Diesen Artikel teilen:

2. Sep 2024

|

Wirtschaft

Zero Trust kann man nicht kaufen – mit Dr. Matthias Paletta und Tim Merscheid

Journalist: Katja Deutsch

|

Foto: Onur Binay/unsplash, Presse

Um sich gegen Cyberangriffe zu schützen, reicht nicht der einmalige Besuch eines Sicherheitsexperten. Dr. Matthias Paletta, Head of IT Transformation EMEA und Tim Merscheid, Cybersecurity Experte, beide von der Information Services Group (ISG), raten zur permanenten Kombination aus Technologie, Prozessen und Mitarbeiterschulung.

Paletta.Matthias Pic.Sq_online.jpg Dr. Matthias Paletta, Head of IT Transformation EMEA bei der Information Services Group (ISG)

Zero Trust ist ein Sicherheitskonzept, das darauf beruht, nichts und niemandem zu vertrauen. „Das klingt zunächst paranoid, ist aber angesichts der vielfältigen Bedrohungslagen in der IT, insbesondere in Cloud-Umgebungen, hochaktuell“, sagt Dr. Matthias Paletta, Head of IT Transformation EMEA. Wirft man einen Blick auf regulatorische Vorgaben wie DSGVO, DORA und NIS2, lässt sich ein erhöhtes Risiko in regulierten Branchen feststellen.

Merscheid.Tim Pic.Sq_online.jpg Tim Merscheid, Cybersecurity-Experte bei der Information Services Group (ISG)

„Auch wenn das Thema mittlerweile für alle Branchen wichtig ist, hat IT-Sicherheit für regulierte Branchen deutlich mehr Auswirkungen“, sagt Tim Merscheid, Cybersecurity-Experte bei ISG. Im Gegensatz zu einem lokalen Rechenzentrum ist die Cloud überall zugänglich. Das Identity Access Management (IAM) muss in der Cloud anders gehandhabt werden, da hier virtuelle Identitäten kontrolliert werden müssen. Dazu werden spezielle Identity Management Tools eingesetzt. „Im Grunde geht es darum, eine zentrale Plattform zu etablieren und diese mit verschiedenen Tools zu kombinieren“, sagt Dr. Matthias Paletta.

Die Unternehmensrealität bewegt sich heute typischerweise in einer hybriden Umgebung, in der sowohl eigene (traditionelle) IT-Systeme als auch Systeme in der (Public) Cloud abgesichert werden müssen. Die Herausforderung besteht darin, diese beiden Welten zu verbinden und abzusichern. Zero Trust ist ein Leitgedanke, der die bestehenden Sicherheitsmaßnahmen wie Firewalls und Netzwerksicherheit verstärkt – und zwar an jedem einzelnen Glied der Kette. „Neben Technologie und Design ist vor allem die Etablierung der Prozesse wichtig“, sagt Tim Merscheid. „Die Sicherheitsmaßnahmen müssen greifen, die Mitarbeiterinnen und Mitarbeiter entsprechend geschult sein. Denn der Faktor Mensch ermöglicht nach wie vor einen Großteil der Angriffe – oft aus Unachtsamkeit. Die meisten Cyberangriffe sind relativ plump, manche aber auch sehr gut gemacht. Deshalb bestehen wir auf einer jährlichen Schulung unserer Mitarbeitenden inklusive Prüfung und Zertifikat.“

Multifaktor-Authentifizierung spielt bei Zero Trust eine große Rolle, in sensiblen Bereichen wird daher nicht nur eine Zwei-, sondern eine Drei-Faktor-Authentifizierung eingesetzt: Passwort, Push-Nachricht auf dem Smartphone plus beispielsweise Fingerabdruck. Kontinuierliches Monitoring und dynamische Anpassung sind für Zero Trust in der Cloud absolut notwendig, denn einerseits muss die Cloud rund um die Uhr erreichbar sein, andererseits muss auf ungewöhnliche Aktivitäten sofort reagiert werden können.

„Aus unserer Sicht wird Zero Trust als Sicherheitsphilosophie und -konzept in Zukunft eine immer wichtigere Rolle spielen“, sagt Tim Merscheid. „In allen Unternehmen, sowohl in der Privatwirtschaft als auch in öffentlichen Institutionen.“ Das Konzept Zero Trust bedeutet nichts anderes, als dass man nichts und niemandem trauen sollte und auch, dass die Bedrohungslage entlang der Einfallstore eine immer größere Rolle spielen wird. Parallel dazu werden sich die entsprechenden Tools und Anwendungen verändern, um mit dem kriminellen Potenzial von Cyberangriffen Schritt zu halten.

