Mehr Cyberkriminelle und weniger Sparkassenschalter – zurück zur Naturalwirtschaft?
Über digitale Gefährdungspotenziale, Abwehrstrategien der Sparkassen und kommunale Kooperationen zur Gewährleistung eines wichtigen Teils der Daseinsvorsorge. Ein Interview mit Florian Schleicher, Pressesprecher bei dem IT-Dienstleister der Sparkassen-Finanzgruppe, Finanz Informatik, und Cosima Ningelgen, Pressesprecherin des Ostdeutschen Sparkassenverbandes.
Im Jahr 2018 ist die Zahl der Straftaten durch Cyberkriminalität auf rund 350 000 Fälle angestiegen. Das teilte das Bundeskriminalamt (BKA) in Wiesbaden am 11. November 2019 mit. Dieser Fakt hat – das mag auf den ersten Blick erstaunen – erhebliche Relevanz für die öffentliche Daseinsvorsorge. Denn der Zugang zum schnellen Internet für Jedermann gehören genauso zum Kanon der Daseinsvorsorge wie die Bereitstellung von elementaren Finanzdienstleistungen. Dass die Verfügbarkeit für unsere Lebensumstände entscheidend ist, wird niemand ernsthaft bestreiten. Insofern hat die rapide Zunahme der Cyberkriminalität aus dem Blickwinkel der Daseinsvorsorge auch eine existentielle Dimension.
Die Sparkassen (bekanntlich in öffentlicher Trägerschaft) sind die einzigen, die zur Bereitstellung grundlegender Finanzdienstleistungen – das beginnt mit der Führung eines Kontos – sogar gesetzlich verpflichtet sind. Ohne leistungsfähige IT-Infrastruktur ist das nicht lösbar. Auch wenn die Sparkassen über das mit Abstand dichteste Filialnetz verfügen, ist gerade in strukturschwachen Regionen der nächste Sparkassenschalter angesichts des ausgedünnten ÖPNV im Regelfall nur mit dem Auto zu erreichen. Wer beispielsweise aus Altersgründen nicht mehr ans Steuer darf oder will, ist vor allem auf das Online-Banking angewiesen. Auch wenn einige Institute versuchen, auch weiterhin „analoge“ Kundenkontakte z. B. durch Hausbesuche zu ermöglichen.
Dort, wo das Internet funktioniert, ist es von kriminellen Zugriffen, siehe die eingangs erwähnte BKA-Statistik, immer stärker bedroht. Besonders „beliebt“ bei den Spitzbuben sind Finanztransaktionen. Der Versuch, digital in die Geldbörsen der Sparkassen- und Bankkunden zu greifen, gehört – auch wenn viele Attacken abgewehrt werden – zum Alltag. Kein Vergleich mit dem Bankraub im analogen Zeitalter: Die wenigen Fälle pro Jahr schafften es alle in die Schlagzeilen. Die Akteure hatten, wenn sie erwischt wurden, Knastgarantie. Heute sitzen sie im warmen Wohnzimmer und bedienen sich anonym und deshalb zumeist unerkannt an fremden Konten. Risiko nahe Null. Das potenziert kriminelle Energien und Begehrlichkeiten. Ist der beschwerliche Weg zur nächsten Filiale oder die Kontoführung via Internet also wie die Alternative zwischen Pest und Cholera? Polemisch zugespitzt könnte man fragen: Zurück zur Naturalwirtschaft?
