Zehn südkoreanische Finanzunternehmen erfüllten Sicherheitsauflagen vor Netzwerkverbindungen im Rahmen von KI-Ausnahmen nicht

Prüfungen zeigen: Schutzmaßnahmen bestanden vielfach nur auf dem Papier

Zehn südkoreanische Finanzunternehmen, denen vorübergehend erlaubt worden war, interne Geschäftsnetzwerke mit externen Internetdiensten zu verbinden, hatten viele vorgeschriebene Sicherheitsmaßnahmen noch nicht umgesetzt. Das ergaben Prüfungen, die von Mitte Juli bis Anfang September durchgeführt wurden. Zu den Mängeln gehörten Sicherheitsverwaltungskonsolen, die über das Internet erreichbar waren, und ein Cloud-Dienst ohne Sicherheitszertifizierung.

Das Financial Security Institute überprüfte zwölf alternative Sicherheitsmaßnahmen, nachdem die Financial Services Commission den Unternehmen am 19. Juni eine einjährige Ausnahmegenehmigung erteilt hatte. Sie sollte ihnen ermöglichen, externe KI- und Sicherheitssoftware zu nutzen, um Schwachstellen in internen Systemen zu erkennen.

Das Institut erklärte, alle Mängel seien behoben worden, bevor die internen und externen Netzwerke verbunden wurden. Diese Unterscheidung ist wichtig: Die Ergebnisse zeigen eine unzureichende Vorbereitung auf die Ausnahmen, belegen aber nicht, dass Hacker über vom Programm genehmigte Verbindungen in interne Systeme eingedrungen sind.

Die Prüfunterlagen erhielt Han Chang-min von der Sozialdemokratischen Partei, Mitglied des Ausschusses für nationale Politik der Nationalversammlung. Sie zeigten, dass viele Schutzmaßnahmen noch in der Planungsphase waren und die Unternehmen nicht überprüft hatten, ob ihre Kontrollen in der eigenen Betriebsumgebung funktionierten.

Die Ergebnisse wurden bekannt, während die Aufsichtsbehörden eine zweite Runde von Ausnahmegenehmigungen verschoben, bei der bis zu 15 Institute ausgewählt werden sollten. Die Behörden begründeten den Aufschub mit der Notwendigkeit, Verwaltungsressourcen auf eine separate Welle von Sicherheitsverletzungen und Datenlecks zu konzentrieren. Ein Ende der Politik zur Lockerung der Regeln für die Netzwerktrennung kündigten sie damit nicht an.

Welche Unternehmen wurden geprüft?

Die erste Gruppe bestand aus vier Banken, drei Wertpapierhäusern, zwei Versicherern und einem Kreditkartenunternehmen. Zu den Banken zählten die Shinhan Bank, die Hana Bank, die Woori Bank und KakaoBank. Die Wertpapierhäuser waren KB Securities, NH Investment & Securities und Mirae Asset Securities. Samsung Fire & Marine Insurance, Hanwha Life und Hyundai Card vervollständigten die Gruppe.

Bei allen zehn Unternehmen wurden die für ihre Ausnahmegenehmigungen vorgeschriebenen alternativen Kontrollen überprüft. Das Institut legte weder offen, bei welchem Unternehmen welcher Mangel vorlag, noch veröffentlichte es eine detaillierte Zuordnung der nicht erfüllten Kontrollpunkte. Es begründete dies mit dem Risiko, dass solche Informationen Angreifern bei der Zielauswahl helfen könnten.

Die Feststellung, dass einige Administrationskonsolen über das externe Internet erreichbar waren, lässt sich daher keinem namentlich genannten Teilnehmer zuordnen. Dasselbe gilt für den nicht zertifizierten Cloud-Dienst. Die Auflistung der geprüften Unternehmen beschreibt den Umfang der Prüfung, nicht die Verantwortung für einzelne konkrete Schwachstellen.

Das Institut übermittelte seine Ergebnisse an die Financial Services Commission und erklärte, es habe die Behebung der Mängel bestätigt, bevor die Netzwerkverbindungen hergestellt wurden. Im Prüfbericht wurden keine Kundenschäden, erfolgreichen Eindringversuche oder Datenlecks festgestellt, die auf diese konkreten Mängel zurückzuführen wären.