Unternehmenssicherheit ist daher keine einmalige Angelegenheit, die man von seinem Provider implementieren lassen kann. Zero Trust ist ein fortlaufender Prozess, der sich ständig weiterentwickelt.

2. Apr 2026

|

Business

Kein Roboter zum Gelddrucken, aber ein starker Wächter: KI bei Banken

Künstliche Intelligenz kann im Bankwesen schon ziemlich viel – aber eigenständig Geld drucken oder wundersam vermehren, das kann sie (noch) nicht. Banken setzen KI heute flächendeckend in mehreren Bereichen ein, allen voran in der Betrugsprävention, wo Fraud Detection mittlerweile Branchenstandard ist. KI-gestützte Systeme analysieren Transaktionen von Kundinnen und Kunden in Echtzeit, erkennen und stoppen auffällige Transaktionen und Zahlungsanweisungen in der Regel sofort, und reagieren innerhalb von Sekunden auf neue Angriffsszenarien. Gerade, weil sich Betrugsmaschen ständig weiterentwickeln, ist die Adaptionsgeschwindigkeit in diesem Bereich besonders hoch. Solche Systeme werden in Zukunft weiter optimiert werden, wodurch Banken Routineaufgaben mehr und mehr automatisieren können. Das eröffnet neue Möglichkeiten für personalisierte Kundenberatung, schnellere Analysen – etwa bei Kreditentscheidungen – und insgesamt bessere Kundenerlebnisse. Banken nutzen KI auch immer öfter, um internes Wissen für ihre Mitarbeitenden zu strukturieren, aufzubereiten und schneller zugänglich zu machen. Ziel ist es, Informationen effizienter zu nutzen und Entscheidungsprozesse zu beschleunigen. Im Vergleich zur Betrugsprävention befindet sich dieser Bereich jedoch noch in einer stärkeren Wachstumsphase, auch wenn die Entwicklung hier aktuell sehr dynamisch verläuft. >Der Mensch muss weiterhin die Kontrolle über kritische Prozesse behalten und klare Grenzen setzen. Es gibt unzählige Anbieter von bankenspezifischer KI. Viele davon decken nur bestimmte Anwendungsfelder ab, weshalb Banken häufig mehrere KI-Systeme parallel einsetzen. Auch, wenn Banken langjährige Erfahrung im Umgang mit sensiblen Daten haben, kann die Auswahl passender KI-Tools herausfordernd sein, denn die Lösungen müssen regelkonform sein, Change Compliance- und Datenschutzrichtlinien beachten, außerdem sollten die Daten innerhalb Europas bleiben und nicht unkontrolliert in andere Rechtsräume fließen. Erhöht KI im Bankwesen nun die Sicherheit – oder eher das Risiko für Betrug und Verlust? Grundsätzlich beides. Denn einerseits verbessert KI die Fähigkeit, Betrug frühzeitig zu erkennen und zu verhindern, andererseits entstehen neue Gefahren, insbesondere durch autonome KI-Agenten. Je mehr Entscheidungsfreiheit diese Systeme erhalten, desto größer ist das Risiko, dass sie Sicherheitsvorgaben umgehen oder manipuliert werden. Deshalb gewinnt das Prinzip „Human in the Loop“ beziehungsweise „Human in the Lead“ an Bedeutung: Der Mensch muss weiterhin die Kontrolle über kritische Prozesse behalten und klare Grenzen setzen. Auch im Finanzmarkt insgesamt sind automatisierte Prozesse kein neues Phänomen. Mechanismen wie algorithmischer Handel oder Stop-Loss-Orders können bereits heute Kettenreaktionen auslösen. KI könnte solche Effekte künftig verstärken, stellt aber nicht die ursprüngliche Ursache dar. Wohin wird sich KI im Bankwesen entwickeln? Eigenständig Geld drucken wird sie hoffentlich niemals – doch sie wird als umfassendes System im Hintergrund immer besser in den Bankenalltag integriert werden. Der Mensch wird im Bankwesen jedoch in zentralen Bereichen immer die Oberhand behalten, besonders bei der letzten Kontrolle und beim direkten Kundenkontakt – denn hier können aufmerksame Bankangestellte besser als jede KI als Sicherheitsschranke wirken, die ihre betagten Kundinnen davor schützen, auffällige Transaktionen hoher Summen vorzunehmen. >Banken nutzen KI auch immer öfter, um internes Wissen für ihre Mitarbeitenden zu strukturieren, aufzubereiten und schneller zugänglich zu machen.