Das passiert wirklich

Transkript

1 Das passiert wirklich Schäden aus der IT-Welt aus der Sicht eines Versicherers Dirk Kalinowski AXA Versicherung AG

2 AXA Deutschland Teil einer starken weltweiten Gruppe

3 Vielfältige und neuartige Bedrohungen für Unternehmen

4 Auswirkung eines IT-Schadens <kes>/microsoft-sicherheitsstudie 2010

5 Auswirkung eines IT-Schadens Kosten des Datenverlustes Finanzieller Schaden durch Datenverlust für deutsche Unternehmen: 3,67 Mio. pro Fall im Durchschnitt (2011 3,4 Mio ) in Frankreich: 2,86 Mio. - in UK: 2,39 Mio. - in den USA: 4,1 Mio. Kosten je Datensatz: 138 (2010), 146 (2011) und 151 (2013) Branchenunterschiede: Finanzdienstleister: > 200 /Datensatz Öffentlicher Sektor: 93 /Datensatz Verfügt eine Organisation über einen CISO, können Kosten um bis zu 76 reduziert werden Zusätzliche Einsparungen durch schnellen Einsatz von Beratern etc. in Höhe von bis zu 29 Zu den Kosten werden gerechnet: Aufdeckung, Rufschädigung, Aktienkursverluste, gestohlene Werte, Schadenbeseitigung, Systemausfälle. (Ponemon Institut für Symantec Cost of a Data Breach 2013 )

6 Täter und Opfer

7 Sony PlayStation Was war passiert? April 2011: erster Angriff auf Playstation Onlinedienst; 77 Mio. Nutzerdaten gestohlen/kopiert, darunter Kreditkarten-Nummern 20. April bis Mitte Mai 2011: Online-Dienst komplett abgeschaltet Wenige Tage später wurde auch der Sony Online Entertainment Dienst Ziel eines Hackerangriffs : weitere Angriff auf Sony Pictures 1 Mio. Passwörter (unverschlüsselt abgelegt) - Name, Adresse, Tel.-Nr. und -Adresse In folgenden Monaten weitere (mehr als ein Dutzend) Angriffe gegen Sony-Webseiten weltweit, obwohl neuer Krisenmanager eingestellt (hoher Beamter der US-Heimatschutzbehörde)

8 Sony PlayStation Wer waren die Täter? Hacker gehörten zu LulzSec und wurden gefasst 25-Jähriger im Jahr 2013 zu Gefängnisstrafe von einem Jahr und einer Strafzahlung von US$ sowie Stunden Sozialdienst verurteilt Schadenhöhe zunächst auf 170 Mio. US$ geschätzt August 2013: Schätzung bei 300 Mio. US$ Andere Quellen: 1,4 Mrd. Versicherer Zurich USA verweigert Zahlung und reicht Gegenklage ein Schaden nicht versichert, da nur einfache Haftpflichtversicherung abgeschlossen (General Liability Policy)

9 Sony PlayStation Welche Kosten sind hier (möglicherweise) angefallen? Datenverlust/-wiederherstellung (vermutlich nicht relevant) Ausfallkosten Sony (nach Presseberichten 14 Mrd. Yen=136 Mio. ) Illegale Kreditkartendatennutzung (Regress Banken u. Kunden, ggf. Klagen) Sammelklagen in den USA! Ausgleich der Spieler für Mehraufwand (z. B. neue Kreditkarte), Schadenersatz auch wegen Minderung der Spielfreude Zusätzliche Sicherheitsmaßnahmen und Kosten zur Schadenermittlung (Forensik) Kosten aufgrund Verletzung des Datenschutzgesetzes (Meldepflichten, Rechtsanwaltskosten, ggf. Strafzahlungen) insbesondere in den USA (verspätete Meldung)! Reputationsschaden: zusätzliche Werbemaßnahmen Kundenverluste Negativer Einfluss auf Aktienkurs, Bilanz und Gewinne von Lieferanten Welche dieser Kosten sind versicherbar?

10 Ausfall Webshop Was war passiert? IT-Dienstleister betreut Internetauftritt eines größeren Elektronik-Versandhandels (Web-Hosting) Aufgrund hohen Zugriffs am Ostermontag Notfallshop aktiviert Fehler bei Download Folgen Verlinkung führte auf falsche Seiten Warenkörbe gehen komplett verloren etc. Ausfallzeit 13 bis 22 Uhr, entspricht 85 % der Gesamt-Auftragseingänge Kosten Entgangener Bruttoumsatz bei ca. 658 T Damit ein Deckungsbeitrag-Ausfall von ca. 152 T Neukundenverluste Kompensationsgeschäft in nachfolgenden Tagen Schaden konnte mit 40 T geschlossen werden

11 Bankraub mit PrePaid-Kreditkarten Was war passiert? Hacker dringen in IT-System einer Kreditkarten-Service- Firma (India s ElectraCard Service) ein, die für Mastercard und Visa Prepaid-Kreditkarten zur Verfügung stellt Fünf Geheimnummern von Kreditkarten von Bank in Vereinigten Arabischen Emiraten (National Bank of Ras Al Khaimah) Virtuelle Erhöhung des Guthabens, Anhebung des Abhebelimits Angeheuerte Helfer übertrugen dann weltweit diese Daten auf Magnetstreifen von unbeschrifteten Karten (Rohlingen) Folgen Erstmals am schlugen Abhebe-Teams zu und beschafften sich an Geldautomaten 5 Mio US$ : Wiederholung des Vorgangs - Kontodaten diesmal von US-Firma (enstage Inc., California) / geschädigte Bank in Oman (Muscat Bank) Über Zeitraum von 10 h hoben Helfer bei Transaktionen in 23 Ländern ca. 34 Mio. ab; davon in Deutschland 1,8 Mio. u.a. in Dortmund, Duisburg, Frankfurt, Mannheim, Koblenz, Hamburg, etc.

