In nur wenigen Jahren hat Open Banking – die Nutzung offener APIs, die es Drittanbietern ermöglicht, auf den Angeboten von Banken, Versicherungsunternehmen und anderen Finanzinstituten aufbauende Produkte und Dienstleistungen zu entwickeln – die Finanzdienstleistungslandschaft verändert.
Die Möglichkeit, bestehende Finanzdienstleistungsprodukte zu nutzen, um neue Angebote in Bereichen wie Kreditvergabe, Zahlungsverkehr und Versicherungen zu entwickeln, hat es Verbrauchern erheblich erleichtert, Transaktionen abzuwickeln, ihre Finanzen zu verwalten und die Kontrolle über ihre personenbezogenen Daten zu behalten. Gleichzeitig treiben offene API-Protokolle Innovationen im gesamten Finanzdienstleistungssektor voran und erschließen Finanzinstituten beträchtliche Einnahmequellen. Mit der neuen Version der FDX API 5.0, die Standards für API-Sicherheit, Interoperabilität und Leistung festlegt, sowie der bevorstehenden PSD2-Frist für die starke Kundenauthentifizierung (SCA) in der Europäischen Union sind weitere Innovationen und neue Umsatzchancen zu erwarten.
Doch wo Chancen winken, lauern unweigerlich auch Risiken. Offene APIs geben naturgemäß interne Daten und Kundendaten an Dritte weiter, wodurch diese Daten anfälliger für den Zugriff durch böswillige Akteure werden. Dies ist insbesondere im Hinblick auf Kontoaggregatoren bedenklich, die – wie Mint und Plaid – Verbrauchern moderne Finanzdienstleistungen ermöglichen. Lesen Sie weiter und erfahren Sie, wie böswillige Akteure Aggregatoren nutzen, um Banken, Versicherungen und andere Finanzinstitute anzugreifen und zu betrügen.
Beschleunigtes Risiko: Wie Aggregatoren und externe Zahlungsdienstleister Credential Stuffing und Kontoübernahmen ermöglichen
Aggregatoren von Finanzkonten können Verbrauchern einen echten Mehrwert bieten, indem sie ihnen auf einer einzigen Bildschirmansicht einen Überblick über ihre gesamte finanzielle Situation ermöglichen. Auch Finanzinstitute profitieren davon, da Transaktionshürden abgebaut und neue Einnahmequellen erschlossen werden. Deshalb lockern viele Finanzinstitute ihre Sicherheitsvorkehrungen bei der Anbindung an Aggregatoren. Da diese jedoch Daten von Hunderten Millionen Konten speichern können, sind sie attraktive Ziele für Cyberkriminelle – insbesondere kleinere Aggregatoren, denen es im Vergleich zu etablierteren Anbietern möglicherweise an finanziellen Mitteln und ausgereiften Sicherheitsmaßnahmen mangelt.
Die wachsende Menge gestohlener Kontodaten, die Kriminellen zur Verfügung stehen, begünstigt unterdessen automatisierte Credential-Stuffing-Angriffe, bei denen Kriminelle mithilfe von Botnetzen und gestohlenen Zugangsdaten versuchen, auf Konten zuzugreifen. Diese Angriffe sind zu einem erheblichen Problem für Finanzinstitute geworden und führen zu schwerwiegenden Datenschutzverletzungen und beträchtlichen finanziellen Verlusten – so sehr, dass das FBI kürzlich eine offizielle Warnung an den US-Finanzsektor bezüglich der von Credential Stuffing ausgehenden Bedrohung herausgab.
Die alarmierendste Folge der Zunahme von Credential Stuffing ist der Anstieg von Kontoübernahmen (Account Takeovers, ATOs), bei denen Angreifer die Kontrolle über Konten übernehmen, auf die sie sich Zugriff verschafft haben, um diese in betrügerischer Absicht zu leeren. Laut Javelin Strategy and Research und deren Identitätsbetrugsstudie 2021 verursachte ATO-Betrug im Jahr 2020 Verluste von insgesamt mehr als 6 Milliarden US-Dollar.
Die Umfrage ermittelte außerdem die durchschnittlichen Kosten von Credential-Stuffing-Angriffen und kam zu dem erschreckenden Ergebnis, dass sie mehr als das Sechsfache des mit monatlich aktiven Nutzern erzielten Umsatzes betragen können.
Die Risiken gehen jedoch noch weiter und sind leider gravierender, als manche vielleicht denken. Kriminelle wissen, dass der Datenverkehr von Aggregatoren seltener blockiert wird, und nutzen diese daher gern als Hintertür zu Finanzinstituten. So sah sich der Finanzdienstleistungsriese NCR Corp. 2019 gezwungen, bestimmten Aggregatoren vorübergehend den Zugriff auf seine digitale Banking-Plattform zu sperren, nachdem er eine von ihnen ausgehende Welle automatisierter Kontoübernahmen festgestellt hatte.
Indem Finanzinstitute ihre APIs für Aggregatoren öffnen, erhöhen sie zudem das Risiko von Leistungseinbußen, da sie Lastspitzen verursachen oder dazu beitragen können. Dies liegt unter anderem daran, dass Aggregatoren zu den intensivsten Nutzern von Open-Banking-APIs gehören und 20 % des Datenverkehrs einer typischen Bank erzeugen. Ein weiterer Faktor ist laut FBI, dass Credential-Stuffing-Angriffe die Authentifizierungssysteme von Finanzinstituten so stark belasten können, dass diese Institute zu der Überzeugung gelangen, Ziel eines Denial-of-Service-Angriffs zu sein.
