten darauf, dass jemand fragt. CISOs, die eine klare Karte ihrer Abhängigkeiten und eine Aufzeichnung häufiger, realistischer Tests mitbringen, können diese Anfrage mit Nachweisen in der Hand stellen. Je früher sie das tun, desto eher wird ein Plan auf dem Papier zu einem Schiff, das schwimmfähig bleibt, wenn das Wasser eintritt.

Sehen Sie sich die vollständiges SASIG-Webinar auf Abruf. Erfahren Sie, wie Finanzinstitute kann Verletzungen eindämmen und die operative Widerstandsfähigkeit mit Illumio stärken.