Bitte melden Sie sich an

Registrieren Sie Sich als Premium-Mitglied, um Vorträge herunterzuladen.

  • 100% Rabatt auf alle Club-Events und Kongresse
  • Download der Vortragsunterlagen aller Veranstaltungen
  • Zugriff auf Fotogalerie aller Veranstaltungen
Sie sind noch kein Mitglied?

Dann registrieren Sie sich jetzt:

Jetzt Mitglied werden
Sie sind bereits Mitglied oder waren Teilnehmer?

Bitte loggen Sie sich ein:

Jetzt einloggen
Jetzt Mitglied werden

Every day is a zero day – wie Banken sich effektiv vor Log4Shell und Co. schützen

Cyberkriminelle und Betrüger machen sich Exploits in der Datenarchitektur von Finanzunternehmen zunutze. Wo die größten Risiken liegen und wie man sich davor schützen kann, erläutert Jan Wilde von Myra Security.

Von Jan Wilde - 23. Mai 2022
Log4Shell, Exploits

Foto: iStock.com/id-work

ADVERTORIAL

Im Dezember 2021 hielt Log4Shell die Welt in Atem. „Das Internet brennt“, titelten die Medien. Das Bundesamt für Sicherheit in der Informationstechnik rief die höchste Warnstufe aus. Laut einer EY-Untersuchung waren 93 Prozent aller Enterprise-Cloud-Umgebungen durch Log4Shell verwundbar.
Die Sicherheitslücke erlaubt es, Schadcode auf Webservern einzuschleusen – darunter auch in bekannte Banking Malware wie Dridex oder Meterpreter. Die möglichen Folgen reichen von Datenverlust und Erpressungsversuchen über Dienstausfälle bis hin zur Kompromittierung ganzer Firmennetze und Lieferketten.
Unter Experten gilt Log4Shell als einer der gefährlichsten Exploits der IT-Geschichte. Denn er betrifft mehrere Milliarden Systeme weltweit und kann von Angreifern relativ simpel ausgenutzt werden. Die jüngst entdeckte Sicherheitslücke Spring4Shell erlaubt Angriffe nach demselben Prinzip. Der Finanzsektor muss sich für diese Realität rüsten und auf präventive Maßnahmen setzen.

Bedrohungslage für Finanzsektor spitzt sich zu

Dr. Joachim Wuermeling, Mitglied des Vorstands der Deutschen Bundesbank, beschrieb die Situation zu Log4J treffend: „In Sachen Cyberkriminalität ist es ein Wettlauf gegen die Zeit.“ Doch wie aus der Analyse von EY hervorgeht, waren zehn Tage nach Offenlegung der Lücke immer noch die Hälfte aller Systeme von Unternehmen aus dem Bereich Financial Services ungepatcht. Vor diesem Hintergrund warnte die BaFin davor, dass sich die Bedrohungslage im Cyberraum dauerhaft erhöht habe.
Obwohl viele Banken mittlerweile reagiert haben, wurden bereits über 50 Prozent der Firmennetzwerke im deutschen Finanzsektor unter Ausnutzung von Log4J attackiert, wie das IT-Finanzmagazin im Januar 2021 berichtete. Experten gehen davon aus, dass weltweit fast jedes große Unternehmen betroffen ist, sei es indirekt oder über Partnerunternehmen in der digitalen Lieferkette.

Mangelnde Sichtbarkeit erhöht Gefährdungspotenzial

Die Schwachstelle in diversen Software-Paketen ist im Falle von Log4Shell weit verbreitet. Bis heute können viele Unternehmen nur schwer nachvollziehen, welche Systeme wirklich betroffen sind. Daher muss die methodische Schwachstellenbewertung zwingend alle eigenen Systeme abdecken und angeschlossene Zulieferer einbeziehen. Das braucht Zeit – und die ist knapp.
Bei akuten Exploits wie Log4J zählt jede Minute. Banken brauchen schnelle und pragmatische Lösungen zur Mitigation. Aus Compliance-Gründen ist das oft eine Herausforderung. Im regulierten Finanzbereich ist das Patchen von Software äußerst aufwendig. Änderungen müssen vorab bewertet, genehmigt, koordiniert, sicher umgesetzt und dokumentiert werden. Die BAIT fordern etwa für die Umsetzung Risikoanalysen, Datensicherungen betroffener Systeme, Tests vor dem produktiven Einsatz sowie Rückabwicklungspläne und Wiederherstellungsoptionen bei möglichen Problemen.
Um akute Exploits schnell zu mitigieren, bietet sich daher der präventive Einsatz einer externen Web Application Firewall (WAF) an, die schädliche Anfragen über spezielle Regelsätze blockiert und so den Zugriff auf verwundbare Server erschwert. Im Ernstfall kann über diese Methode in wenigen Minuten das Risiko durch akute Exploits minimiert werden. Die hauseigene IT-Abteilung erhält so die notwendige Zeit, um Patches und Workarounds sauber und regulatorisch konform aufzusetzen.
Solche präventiven Lösungsansätze gehören in die Cybersecurity-Toolbox einer jeden Bank. Denn im Ernstfall geben sie den Ausschlag.

TIPP: Sie möchten mehr zum Thema Cybercrime lesen? Dann können Sie sich hier über neue Arten von Betrugsfällen informieren oder hier erfahren, wie sich Auto- und Hausbanken gegenseitig schützen können.