Was die befristete Genehmigung vorschrieb

Finanzunternehmen müssen interne Geschäftssysteme und Datenverarbeitungssysteme in ihren Rechenzentren grundsätzlich von externen Kommunikationsnetzen, einschließlich dem Internet, trennen. Die Maßnahme vom 19. Juni lockerte diese Grenze vorübergehend für einen bestimmten Zweck: den Einsatz externer KI- und Sicherheitssoftware als Dienst, um interne Systeme auf Schwachstellen zu prüfen.

Software as a Service, kurz SaaS, ist Software, auf die über die Online-Infrastruktur eines Anbieters zugegriffen wird, statt sie vollständig auf den eigenen Systemen eines Unternehmens zu installieren und zu betreiben. Ihr Einsatz zur Prüfung interner IT kann eine kontrollierte Verbindung über eine Grenze hinweg erfordern, die nach den Regeln zur Netzwerktrennung sonst nicht zulässig wäre.

Die Ausnahme war deshalb an Bedingungen geknüpft. Die Unternehmen mussten zwölf Ersatzmaßnahmen einrichten und umsetzen, darunter Verfahren für den Umgang mit Sicherheitsvorfällen und Störungen im Zusammenhang mit KI- oder SaaS-Diensten. Außerdem mussten sie unnötige Datenweitergaben und -verarbeitungen innerhalb dieser Dienste verhindern.

Diese Bedingungen betrafen mehr als die Möglichkeit, eine sichere Verbindung herzustellen. Sie regelten auch, was geschieht, wenn ein externer Anbieter ausfällt, und wie Informationen gehandhabt werden, sobald ein externer Dienst Teil des Sicherheitsbetriebs eines Unternehmens wird. Ein schriftlicher Reaktionsplan konnte zwar eine Planungsanforderung erfüllen, belegte aber nicht, dass Personal, Systeme und Zugangsbeschränkungen für seine Umsetzung bereit waren.

Warum offengelegte Administrationskonsolen problematisch sind

Die Prüfungen deckten auf, dass Kontrollen häufig nicht in der Umgebung überprüft wurden, in der sie tatsächlich eingesetzt werden sollten. Einige Unternehmen ließen zudem Sicherheitsverwaltungssysteme, sogenannte Managementkonsolen, über das Internet erreichbar. Über diese Schnittstellen werden Sicherheitstools verwaltet, weshalb Zugangsbeschränkungen dort besonders wichtig sind.

Die Erreichbarkeit über das Internet beweist für sich genommen nicht, dass ein Angreifer die Authentifizierung umgangen oder die Kontrolle erlangt hat. Sie schafft jedoch einen externen Zugangsweg zu einer sensiblen Administrationsschnittstelle. Aus den veröffentlichten Prüfergebnissen gehen weder die Authentifizierungsverfahren noch die Dauer der Offenlegung oder die Zahl der betroffenen Institute hervor.

Yeom Heung-yeol, Professor am Fachbereich Informationssicherheit der Soonchunhyang-Universität, warnte, die Schutzmaßnahmen hätten möglicherweise erst nach Abschluss der Korrekturarbeiten vollständig funktioniert. Den Zugang zu Sicherheitsverwaltungssystemen bezeichnete er als besonders schwerwiegenden Mangel:

Den externen Zugriff auf das Sicherheitsverwaltungssystem nicht zu beschränken, ist eine sehr ernste Angelegenheit.

Den Angaben des Instituts zufolge wurden die Mängel behoben, bevor die genehmigten Verbindungen eingerichtet wurden. Das schränkt ein, was sich über eine tatsächliche Gefährdung interner Netzwerke sagen lässt. Zugleich bleibt ein erheblicher Verstoß gegen die Auflagen: Die Kontrollen, mit denen die Ausnahme begründet werden sollte, waren zum Zeitpunkt der Prüfung noch nicht vollständig umgesetzt.

Zweite Runde wegen separater Sicherheitsverletzungen ausgesetzt

Die Financial Services Commission hatte geplant, die nächste Gruppe von Instituten am 7. Oktober auszuwählen. Der Aufschub wurde am 6. Oktober bekannt gegeben. Die Behörden verwiesen auf die Notwendigkeit, Ressourcen auf jüngste Hackerangriffe und Datenlecks zu konzentrieren und die weitere Entwicklung zu beobachten, bevor das Programm ausgeweitet wird.

Seit dem 27. September wurden Vorfälle bei Instituten wie der KB Kookmin Bank, der Shinhan Bank, der Hana Bank, der BNK Busan Bank, der Yegaram Savings Bank, der Welcome Savings Bank und Hyundai Capital gemeldet. Die Berichte belegen nicht, dass diese Vorfälle auf die befristeten Ausnahmen von den Regeln zur Netzwerktrennung zurückzuführen waren.

