Die für IT-Störungen im deutschen Zahlungs- und Finanzdienstleistersektor zuständigen Be­hörden erreicht im Mittel jeden Tag eine Meldung eines relevanten IT-Vorfalls. Dies lässt sich aus der Antwort des Bundesfinanzministeriums auf eine Kleine Anfrage des FDP-Obmanns im Bundestags-Finanzausschuss, Markus Herbrand, schließen. Seit Anfang 2018 registriert demnach die Bundesanstalt für Finanzdienstleistungsaufsicht (BaFin) von Zahlungsdienstleistern „jährlich einen etwa gleichbleibenden Eingang von Meldungen im niedrigen bis mittleren dreistelligen Bereich“ und das Bundesamt für Sicherheit in der Informationstechnik (BSI) unterdessen „im mittleren zweistelligen Bereich aus den Branchen Banken, Börsen und Finanzdienstleister“. Die Zahlen geben Einblick in die Frequenz von Störungen in einem Bereich des Bankings, in dem Pannen in der Regel nur publik werden, wenn dies nicht zu verhindern ist, weil etwa ein Dienst ausfällt.

Habe sich die Zahl der BaFin und BSI gemeldeten Cybervorfälle 2018 und 2019 auf vergleichbarem Niveau bewegt, so sei 2020 „eine leichte Erhöhung“ erkennbar gewesen, teilt das Ministerium mit. Diese setze sich bisherigen Zahlen für 2021 zufolge im laufenden Jahr nicht fort. Der im Zuge der Pandemie zu beobachtende Digitalisierungsschub hat sich dem der Börsen-Zeitung vorliegenden Schreiben zufolge nicht in einer höheren Zahl von Störungsmeldungen niedergeschlagen.

Herbrand zeigt sich mit der Antwort des Ministeriums nicht zufrieden: „Obwohl ich explizit nach der konkreten Anzahl der Cyberangriffe gefragt habe, informiert das Finanzministerium den Finanzausschuss nicht offen über die aktuelle Situation“, erklärt er. „Hierdurch wird auch unterstrichen, dass die Bundesregierung das Thema nicht ernst genug nimmt, das muss sich dringend ändern, da die Kreditwirtschaft dringend politische Unterstützung gegen Cyberangriffe benötigt.“

Den Angaben zufolge dominieren derzeit Distributed-Denial-of-Service-Attacken, bei denen Angreifer IT-Systeme mit einer Flut von Anfragen in die Knie zwingen. „Nur in einzelnen Fällen sind andere Angriffskategorien zu verzeichnen gewesen“, heißt es. Einer wahren Flut von Attacken muss sich offenbar die Deutsche Bundesbank erwehren. Den Angaben nach werden „mehrere tausend unerlaubte Zugriffsversuche auf die Bundesbankinfrastruktur aus dem Internet täglich unterbunden“. Zudem blockierten die Schutzmechanismen der Zentralbank „täglich mehrere tausend mit Schadcode behaftete Internetaufrufe und E-Mails“. Was die KfW an­geht, so liegen dem Ministerium für die Zeit seit 2017 keine Hinweise auf zielgerichtete Attacken vor. Die Förderbank sei gleichwohl breit angelegten, nicht gezielten Malware-Angriffen ausgesetzt, die sie bisher habe abwehren können.

Die Antwort dokumentiert, wie die Zahl der aufsichtlichen Vor-Ort-Prüfungen in Banken mit Schwerpunkt auf der IT in der Pandemie zurückgegangen ist (siehe Tabelle). In der Regel liegt der Personaleinsatz dabei bei bis zu zwölf Prüfern und die maximale Prüfdauer bei etwa acht Wochen, wie das Bundesfinanzministerium mitteilt.