Jan Wilde

Myra Security GmbH

Senior Business Development Executive und Team-lead bei Myra Security GmbH

Lesen Sie auch

Cybercrime

„Die Arten der Betrugsfälle haben sich geändert“

Wie in der Wirtschaft geht auch in der[…]

Dennis Witzmann
DDoS Angriffe Myra

Banken im Visier von DDoS-Erpressern

Cyberkriminalität ist das Problem unserer Zeit. Im Finanzsektor[…]

Jan Wilde
Datenschutz VPN

Ist ein VPN ein Muss?

Das Fürchten um das eigene Hab und Gut:[…]

Redaktion
Zusammenarbeit, gemeinsam gegen Betrug, Betrüger, Kriminelle, Geschäftliche Partnerschaft

Betrug: Auto- und Hausbanken können sich gemeinsam schützen

Betrüger haben es auf Banken abgesehen, das gilt[…]

Redaktion
Identitätsbetrug Erik Manke

Identitätsbetrug: Wie kann man sich schützen?

Identitätsbetrug soll während der Pandemie zugenommen haben. War[…]

Redaktion
Senioren

Wie Banken Senioren vor Betrug schützen können

Bei FRAUDMANAGEMENTforBANKS zeigte uns Kriminaldirektor Ralf Kluxen, welche[…]

Redaktion
Betrug im Online Banking, Risikofaktoren, Mensch als Risiko, Fraudmanagement, Banken

Risikofaktoren im Online-Banking: „Ohne Mensch kein Betrug“

Der Mensch ist einer der größten Risikofaktoren beim[…]

Dennis Witzmann
Cybersecurity

„Wir haben das Thema Digital- und Cybersecurity etwas schleifen lassen“

Die Bedrohung durch Cyberkriminelle ist omnipräsent. COVID-19 hat[…]

Dennis Witzmann
Beitragsbild_Daily_NRW versteigert Bitcoin aus Darknet

NRW versteigert Bitcoin aus Darknet

Bitcoin fasziniert. Wann auch immer die „Kryptomutter“ zur[…]

Fiona Gleim
Cybercrime Day 2021- IT-Sicherheit- Kongress

Cybercrime Day 2021 – IT-Security in der Finanzwelt

Der Cybercrime Day feierte am 28. September 2021[…]

Fiona Gleim
Ransomware-Angriff, Daten verschlüsselt, Computer gefährdet, Cybersicherheit

„You got hacked“ – Was tun nach einem Ransomware-Angriff?

Vorsicht ist besser als Nachsicht. Das gilt besonders[…]

Kevin Schwarz
schlechte arbeit bei it und Cybercrime Vahrenhorst

Warum machen Unternehmen bei der Cyberabwehr schlechte Arbeit?

Unternehmen machen beim Thema Cybercrime schlechte Arbeit. Unter[…]

Peter Vahrenhorst
Cyberattakcen, Angreifer, Cyberangriff, Cyber Security, Banken, Incident response

Incident Response – weil Cyberattacken Realität sind

Nephilim, Ryuk, Trickbot, Emotet und seit neustem Conti[…]

Mathias Fuchs
Unternehmen Tripwire Cybercrime

Man muss die eigene Umgebung kennen und Transparenz schaffen

Die durchschnittlichen Kosten von Cybervorfällen sind in den[…]

Dennis Witzmann
Schutz vor Cybercrime

Bonnie und Clyde wären heute Hacker

Ingo Lalla, Vice President Sales bei Myra Security,[…]

Ingo Lalla

Von Bonnie und Clyde zu Cyberscams: So kämpft die Finanzbranche gegen Cyberkriminelle

Beim BANKINGCLUB-Live: Cybercrime-Special drehte sich alles um das[…]

Redaktion

Ausweich- und Verschleierungstaktiken moderner Schadsoftware

Gekommen, um zu bleiben: Moderne Malware tut alles,[…]

Jörg Herrmann
Evasive Malware Meister der Tarnung

Evasive Malware: Meister der Tarnung

Evasive Malware ist darauf ausgelegt, den Security-Systemen eines[…]

Redaktion

Bei BANKINGCLUB-Live wird es speziell

An 24. März 2021 haben wir unser Erfolgsformat[…]

Dennis Witzmann
XM Cyber Assume Breach

Erfahren Sie von XM Cyber, wie Sie die kritischsten Assets Ihres Unternehmens schützen können

Termin: 5. Mai, 10:00 -11:00 Uhr Session: Assume Breach – Angenommen, es kommt zu einem Angriff[…]

Redaktion
Cybercrime

Cyber-Resilienz für den Finanzsektor

Hände hoch – das war einmal. Heute kommen[…]

Jörg Herrmann
Online Banking Cybersecurity mobile Daten

Ist es sicher, mobile Daten für Online-Banking zu verwenden?

Online-Banking ermöglicht den Zugriff auf das eigene Konto[…]

Redaktion
Betrugsprävention, IT-Security, Banken

Banken brauchen jetzt eine ganzheitliche Betrugsprävention

Peter Vahrenhorst vom Landeskriminalamt (LKA) Düsseldorf über die[…]

Peter Vahrenhorst
Rahmenwerk TIBER-EU Ethisches Hacking Bundesbank

Ethisches Hacking schützt vor Angriffen

Dr. Ronny Merkel beschreibt, wie Banken und Versicherer[…]

Ronny Merkel

Infografik: Betrug ohne Grenzen

Banken verzeichnen seit Jahren Rekordschäden durch Betrug und[…]

Redaktion
Wie kann ein Unternehmen sich effektiv gegen DDoS-Attacken schützen? Grafik zum Beitrag

Wenn Anwendungen in IT-Systemen regelrecht „bombardiert“ werden

Lars Meinecke beschreibt, wie man mit Cloud-Lösungen von[…]

Lars Meinecke