Andreas Dombret: Bundesbankchef will IT-Stresstest für Banken

Banken sollen besser auf ihre IT-Infrastruktur aufpassen - und sich möglicherweise bald auch in diesem Bereich einem "Stresstest" unterziehen. Das fordert der Bundesbankvorstand Andreas Dombret in einem Interview. Seine Ausführungen zum Darknet bleiben nebulös.

Artikel veröffentlicht am 22. Juni 2017, 11:36 Uhr, Hauke Gierow

Bundesbankvorstand Andreas Dombret (Bild: Bundesbank/Frank Rumpenhorst)

Künftig könnten Banken in Deutschland nicht mehr nur auf Risiken durch finanzielle Verpflichtungen geprüft werden, sondern auch im Hinblick auf ihre IT-Infrastruktur. Das sagte Bundesbankvorstand Andreas Dombret dem Magazin Stern in einem Interview (Auszug online).

Wörtlich sagte Dombret: "In anderen Ländern hat die Aufsicht Angriffe auf Banken simuliert, um deren Schutz zu testen. So weit ist Deutschland noch nicht, aber ich lasse gerade prüfen, ob so etwas auch bei uns möglich ist." Gründe für einen solchen Stresstest gibt es genug, immer wieder gibt es spektakuläre Angriffe auf die IT-Infrastruktur von Banken.

So wurde die Zentralbank von Bangladesch im vergangenen Jahr um fast eine Milliarde US-Dollar beraubt, nachdem Kriminelle Lücken im Sicherheitssystem der Bank ausgenutzt hatten, um über das internationale SWIFT-Netzwerk Gelder zu transferieren. Auch andere kriminelle Gruppen greifen immer wieder Banken an und attackieren dabei nicht mehr nur einzelne Konten, sondern Infrastruktur wie das Upstream-Zahlungsgateway.

Angriffe aus dem Darknet

In einem anderen Punkt bleibt Dombret nebulös. So sagt er: "Sie können heute im Darknet nicht nur Pistolen, sondern auch Angriffe auf Banken und Sparkassen bestellen. Je nachdem, wie viel Sie ausgeben wollen, kann der Hackerangriff sehr intensiv werden." Was für Angriffe er damit genau meint, wird nicht klar.

Nach Angaben des Stern will nicht nur die Bundesbank Risiken durch die Digitalisierung des Bankgeschäftes besser regulieren, auch die Europäische Zentralbank (EZB) will eine Meldepflicht für IT-Vorfälle einführen, ähnlich wie sie für Betreiber kritischer Infrastrukturen in Deutschland gilt. Ob damit auch ein geregeltes Disclosure-System für Banken vorgeschrieben werden soll, ist unklar. Sinnvoll wäre dies, wie etwa im Fall der zwischenzeitlich sehr auskunftsfreudigen API vom Finanz-Startup N26.