12 Bankraub mit PrePaid-Kreditkarten Geschädigt wurden ausschließlich Banken In Deutschland Schaden weniger wahrscheinlich, da Karten Chips statt Magnetstreifen besitzen und PrePaid-Karten selten sind Stand der Ermittlungen Hintermänner noch unbekannt Zelle in New York zerschlagen Zwei Niederländer (56-Jährige mit ihrem 35jährigen Sohn), die in Düsseldorf abhoben, sind ermittelt, verhaftet und wurden in 11/2013 schuldig gesprochen Aus Angst wurden Hintermänner nicht benannt und damit höhere Strafe in Kauf genommen Vorgehensweise nicht neu! 2009 war Royal Bank of Scotland mit PrePaid-Kreditkarten betroffen: Innerhalb von 12 h wurden 9 Mio. US$ abgehoben

13 Angriff auf Traveltainment Was war passiert? April 2013: zielgerichteter Angriff auf statische Booking Engine der Amadeus-Tochter Traveltainment (bei vielen Online-Reisebüros eingesetzt) Vermutlich durch Spionage-Software auf einem Web-Server Diese installiert sich dann auch im Web-Browser des Urlaubers Weitere mögliche Schwachstellen könnte Lesen von Kreditkarten-Daten ermöglicht haben Schutzmaßnahmen Traveltainment nutzt israelische Firewall, deren Wartung /a kostet PCI 1 -Zertifizierung stand kurz vor Abschluss Angriff erfolgte nicht auf das PCI-zertifizierte RZ von Amadeus in Erding - Hierauf greifen stationäre Reisebüros zu 1 PCI = Payment Card Industrie

14 Angriff auf Traveltainment Folgen 60 Lizenznehmer betroffen mit hunderten Online-Präsenzen, die Traveltainment-IBE nutzen Über die Zahl der ausgespähten Kreditkartendaten keine Information Zahlreiche Kreditkarten wurden gesperrt, zum Teil nach Ankunft am Urlaubsort Imageschäden für die Buchungsportale Evtl. Schadenersatzforderungen der Finanzdienstleister

15 Banking-Trojaner Was war passiert? Neuer Backdoor-Trojaner Matsnu.J taucht in Hannover auf Hierdurch können Banking-Trojaner wie URLZone/Bebloh, Citadel und Cridex oder weitere Schadprogramme nachgeladen werden Aktueller Fall: Angreifer klinken sich in laufende Online-Banking-Sitzung ein und manipulieren Ansicht der Kontobewegungen im Browser Auf manipulierter Seite tauchte eine Meldung auf, dass fälschlicherweise auf das Konto des Kunden überwiesen worden seien und er diesen Betrag zurück überweisen solle In Adresszeile des Internetbrowsers wird dabei ein https angezeigt Eine SMS mit der TAN wird auf das Handy geschickt Tatsächlich wird ein entsprechender Betrag in der Kontobewegung angezeigt Kunde lässt sich dazu verleiten, die Überweisung vorzunehmen

16 Banking-Trojaner Folgen Glück im Unglück: Für Online-Überweisungen war Limit eingerichtet Ohne dieses Limit wäre Geld vermutlich verloren Deutsche Sparkassen- und Giroverband (DSGV): Ob die Bank für Schaden aufkomme, hängt vom Einzelfall ab Dabei werde unter Umständen auch geprüft, ob Virenscanner und Firewall auf neuestem Stand waren Zudem müsse bei der Polizei Anzeige erstattet werden Quelle: Hannoversche Allgemeine Zeitung [

17 Gesundheitsdaten im Kopierer Was war passiert? CBS Evening News kaufte Fotokopierer, der vorher von Affinity Health Plan Inc., einem Gesundheitsdienstleister, geleast war Kopierer besaß Festplatte, auf der noch vertrauliche medizinische Daten von Patienten gespeichert waren Allerdings wurden vorher schon zahlreiche Kopierer zurückgegeben, ohne dass Daten sicher gelöscht worden sind Daten von geschätzt Personen Folgen Am 15. August 2010 zeigte sich Affinity selber beim HHS Office for Civil Rights (OCR) an Strafzahlung von $1,215,780 wegen Verstoß gegen die HIPAA Privacy and Security Rules (Datenschutzgesetz zu Gesundheitsdaten in den USA) Schutzmaßnahmen Affinity hatte Fotokopierer-Festplatten nicht in die eigene Sicherheitsrichtlinie integriert (electronic protected health information (ephi))

18 Datenschutz-Verletzungen Quelle:

19 Fazit Gefahren sind vielfältig, subtil und überraschend Folgen nicht sicher abschätzbar Schutzmaßnahmen oft möglich aber nicht zu 100% Versicherungsschutz häufiger möglich als Sie denken Bleiben Sie wachsam!

20 Gibt es noch Fragen? Autor: Dirk Kalinowski Produktmanager IT und Cyber AXA Versicherung AG Colonia-Allee Köln? Tel.: +49 (0)221 / dirk.kalinowski@axa.de Vielen Dank für Ihre Aufmerksamkeit!