Das Investment: Wie kann Cyberkriminalität am besten bekämpft werden?

Maria Gomez 2. Dezember 2015

Welche Maßnahmen können Fintech-Firmen und deren Kunden ergreifen, um sich vor Cyberkriminalität zu schützen?

Und was kann der Gesetzgeber tun, um dem Datendiebstahl im Internet und ähnlichen Delikten den Boden zu entziehen? Fintech-Experten unterbreiten Vorschläge.

Alle Fragen aus der Reihe „10 brennende Fragen zu Fintechs“:

Frage 1: Können klassische Banken von Fintechs vollständig verdrängt werden?

Frage 2: Ist Deutschland ein guter Standort für Fintechs und Digitalisierung?

Frage 3: Fintech der klassischen Banken: Hat Paydirekt gegen Paypal eine Chance?

Frage 4: Werden Fintechs und Digitalisierung die Bankfiliale ersetzen?

Frage 5: Wie kann Cyberkriminalität am besten bekämpft werden?

Frage 6: Wo machen Fintechs den Banken die größte Konkurrenz?

Frage 7: Können Google, Apple & Co. mit digitalen Währungen das Bankgeschäft aufmischen?

Frage 8: Kommt Crowdfunding jemals aus der Nische raus?

Frage 9: Wie sollten sich klassische Banken und Fintechs am besten verzahnen?

Frage 10: Welche Finanzjobs sind durch Fintechs besonders bedroht?

Im Rahmen des Fachgesprächs „Digitalisierung der Finanzwirtschaft“ des Bundestagsausschusses „Digitale Agenda“ am 11. November 2015 wurden unter anderen folgende spannende Fragen erörtert: Das Vertrauensverhältnis zwischen Kunde und Bank und der sensible Bereich der Bankdaten erfordern einen hohen Schutz vor Cyberkriminalität. Was müssen Gesetzgeber, Anbieter und Kunden aus ihrer Sicht tun, damit die Sicherheit trotz zunehmender Digitalisierung der Finanzbranche gewährleistet bleibt? Welche Maßnahmen erachten Sie als besonders sinnvoll?

Folgende fünf Banker und Experten nahmen Stellung: Andreas Krautscheid vom Bundesverband deutscher Banken, Stephan Czajkowski, Leiter Privatkundengeschäft Fidor Bank; Karsten Wenzlaff vom Institut für Kommunikation in sozialen Medien (Ikosom); Dirk Elsner, Unternehmensberater bei Innovecs und Georg Fahrenschon vom Deutschen Sparkassen- und Giroverband.

Andreas Krautscheid vom Bundesverband deutscher Banken

Banken führen umfangreiche Maßnahmen zur Absicherung des Online Banking und der Bankinfrastrukturen durch. Unter Anderem wird gewährleistet, dass Fremde nicht an vertrauliche Daten der Kunden gelangen. Dazu gehören unter anderem Betrugserkennungsverfahren, die auf regelbasierten Systemen basieren.

Kunden müssen allerdings ihrerseits gewisse „Spielregeln“ einhalten. Denn Betrüger agieren mit immer ausgefeilteren Angriffsmustern und die Bank hat keinen Einfluss auf die Sicherheit der Hard-und Software des Kunden. Zu den Sorgfaltspflichten der Kunden gehören, den PC sowie das Smartphone für das Online-Banking aktiv vor Schadprogrammen und Missbrauch zu schützen sowie Betriebssysteme und Virenschutzprogramme auf dem neuesten Stand zu halten.

Europäische Vorgaben, wie zum Beispiel zur Sicherheit von Internetzahlungen, müssen in allen EU-Ländern in gleicher Weise umgesetzt und kontrolliert werden. Andernfalls besteht die Gefahr, dass ungleiche Standortbedingungen von wichtigen internationalen Marktteilnehmern zu ihrem Vorteil genutzt werden und somit kein Level-playing-field innerhalb der EU besteht.

Stephan Czajkowski, Leiter Privatkundengeschäft Fidor Bank

„Cyberkriminalität“ und die damit verbundenen Schutz-Maßnahmen sind das zentrale Thema überhaupt. Unseres Erachtens muss der Gesetzgeber dafür sorgen, dass die Ermittlungsbehörden mit den kriminellen Organisationen technologisch und kapazitativ Schritt halten können. Doch auch die Anbieter müssen technologisch den neuen Entwicklungen im Cyberkriminalität standhalten können.

Leider sind vor allem die Kunden die Schwachstelle im System: Wer keine Antiviren-Software hat, wer Passwörter auf Post-It-Zettel schreibt und an den Bildschirm klebt, wer sorglos persönliche Daten bei jedem Phishingmail-Versuch zum Besten gibt, unterläuft sämtliche Sicherheitsmaßnahmen aller Anbieter und macht deren Arbeit sinnlos.

Dennoch sollte es auch keine Überbürokratisierung oder eine massive Überdominanz des Datenschutzes geben. Die personalisierte Erhebung von Kundendaten ist in einer digitalen Welt nicht mehr notwendig, wenn Sie mit den rein öffentlich zugänglichen Daten bereits ein zu 99 Prozent sicheres Kundenbild erzeugen können.

Karsten Wenzlaff vom Institut für Kommunikation in sozialen Medien (Ikosom)

Jedes Fintech-Unternehmen muss mit dem Missbrauch der eigenen Plattform rechnen und deswegen einerseits die Nutzer online und/oder offline verifizieren und Algorithmen entwickeln, die Missbrauch frühzeitig entdeckt. Das Wissen der Fintechs um die Verhinderung von Missbrauch auf der Plattform ist ein wichtiges Gut und sollte vom Gesetzgeber und den Aufsichtsbehörden systematisch genutzt werden, um Cybersecurity sicherzustellen, ohne die aufsichtsrechtlichen Auflagen zu intensivieren.

Von Seiten des Gesetzgebers ist es notwendig, technologische Mindeststandards zu definieren (zum Beispiel Verschlüsselungsverfahren, Redundanz-Systeme, Zertifizierungen), gleichzeitig sollte man versuchen, dass alle Verifizierungs- und Legitimationsverfahren digital möglich sind und ein Medienbruch (zum Beispiel durch manuelle Unterschrift) nicht notwendig ist.

Im Bereich des Crowdfundings wird der Bundesverband Crowdfunding mit Zertifizierunganbietern wie den TÜVs zusammen arbeiten, um brancheninterne Prozesse für digitalen Verbraucherschutz auf Plattformen zu entwickeln.

Georg Fahrenschon vom Deutschen Sparkassen- und Giroverband

Die Ratifizierung der „Mindestanforderungen für Sichere Zahlungen im Internet (MaSI) und die Umsetzung des IT-Sicherheitsgesetzes werden hier einen wichtigen Beitrag leisten.

Allerdings öffnet die EU-Zahlungsdiensterichtlinie („PSD II“) insbesondere den Kontozugriff durch Dritte Zahlungsdienstleister. Es ist nach wie vor nicht sichergestellt, dass im Interesse der Systemsicherheit und des Datenschutzes PIN und TAN weiterhin einem Geheimhaltungsgebot unterliegen. EBA und EZB haben einen weiten Handlungsspielraum erhalten und könnten den existierenden Bedenken noch Rechnung tragen.

Die nationale Normensetzung und Bankenaufsicht sollte sicherstellen, dass das hohe IT-Sicherheitsniveau und die Datenschutzstandards der digitalen Kundenprodukte und Verfahren der Deutschen Kreditwirtschaft nicht durch „Dritte Zahlungsdienstleister“ und „Kontoinformationsdienste“ unterlaufen werden.