Finanz- und Treasury-Management: Umfrage Cyberangriffe

Umfrage Cyberangriffe

Ergebnisse unserer Umfrage zum Thema Cyberangriffe auf den Zahlungsverkehr

Verwandte Inhalte

FTM Bildwelt: Skispringer

Im vergangenen Newsletter haben wir unsere Leser um die Teilnahme an einer Umfrage zum Thema Cyberangriffe auf den Zahlungsverkehr gebeten.

Das Ergebnis der kurzen Umfrage bestätigt, wie brisant das Thema für die Unternehmen ist, denn bei über der Hälfte der Teilnehmer wurden bereits Angriffe auf den Zahlungsverkehr des Unternehmens registriert. Konkrete bzw. zusätzliche Sicherheitsmaßnahmen wurden in den letzten 24 Monaten bei 67 Prozent der Teilnehmer umgesetzt und 62 Prozent planen kurzfristig weitere Maßnahmen umzusetzen. Während sich die bereits ergriffenen Maßnahmen insbesondere auf den organisatorischen und prozessualen Bereich kon-zentrierten, teilen sich die kurzfristig geplanten Präventionsmaßnahmen zu gleichen Teilen auf die Organisation und Prozesse sowie auf die IT auf. Wir bedanken uns an dieser Stelle herzlich bei den 15 Teilnehmern der Umfrage, die im Detail wie folgt auf unsere Fragen antworteten.

Frage 1: Ist in Ihrem Unternehmen der Zahlungsverkehr bereits durch Cyberkriminelle angegriffen worden? 

Bei 53 Prozent der Teilnehmer ist bereits ein Angriff durch Cyberkriminelle auf den Zahlungsverkehr des Unternehmens registriert worden. Hinsichtlich der Art der Angriffe wurden in den freiwilligen Angaben der Umfrage die aktuellen Betrugsmuster bestätigt: Die Betrüger fordern via E-mail als gut getarnter „falscher Chef“ Mitarbeiter zu einer Zahlung auf (Fake President Fraud), es werden Phishing-E-mails mit Virusanhängen versendet oder die Kriminellen senden E-mails mit der Aufforderung der Änderung von Kundenbankkonten zugunsten des Betrügers.

Frage 2: Wurden in Ihrem Unternehmen in den letzten 24 Monaten auf Grund dieser Angriffe konkrete/zusätzliche Sicherheitsmaßnahmen ergriffen, um sich gegen die Betrugsfälle zu schützen?

67 Prozent der Teilnehmer gaben an, dass in den letzten 24 Monaten Sicherheitsmaßnahmen ergriffen wurden. Dabei standen bei 42 Prozent sowohl Änderungen im Bereich der Organisation und Prozesse sowie im Bereich der IT im Fokus. Bei 25 Prozent der Teilnehmer konzentrierten sich die Maßnahmen vorrangig auf den Bereich Organisation und Prozesse, das heißt ohne wesentliche Änderungen in der IT. Bei keinem der Teilnehmer gab es ausschließlich Änderungen in der IT. Keine konkreten/zusätzlichen Maßnahmen in den letzten 24 Monaten wurden bei 33 Prozent der Teilnehmer umgesetzt.

In der Vergangenheit standen somit die Maßnahmen im Bereich der Organisation und Prozessen leicht im Vordergrund, was sich auch in den zusätzlichen, freien Angaben der Umfrage wiederspiegelt. Die genannten Präventionsmaßnahmen betreffen den Bereich der Aufklärung, d.h. es werden zusätzliche Informationen im Intranet bereitgestellt, Mitarbeiter zum Beispiel über Email informiert und Schulungen durchgeführt. Darüber hinaus ließ sich aus zwei Antworten ableiten, dass das interne Kontrollsystem verschärft wurde. Dies erfolgte durch die Einführung einer zusätzlichen Freigabe bei der Änderung von Bankkonten und dem Aufbau eines professionellen Fraudpräventionssystems inklusive der Einrichtung zusätzlicher Planstellen.

Frage 3: Planen Sie kurzfristig (erweiterte) Präventionsmaßnahmen zum Schutz Ihres Zahlungsverkehrs einzurichten?

Kurzfristig planen 62 Prozent der Teilnehmer weitere Präventionsmaßnahmen zu ergreifen, wobei 31 Prozent der Teilnehmer sowohl im Bereich der Organisation und Prozesse sowie im Bereich IT Änderungen umsetzen wollen. Jeweils 15 Prozent konzentrieren ihre Aktivitäten entweder vorrangig auf den Bereich der IT oder auf den Bereich der Organisation und Prozesse. Ausreichend geschützt fühlen sich 38 Prozent der Teilnehmer, denn bei ihnen erfolgt keine weitere Prävention. Aus unserer Sicht ist es bedenklich, wenn Unternehmen sich nicht stetig mit der Bedrohung aus dem e-Crime-Umfeld auseinandersetzen und ihre Maßnahmen justieren, denn die Strategien der Cyberkriminellen entwickeln sich stetig weiter und die Liste möglicher großer, aber auch kleiner Einfallstore ist lang. Klassische Payment Diversion oder Fake President sind die zwei bekanntesten Vorgehen, während die inhärenten Risiken durch Social Engineering und anschließende Verbreitung von Schadsoftware zum Ausspionieren relevanter Sicherheitsinformationen im Zahlungsverkehr vielen Treasurern noch nicht bekannt sein dürften.

Hinsichtlich der geplanten Maßnahmen werden von den Teilnehmern die konstante Aufklärung der Mitarbeiter, allgemeine Restrukturierung bestehender Prozesse sowie Systeme und insbesondere IT-Maßnahmen genannt. Die Erhöhung der IT-Sicherheit soll dabei durch verbesserte Firewalls und weitergehende Abschottung der Zahlungsverkehrsdaten von allen anderen Datenräumen über neutrale Cloud-Lösungen erreicht werden.

Die Ergebnisse der Umfrage zeigen beispielhaft Herangehensweisen zum Umgang mit der Bedrohung des Zahlungsverkehrs auf. Besonders effektiv wirken die Maßnahmen jedoch nur, wenn eine gesamtheitliche Betrachtung der Prozesse im Zusammenhang mit der IT Security erfolgt. So könnte zum Beispiel der interne Zahlungsfreigabeprozess durch ausreichende 4-Augenprizipien gut aufgesetzt sein, aber die Zahldatei durch unsichere Übertragungswege manipulierbar sein. Neben der Identifikation unterschiedlicher Angriffspunkte (Organisation, Prozesse und IT) kommt der Definition von eindeutigen Verantwortlichkeiten im Unternehmen eine besondere Bedeutung zu. Eine zentrale Rolle sollte hier das Treasury „als Hüter des Geldes“ im Unternehmen einnehmen, in dem es die Ge-samtverantwortung für die Sicherung des Zahlungsverkehrs übernimmt. 

Quelle: KPMG Corporate Treasury News, Ausgabe 55, Mai 2016 

Finanz- & Treasury Management

Das Expertenteam vom KPMG weist Ihnen den richtigen Weg im Finanz- und Treasury-Management.

 
Lesen Sie mehr

So kontaktieren Sie uns

 

Angebotsanfrage (RFP)

 

Absenden

KPMG's neue digitale Plattform

KPMG's neue digitale Plattform