Symposium Sicherheit 2024

IT-Sicherheit, Betrug, Resilienz

IT- und physische Sicherheit, Krisenbewältigung sowie EU-Recht waren die Themen des 30. Symposiums Sicherheit der Erste Group Bank AG am 8. und 9. Oktober 2024 in Wien.

In Deutschland erfolgten 2023 602 physische Angriffe auf Geldautomaten (GA), in 461 Fällen durch Sprengungen, bezogen sich Christian König vom Sparkassenverband Bayern und Oliver Klempa vom Sparkassenverband Baden-Württemberg in ihrem auf dem Symposium gehaltenen Referat auf Zahlen des deutschen Bundeskriminalamtes. Die Beute betrug 28,4 Millionen Euro. Wenngleich die Zahl der Fälle von GA-Sprengungen gegenüber 2022 (496) um 7,1 Prozent abgenommen hat, ist besorgniserregend, dass der Anteil von Sprengungen mit festen Explosivstoffen von fünf Prozent im Jahr 2019 kontinuierlich auf 87 Prozent im Jahr 2023 angestiegen ist. Die auf 110 Millionen Euro geschätzten Begleitschäden nehmen stark zu. Die Tatorte zeigen Bilder der Verwüstung. Dazu kommt das riskante Fluchtverhalten mit schnellen Fahrzeugen, was bereits zu tödlichen Verkehrsunfällen geführt hat.
Von den 201 in Deutschland 2023 ermittelten Tatverdächtigen waren 136 niederländischer Staatsangehörigkeit, gefolgt von 15 Deutschen. Mit 38 Prozent ist die Altersgruppe der 21- bis 25-Jährigen am stärksten unter den Verdächtigen vertreten, gefolgt von den 26- bis 30-Jährigen mit 26 Prozent und den in der Altersgruppe zwischen 31 und 40 Jahren (23 Prozent). Die meisten Angriffe erfolgen Montag bis Freitag nachts zwischen ein und fünf Uhr.
Neben der Strafverfolgung kommen dem Standort und dem Umfeld der Geldautomaten Bedeutung zu. Besonders gefährdet sind Standorte mit einfacher Fluchtmöglichkeit für die Täter. Präventiv wirken ein mechanisch verstärkter Verschluss der Geschäftsstelle beziehungsweise des SB-Bereichs, wobei eine Sperre zwischen 23 und 6 Uhr empfohlen wird, sowie Einbruchmeldeanlagen mit Aufschaltung zur Polizei. Außerdem sollte eine optische Raumüberwachung in guter Qualität installiert werden, was für die Ermittlungen und die Beweisführung von Bedeutung ist. Eine Verstärkung der Schachtabdeckung bei den Automaten mit zusätzlichem Aufhebelschutz verhindert, dass Sprengstoff in den Automaten eingebracht werden kann. Wirkungsvoll sind Vernebelungssysteme, die dem Täter die Sicht nehmen. Bei ungewollter Auslösung könnten allerdings Kunden in Panik geraten; austretender Nebel könnte den Einsatz der Feuerwehr herbeiführen. Durch Einfärbung können die Geldbündel für den Täter unbrauchbar gemacht werden und den Anreiz zur Tat vermindern. Angedacht, aber noch nicht zugelassen, sind Klebesysteme, die sekundenschnell Geldbündel verkleben und unbrauchbar machen.

Cybercrime.

„Es gibt derzeit 60 Ransomware-Banden, die länder- und branchenübergreifend handeln und nach einem großteils identen Konzept agieren“, führte Oliver Hietz, Cybercrime-Komplettschutz, aus. Über Sicherheitslücken wie IT-Schwachstellen oder Mail-Anhänge wird in ein IT-System eingedrungen und dieses analysiert. Dann werden das gesamte System und zumeist das Back-up verschlüsselt. Das betroffene Unternehmen hat keinen Zugang mehr zu den Daten, zu Kontakten und zur IT-Infrastruktur. Der Angreifer kontaktiert die Geschäftsführung und fordert Lösegeld in Bitcoins. Gibt es innerhalb weniger Tage kein Ergebnis, wird das Opfer auf der Darknet-Seite eingetragen und damit gedroht, die Basisdaten des Opfers einschließlich der gestohlenen Daten zu veröffentlichen. Die Beweismittel werden veröffentlicht (double extortion) und zum Verkauf angeboten; Mitarbeiterinnen und Mitarbeiter sowie Kundinnen und Kunden werden verständigt. Daran kann sich noch eine DDOS-Attacke anschließen (triple extortion).