Die Shinhan Bank und die Hana Bank stehen sowohl auf der Liste der geprüften Unternehmen als auch auf der Liste der Institute, bei denen Vorfälle gemeldet wurden. Diese Überschneidung ist kein Beleg für einen ursächlichen Zusammenhang. Die Sicherheitsprüfung und die allgemeine Reaktion auf die Sicherheitsverletzungen müssen getrennt betrachtet werden, solange keine weiteren Erkenntnisse sie miteinander verbinden.

Die wichtigsten Daten zeigen eine Abfolge aus Genehmigung, Prüfung und aufgeschobener Ausweitung:

• 19. Juni: Die Kommission erteilte zehn Unternehmen befristete Ausnahmen für den Einsatz externer KI- und Sicherheits-SaaS-Dienste.
• Mitte Juli bis Anfang September: Das Financial Security Institute prüfte die Unternehmen und verlangte Korrekturen, bevor die Netzwerkverbindungen hergestellt wurden.
• 14. September: An diesem Tag sollte die Bewerbungsfrist für die geplante zweite Runde enden.
• Ab dem 27. September: Eine Reihe von Sicherheitsverletzungen und Datenlecks im Finanzsektor wurde gemeldet.
• 6. Oktober: Der Aufschub der für den 7. Oktober geplanten Auswahl wurde bekannt gegeben.

Die Behörden erklärten, die Verzögerung ändere nichts an ihrer Haltung zur Lockerung der Regeln für Unternehmen mit ausreichenden Reaktionsfähigkeiten. Ein neuer Termin für die Auswahl wurde nicht genannt.

Die Ausweitung sollte kleinere Institute einbeziehen

In der geplanten zweiten Runde sollte die Teilnahme über die größten Finanzunternehmen hinaus auf weitere Institute außerhalb des Bankensektors und auf Anbieter elektronischer Finanzdienstleistungen ausgeweitet werden. Die Einzelheiten wurden nach der fünften Sitzung der Taskforce der Kommission zur Reaktion auf die Frontier-KI-Entwicklung bestätigt. An der Sitzung nahmen auch der Financial Supervisory Service und das Financial Security Institute teil.

Der Kreis der teilnahmeberechtigten Unternehmen sollte von 49 auf 75 wachsen, also um 26 Unternehmen beziehungsweise rund 53 Prozent. Die Zahl der verfügbaren Plätze sollte von zehn auf bis zu 15 steigen, eine Zunahme um 50 Prozent. Diese Zahlen beschreiben die Teilnahmeberechtigung und die geplante Auswahlkapazität, nicht die tatsächliche Zahl der eingegangenen Bewerbungen.

Für Finanzunternehmen sollte die Mindestvermögensgrenze von zehn Billionen Won auf zwei Billionen Won sinken, während die erforderliche Beschäftigtenzahl von 1.000 auf 300 festangestellte Mitarbeiter reduziert werden sollte. Anbieter elektronischer Finanzdienstleistungen sollten ein jährliches Transaktionsvolumen elektronischer Finanzgeschäfte von mindestens zwei Billionen Won und damit verbundene Umsätze von mehr als zehn Prozent ihres Gesamtumsatzes aufweisen.

In beiden Kategorien durfte der Chief Information Security Officer nicht gleichzeitig andere IT-Funktionen ausüben. Ausgewählte Unternehmen sollten nach Einführung alternativer Kontrollen ein einjähriges Schreiben erhalten, mit dem die Durchsetzung der Regeln zur Netzwerktrennung ausgesetzt wird.

Die Prüfergebnisse rücken die Umsetzungskapazitäten bei dieser Ausweitung in den Mittelpunkt. Eine niedrigere Größenschwelle ermöglicht mehr Unternehmen die Teilnahme, ändert aber nichts an der Pflicht, funktionierende Schutzmaßnahmen nachzuweisen. Die Aufsichtsbehörden hatten außerdem geplant, auf Grundlage des Testfortschritts und der Nachfrage weitere Runden sowie einen dauerhaften Rahmen zu prüfen. Durch den Aufschub wurden diese Entscheidungen nicht getroffen.

Warum Südkorea die physische Trennung neu bewertet

Der Zielkonflikt wird im Bericht zur Netzwerktrennung des Korea Capital Market Institute beschrieben. Der von Forscher Hwang Se-woon verfasste Bericht 24-26 erschien am 22. November 2024. Er untersucht die Sicherheitsvorteile und Betriebskosten des südkoreanischen Ansatzes sowie den zunehmenden Einsatz von Cloudsoftware und generativer KI.

