In einem fünf Seiten langen "Statement on Cybersecurity", das sich der Bedeutung von Cybersicherheit für die Behörde und für die Marktteilnehmer widmet, berichtet der neue SEC-Chef Jay Clayton eher beiläufig von dem Angriff und räumt ein, dass sich die Angreifer womöglich Informationen beschaffen konnten, die ihnen zu Gewinnen aus illegalen Börsengeschäften verholfen haben könnten.

Warum das der SEC erst im August aufgegangen sein soll, weshalb die Behörde erst jetzt die Marktteilnehmer über den Angriff informiert, wird nicht erläutert. Viel Fantasie ist dafür eigentlich nicht von Nöten, enthält die im Visier der Hacker stehende Datenbank "Edgar" doch Daten zum Geschäftsverlauf von Unternehmen, Unterlagen zu Fusionsplänen und Details zu geplanten Börsengängen. Diese Informationen sind über Edgar zwar für alle Marktteilnehmer zugänglich. Manche Formblätter werden vor der Veröffentlichung allerdings länger von der SEC geprüft und können Datendieben vor der Publikation Insiderinformationen liefern.

Der Umgang der Behörde mit dem Vorfall ist auch deshalb unglücklich, weil die SEC börsennotierten US-Unternehmen bereits mit Sanktionen gedroht hat, wenn sie Investoren nicht ausreichend schnell und umfassend über Hackerangriffe informieren, die den Unternehmenswert beeinträchtigen könnten. Dass die Aufsicht knapp ein Jahr benötigt, um über einen Einbruch in eine ihrer zentralen Datenbanken zu informieren, genügt diesem Anspruch nicht und schwächt die SEC nicht nur mit Blick auf die geplante Konsolidierung von Datenbanken.

Für Schadenfreude ist im Umgang mit Cyberrisiken trotzdem kein Platz. Die SEC reiht sich mit dem jetzt bekannt gewordenen Vorfall in eine lange Liste von betroffenen Banken, Unternehmen, Aufsehern und anderen Akteuren auf den Finanzmärkten ein. SEC-Chef Clayton hat als eine der ersten Amtshandlungen nach seiner Berufung in diesem Frühjahr eine Bestandsaufnahme der Cybersicherheit bei der Behörde in die Wege geleitet. Auch für die Aufseher selbst gilt schließlich die Einsicht, dass es mit Blick auf Cyberrisiken nur zwei Arten von Akteuren gibt. Solche, die bereits von Hackern korrumpiert wurden und darüber Bescheid wissen. Und die anderen, die darüber noch nicht Bescheid wissen.

Quelle: Börsen-Zeitung (ots) von Stefan Paravicini