Mit solchen Ängsten werden immer häufiger Kommunalpolitiker konfrontiert. Vor allem jene, die in den naturnahen, aber internetfernen Regionen Deutschlands Verantwortung tragen. Die großen Probleme wie die desolate Breitbandversorgung können sie vor Ort nicht lösen. Dafür tragen ihre „Kollegen“ in den Ländern und vor allem beim Bund die Verantwortung. Im „Raumschiff Berlin“ aber kennt man den berechtigten Bürgerfrust, wenn überhaupt, nur vom Hörensagen. Ein Sachverhalt, der kollektive Verantwortungslosigkeit und damit einher gehendes Nichtstun maßgeblich befördert. Dagegen muss politischer Druck aufgebaut werden. Wir beteiligen uns daran gern und mit Leidenschaft. Erfolg ungewiss. Deshalb darf man die Bürgermeister und Gemeinderäte in der Uckermark, der Prignitz, in Friesland oder im Schwarzwald nicht im Regen stehen lassen. Für sie liefern wir Informationen und Argumente für den Dialog mit den Bürgern. Unter anderem mit dem folgenden Interview mit Florian Schleicher, Pressesprecher der Finanz Informatik, dem IT-Dienstleister der Sparkassen-Finanzgruppe, und Cosima Ningelgen, Pressesprecherin des Ostdeutschen Sparkassenverbandes.
Zugleich ermutigen wir die Amts- und Mandatsträger dazu, mit ihren Sparkassen vor Ort kreative Lösungen zu finden, Finanzdienstleistungen für jedermann unter schwierigen Umständen gewährleisten. Der von einem gemeinnützigen Verein getragene „Tante-Emma-Laden“ der ganzanderen Art, in dem einmal pro Woche auch die Sparkasse einen Schalter besetzt, ist eine von vielen Varianten.
Herr Schleicher, internetbasierte Transaktionen unter Nutzung stationärer wie mobiler Netzstrukturen sind heute im Sparkassen- und Finanzwesen quasi das „Tagesgeschäft“. Kann man diese Größenordnung in Relation zum „alten“ Schaltergeschäft in etwa quantifizieren?
Schleicher: Wir können das konstante Wachstum bei digitalen Transaktionen für die Sparkassen im Maßstab der gesamten Bundesrepublik sehr gut messen. So ist in nur einem Jahr – von 2017 zu 2018 – die Zahl der aktiven Online-Banking-Teilnehmer von 18,2 Millionen auf 19,9 Millionen gestiegen. Das ist ein gewaltiger Sprung um zehn Prozent. Ähnliche Trends sehen wir bei der Nutzung der Internet-Filiale oder der Sparkassen-App.
Die digitale Form der Abwicklung hat viele Vorteile gegenüber der analogen Vergangenheit. Was sind für die Kunden die wichtigsten?
Die Kunden schätzen die hohen Geschwindigkeiten. Beim Instant Payment, um nur ein Beispiel zu nennen, dauert eine komplette Überweisung nur zehn Sekunden. Das ist auch einer der Erfolgsfaktoren des Handy-zu-Handy-Bezahlen „Kwitt“. Geschätzt wird auch der größere Komfort. Statt einen Überweisungsträger per Hand auszufüllen und zur Bank zu tragen, kann man in der digitalen Variante die Rechnung direkt per Fotoüberweisung am Smartphone oder Laptop scannen und begleichen. Weil sich Bankgeschäfte vom Sofa oder von unterwegs erledigen lassen, ist der Kunde zeitlich und räumlich deutlich flexibler. Schließlich gibt es mehr Transparenz und Kontrolle. Der Kunde kann in Echtzeit sehen, was auf seinem Konto passiert, per App eine Karte sperren oder Limite ändern.
Die Vorzüge der digitalen Abwicklung sind aber auch verbunden mit Gefährdungspotenzialen. Ist der größere Nutzen zwangsläufig auch mit größeren Gefahren verbunden?
Es geht eher um eine ständige neue Nutzen- und Risikoabwägung. Es fallen ja auch Gefahren weg. Kein Kunde muss große Barbestände mit sich herumtragen oder zu Hause aufbewahren.
Zudem gibt es auch beim Online-Banking selbst Varianten mit etwas größeren und kleineren Risiken. Der Kunde kann beim mobilen Banking beide Kanäle – Sparkasse-App und pushTAN-App – auf einem Gerät nutzen – das ist komfortabler. Wer die Sicherheit erhöhen will, kann diesen Vorgang splitten: die pushTAN-App auf dem Smartphone, das Banking auf dem Laptop oder dem Tablet.