Die Vorgangsweisen einzelner Tätergruppen samt Opferlisten wurden von Daniel Rossgatterer, Secutec Österreich, vorgestellt. Die Empfehlung des Experten für die ersten 48 Stunden nach einer Attacke lautet, die Server nicht herunterzufahren, die verschlüsselten Systeme vom Rest zu trennen, die Forensik zu starten und das Darknet zu beobachten. In den ersten Stunden sollten keine Verhandlungen geführt werden. Die Lösegeldforderungen bewegen sich in der Regel zwischen fünf bis zehn Prozent des Umsatzes. Es kann davon ausgegangen werden, dass die Bilanzen und die liquiden Mittel den Tätern bekannt sind.
Petar Kosic, Erste Digital, analysierte Cyber-Angriffe auf die vier US-Unternehmen Okta, Cloudflare, Lock-Bit und Microsoft mit Umsätzen in Milliardenhöhe. Die Schwachstellen, über die in die Systeme eingedrungen wurde, waren eher banal wie etwa kompromittierte private Laptops, die an das System angeschlossen wurden, das Fehlen von kritischen Software-Patches, vergessene Service-Accounts oder fehlende Validierungsdaten.

Die Top-Szenarien bei Betrügereien, die in Form von Bankgeschäften abgewickelt werden, sind derzeit, wie Kristina Eder von der Erste Bank ausführte, der Hallo-Mama-/Hallo-Papa-Trick, der Investment-, Liebes- oder Warenbetrug bei Secondhand-Plattformen sowie der Betrug unter Verwendung falscher Identitäten. Das Bankpersonal ist sensibilisiert und bemüht, bei hohen Bargeldabhebungen mit dem Kunden ins Gespräch zu treten.
Auf watchlist-internet.at  , einer Präventions-Plattform gegen Internet-Betrug in Österreich, werden Warnmeldungen veröffentlicht, die auf der Auswertung von Meldungen über Betrugsfallen beruhen. Die Website wurde 2023 über zwölf Millionen Mal aufgerufen, bei stark steigender Tendenz. Über drei Millionen Besucher wurden gezählt. Es gibt einen wöchentlichen Newsletter.
Der Fake-Shop-Detector fakeshop.at   überprüft Onlineshops. Mit dem Tool „Vorsicht, Falle!“ kann anhand von Fake-Fallen Erfahrung im Umgang mit Internetbetrug gesammelt werden.

Resilienz.

Christian Redl, der zwölf Weltrekorde im Apnoe-Tauchen hält, informierte darüber, wie man sich auf Herausforderungen vorbereitet, Risiken analysiert und beherrschbar macht sowie, was daraus an Nutzen für die Bewältigung von Krisen gezogen werden kann. Es beginne mit der Motivation, die nicht problem-, sondern lösungsorientiert sein sollte, erklärte Redl. Das Risiko sei entsprechend abzuschätzen und entscheidend sei die Vorbereitung. Je besser diese ist, umso mehr Selbstvertrauen werde aufgebaut. Ist die Entscheidung gefallen, darf es keinen Zweifel mehr geben: Bei einem Extremsportler würden negative Gefühle erhöhten Herzschlag und damit mehr Sauerstoffverbrauch nach sich ziehen. Angst sei zwar wichtig als Schutz vor Gefahren, könne aber auch limitieren. Darüber hinaus sei zwischen erzählter und erlebter Angst zu unterscheiden und an die Stelle der Angst sollte der Respekt vor der Aufgabe treten.
Die Welt befinde sich in einem chaotischen System im Sinn der Chaosforschung, ohne klare Ursache-Wirkungsbeziehungen, turbulent und unvorhersehbar, sagte Denis Ziga von der Controllit AG. Das erfordere den Aufbau eines Resilienz-Managements auf operationaler (OpRM) Ebene, das die kurzfristige Betriebsfähigkeit gegenüber Störungen sicherstellt, wogegen das organisatorische Resilienz-Management (ORM) auf langfristige Anpassung an Veränderungen abzielt.
Eine zukunftsorientierte Resilienzstrategie baut nach Markus Epner, Academy F24, auf Risikomanagement auf, verbunden mit Lernbereitschaft. Eine Single Source of Truth als zentrale, verlässliche und einheitliche Datenquelle soll in Verbindung mit einer KI, die die Genauigkeit und Relevanz der Ergebnisse verbessert, die optimale Entscheidung herbeiführen.
Karl Weißl von der Erste Group befasste sich mit Maßnahmen, die den möglichst ungestörten Ablauf von Geschäftsprozessen sicherstellen sollen. Aufgaben innerhalb einer Organisation dürfen nicht isoliert gesehen werden, sondern sind Prozessen zuzuordnen. Die zu ermittelnden Bedrohungen müssen die Lieferketten berücksichtigen.
Jürgen Dachauer von der Direktion Staatsschutz und Nachrichtendienst (DSN) erläuterte das seit 2014 bestehende Austrian Program for Critical-Infrastructure-Protection (APCIP) und stellte die Maßnahmen vor, die für die in der ACI-Liste (Austrian Critical Infrastructure) erfassten, in elf Sektoren gegliederten Unternehmen getroffen wurden. Diese Maßnahmen umfassen unter anderem die Erstellung von Objektschutzblättern und -konzepten, Schwachstellen- und Risikoanalyse, Sicherheitsüberprüfungen nach § 55 SPG, Überwachungen und Workshops.

