Nach Hackerattacke: JPM, BNY schränken Austausch mit US-Aufsicht ein
Einige der größten Banken der USA schränken den Informationsaustausch mit der Aufsichtsbehörde Office of the Comptroller of the Currency (OCC) ein. Sie befürchten Sicherheitsrisiken für ihre Computernetze, nach dem es auf das E-Mail-System der Behörde einen massiven Hackerangriff gegeben hatte.
Wie Informanten an Bloomberg berichteten, haben J.P. Morgan und Bank of New York Mellon die elektronische Übermittlung von Daten an die OCC-Behörde (Office of the Comptroller of the Currency) vorerst auf Eis gelegt. Hacker hatten über ein Jahr lang mehr als 100 E-Mail-Konten der Behörde ausgespäht.
Schwerwiegender Zwischenfall
OCC und US-Finanzministerium stuften den Vorfall als “schwerwiegenden Zwischenfall” ein. Demnach erhielten die Angreifer Zugang zu hochsensiblen Informationen über die finanzielle Lage von Banken, die bundesweit reguliert werden. Neben klassischen Finanzdaten gehören dazu auch Berichte zur Cybersicherheit, Schwachstellenanalysen und sogar Inhalte von National Security Letters – Schreiben, die oft streng vertrauliche Details zu Terrorismus, Spionage oder anderen Ermittlungen enthalten, wie es weiter hieß.
Aufarbeitung läuft noch
Das OCC erklärte, man arbeite mit unabhängigen Cybersicherheitsexperten zusammen, um den Vorfall aufzuarbeiten und die internen IT-Richtlinien zu überprüfen. “Diese Arbeit ist noch nicht abgeschlossen, und das OCC steht in engem Kontakt mit den beaufsichtigten Instituten, um sie über den Fortgang der Ermittlungen auf dem Laufenden zu halten”, hieß es. “Die Prüfer des OCC vor Ort haben weiterhin Zugang zu den Bankdaten, soweit dies für die Durchführung der Aufsichtstätigkeiten erforderlich ist. Die Sicherheit der Daten wird dabei gewährleistet.”
Was ist mit den anderen Großbanken?
Citigroup hat den Informationsaustausch mit der Aufsichtsbehörde informierten Kreisen zufolge nicht eingeschränkt. Die Bank steht aufgrund einer Vereinbarung mit dem OCC unter besonders strenger Aufsicht. Ob Bank of America, Wells Fargo und Goldman Sachs ähnliche Schritte unternommen haben, war zunächst unklar.
Die Sicherheitslücke wurde erstmals Mitte Februar entdeckt
Einige der Banken erfuhren dem Vernehmen nach von ihrem Ausmaß und ihren Auswirkungen jedoch erst, als Bloomberg diesen Monat über den Hackerangriff berichtete. Das hat Fragen über die Angemessenheit der Reaktion des OCC und das Fehlen angemessener Sicherheitsvorkehrungen aufgeworfen, die den Vorfall von vornherein hätten verhindern können. Wie zu hören ist, muss das OCC noch den gesamten Inhalt der E-Mails und Anhänge prüfen, um festzustellen, welche Daten genau gestohlen wurden. Unklar sei bislang auch, ob die Behörde Banken über möglichen Diebstahl von Daten informieren muss.
Über den Ablauf der Geschehnisse
Zunächst waren Beamte der Behörde davon ausgegangen, dass der Datenklau weniger umfangreich war, als sich später herausstellte, hieß es seitens der Informanten. Im Rahmen von Untersuchungen in Zusammenarbeit mit Microsoft-Experten, die den Hack am 11. Februar entdeckten, und der Cybersecurity-Firma CrowdStrike kam man zu dem Schluss, dass es sich um einen schwerwiegenden Vorfall handelte. Nach Angaben von Personen, die mit der Angelegenheit vertraut sind, hat das OCC auch das Cybersicherheitsunternehmen Mandiant mit Untersuchungen beauftragt. (kb)