und schon ist es passiert

Transkript

1 und schon ist es passiert Schäden aus der IT-Welt aus Sicht eines Versicherers Brühl, Seite 1

2 AXA Deutschland Teil einer starken weltweiten Gruppe Die AXA Gruppe in Zahlen 2012 Einnahmen: Konzernergebnis (IFRS): Operatives Ergebnis (Underlying Earnings): Verwaltetes Vermögen: Mitarbeiter/Vermittler: 90,1 Mrd. Euro 4,2 Mrd. Euro 4,3 Mrd. Euro Mrd. Euro weltweit Der AXA Konzern in Zahlen 2012 Einnahmen: 10,5 Mrd. Euro Konzernergebnis (IFRS): 388 Mio. Euro Operatives Ergebnis (Underlying Earnings): 368 Mio. Euro Kapitalanlagen: 73 Mrd. Euro Mitarbeiter: Exklusiv-Vermittler: Seite 2

3 Vielfältige und neuartige Bedrohungen für Unternehmen Missbrauch und Manipulation Verstoß gegen Schutzgesetze Ausfall der IT Netzausfall Geheimnisverrat und Spionage Datenverlust Schäden durch vom Unternehmen verbreiteter Malware Seite 3

4 Ganzheitliches Risikomanagement vermeiden vermindern versichern Seite 4

5 Gefahr erkannt Fehlende Erfahrung führt zu Leichtsinn Aus Schäden kann man lernen Nur ein Risiko, das ich kenne, kann ich effektiv bewältigen Seite 5

6 Sony PlayStation Was war passiert? April 2011: erster Angriff auf Playstation Onlinedienst - 77 Mio. Nutzerdaten gestohlen/kopiert, darunter Kreditkarten-Nummern 20. April bis Mitte Mai 2011: Online-Dienst komplett abgeschaltet Wenige Tage später wurde auch der Sony Online Entertainment Dienst Ziel eines Hackerangriffs : weitere Angriff auf Sony Pictures 1 Mio. Passwörter (unverschlüsselt abgelegt) - Name, Adresse, Tel.-Nr. und -Adresse In folgenden Monaten weitere (mehr als ein Dutzend) Angriffe gegen Sony-Webseiten weltweit, obwohl neuer Krisenmanager eingestellt (hoher Beamter der US- Heimatschutzbehörde) Wer waren die Täter? Hacker gehörten zu LulzSec und wurden gefasst 25-Jähriger im Jahr 2013 zu Gefängnisstrafe von einem Jahr und einer Strafzahlung von US$ sowie Stunden Sozialdienst verurteilt Seite 6

7 Sony PlayStation Klagen: 75 Class Actions Lawsuits Mai 2011: Klageerhebung in Kanada. Führender Kläger ist 21-jährige Natasha Maksimovic Forderung: 1,04 Mrd. $ April 2013 Urteil: Spieler, die auf PS-Network nicht mehr zugreifen konnten, können Zahlung von virtuellem Geld auf ihr Spielerkonto von mindestens 2 US$ verlangen oder 3 freie Spiele oder 50 % Rabatt für drei Monate erhalten (Urteil noch nicht rechtskräftig). Juli 2013: Strafe in UK 294 T wegen Verstoß gegen Datenschutzgesetze Sony versucht Abwehr Reputationsverlust: US-Regierung stellte Sony 13 Fragen u. a.: If you can t trust a huge multi-national corporation like Sony to protect your private information, who can you trust? Seite 7

8 Sony PlayStation Schadenhöhe: zunächst auf 170 Mio. US$ geschätzt August 2013: Schätzung bei 300 Mio. US$ Andere Quellen: 1,4 Mrd. Versicherer Zurich USA verweigert Zahlung und reicht Gegenklage ein Schaden nicht versichert, da nur einfache Haftpflichtversicherung abgeschlossen (General Liability Policy) Seite 8

9 Sony PlayStation Welche Kosten sind hier (möglicherweise) angefallen? Datenverlust/-wiederherstellung (vermutlich nicht relevant) Ausfallkosten von Sony (nach Presseberichten 14 Mrd. Yen (136 Mio. )) Illegale Kreditkartendatennutzung (Regress von Banken und Kunden, ggf. Klagen) Sammelklagen in den USA! Ausgleich der Spieler für Mehraufwand (z. B. neue Kreditkarte), Schadenersatz auch wegen Minderung der Spielfreude Zusätzliche Sicherheitsmaßnahmen und Kosten zur Schadenermittlung (Forensik) Kosten aufgrund Verletzung des Datenschutzgesetzes (Meldepflichten, Rechtsanwaltskosten, ggf. Strafzahlungen) insbesondere in den USA (verspätete Meldung)! Reputationsschaden: zusätzliche Werbemaßnahmen - Kundenverluste Negativer Einfluss auf Aktienkurs, Bilanz und Gewinne von Lieferanten Welche dieser Kosten sind versicherbar? Seite 9

