| IKT-Risiko- IKT-Risiken (nicht kategorien erschöpfend10 ) Disruptive und zerstörerische Cyber-Angriffe | | Risikobeschreibung Angriffe zu unterschiedlichen Zwecken (z. B. Aktivismus, Erpressung), die zu einer Überlastung von Systemen und des Netzwerks führen, wodurch verhindert wird, dass legitime Nutzer auf ihre Online-Computerdienste zugreifen können. | Beispiele • | Distributed Denial-of-Service-Angriffe werden von einer Vielzahl an Computersystemen im Internet durchgeführt, die von einem Hacker gesteuert werden; dabei wird eine große Menge an scheinbar legitimen Dienstanfragen an Online-Dienste gestellt (z. B. Online-Banking). |
| IKT-Sicherheits- Cyber-Angriffe und risiken sonstige externe IKT-basierte Angriffe | | Angriffe, die aus dem Internet oder aus externen Netzwerken zu unterschiedlichen Zwecken durchgeführt werden (z. B. Betrug, Spionage, Aktivismus/Sabotage, Cyber-Terrorismus), wobei eine Vielzahl von Techniken eingesetzt wird (z. B. Social Engineering, Eindringversuche durch Ausnutzung von Sicherheitslücken, Einsatz von Schadprogrammen) und die Kontrolle über interne IKT-Systeme übernommen wird. Ausführung betrügerischer Zahlungsvorgänge durch Hacker durch die Unterbrechung oder Umgehung der Sicherheitsvorkehrungen von E-Banking- und Zahlungsdiensten und/oder durch den Angriff auf und die Ausnutzung von Sicherheitslücken in den internen Zahlungssystemen des Instituts. Ausführung betrügerischer Wertpapiertransaktionen durch Hacker durch die Unterbrechung oder Umgehung der Sicherheitsvorkehrungen der E-Banking-Dienste, die auch den Zugriff auf die Wertpapierdepots des | Verschiedene • • • • • • • | Arten von Angriffen: APT (Advanced Persistent Threat) zwecks Übernahme der Kontrolle über interne Systeme oder Datendiebstahl (z. B. Daten im Zusammenhang mit Identitätsdiebstahl, Kreditkarteninformationen). Schadsoftware (z. B. Ransomware), die Daten zu Zwecken der Erpressung verschlüsselt. Infizierung interner IKT-Systeme mit Trojanern zwecks verdeckter Durchführung systemschädigender Aktionen. Ausnutzung von Sicherheitslücken des IKT-Systems und/oder einer (Web-)Anwendung (z. B. SQL-Einschleusung), um Zugang zum internen IKT-System zu erhalten. Angriffe gegen E-Banking- oder Zahlungsdienste mit dem Ziel der Ausführung nicht autorisierter Transaktionen. Die Erstellung und der Versand betrügerischer Zahlungsanweisungen von innerhalb des internen Zahlungssystems des Instituts (z. B. betrügerische SWIFT-Mitteilungen). Pump-and-Dump-Angriffe, bei denen die Angreifer Zugriff auf die E-Banking-Wertpapierdepots von Kunden erhalten und betrügerische Kauf- oder Verkaufsaufträge veranlassen, um den Marktpreis zu beeinflussen und/oder Gewinne auf der Basis |
| IKT-Risiko- IKT-Risiken (nicht kategorien erschöpfend10 ) | | Risikobeschreibung Kunden ermöglichen. Angriffe auf Kommunikationsverbindungen und Gespräche aller Art oder IKT-Systeme mit dem Ziel, Informationen zu sammeln und/oder Betrug zu begehen. | Beispiele • | von früheren Wertpapierpositionen zu erzielen. Abhören/Abfangen der ungeschützten Übertragung von Authentifizierungsdaten im Klartext. |