Der Bericht führt die Ursprünge der Politik auf Störungen im Bankensektor am 20. März 2013 zurück. Damals verbreitete sich als Patch getarnter Schadcode über Update-Server für Antivirensoftware. Den Angaben zufolge kündigten die Behörden im Juli 2013 umfassende Maßnahmen zur finanziellen Sicherheit an; 2015 wurde die Netzwerktrennung formell in Vorschriften verankert.

Das Ausmaß des digitalen Finanzverkehrs hilft, diese Reaktion zu erklären. Elektronische Transaktionen machten 2013 bereits 87,7 Prozent aller Finanztransaktionen aus. Zugleich überstiegen die durchschnittlichen täglichen Transaktionsvolumina im Internet- und Mobile-Banking 33 Billionen Won, heißt es in dem Bericht.

Bei der physischen Trennung werden unterschiedliche Geräte oder Infrastrukturen genutzt, um Internetaktivitäten von internen Arbeitsabläufen fernzuhalten. Bei der logischen Trennung sorgen Technologien wie Virtualisierung für getrennte Umgebungen auf einer gemeinsam genutzten physischen Infrastruktur. Durch Netzwerksegmentierung werden Systeme in Zonen aufgeteilt und Datenverkehr zwischen diesen kontrolliert, ohne zwangsläufig sämtliche Verbindungen zu untersagen.

Hwangs Bericht beschreibt einen praktischen Konflikt: Viele moderne Softwareangebote, darunter generative KI, werden über externe Cloud-Dienste bereitgestellt, während wichtige Finanzdaten in geschützten internen Netzen liegen. Eine strikte Trennung kann Forschung, Softwareentwicklung und den alltäglichen Einsatz von Abonnementsoftware erschweren, selbst wenn solche Tools Kosten senken oder Arbeitsabläufe verbessern könnten.

Internationale Vergleiche sprechen für kontrollierte Verbindungen

Der Bericht des Korea Capital Market Institute vergleicht die Ansätze in den USA, Europa und Australien. Im Mittelpunkt steht der Unterschied zwischen einer vorgeschriebenen physischen Trennung und der Möglichkeit für Institute, ihre Sicherheitsarchitektur selbst zu wählen und zugleich für den Schutz von Informationen verantwortlich zu bleiben.

Für die USA untersucht der Bericht das Informationssicherheitshandbuch des Federal Financial Institutions Examination Council. Es beschreibt vertrauenswürdige und nicht vertrauenswürdige Netzzonen, Kontrollen zwischen diesen Zonen, genaue Netzwerk- und Datenflussdiagramme sowie mehrschichtige Beschränkungen. Der Bericht kommt zu dem Schluss, dass dieser Ansatz keine einheitliche physische Trennungsmethode vorschreibt.

Für Europa betrachtet der Bericht die Datenschutz-Grundverordnung, die zweite Zahlungsdiensterichtlinie und Leitlinien der Europäischen Bankenaufsichtsbehörde. Die darin beschriebenen Leitlinien verlangen Verantwortlichkeit der Geschäftsführung, Kontrollen für externe Technologieanbieter, eingeschränkte Zugriffsrechte sowie regelmäßige Überwachung und Prüfung der Zugriffskontrollen.

Der Vergleich mit Australien stützt sich auf Leitlinien der Australian Prudential Regulation Authority und Empfehlungen des Australian Cyber Security Centre. Diese Ansätze behandeln Segmentierung als eines von mehreren Sicherheitsinstrumenten und warnen davor, ein ganzes internes Netzwerk als uneingeschränkt vertrauenswürdig zu betrachten, sobald ein Angreifer dessen äußere Grenze überwunden hat.

Der Bericht verweist außerdem auf Umfragen, denen zufolge 2022 82 Prozent der befragten Banken mindestens die Hälfte ihrer Mainframes in die Cloud verlagert hatten oder dies planten. Eine separate Umfrage aus dem Jahr 2023 ergab, dass 66 Prozent der Finanzunternehmen weltweit eine Cloud-Migration zur Förderung von Wachstum und Innovation vorantrieben. Es handelt sich um unterschiedliche Umfragen, nicht um einen Trend, der einen Rückgang der Nutzung zwischen den Jahren belegt.