Wir unterstützen die Sparkassen und die Regionalverbände bei der stetigen Sensibilisierung der Kunden für Sicherheitsrisiken etwa in Gestalt von Phishing, also den Zugriff auf interne Nutzerdaten beispielsweise mit gefälschten E-Mails, oder CEO-Fraud bei dem Firmen unter falschen Vorwänden zu Geldüberweisungen an die Betrüger verleitet werden. Im digitalen Bereich stellt der Kunde in der Regel leider das schwächste Glied dar. Die Institute und ihre IT-Dienstleister sind organisatorisch und technisch sehr gut geschützt und schwer zu knacken. Daher konzentrieren sich viele Angreifer auf den Kunden.
Fällt ein Standort aus, springt ein vernetztes Rechenzentrum ein
Cyber-Kriminalität ist in aller Munde. Wie schützen die Sparkassen ihre Kunden?
Die Sicherheit und Integrität von Daten sind für die Finanz Informatik – kurz FI – als dem zentralen IT-Dienstleister der Sparkassen-Finanzgruppe von existentieller Bedeutung. Dies gilt im Besonderen für die Daten der vielen Millionen Kunden der Sparkassen. Die Datensicherheit ist Teil des ganzheitlichen Informationssicherheits- und Risikomanagement-Systems, das die Technik, die Organisation und die Prozesse im Blick hat.
Die FI nutzt für die Anwendungen der Sparkassen eigene Rechenzentren, die sehr hohe Anforderungen in Bezug auf die Verfügbarkeit/Ausfallsicherheit sowie den technischen und physischen Schutz der Infrastruktur erfüllen. Die Rechenzentren sind so vernetzt, dass der Ausfall eines Standortes nicht zu einer spürbaren Unterbrechung der Dienste der Sparkassen oder einem Datenverlust führt. Mit diesem hohen Aufwand trägt die FI ihrer besonderen Verantwortung für die größte deutsche Bankengruppe Rechnung.
Gegenüber ihren Kunden, den Sparkassen, hat sich die FI mit umfassenden vertraglichen Regelungen zur Einhaltung von definierten Sicherheitsstandards verpflichtet und weist dies regelmäßig nach. Sie steht im engen Austausch mit Aufsichtsbehörden wie der Bundesanstalt für Finanzdienstleistungsaufsicht und der Bundesbank sowie mit Sicherheitsinstitutionen wie dem Bundesamt für Sicherheit in der Informationstechnik und den Strafverfolgungsbehörden.
Der klassische Sparkassenkunde ist mit anderen Gefahren konfrontiert, als der institutionelle Anleger oder ein Unternehmen. Welchen Beitrag kann er selbst leisten, um sein Online-Banking sicher zu machen?
Auf sparkasse.de gibt es Tipps für sicheres Online-Banking. Ergänzend dazu nenne ich weitere elementare Regeln:
- Nur auf vertrauenswürdigen Geräten Online-Banking nutzen
- Öffentliche W-LANs nur mit zusätzlichem Schutz wie VPN nutzen
- Das eigene Gerät regelmäßig mit Updates versorgen
- Auf keine Links oder Anhänge in E-Mails klicken, die vermeintlich von der Sparkasse kommen – dafür gibt es das ePostfach.
Die Institute haben einen immensen Aufwand bei der Gewährleistung größtmöglicher IT-Sicherheit. Kann man diese Größenordnungen für die Sparkassen beziffern?
Diese Größenordnung können wir nicht exakt nennen. Aber allein die zentralen IT-Kosten bei der FI – dazu gehören unter anderem die Entwicklung, Pflege und Betrieb des Gesamtbankensystems in eigenen Rechenzentren – liegen bei weit über einer Milliarde Euro im Jahr. Ein erheblicher Teil dieser Kosten betrifft die Gewährleistung der Sicherheit, wobei genaue Abgrenzungen nicht möglich sind. Zu den operativen Kosten gesellen sich strategische Aufwände, zum Beispiel für Konzepte, Test- und Prüfverfahren und die laufende technische Ertüchtigung unserer Rechenzentren.
