kb Frankfurt – Der Zahlungsverkehr ist oft ein Einfallstor für Hacker und Cyberkriminelle. Dies droht sich mit dem Inkrafttreten der zweiten Stufe der europäischen Zahlungsdiensterichtlinie PSD2 am kommenden Samstag noch zu verstärken, denn Banken müssen externen Finanzdienstleistern dann Zugriff auf die Daten ihrer Kunden gewähren. Dieses Open Banking soll Wettbewerb und Service beim Online-Banking erhöhen, doch die neuen Schnittstellen (API) zu den Kundenkonten bieten auch neue Angriffspunkte für Hacker, wie der Münchener IT-Sicherheitsanbieter Rohde & Schwarz Cybersecurity (R&S) betont.Banken benötigten neue Sicherheitskonzepte, um die Kundendaten vor Missbrauch zu schützen, mahnen die Sicherheitsexperten und listen mögliche Angriffsszenarien auf. Sind Online-Finanzdienste nicht erreichbar, erleidet der Finanzdienstleister einen Imageschaden. Ausgelöst werden kann die Verweigerung des Dienstes durch einen sogenannten Distributed Denial of Service-Angriff auf die API. Angreifer senden dabei eine Sintflut von Anfragen an das attackierte Netzwerk und erzwingen so ein Abschalten des Systems und der darüber bereitgestellten Dienstleistungen. “Herkömmliche Firewalls helfen da wenig”, so R&S, erforderlich seien Web Application Firewalls, die Daten überprüfen und im Verdachtsfall den Zugriff verweigern. Auch ein Scoring-Modell helfe, wenn Anfragen einer einzelnen IP-Adresse über eine bestimmte Anzahl hinausgehen. Gefahren in der Cloud Ein weiteres Problem ist den Sicherheitsexperten zufolge, dass Daten, die über Schnittstellen in Web- und Cloudanwendungen bereitgestellt werden, sich nicht mit klassischen Sicherheitssystemen schützen lassen. Der Grund: Verarbeitung und Speicherung der Daten verlagern sich aus dem eigenen Netzwerk auf externe Systeme, auf die nicht nur Benutzer und Administratoren Zugriff haben, sondern auch Cloud-Provider und Hacker. Zumindest, wenn Daten ungeschützt und unverschlüsselt sind.Die Cybersecurity-Experten sehen die Lösung des Problems in einer “datenzentrischen Sicherheit”. Dabei würden ausschließlich die Metadaten eines Dokuments als Platzhalter in die Cloud geladen. Das Originaldokument werde dagegen in einem Streaming-Verfahren verschlüsselt. Die Fragmentierung der Dokumente in mehrere kleine Teile, den sogenannten Chunks, sowie die konfigurierbare verteilte Speicherung böten weiteren Schutz. Dabei sei das Originaldokument nie vollständig einsehbar und nur in Form von Fragmenten hinterlegt. Auf diese Weise blieben die Daten in Deutschland und würden gemäß den Datenschutzvorgaben der EU-DSGVO gespeichert. IT-Sicherheitsanwendungen sollten nicht zu komplex sein und zu viel interne Rechenleistung binden, so R&S. Software-as-a-Service-Lösungen wie die Web Application Firewall seien besonders effizient.