ASIC drängt Broker, Cybersicherheitsabwehr dringend zu verstärken, da Frontier-KI Bedrohungen beschleunigt

Die Australian Securities and Investments Commission (ASIC) warnt Finanzunternehmen und Marktteilnehmer, die Cybersicherheitsmaßnahmen zu verschärfen, da künstliche Intelligenz die Cybersicherheitsbedrohungen weltweit weiter verstärkt.

Sie betonte, dass Cybersicherheitsbedrohungen zwar immer ein Anliegen waren, aber ausgefeilte KI-Tools wie Claude Mythos die Entdeckung und Ausnutzung von Schwachstellen drastisch beschleunigen könnten. 

In einem offenen Brief riet die Aufsichtsbehörde Unternehmen, ihre Systeme jetzt gegen KI-beschleunigte Risiken zu sichern, anstatt auf zukünftige KI-Tools zu vertrauen. Vor allem plädierte sie für einen technologieneutralen, prinzipienbasierten Ansatz für die dringend benötigten Cybersicherheits-Upgrades.

Was erwartet die ASIC von Lizenzinhabern im ganzen Land?

Frontier-KI hat das Cyberrisiko in eine „neue Ära“ versetzt,” warnte ASIC-Kommissarin Simone Constant. Sie merkte an, dass diese fortschrittlichen KI-Modelle trotz potenzieller Vorteile Schwachstellen immer noch viel schneller ausnutzen können, als die meisten erwarten.

Das bedeutet, dass isolierte Lücken jetzt einen totalen Systemzusammenbruch verursachen können, wobei durchschnittliche Angreifer Zugang zu hochrangigen Hacking-Techniken erhalten. 

Diese Kommunikation folgt Beweisen von Connective, dass Broker KI-Tools ohne die notwendigen defensiven Rahmenbedingungen integrieren. Der Chief Executive von Connective, Glenn Lees, argumentierte, dass die Broker-Branche derzeit von KI-Begeisterung erfüllt ist, aber die Struktur für eine sichere, stetige Implementierung fehlt.

Trotzdem drängte er Broker, eine solide Grundlage aus Strategie, Systemen und Governance aufzubauen, und behauptete, dass dies wahrscheinlich der einzige Weg ist, um die KI-Adoption zum Laufen zu bringen. 

Der offene Brief der ASIC forderte Lizenzinhaber auch auf, ihre Sicherheitslücken jetzt zu beheben, anstatt abzuwarten, wie sich die KI-Bedrohungen entwickeln. Constant erklärte, dass ein einsatzbereiter Reaktionsplan unerlässlich ist, da sich die Grundregeln der Cybersicherheit nicht ändern, nur weil sich die Technologie ändert.

Sie fügte hinzu, dass das Top-Management die Verantwortung übernehmen muss, sicherzustellen, dass rigorose Tests und frühe Fehlerbehebung lange bevor eine Bedrohung zu einer Krise wird, stattfinden. 

Sie kommentierte weiter: „Die Uhr zeigt auf kurz vor Mitternacht – wenn Sie Ihre Cybersicherheitsresilienz nicht bereits im Griff haben, ist es jetzt an der Zeit zu handeln und sich vorzubereiten.“

Zusätzlich warnte die Australian Prudential Regulation Authority (APRA) neben der ASIC Banken davor, dass ihre Governance- und Kontrollmaßnahmen für künstliche Intelligenz hinter der raschen Expansion von KI-Tools. 

APRA-Mitglied Therese McCarthy Hockey erklärte: „Die KI-Revolution bietet enorme Chancen für Banken, Versicherer und Superannuation-Treuhänder, um die Effizienz zu verbessern und den Kundenservice zu optimieren. Aber wir können die Risiken einer so leistungsstarken Technologie nicht ignorieren.“

ASIC ging gegen FIIG Securities vor

Die ASIC hat kürzlich gegen den australischen Spezialisten für festverzinsliche Wertpapiere FIIG Securities Limited (FIIG) vorgegangen, weil sie jahrelang keine angemessenen Cybersicherheitsvorkehrungen für ihre massive Kundenbasis implementiert hatte. Folglich wurde das Unternehmen verpflichtet, Geldstrafen in Höhe von insgesamt 2,5 Millionen US-Dollar und etwa 500.000 US-Dollar für die Kosten der ASIC zu zahlen. 

Berichten zufolge spielten die Sicherheitslücken von FIIG eine Rolle bei der Ausmaß eines Cyber-Angriffs im Jahr 2023, der vertrauliche Daten, einschließlich Steuer-Datei-Nummern, Bankkontodaten und Identitätsdokumente, offenlegte. Etwa 18.000 Kunden erhielten die Mitteilung, dass ihre sensiblen persönlichen Daten möglicherweise geleakt wurden.

Zu diesem Zeitpunkt räumte FIIG sogar ein, dass seine Cybersicherheitsvorkehrungen unter seinen Australian Financial Services (AFS)-Lizenzanforderungen unzureichend waren und dass bessere Schutzmaßnahmen die Auswirkungen des Angriffs hätten reduzieren können. Nach eigenem Bekunden folgte das Unternehmen auch nicht seinen eigenen Richtlinien, die genau diese Art von Datenlecks verhindern sollten. 

Das Bundesgericht ordnete auch eine unabhängige Prüfung an, um die Cybersicherheitsresilienz auf einen professionellen Standard zu bringen. 

Nach dem Ausgang des Falls kommentierte die stellvertretende ASIC-Vorsitzende Sarah Court sogar: „Die ASIC erwartet, dass Finanzdienstleistungslizenzinhaber jeden Tag an vorderster Front stehen, um ihre Kunden zu schützen. FIIG tat das nicht – und sie setzten Tausende von Kunden einem Risiko aus. In diesem Fall übertrafen die Konsequenzen weit, was es FIIG gekostet hätte, angemessene Kontrollen von Anfang an zu implementieren.“