RKE-RL.

Markus Müller von der DSN berichtete über die EU-Richtlinie 2022/2557, die die physische Resilienz kritischer Einrichtungen betrifft. In der Richtlinie wird von einem All-Hazards-Ansatz ausgegangen – der Berücksichtigung aller Gefahren, gleichgültig, ob natürlich oder von Menschen verursacht. Sie stellt insofern einen Paradigmenwechsel dar, als nicht mehr wie unter APCIP auf Private Public Partnership (PPP) aufgebaut wird, sondern Unternehmen regulativ verpflichtet werden. Die EU-Mitgliedstaaten haben bis zum 17. Juli 2026 kritische Einrichtungen zu ermitteln, wobei deren Feststellung durch Bescheid erfolgen wird. Bei den zu ergreifenden Maßnahmen haben die Behörden Unterstützung zu leisten, etwa durch die Erstellung von Leitfäden und Methoden, Organisation von Übungen, Beratung und Schulung von Personal. Der Zeitplan sieht ab dem Inkrafttreten der Richtlinie am 17. Oktober 2024 eine Festlegung der nationalen Strategie und Risikoanalyse durch die Mitgliedstaaten bis zum 17. Jänner 2025 vor. Unternehmen werden ab dem 17. August 2026 den Feststellungsbescheid erhalten, nach dem sie zu Risikobewertung, Resilienzmaßnahmen im Bereich sicherheitsbezogener technischer und organisatorischer Maßnahmen, Zuverlässigkeitsüberprüfungen von Personen in sensibler Funktion und zur unverzüglichen Meldung von Sicherheitsvorfällen, längstens binnen 24 Stunden verpflichtet werden. Die in Betracht kommenden Unternehmen haben Kooperationsplicht; Risikobewertung und Resilienzplan müssen proaktiv übersendet werden. Erforderliche Maßnahmen können mittels Bescheid angeordnet werden. In letzter Konsequenz kann eine Verwaltungsstrafe bis zu sieben Millionen Euro bzw. 1,4 Prozent des weltweiten Gesamtnettojahresumsatzes des Vorjahrs verhängt werden. Die Maxime ist allerdings Dialog statt Strafen.

Aussteller.

Im Foyer waren Aussteller mit Sicherheitsprodukten vertreten. ÖWD Security Systems stellte eine Videolösung zur Überwachung eines Bankfoyers vor, die eintretende Personen erfasst und deren Verweildauer misst. Wird eine bestimmte Zeit überschritten, wird das Aufsichtspersonal auf die betreffende Person aufmerksam gemacht und kann mit dieser über eine Durchsage in Verbindung treten. Das Herumlungern von Personen oder die Verunreinigung von Räumen des Publikumsverkehrs sollen dadurch verhindert werden.

Kurt Hickisch

---

Öffentliche Sicherheit, Ausgabe 1-2/2025

 Druckversion des Artikels (pdf, 651 kB)