Neuer FinCEN-Ransomware-Bericht: Banken müssen das Wesentlichkeitsrisiko eindämmen

Gibt es gute Neuigkeiten zu Ransomware? Wir nehmen es!

Laut einem neuen Bericht des Financial Crimes Enforcement Network (FinCEN) des US-Finanzministeriums zahlten Banken im Jahr 2024 Lösegelder in Höhe von 370 Millionen US-Dollar. Das ist ein deutlicher Rückgang gegenüber den 1,1 Milliarden Dollar des Vorjahres.  

Dieser Rückgang spiegelt verstärkte Maßnahmen der Strafverfolgungsbehörden gegen Ransomware-Gangs und eine wachsende Widerstandsfähigkeit des Finanzsektors wider.

Die weniger gute Nachricht: Der Bericht räumt ein, dass die meisten Ransomware-Angriffe im Bankwesen nie gemeldet werden. Warum? Die Offenlegungspflichten für Vorfälle im Bankwesen hängen vom Wesentlichkeitsprinzip ab.

In dieser Branche ist die Wesentlichkeit – also die finanziellen Auswirkungen und nicht die Häufigkeit der Angriffe – ausschlaggebend dafür, ob ein Verstoß offengelegt, den Aufsichtsbehörden gemeldet oder dem Vorstand erläutert werden muss.  

Es handelt sich um eine Risikokennzahl und ein sich ständig veränderndes Ziel. Dies schränkt zwar ein, was gemeldet wird, bedeutet aber auch, dass bereits ein einziger Verstoß ausreicht, um einen öffentlichen Aufschrei auszulösen.

Deshalb ist die Eindämmung von Sicherheitslücken für den Finanzsektor unerlässlich. Es ist der zuverlässigste Weg, um sicherzustellen, dass ein Cybervorfall klein und unbedeutend bleibt, bevor er sich zu einer Geschäftskrise ausweitet.

Dieser Beitrag erläutert die neuesten Ransomware-Trends im Finanzdienstleistungssektor, wie Wesentlichkeit die Meldepflichten beeinflusst und warum Eindämmung der beste Schutz vor regulatorischen Risiken und Reputationsschäden ist.

Ransomware-Trends im Finanzdienstleistungssektor: Wichtigste Erkenntnisse aus dem neuesten Bericht

Laut dem neuesten Bericht des Financial Crimes Enforcement Network (FinCEN) des US-Finanzministeriums mit dem Titel „Ransomware Trends in Bank Secrecy Act Data Between 2022 and 2024“ ist der Finanzdienstleistungssektor neben dem verarbeitenden Gewerbe und dem Gesundheitswesen am stärksten von Ransomware betroffen.

Zwischen Januar 2022 und Dezember 2024 reichten Finanzinstitute 7.395 Berichte gemäß dem Bank Secrecy Act (BSA) im Zusammenhang mit 4.194 Ransomware-Vorfällen ein. Sie meldeten Lösegeldzahlungen in Höhe von über 2,1 Milliarden Dollar.  

Diese Daten verdeutlichen, welch hohes Risiko der Finanzsektor birgt. Aufgrund der hohen Konzentration an sensiblen Daten, kritischen Systemen und wertvollen Vermögenswerten ist es ein offensichtliches und häufiges Ziel für Ransomware-Angreifer.

Es gibt aber auch ermutigende Neuigkeiten: Die Lösegeldzahlungen sind rückläufig. Die mittlere Zahlung sank von 175.000 US-Dollar im Jahr 2023 auf 155.257 US-Dollar im Jahr 2024.

Dennoch warnt FinCEN davor, dass diese Zahlen wahrscheinlich nicht das vollständige Bild wiedergeben. Viele Vorfälle schaffen es nie in offizielle Berichte, was bedeutet, dass das tatsächliche Ausmaß der Ransomware-Aktivitäten wahrscheinlich viel höher ist.