10 Betriebsunterbrechung im Chemiewerk Was war passiert? Bus-Stecker bei Umbau eines Netzwerks ( Einbindung eines weiteren Automatisierungssystems in die bestehende Leittechnik ) in chemischer Produktion fehlerhaft gesteckt Folge: Netzwerkschleife (Loop), d.h. zirkulierende Datenpakete (Rückkopplung) Überlastung des Netzwerks. Kurzzeitiger Totalausfall (ca. 1 min) der gesamten Netzwerkkommunikation, auch der angrenzenden Bereiche Anlage fährt in einen sicheren Zustand, schaltet also ab Größerer Ausfall der Produktionsanlagen Schutzmaßnahmen: Loop-Detection war nicht aktiv Schaden: auf rund 3 Mio. geschätzt Seite 10

11 Ausfall Webshop Was war passiert? IT-Dienstleister betreut Internetauftritt eines größeren Elektronik-Versandhandels (Web-Hosting) Aufgrund hohen Zugriffs am Ostermontag wurde der Notfallshop aktiviert Fehler bei Download Folge: Verlinkung führte auf falsche Seiten Warenkörbe gehen komplett verloren etc. Ausfallzeitraum bis Uhr, entspricht 85 % der Gesamt-Auftragseingänge Kosten: Entgangener Bruttoumsatz bei ca. 658 T Damit ein Deckungsbeitrag-Ausfall von ca. 152 T Neukundenverluste Kompensationsgeschäft in nachfolgenden Tagen Schaden konnte mit 40 T geschlossen werden Seite 11

12 Cyber-Spionage bei Nortel Was war passiert? Nortel (Netzwerkausrüster) fast 10 Jahre lang Opfer von Cyber-Spionage-Angriffen 2004 erste Auffälligkeit: Manager schickt größere Datenmengen an immer gleiche Internetadresse in Shanghai Angreifer vermutlich aus China Sieben Passwörter von hochrangigen Angestellten ausspioniert, darunter auch vom Nortel-Chef Damit konnte Spähsoftware installiert werden (Rootkits), die erst 2009 gefunden wurden Folgen: Problem wurde von Nortel zunächst nicht Ernst genommen und ging finanziellen Schwierigkeiten unter Nortel meldete 2009 Insolvenz an und wird seitdem abgewickelt Im Herbst 2011 verfügt US-Börsenaufsicht, dass Cyber-Attacken auf börsennotierte Firmen veröffentlicht werden müssen. Seite 12

13 Bankraub mit PrePaid-Kreditkarten Was war passiert? Hacker dringen IT-System einer Kreditkarten-Service-Firma (India s ElectraCard Service) ein, die für Mastercard und Visa Prepaid-Kreditkarten zur Verfügung stellt Fünf Geheimnummern von Kreditkarten von einer Bank in den Vereinigten Arabischen Emiraten (National Bank of Ras Al Khaimah) Virtuelle Erhöhung des Guthabens auf diesen Karten Anhebung des Abhebelimits Angeheuerte Helfer übertrugen dann weltweit diese Daten auf Magnetstreifen von unbeschrifteten Karten (Rohlingen) Folgen: Erstmals am schlugen Abhebe-Teams zu und beschafften sich an Geldautomaten 5 Mio US$ : Wiederholung des Vorgangs - Kontodaten diesmal von US-Firma (enstage Inc., California) / geschädigte Bank in Oman (Muscat Bank) Über Zeitraum von 10 h hoben Helfer bei Transaktionen in 27 Ländern knapp 40 Mio. US$ (ca. 31 Mio. ) ab Seite 13

14 Bankraub mit PrePaid-Kreditkarten Geschädigt wurden ausschließlich die Banken In Deutschland Schaden weniger wahrscheinlich, da Karten Chips statt Magnetstreifen besitzen und PrePaid-Karten selten sind Stand der Ermittlungen: Hintermänner noch unbekannt Zelle in New York zerschlagen Zwei Niederländer, die in Düsseldorf abhoben, sind ermittelt und verhaftet Vorgehensweise nicht neu! 2009 war Royal Bank of Scotland mit PrePaid-Kreditkarten betroffen: Innerhalb von 12 h wurden 9 Mio. US$ abgehoben Seite 14

