IT-Sicherheit · Branchen-Briefing

Die New York Department of Financial Services (DFS) hat eine Geldstrafe von 250.000 Dollar gegen einen lizenzierten Geldtransmitter verhängt, weil dieser gegen New Yorks Cybersicherheitsverordnung (23 N.Y.C.R.R. Part 500) verstieß. Das Unternehmen hatte unzureichende Cybersicherheitsrichtlinien für Systemupdates und mangelhafte Risikobewertungen, was es anfällig für potenzielle Bedrohungen machte. Parallel warnte die DFS regulierte Unternehmen vor einer aktiven Cyberattacke, die eine bekannte Sicherheitslücke in Remote-Monitoring-Plattformen ausnutzt und von Threat Actors verwendet wird, um Managed-Service-Provider-Umgebungen zu kompromittieren und potenziell auf Kundennetzwerke zuzugreifen.

Die US-Gesundheitsbehörde HHS hat am 29. Juli eine Einigung mit OSF Healthcare System bekannt gegeben, nachdem das Gesundheitssystem eine Benachrichtigung über einen Ransomware-Angriff von 2021 um 110 Tage verzögert hatte – weit über die in der HIPAA Breach Notification Rule vorgeschriebene Frist von 60 Tagen hinaus. OSF zahlte eine Siedlung von 552.250 Dollar und verpflichtete sich zu Korrekturmaßnahmen. Das Büro für Bürgerrechte (OCR) signalisiert damit klar, dass die Benachrichtigungsfrist von 60 Tagen ab Entdeckung des Verstoßes gilt, nicht nach Abschluss forensischer Ermittlungen. Dies ist bereits die 21. Ransomware-Durchsetzungsmaßnahme des OCR, das zunehmend die Aktualität von Benachrichtigungen überprüft und verzögerte Mitteilungen – auch bei guter Absicht – als Compliance-Verstoß wertet.

Die österreichische Finanzmarktaufsicht (FMA) hat den Krypto-Broker Bitpanda am 14. August mit einer Geldstrafe von 70.000 Euro belegt, weil das Unternehmen gegen die europäische Krypto-Verordnung MiCA verstossen hat. Die vier festgestellten Verstösse betrafen primär formale und zeitliche Anforderungen: Bitpanda reichte ein erforderliches Krypto-Whitepaper nicht fristgerecht (mindestens 20 Arbeitstage vor Veröffentlichung) ein, versandte eine Marketingmitteilung bevor das Whitepaper veröffentlicht war, und es fehlten in dieser Mitteilung erforderliche Kontaktangaben sowie ein Hinweis auf fehlende behördliche Prüfung. Das Verfahren ist abgeschlossen und alle Mängel wurden behoben; Kundengelder waren nach Unternehmensangaben nicht gefährdet. Die Entscheidung signalisiert, dass die österreichische Finanzaufsicht die MiCA-Regulierung aktiv durchsetzt und nicht nur schwerwiegende operative Probleme, sondern auch formale Verstösse bei Dokumentation und Kommunikation sanktioniert. Bitpanda erhielt seine MiCA-Lizenz im April 2025 und unterliegt seither der offiziellen Aufsicht der FMA.

Der Digital Operational Resilience Act (DORA) verändert die IT-Sicherheitsanforderungen im Finanzsektor für Banken und Versicherungen, schreibt aber keine spezifischen Technologien vor. DORA fordert, dass Unternehmen Risiken erkennen, Prozesse kontrollieren und auf Störungen reagieren können, lässt aber die technische Umsetzung offen. Laut Dr. Markus von Detten von Achelos besteht dabei eine zentrale Differenz zwischen bloßer Compliance und echter digitaler Resilienz: Dokumentierte Richtlinien verhindern noch keinen Ausfall. Für belastbare Sicherheit müssen Unternehmen ihre kryptografischen Schlüssel, Zertifikate und Identitäten beherrschen, Hardware Security Module (HSM) einsetzen, Zertifikate automatisiert verwalten und kritische Infrastruktur redundant ausgestalten. Besonders wichtig ist Certificate Lifecycle Management, da das CA/Browser Forum die Gültigkeitsdauer von TLS-Server-Zertifikaten schrittweise auf 47 Tage verkürzt – manuelle Verwaltung wird damit unmöglich. Auch technische Identitäten wie Service- und Cloud-Accounts sowie Backup- und Wiederherstellungsprozesse für die gesamte sicherheitsrelevante Infrastruktur müssen zentral gesteuert werden. DORA bietet somit nur den regulatorischen Rahmen, während Unternehmen selbst verantwortlich sind, durch eine vernetzte Architektur aus Identitäten, Schlüsseln, Zertifikaten und Prozessen echte Resilienz zu schaffen.