Nicht alle Organisationen legen ihre Ransomware-Schmutzwäsche öffentlich.

Tatsächlich werden viele Sicherheitsvorfälle nie gemeldet, insbesondere im Finanzdienstleistungssektor. Oft besteht keine Meldepflicht.

Das FBI schätzt, dass nur etwa 15 % aller Cyberkriminalitätsdelikte, einschließlich Ransomware-Angriffe, gemeldet werden.  

Die Meldepflichten sind begrenzt, da viele Gesetze nur dann Anwendung finden, wenn sensible Daten offengelegt werden. Hinzu kommt, dass die Wesentlichkeitsschwellen oft vage sind, was Raum für Interpretationen lässt und dazu führt, dass viele Vorfälle unentdeckt bleiben.

Wie sich die Definition der Wesentlichkeit durch die SEC auf die Berichterstattung auswirkt

Gemäß den Vorschriften der US-amerikanischen Börsenaufsichtsbehörde (SEC) müssen börsennotierte Finanzinstitute „wesentliche“ Cybervorfälle innerhalb von vier Werktagen offenlegen. „Wesentlich“ bedeutet, dass der Vorfall Auswirkungen auf die Investoren oder die finanzielle Lage des Unternehmens haben könnte.

Die Herausforderung besteht darin, dass Materialität subjektiv ist. Wenn sich die Kernsysteme schnell erholen oder keine sensiblen Finanzdaten offengelegt werden, entscheiden viele Unternehmen, dass der Vorfall nicht wesentlich ist und keiner Offenlegung bedarf.

Die meisten Gesetze zur Meldung von Datenschutzverletzungen im Finanzwesen gelten nur dann, wenn es sich um personenbezogene Daten oder Kundendaten handelt.  

Wenn Ransomware Systeme verschlüsselt, aber keine sensiblen Datensätze angreift, gelten die Meldevorschriften möglicherweise nicht. In vielen dieser Fälle wird der Vorfall nicht gemeldet.

Weitere Überlegungen zur Meldung von Banküberfällen

Privatbanken und nicht-öffentliche Finanzinstitute sind hingegen oft nicht verpflichtet, Cyberangriffe zu melden.  

Sofern keine besonderen Regeln gelten, können sie selbst entscheiden, ob sie einen Vorfall offenlegen oder nicht. Ohne rechtlichen Druck bleiben viele Angriffe unentdeckt.

Bei der Entscheidung geht es nicht nur um Regeln. Banken befürchten zudem den Schaden, den ein öffentlicher Datenverstoß verursachen kann. Sie riskieren Geldstrafen, Klagen und den Verlust des Kundenvertrauens.

Um dies zu vermeiden, zahlen manche Firmen das Lösegeld stillschweigend. Andere verlassen sich auf Backups, um Systeme schnell wiederherzustellen.  

Wenn der Geschäftsbetrieb schnell wieder normal läuft, bleibt der Vorfall oft geheim, insbesondere im Bankwesen, wo die Aufrechterhaltung des Betriebs von entscheidender Bedeutung ist.

Warum die Wesentlichkeit das eigentliche Risiko im Bankwesen darstellt

Für Finanzorganisationen ist die Wesentlichkeit die einzige Kennzahl, die zählt, wenn der Druck steigt.  

Sie kennen das Prozedere ja bereits – jedes Mal, wenn etwas kaputt geht, fragen die Sicherheitsteams der Banken:

• Wird sich das auf die Liquidität auswirken?  
• Werden die Aufsichtsbehörden anrufen?  
• Wird der Vorstand Antworten wollen?

Bei Ransomware kann ein einziger Sicherheitsvorfall die Ernsthaftigkeit schlagartig verändern. Es könnte von einer ruhigen Erholung zu einer ausgewachsenen PR-Katastrophe führen, die eine obligatorische Meldung des Verstoßes erforderlich macht.  