Der Vergleich liefert eine konkrete Lehre aus den südkoreanischen Prüfungen: Größere Wahlfreiheit bei der Netzwerkgestaltung setzt voraus, dass Zugangsbeschränkungen und Tests tatsächlich funktionieren. Der Bericht empfiehlt eine schrittweise Reform, eine einheitliche Klassifizierung von Daten, größere Verantwortung bei Vorfällen, Investitionen in Sicherheit sowie regelmäßige Aufsichtsprüfungen mit Korrekturmaßnahmen.

Eine separate SaaS-Ausnahme behält Datenbeschränkungen bei

Eine separate Lockerungsmaßnahme erlaubt Finanzunternehmen und Anbietern elektronischer Finanzdienstleistungen, bestimmte administrative SaaS-Tools ohne Aufnahme in die regulatorische Sandbox für Finanzdienstleistungen zu nutzen. Diese Möglichkeit ist nicht mit den befristeten Ausnahmen für KI-Sicherheitstests zu verwechseln, die den zehn geprüften Unternehmen erteilt wurden.

Die Ausnahme gilt für SaaS-Angebote, die in der Durchführungsverordnung zum Gesetz über die Entwicklung des Cloud-Computing und den Schutz seiner Nutzer aufgeführt sind, und betrifft die Anforderungen an die Netzwerktrennung nach dem Gesetz über elektronische Finanztransaktionen und den dazugehörigen Aufsichtsvorschriften.

Ausgeschlossen sind Tätigkeiten mit personenbezogenen Identifikationsdaten oder persönlichen Kreditdaten. Für den Einsatz von SaaS mit pseudonymisierten personenbezogenen Daten ist weiterhin eine Genehmigung im Rahmen der Sandbox erforderlich. Bei der Pseudonymisierung werden identifizierende Angaben durch Ersatzangaben ersetzt; die Informationen sind dadurch aber nicht unbedingt anonym.

Anträge müssen vom Financial Security Institute geprüft werden. Unternehmen müssen Sicherheitskontrollen für Zugangsgeräte aufrechterhalten und die Einhaltung der Kontrollen alle sechs Monate überprüfen. Die Ergebnisse sind ihren Chief Information Security Officers vorzulegen. Das Institut veröffentlichte außerdem eine Broschüre zu IT-Sicherheit im Finanzsektor, SaaS-Risiken und geeigneten Gegenmaßnahmen.

Zusammengenommen zeigen die beiden Wege, dass die regulatorischen Lockerungen an Bedingungen geknüpft und nicht uneingeschränkt sind. Das befristete Testprogramm setzt Ersatzmaßnahmen vor der Verbindung voraus; bei der administrativen SaaS-Nutzung bleiben Datenausschlüsse, eine vorherige Prüfung und wiederkehrende Kontrollen bestehen.

Offen ist vor allem, bei welchen Unternehmen welche Mängel festgestellt wurden, wie diese Schwachstellen entstanden und wann die verschobene Auswahl fortgesetzt wird. Die Bestätigung des Instituts, dass die Korrekturen vor den Verbindungen abgeschlossen waren, ist die deutlichste Einschränkung der Aussagen zu den Vorfällen. Die umfassendere Bewährungsprobe besteht darin, ob Unternehmen funktionierende Kontrollen auch nach einer Prüfung aufrechterhalten können, statt Pläne vorzulegen, deren Umsetzung erst durch Prüfer angestoßen werden muss.

Wichtige Punkte

• Zehn Finanzunternehmen erhielten am 19. Juni befristete Ausnahmen von den Regeln zur Netzwerktrennung, um KI- und Sicherheits-SaaS-Dienste zu testen.
• Prüfungen von Mitte Juli bis Anfang September ergaben, dass viele vorgeschriebene Schutzmaßnahmen noch in der Planungsphase waren.
• Einige Sicherheitsverwaltungskonsolen waren über das Internet erreichbar; einem Cloud-Dienst fehlte eine Sicherheitszertifizierung.
• Das Financial Security Institute erklärte, alle Mängel seien behoben worden, bevor interne und externe Netzwerke verbunden wurden.
• Die für den 7. Oktober geplante Auswahl von bis zu 15 weiteren Instituten wurde wegen separater Sicherheitsverletzungen und Datenlecks verschoben.
• Durch die geplante Ausweitung sollte der Kreis der teilnahmeberechtigten Unternehmen von 49 auf 75 wachsen.
• Eine separate Ausnahme für administrative SaaS-Dienste behält Beschränkungen für personenbezogene Daten, die Prüfung durch das Institut und halbjährliche Sicherheitskontrollen bei.