15 Angriff auf Traveltainment Was war passiert? April 2013: zielgerichteter Angriff auf statische Booking Engine der Amadeus-Tochter Traveltainment (bei vielen Online-Reisebüros eingesetzt) Vermutlich durch Spionage-Software auf einem Web-Server Diese installiert sich dann auch im Web-Browser des Urlaubers Weitere mögliche Schwachstellen könnte Lesen von Kreditkarten-Daten ermöglicht haben Schutzmaßnahmen: Traveltainment nutzt israelische Firewall, deren Wartung /a kostet PCI 1 -Zertifizierung stand kurz vor Abschluss Angriff erfolgte nicht auf das PCI-zertifizierte RZ von Amadeus in Erding - Hierauf greifen stationäre Reisebüros zu 1 PCI = Payment Card Industrie Seite 15

16 Angriff auf Traveltainment Folge: 60 Lizenznehmer betroffen mit hunderten Online-Präsenzen, die Traveltainment-IBE nutzen Über die Zahl der ausgespähten Kreditkartendaten keine Information Zahlreiche Kreditkarten wurden gesperrt, zum Teil nach Ankunft am Urlaubsort Imageschäden für die Buchungsportale Evtl. Schadenersatzforderungen der Finanzdienstleister Seite 16

17 Schnuck Kreditkarten-Hack Was war passiert? März 2013: 44-jährige Kundin versucht beim Kauf von Geschenk-Gutscheinen verschiedene Kreditkarten (beides Warnsignale) Frau wird verhaftet und des Kreditkartenbetrugs angeklagt Karten waren gefälscht und mit Daten beschrieben, die weit entfernt in Texas bei einem Bezahlvorgang bei Schnuck Monate vorher mitgelesen wurden Vermutlich tausende von Bezahlvorgängen mit gefälschten Karten Schwarzmarkt für Karten Maultier oder Läufer : Personen, die Karten ausprobieren, um im nächsten Schritt einen größeren Deal damit abzuschließen Durch Wiederverkauf der Gutscheinkarten ist Rückverfolgung nicht möglich (ähnlich wie Geldwäsche) Eigentliche Drahtzieher vermutlich in Osteuropa Seite 17

18 Schnuck Kreditkarten-Hack Vorgehen der Hacker: Dezember 2012: Geschätzt 2,4 Mio. Kartendaten vom System der Schnuck Markets Inc. (Kaufhauskette) gestohlen Die Diebe hatten die IT von Schnuck mit Malware infiziert Diese Schadsoftware kopierte Daten von dem Magnetstreifen auf den Karten, mit denen neue Karten beschrieben werden können Der erste Teil der Daten enthält den Namen der Person, der zweite die Nummer und das Ablaufdatum Daten in Paketen im Internet verkauft (underground market) Internetplattform im Dark Web, die von Suchmaschinen nicht gefunden wird Diese Daten wurden in 79 Geschäften eingesetzt (12/ /2013) Schutzmaßnahmen? Gesetzlich nicht erlaubt, dass Kaufhäuser Kreditkartendaten speichern Dies trifft hier nicht zu, da die Daten kopiert wurden, während sie durch das System wanderten Verschlüsselung am Terminal nicht gefordert Verschlüsselung kostspielig und schwierig (Verzögerung) Seite 18

19 Schnuck Kreditkarten-Hack Folgen: Kunden reagierten tlw. panisch - einige kauften gar nicht mehr ein Behörden rieten zur Barzahlung Banken gaben neue Karten aus Mindestens drei Class Actions vor US-Gerichten Strafe allein in Illinois in Höhe von 80 Mio. US$ erwartet Bislang keine Klage von Banken, nur von Verbrauchern Vorwurf: Schnuck habe frühzeitig vom Hack erfahren (vielleicht schon Tage), aber verspätet die Kunden informiert Schnuck entgegnete: Nur Kreditkartennummer und Ablaufdaten gestohlen, keine Namen keine Pflicht, die Betroffenen zu informieren Juli 2013: Generalstaatsanwalt von Missouri erkennt keinen Verstoß von Schnuck gegen Datenschutzgesetze Seite 19

20 Schnuck Kreditkarten-Hack Kosten: Klage in Illinois (bis zu Kläger): Datenschutzverletzung kostete den Kunden Zeit und Geld, um Karten zu sperren, neue auszugeben und automatische Zahlungen wieder aufzusetzen Aufwand je Betroffener: zwei Stunden bundesweiter Mindestlohn von $7,25 Schadenzahlung von $7,25 Mio. Zusätzlich ggf. Strafzahlungen (Punitive Damages) von bis zu $80 Mio. Seite 20