| Unangemessene interne IKT-Sicherheit | | Ermöglichung eines uneingeschränkten Zugriffs auf kritische IKT-Systeme innerhalb des Instituts zu unterschiedlichen Zwecken (z. B. Betrug, Durchführung und Verschleierung unlauterer Geschäftspraktiken, Datendiebstahl, Aktivismus/Sabotage) unter Einsatz einer Vielzahl von Techniken (z. B. Missbrauch und/oder Eskalation von Privilegien, Identitätsdiebstahl, Social Engineering, Ausnutzung von Sicherheitslücken in IKT-Systemen, Einsatz von Schadsoftware). Unbefugte IKT-Manipulationen infolge von unangemessenen IKT-Zugriffsmanagementverfahren und -praktiken. Sicherheitsbedrohungen aufgrund mangelnden Sicherheitsbewusstseins, wobei die Mitarbeiter die IKT-Sicherheitspolitiken und -verfahren nicht verstehen, sie vernachlässigen oder nicht einhalten. | • • • • • • • | Installation von Tastenanschlags-Loggern (Key-Logger), um Benutzer-IDs und Passwörter zu stehlen und dadurch einen unbefugten Zugriff auf vertrauliche Daten zu erhalten und/oder Betrug zu begehen. Knacken/Erraten schwacher Passwörter, um illegitime oder erweiterte Zugriffsrechte zu erhalten. Systemadministrator nutzt Betriebssysteme oder Datenbankeinrichtungen (für direkte Datenbankänderungen), um Betrug zu begehen. Es wurde versäumt, nicht benötigte Konten zu deaktivieren oder zu löschen, wie z. B. Konten von Mitarbeitern, die in eine andere Funktion gewechselt sind und/oder das Institut verlassen haben, einschließlich Besuchern oder Lieferanten, die keinen Zugriff mehr benötigen, wodurch ein unberechtigter Zugriff auf IKT-Systeme ermöglicht wurde. Vergabe übermäßiger Zugriffsrechte und Privilegien zur Ermöglichung unbefugter Zugriffe und/oder Verschleierung unlauterer Praktiken. Mitarbeiter, die getäuscht werden, um unwissentllich einen Angriff zu unterstützen (d. h. Social Engineering). Mangelhafte Praktiken in Bezug auf Anmeldeinformationen: Weitergabe von |
| IKT-Risiko- IKT-Risiken (nicht kategorien erschöpfend10 ) | | Risikobeschreibung Die unbefugte Speicherung oder Übertragung vertraulicher Daten außerhalb des Instituts. | Beispiele • • | Passwörtern, „leicht“ zu erratende Passwörter, Verwendung desselben Passworts für viele verschiedene Zwecke usw. Speicherung unverschlüsselter vertraulicher Daten auf Laptops und tragbaren Datenspeicherlösungen (z. B. USB-Sticks), die verloren gehen oder gestohlen werden können. Personen, die vertrauliche Informationen stehlen oder absichtlich veröffentlichen oder herausschmuggeln und gegenüber unbefugten Personen oder der Öffentlichkeit offenlegen. |
| Unangemessene physische IKT-Sicherheit | | Missbrauch oder Diebstahl von IKT-Vermögenswerten über einen physischen Zugang mit Schäden, Verlust von Vermögenswerten, Datenverlust oder Ermöglichung weiterer Bedrohungen als Folge. Absichtliche oder versehentliche Schäden an physischen IKT-Vermögenswerten durch Terrorismus, Unfälle oder unglückliche/fehlerhafte Manipulationen durch Mitarbeiter des Instituts und/oder Dritte (Lieferanten, Reparateure). Ungenügender physischer Schutz vor Naturkatastrophen, der zur teilweisen oder vollständigen Zerstörung der IKT-Systeme/Rechenzentren durch Naturkatastrophen führt. | • • • • | Einbruch in Bürogebäude und/oder Rechenzentren, um IKT-Geräte (z. B. Computer, Laptops, Speicherlösungen) zu stehlen und/oder durch physischen Zugriff auf IKT-Systeme Daten zu kopieren. Physischer Terrorismus (d. h. Bombenanschläge) oder Sabotage von IKT-Vermögenswerten. Zerstörung von Rechenzentren durch Brände, Wasserlecks oder andere Faktoren. Erdbeben, extreme Hitze, Stürme, starke Schneestürme, Überschwemmung, Brände, Blitzschlag. |