Eindämmung ist die beste Verteidigung des Finanzsektors

Es ist hilfreich, das Ausmaß des Ransomware-Problems im Bankwesen zu verstehen, aber das ist nicht das, was Ihren Vorstand interessiert. Sie erfassen weder das weltweite Angriffsvolumen noch die durchschnittlichen Lösegeldzahlungen.

Ihnen geht es nur um eines: Wird dieser Angriff materielle Folgen haben?

Wesentlichkeit bedeutet geschäftliche Auswirkung. Wenn ein Angriff relevant wird, kann er Kernsysteme stören, sensible Daten offenlegen, das Vertrauen schädigen und regulatorische Strafen nach Regeln wie dem EU- Gesetz über digitale Operationen und Resilienz (DORA) und dem Federal Financial Institutions Examination Council (FFIEC) auslösen.

Deshalb ist die Eindämmung von Sicherheitslücken von entscheidender Bedeutung. Es hält Zwischenfälle klein, verhindert seitliche Bewegungen, verkleinert den Explosionsradius und sorgt dafür, dass Sie unterhalb der Materialitätsschwelle bleiben.

Geheimhaltung ist die Methode, mit der man eine öffentliche Bekanntgabe vermeidet. So vermeidet man Schlagzeilen – und die viertägige Meldefrist der SEC.

Bereiten Sie sich mit Illumio auf Ransomware-Angriffe vor.

Ihr Sicherheitsteam schützt Ihr Netzwerk wie Footballspieler die Endzone. Die Eindämmung ist die beste Maßnahme, um zu verhindern, dass ein Cybervorfall sich zu einem schwerwiegenden Problem ausweitet.

Dank der Eindämmungsmechanismen von Illumio bleibt der Schaden selbst im Falle eines Eindringens gering. Sie können sich nicht in Ihrem Netzwerk bewegen, kritische Systeme angreifen oder sensible Daten stehlen.

Hier ist, was Illumio Ihnen ermöglicht:

• Den Explosionsradius verkleinern. Blockieren Sie gängige Angriffswege wie Remote Desktop Protocol (RDP), Server Message Block (SMB) und PsExec in Bankensystemen. ‍
• Stoppt die doppelte Erpressung. Beschränken Sie den Zugriff auf Finanzdaten und Kundendatensätze. ‍
• Halten Sie sich an die Vorschriften. Die Regeln von FFIEC, DORA und SEC werden eingehalten, indem Verstöße unterhalb der Wesentlichkeitsschwelle gehalten werden.

Sie können nicht kontrollieren, wann sich Gesetze ändern oder was Angreifer versuchen, aber mit Illumio können Sie kontrollieren, wie weit ein Angriff geht.

Wenn es um materielle Dinge geht, ist Eindämmung keine Option.

Die wichtigste Erkenntnis aus dem jüngsten Ransomware-Bericht von FinCEN ist, was diese Zahlen nicht erfassen.

Ransomware wird nicht verschwinden, und im Finanzdienstleistungssektor reicht bereits ein einziger Verstoß aus, um die Wesentlichkeitsschwelle zu überschreiten und alle damit verbundenen Folgen auszulösen: behördliche Überprüfung, öffentliche Bekanntgabe, Reputationsschaden und finanzieller Verlust.

Tatsächlich werden Sicherheitsverantwortliche im Bank- und Versicherungswesen nicht daran gemessen, wie viele Angriffe sie verhindern, sondern daran, ob Vorfälle zu geschäftlichen Ereignissen führen.  

Deshalb muss die Eindämmung von Sicherheitslücken die Strategie sein. Das ist der Unterschied zwischen einer eingedämmten Bedrohung und einer Krise, die Schlagzeilen macht.

Versuchen Illumio Insights kostenlos Sichern Sie sich noch heute KI-gestützte Observability und One-Click-Containment für Ihre hybride Multi-Cloud-Banking-Umgebung.