KOMMENTAR - Cyberattacken gegen Banken: Die Finanzmarktaufsicht muss nicht alles wissen

© Bereitgestellt von Neue Zürcher Zeitung Ist es wirklich sinnvoll, dass die Finanzmarktaufsicht über jeden Cyberangriff informiert ist? Alexander Zemlianichenko Jr. / Bloomberg

Die Schweizer Finanzmarktaufsicht (Finma) ist Kritik gewohnt. Dass ihr die Bankenbranche allzu grossen Regulierungseifer vorwirft, ist schon fast ein Ritual. Ob der Vorwurf berechtigt ist, sei dahingestellt. Klar scheint hingegen, dass die Finma grosse Freiheiten bei ihrer Regulierungstätigkeit geniesst. Die Frage ist somit legitim: Wer kontrolliert eigentlich die Kontrolleure?

Die Antwort lautet: die Eidgenössische Finanzkontrolle (EFK). Sie ist in einer Prüfung der Frage nachgegangen, ob die Aufsicht der Banken im Bereich Cybersicherheit funktioniert. Ihr Fazit: Banken hätten Cybervorfälle nicht bei der Finma gemeldet, obwohl sie dazu verpflichtet gewesen wären. Der Verstoss gegen die Meldepflicht habe keine Konsequenzen gehabt, wird im Prüfbericht bemängelt. Die EFK rügt die Finma also dafür, weggeschaut und nicht durchgegriffen zu haben.

Was sind «wesentliche» Angriffe?

Im Mai, noch während die EFK-Prüfung lief, erinnerte die Finma die Banken an die Pflicht, «wesentliche» Cyberangriffe zu melden. Bei dieser Gelegenheit stellte die Behörde zudem klar, was sie unter dem Gummibegriff «wesentlich» versteht. Denn nur Angriffe, die in diese Kategorie fallen, müssen gemeldet werden – nicht jedes Phishing-Mail.

Laut einem Finma-Sprecher sind seither rund fünfzig Meldungen eingegangen. Ist das Problem also gelöst? Nein, findet die EFK anscheinend. Die Finma habe keinen direkten Zugriff auf die Melde- und Analysestelle Informationssicherheit (Melani) des Bundes, schreibt sie in ihrem Bericht.

Geheimniskrämerei als Anreiz für Meldungen

Dazu muss man wissen: Die Banken gehören zum sogenannten «geschlossenen Kundenkreis» von Melani. In diesem Gefäss tauschen sich die Finanzinstitute zu Cyberangriffen aus. Da die Informationen vertraulich oder gar anonym behandelt werden, ist die Hemmschwelle tief. Betroffene können bedenkenlos auch peinliche Vorfälle melden.

Läse die Finma als Aufsichtsbehörde bei Melani mit, änderte sich dies möglicherweise – auf Kosten der Cybersicherheit in der Finanzbranche. Es gibt somit gute Gründe dafür, dass die Finma nicht alles weiss. Als die Finma-Kritiker nach einer Kontrolle der Kontrolleure riefen, meinten sie kaum die EFK.