| IKT-Änderungs- Unangemessene risiken Kontrollen von IKT-Systemände-rungen und IKT-Entwicklungen | Ereignisse, Sicherheitslücken Software, werden Änderung aufgrund ordnungsgemäßer | die durch unentdeckte Fehler oder aufgrund von Änderungen, z. B. an IKT-Systemen und Daten, verursacht (z. B. unvorhergesehene Auswirkungen einer oder einer schlecht gesteuerten Änderung mangelnder Tests oder nicht Änderungsmanagementpraktiken). | • • • • • | Produktionsfreigabe von unzureichend getesteter Software oder Konfigurationsänderungen mit unerwarteten nachteiligen Auswirkungen auf Daten (z. B. Beschädigung, Löschung) und/oder die IKT-Systemleistung (z. B. Systemausfall, Leistungsverschlechterung). Unkontrollierte Änderungen an den IKT-Systemen oder Daten in der Produktionsumgebung. Produktionsfreigabe unzureichend gesicherter IKT-Systeme und Internetanwendungen, wodurch Möglichkeiten für Hacker geschaffen werden, die bereitgestellten Online-Dienste anzugreifen und/oder die internen IKT-Systeme zu beschädigen. Unkontrollierte Änderungen am Quellcode intern entwickelter Software. Unzureichende Tests aufgrund eines Mangels an angemessenen Testumgebungen. |
| Unangemessene IKT-Architektur | Ein Entwicklung, Systemen Laufe kostspieligen nicht Geschäftsanforderungen tatsächlichen Risikomanagement | mangelhaftes IKT-Architekturmanagement bei der dem Aufbau und der Wartung von IKT-(z. B. Software, Hardware, Daten) kann im der Zeit zu komplexen, schwierigen, und starren IKT-Systemen führen, die mehr ausreichend auf die abgestimmt sind und die Anforderungen in Bezug auf das nicht erfüllen. | • • | Unzureichend gesteuerte Änderungen an IKT-Systemen, Software und/oder Daten über einen längeren Zeitraum, die zu komplexen, heterogenen und schwer zu steuernden IKT-Systemen und -Architekturen führen und viele nachteilige Auswirkungen auf das Geschäft und das Risikomanagement haben (z. B. fehlende Flexibilität und Agilität, IKT-Ereignisse und -Ausfälle, hohe Betriebskosten, geschwächte IKT-Sicherheit und -Resilienz, reduzierte Datenqualität und Berichterstattungskapazitäten). Übermäßige Anpassung an kundenspezifische Anforderungen und Erweiterungen kommerzieller Softwarepakete mit intern entwickelter Software, was dazu führt, dass zukünftige Releases und Upgrades der kommerziellen Software nicht implementiert werden können und das Risiko besteht, dass diese nicht länger vom Hersteller unterstützt werden. |
| Unangemessenes Lebenszyklus- und Patch-Management | Das Vermögenswerte Kombination Patch-Management-Praktiken. unzureichend und des nicht | Fehlen eines angemessenen Inventars aller IKT-zur Unterstützung von und in mit funktionierenden Lebenszyklus- und Dies führt zu gepatchten (und damit anfälligeren) veralteten IKT-Systemen, die die Anforderungen Geschäfts und des Risikomanagements womöglich unterstützen. | • | Ungepatchte und veraltete IKT-Systeme, die nachteilige Auswirkungen auf das Geschäft und das Risikomanagement haben können (z. B. fehlende Flexibilität und Agilität, IKT-Ausfälle, geschwächte IKT-Sicherheit und -Resilienz). |
| IKT- Dysfunktionale Datenintegritäts- IKT-risiken Datenverarbei-tung oder Handhabung | Aufgrund Anwendungsfehlern ausgeführten Lade-werden | von System-, Kommunikations- und/oder oder -ausfällen oder fehlerhaft Datenextraktions-, Übertragungs- und (ETL-) Prozessen können Daten beschädigt oder verloren gehen. | • • • | IT-Systemfehler in der Batchverarbeitung, was zu falschen Salden auf den Bankkonten des Kunden führt. Falsch ausgeführte Anfragen. Datenverlust durch Datenreplikations- (Backup-) Fehler. |
| Fehlerhaft konstruierte Datenvalidie-rungskontrollen in IKT-Systemen | Fehler ineffektiven Datenannahme-Kontrollen von Datenverarbeitungs-den Eingabevalidierungskontrollen, | im Zusammenhang mit fehlenden oder automatisierten Dateneingabe- und (z. B. für gebrauchte Daten Drittanbietern), Datenübertragungs-, und Datenausgabekontrollen in IKT-Systemen (z. B. Datenabstimmungen). | • • • • | Unzureichende oder ungültige Formatierung/Validierung von Dateneingaben in Anwendungen und/oder Benutzeroberflächen. Fehlende Datenabstimmungskontrollen von produzierten Ausgaben Fehlende Kontrollen in Bezug auf die ausgeführten Datenextraktionsprozesse (z. B. Datenbankabfragen), was zu fehlerhaften Daten führt. Verwendung fehlerhafter externer Daten. |