Unterm Strich setzt Open Banking Finanzinstitute erheblichen, allgegenwärtigen Risiken aus. Deshalb verfolgen wir bei F5 einen strategischen Ansatz, um Finanzinstitute bei der Verwaltung und Absicherung von Open-Banking-APIs zu unterstützen.
Finanzinstitute dabei unterstützen, Open Banking sicher zu nutzen
F5 ist bereits führend bei der Bereitstellung von API-Management, leistungsstarken API-Gateways und fortschrittlichen Sicherheitskontrollen in einer All-in-One-Lösung, die die Anzahl der eingesetzten Tools reduziert und die Komplexität der Architektur begrenzt.
F5 überwacht Anmeldeversuche bei Konten von Finanzinstituten in Echtzeit. So können Finanzinstitute zwischen echten Benutzern, Bots und automatisierten Zugriffen sowie manuellen (von Menschen durchgeführten) Betrugsversuchen unterscheiden. Wir glauben, dass dies einer der Gründe dafür ist, dass die 15 größten US-Geschäftsbanken allesamt Lösungen von F5 einsetzen. Derzeit arbeiten wir an Innovationen, um unser Lösungsportfolio zu erweitern und Open Banking noch umfassender zu unterstützen.
In den kommenden Monaten werden Sie von F5 mehr zum Thema Open Banking erfahren. Dabei stehen unter anderem die bessere Verwaltung des Datenverkehrs von Aggregatoren und der Schutz vor API-Angriffen im Mittelpunkt.
Ein Beispiel dafür ist unser Produkt Aggregator Management, das F5-Kunden im Open-Banking-Umfeld mehr Transparenz über den API-Datenverkehr, die automatische Erkennung von Credential Stuffing und ungewöhnlichem Datenverkehr sowie die Möglichkeit bietet, die Zugriffsrechte von Aggregatoren auf Inhalte einzuschränken. Für Finanzinstitute bedeutet dies eine präzisere Kontrolle über Aggregatoren, einen besseren Schutz der Kundenkonten vor Betrug, eine höhere Verfügbarkeit von Anwendungen – und ein geringeres Risiko.
Bleiben Sie dran! Erfahren Sie in der Zwischenzeit mehr über die Risiken des Open Banking und darüber, wie Sie sich davor schützen können:
- Sehen Sie sich unser Webinar „Open-Banking-Trends, Herausforderungen und Chancen“ an, um mehr über Open Banking zu erfahren.
- Entdecken Sie unsere Aggregator-Management-Lösung.
- Entdecken Sie einen Leitfaden zum Schutz vor Bot-Angriffen im Open Banking.
- Machen Sie unsere Bedrohungsanalyse und finden Sie heraus, wie wirksam Ihre aktuelle API-Sicherheit ist.
- Erfahren Sie, wie F5 Unternehmen dabei unterstützen kann, ATO-Angriffe zu verhindern, ohne die Benutzerfreundlichkeit zu beeinträchtigen.
- Erfahren Sie, wie die Shape-Technologie einer der zehn größten Banken Nordamerikas dabei half, Credential Stuffing zu verhindern.
Über den Autor
Ähnliche Blogbeiträge
F5 und Equinix bündeln ihre Kräfte, um die sichere Anwendungsbereitstellung in Multicloud-Umgebungen zu vereinfachen
F5 und Equinix ermöglichen es Unternehmen, sich weltweit sicher und zuverlässig mit ihren Partnern zu vernetzen.
API-Sicherheitsrisiken und -herausforderungen
Erfahren Sie, warum APIs für die moderne App-Entwicklung unverzichtbar sind und wie Sie sie vor den häufigsten Sicherheitslücken schützen. Profitieren Sie von Expertentipps und direkt umsetzbaren Strategien.
Ein Meilenstein für die Community Impact Grants von F5
F5 feiert das fünfjährige Bestehen seines innovativen Community Impact Grant-Programms, das gemeinnützige Organisationen, bei denen sich F5-Mitarbeitende ehrenamtlich engagieren, mit Fördermitteln in Höhe von 5.000 US-Dollar unterstützt.
Mit moderner, anpassungsfähiger und sicherer Gesundheits-IT Leben retten
Die IT-Investitionen im Gesundheitswesen tragen dazu bei, die schnellsten Wege zu einer besseren Versorgung zu finden, indem sie die medizinische Betreuung näher an die Patientinnen und Patienten bringen. Viele Gesundheitsunternehmen nutzen riesige Mengen an klinischen und anderen Gesundheitsdaten, um Entwicklungen zu verfolgen und übergreifende Trends in der gesamten Gesundheitslandschaft zu erkennen. Gleichzeitig nähern sie sich einer möglichst präzisen, individuell zugeschnittenen Versorgung an.
Verbesserung der Benutzer- und Administrationserfahrung durch sicheren hybriden Zugriff
Diese Kombination aus BIG-IP Access Policy Manager und Azure Active Directory ermöglicht Identitätsföderation, zentralisierten Benutzerzugriff (über Single Sign-on) und erhöhte Anwendungssicherheit (durch Multi-Faktor-Authentifizierung) für geschäftskritische Anwendungen sowie cloudbasierte und SaaS-Anwendungen. Dieser Ansatz vereinfacht die Einrichtung und Bereitstellung, reduziert den Verwaltungsaufwand und verbessert die gesamte Administration.
Das Internet der Sicherheitsdinge
Nein, das ist keine Tirade über die Sicherheit des IoT. Es ist eine Geschichte über Veränderung – genauer gesagt über Veränderung und ihre Auswirkungen auf die Sicherheit. Veränderung ist allgegenwärtig. Es gibt unzählige Axiome und Sprichwörter über Veränderung, also ist es ...