21 Banking-Trojaner Was war passiert? Neuer Backdoor-Trojaner Matsnu.J taucht in Hannover auf Hierdurch können Banking-Trojaner wie URLZone/Bebloh, Citadel und Cridex oder weitere Schadprogramme nachgeladen werden Aktueller Fall: Angreifer klinken sich in laufende Online-Banking-Sitzung ein und manipulieren Ansicht der Kontobewegungen im Browser Auf manipulierter Seite tauchte eine Meldung auf, dass fälschlicherweise auf das Konto des Kunden überwiesen worden seien und er diesen Betrag zurück überweisen solle In Adresszeile des Internetbrowsers wird dabei ein https angezeigt Eine SMS mit der TAN wird auf das Handy geschickt Tatsächlich wird ein entsprechender Betrag in der Kontobewegung angezeigt Kunde lässt sich dazu verleiten, die Überweisung vorzunehmen Seite 21

22 Banking-Trojaner Folgen: Glück im Unglück: Für Online-Überweisungen war ein Limit von eingerichtet Ohne dieses Limit wäre Geld vermutlich verloren Deutsche Sparkassen- und Giroverband (DSGV): Ob die Bank für Schaden aufkomme, hängt vom Einzelfall ab Dabei werde unter Umständen auch geprüft, ob Virenscanner und Firewall auf neuestem Stand waren Zudem müsse bei der Polizei Anzeige erstattet werden Quelle: Hannoversche Allgemeine Zeitung [ Visier] Seite 22

23 Was war passiert? Teuerste Softwareschäden bei Finanzdienstleistern August 2013: Technische Panne bei Investmentbank Goldmann Sachs Computersystem sollte nur Preise ermitteln stattdessen versandte es Aufträge an die Handelsplattformen Betroffen waren Optionen auf Aktien, deren Handelssymbole mit den Buchstaben H bis L beginnen Folgen: Flut ungewollter Optionsgeschäfte Möglicher Schaden wird im Bereich über 100 Mio. US$ vermutet Ggf. können Geschäfte rückgängig gemacht werden, was wiederum Dominoeffekt auslösen könnte Kein Einzelfall: In 2012 hatte ähnlicher Softwarefehler bei US-Finanzdienstleister Knight Capital massiv den Handel an der New Yorker Börse gestört 45 min lang wurden fehlerhaft Aufträge platziert Mehrere Werte vom Handel ausgesetzt Verluste summierten sich auf 440 Mio. US$ und gefährdeten das Unternehmen in seiner Existenz Absturz der Aktie von Knight Capital Seite 23

24 Diebstahl von Personaldaten Was war passiert? 2013: Department of Energy in den USA innerhalb weniger Monate zweimal angegriffen Datensätzen von Angestellten und ehemaligen Angestellten durch Hacker kompromittiert Angaben zum Gehalt, Bankverbindung etc. gestohlen Folgen: Mögliches Ziel der Hacker: An weitere interne Daten zu kommen Vorspiegelung falscher Identität (interner Mitarbeiter), um an Passwörter zu kommen Schutzmaßnahmen: Alle betroffenen Mitarbeiter durch ein internes Memo informiert Hinweise zum Schutz vor Identitätsdiebstahl Auf eine Jahr befristete Kredit-Überwachung angeboten Teil eines langfristig angelegten Angriffs auf die US-Infrastruktur (Cyber-War) Seite 24

25 Gesundheitsdaten im Kopierer Was war passiert? CBS Evening News kaufte Fotokopierer, der vorher von Affinity Health Plan Inc., einem Gesundheitsdienstleister, geleast war Kopierer besaß eine Festplatte, auf der noch vertrauliche medizinische Daten von Patienten gespeichert waren Allerdings wurden vorher schon zahlreiche Kopierer zurückgegeben, ohne dass Daten sicher gelöscht worden sind Daten von geschätzt Personen Folgen: Am 15. August 2010 zeigte sich Affinity selber beim HHS Office for Civil Rights (OCR) an Strafzahlung von $1,215,780 wegen Verstoß gegen die HIPAA Privacy and Security Rules (Datenschutzgesetz zu Gesundheitsdaten in den USA) Schutzmaßnahme: Affinity hatte Fotokopierer-Festplatten nicht in die eigene Sicherheitsrichtlinie integriert (electronic protected health information (ephi)) Seite 25

26 Datenschutz-Verletzungen Quelle: Seite 26

27 Fazit Gefahren sind vielfältig und teilweise überraschend Folgen oft nicht ausreichend abschätzbar Schutzmaßnahmen nicht immer (aber oft) möglich Es gibt keine absolute Sicherheit Versicherungsschutz nicht immer möglich aber öfter, als Sie denken! Bleiben Sie wachsam! Seite 27

28 Visitenkarte AXA Versicherung AG Dipl.-Ing. Dirk Kalinowski Branchenverantwortlicher IT-Dienstleister und Software Colonia-Allee 10 20, Köln Tel.: +49 (0)221 / dirk.kalinowski@axa.de Seite 28

29 Vielen Dank für Ihre Aufmerksamkeit Seite 29