Online-Banking ersetzt auch künftig nicht den direkten Kundenkontakt
Nach der Definition der Kritischen Daseinsvorsorge-Infrastrukturen im Gabler Wirtschaftslexikon gehören die IT- und TK-Infrastrukturen zu den am meisten gefährdeten. Zudem scheint es, dass man sich fremden Geldes im Internetzeitalter viel besser und mit deutlichem geringerem Risiko bemächtigen kann, als beim „analogen“ Überfall auf eine Sparkassenfiliale. Trifft auch auf die neue digitale Welt der Spruch zu, dass die Verbrecher der Polizei und anderen Ordnungsinstanzen immer den berühmten „einen Schritt voraus“ sind?
Tatsächlich werden die Angriffsmethoden ausgefeilter und der technische Aufwand größer. Das konnte man beispielsweise bei den Geldautomaten-Angriffen beobachten. Auch die sogenannten Advanced-Persistent-Threat-Angriffe – das sind komplexe und sehr effektive Attacken auf kritische IT-Infrastrukturen und vertrauliche Daten von Behörden, Groß- und Mittelstandsunternehmen aller Branchen – werden von hochprofessionellen internationalen Hacker-Gruppen durchgeführt. Aber auch die Sparkassen und ihre IT-Dienstleister rüsten in enger Abstimmung mit Sicherheitsbehörden und anderen Akteuren am Markt auf. Von daher kann man nicht davon sprechen, dass die Verbrecher einen dauerhaften Vorsprung hätten.
Internationale Hacker-Gruppen sind im Regelfall am schnellen Erfolg interessiert. Sie konzentrieren sich daher auf schlechter abgesicherte institutionelle Ziele – mitunter im außereuropäischen Ausland – oder greifen – siehe Phishing – das schwächste Glied der Kette, also den Endkunden an.
Frau Ningelgen, welche Garantien hat der Sparkassenkunde, der beim Online-Banking alles richtig macht, sein Geld aber trotzdem verliert?
Ningelgen: Der Kunde, der die von den Sparkassen empfohlenen und gut erklärten Sicherheitsmaßnahmen befolgt und dennoch Opfer von Betrügern wird, kann sicher sein, von seiner Sparkasse das Geld zurück zu erhalten.
Sparkassen haben weiterhin das dichteste Filialnetz gerade auch in strukturschwachen Regionen, siehe das Beispiel der Institute im Ostdeutschen Sparkassenverband. Angesichts des demografischen Wandels und der weiter anhaltenden Niedrigzinspolitik steigt der Kostendruck für die Institute weiter. Wie kann man unter diesen Umständen auch in Zukunft die Bereitstellung elementarer Finanzdienstleistungen sicherstellen?
Das ist natürlich ein übergreifendes Thema der gesamten Sparkassenorganisation.
Aber auch die Kunden reden mit: Filialen die intensiv genutzt werden, bleiben. Für weniger frequentierte, brauchen wir spezifische Lösungen. Das können reduzierte Öffnungszeiten sein, oder der gute alte Sparkassenbus. Mancherorts stellen die Kommunen Räume zur Verfügung, in denen die Kunden regelmäßig und zu festen Zeiten einen Ansprechpartner finden. Die Sparkassen und ihre kommunalen Träger entwickeln gemeinsam Lösungen und setzen diese um. Das basiert auf der Verwurzelung der Sparkassen vor Ort. Diese und der öffentliche Auftrag sind Teil des genetischen Codes der Sparkassen.
Fazit
Die zunehmende Cyberkriminalität ist eine Realität. Zuverlässiger Schutz gehört für die Sparkassen zum Daseinsvorsorgeauftrag. Zugleich setzen die Institute auch künftig auf direkten Kundenkontakt. Kreative Lösungen gerade in strukturschwachen Lösungen werden vor Ort im engen Zusammenwirken mit den kommunalen Amts- und Mandatsträgern erdacht und umgesetzt.
Das Interview mit Florian Schleicher und Cosima Ningelgen führte Michael Schäfer.