| Fehlerhaft kontrollierte Datenänderungen in den IKT-Produktions-systemen. Fehlerhaft konstruierte | Datenfehler, Bezug Datenmanipulationen IKT-Systemen Fehlerhaft Datenmodelle, | die aufgrund fehlender Kontrollen in auf die Korrektheit und Zulässigkeit von bei der Produktion von entstanden sind. gesteuerte Datenarchitekturen, Datenströme oder | • • | Entwickler oder Datenbankadministratoren, die direkt auf die Daten der IKT-Systeme in einer nicht kontrollierten Weise zugreifen und diese ändern, z. B. im Falle eines IKT-Ereignisses. Das Bestehen unterschiedlicher Kundendatenbanken je Produkt- oder |
| und/oder gesteuerte Datenarchitektur, Datenströme, Datenmodelle oder Datenbeschrei-bungsver-zeichnisse IKT- Unzureichende Auslagerungs- Resilienz der risiken Dienste von Drittanbietern oder anderer Gruppen-unternehmen Unangemessene Auslagerungs-politik | Datenbeschreibungsverzeichnisse führen, den unterschiedlich Datendefinitionen zugrundeliegenden Datenänderungsprozess Die IKT-Auslagerungsdienste, und Verlust die Wesentliche Ausfälle Kontrollprozesse Eine Mangel im Bewertung, Risiken Institute | können dazu dass es mehrere Versionen derselben Daten in IKT-Systemen gibt, die aufgrund von angewandten Datenmodellen oder und/oder Unterschieden im Datengenerierungs- und nicht mehr konsistent sind. Nichtverfügbarkeit kritischer Telekommunikationsdienste -einrichtungen. oder Beschädigung kritischer/sensibler Daten, dem Dienstanbieter anvertraut sind Verschlechterung der Dienste oder aufgrund ineffizienter Vorbereitung oder des ausgelagerten Dienstanbieters. ineffiziente Auslagerungspolitik kann zu einem an geeigneten Kompetenzen und Kapazitäten Hinblick auf die vollständige Ermittlung, Minderung und Überwachung der IKT-führen und die operativen Kapazitäten der einschränken. | • • • • • | Geschäftseinheit mit unterschiedlichen Datendefinitionen und -feldern führt zu unabgestimmten und schwer zu vergleichenden integrierten Kundendaten auf der Ebene des gesamten Finanzinstituts oder der gesamten Finanzgruppe. Nichtverfügbarkeit wesentlicher Dienste durch Ausfälle in (ausgelagerten) IKT-Systemen oder Anwendungen von Lieferanten. Unterbrechung von Telekommunikationsverbindungen. Stromversorgungslücken. Mangelhafte Ereignishandhabungsverfahren, vertragliche Kontrollmechanismen und Garantien in der Dienstanbietervereinbarung, die die Abhängigkeit von Schlüsselkräften von Dritten und Verkäufern erhöhen. Unangemessene Änderungsmanagementkontrollen in Bezug auf die IKT-Umgebung des Dienstanbieters können zu umfassenden Diensteinschränkungen oder -ausfällen führen. |
| Unzureichende Sicherheit der Drittanbieter oder anderer Gruppenunter-nehmen | Gehackte Auswirkungen beim kritische/vertrauliche Dienstanbieter, beim kritischen/sensiblen | IKT-Systeme der Drittanbieter mit direkten auf die ausgelagerten Dienste oder Dienstanbieter gespeicherte Daten. die einen unberechtigten Zugriff auf Dienstanbieter gespeicherten Daten erhalten | • • | Das Hacken von Dienstanbietern durch Kriminelle oder Terroristen als Einstiegspunkt in die IKT-Systeme der Institute oder zum Zugriff/ zur Zerstörung kritischer oder sensibler Daten, die beim Dienstanbieter gespeichert sind. Böswillige Mitarbeiter des Dienstanbieters versuchen, sensible Daten zu stehlen und zu verkaufen. |