Welche Rolle spielt Cybersicherheit bei Anlagen in verbrieften Wertpapieren?

Die Häufigkeit von Cyberangriffen steigt ebenso wie die Folgekosten

Die Zahl der Cyberangriffe ist in den letzten Jahren ebenso gestiegen wie die daraus resultierenden Kosten. So zeigen Daten von IBM, dass die durchschnittlichen Kosten einer Datenschutzverletzung im Jahr 2024 im Vergleich zu 2023 weltweit um 10% gestiegen sind – so stark gestiegen wie seit der Pandemie nicht mehr. Zudem wurde beobachtet, dass Datenschutzverletzungen mit längeren Lebenszyklen zu höheren Kosten führen. Eine Studie von Cyber Rescue UK zeigt, dass Datenschutzverletzungen für die betroffenen Unternehmen eine Reihe verschiedener Auswirkungen nach sich ziehen.

Abbildungen 1 und 2: Datenschutzverletzungen haben weitreichende Folgen

Quelle: Cyber Rescue UK, Blancco, Juni 2025. Umfrage unter 2.000 IT- und Nachhaltigkeitsverantwortlichen.

Zum Zeitpunkt der Erstellung dieses Artikels sind viele Unternehmen von einer erheblichen Sicherheitslücke bei Microsoft betroffen, woraufhin das Unternehmen Software-Updates für lokale und selbstverwaltete Sharepoint-Server veröffentlichen musste. Weitere öffentlichkeitswirksame Vorfälle betrafen den britischen National Health Service (NHS), Disney und den Versicherer UnitedHealth. Phishing (Täuschung von Personen, um sensible Informationen zu erhalten) und das Stehlen von Anmeldedaten scheinen dabei die häufigsten Angriffsmethoden zu sein.

Während zuletzt große Institutionen für Schlagzeilen gesorgt haben, sind Anlagen in verbrieften Wertpapieren keineswegs immun gegen das Thema Cybersicherheit. Kleinere Unternehmen sind vor allem von Angriffen betroffen, die in der Regel über externe Datenfeeds erfolgen. Oft müssen Unternehmen ihre gesamten Systeme herunterfahren und offline gehen, bis eine Lösung gefunden ist.

Australien ist aufgrund seiner fortschrittlichen digitalen Infrastruktur und seiner Schlüsselrolle im globalen Finanzwesen, im weltweiten Handel und in kritischen Wirtschaftszweigen ein attraktives Ziel für Cyberkriminelle. Wie wir wissen, wurde mindestens zwei australische Nichtbanken-Kreditunternehmen, die sich beide auf den Verbriefungsmärkten finanzieren, kürzlich Opfer von Cyberangriffen, die eine vorübergehende Pause bei der Kreditvergabe und einen sprunghaften Anstieg der Zahlungsrückstände zur Folge hatten, da das Inkasso unterbrochen werden musste. Daran wird deutlich, dass neben dem Governance-Risiko auch ein grundlegendes Kreditrisiko mit solchen Verstößen verbunden ist, da es zu Betriebsunterbrechungen, damit verbundenen Kosten und Reputationsschäden kommt. Dies ist für uns als Anleger in Verbriefungen relevant, da wir ein direktes Exposure in den zugrundeliegenden Krediten halten.

Cybersicherheitsrisiken bewerten

Zunächst haben wir uns mit den Emittenten in Verbindung gesetzt, um zu versuchen, die Cybersicherheits-Systeme und -Governance zu verstehen, aber die Antworten waren begrenzt und oft wenig aufschlussreich. Wir haben erkannt, dass das Verständnis der komplexen und sich schnell verändernden Landschaft der Informationssicherheitsinfrastruktur Expertenwissen erfordert. Also haben wir unser internes Information Security-Team gebeten, ihre eigenen Due-Diligence-Prozesse zu betrachten. In Zusammenarbeit mit dem Team haben wir sodann über ein Jahr lang unseren Rahmen für die Bewertung der Cybersicherheit entwickelt.

Schwerpunkt des Engagements identifizieren

Obwohl die Umsetzung dieses Rahmens noch am Anfang steht, erhalten wir positive Reaktionen. Die emittierenden Unternehmen zeigen großes Interesse und sind bereit, an unserer Umfrage teilzunehmen. Die folgende Tabelle zeigt die große Bandbreite der eingegangenen Antworten:

Abbildungen 3 und 4: Antworten auf die Cybersicherheits-Umfrage von JHI nach Art und Sitz des Unternehmens

Quelle: Janus Henderson, Stand: 23. Juli 2025.

Viele Emittenten gaben die Rückmeldung, dass wir der erste Investor sind, der zum Thema Cybersicherheit einen proaktiven Dialog mit den Unternehmen führt, woran deutlich wird, dass unser Ansatz nicht nur neu, sondern auch relevant ist. Unser Prozess umfasst eine detaillierte Überprüfung der Umfrageantworten und technischen Berichte, gefolgt von einem iterativen Engagement in den Unternehmen. Anschließend stellen wir gezielte Folgefragen, wenn wir Schwachstellen oder Lücken in der Governance feststellen. Um Tiefe und Genauigkeit zu gewährleisten, arbeiten wir weiterhin eng mit unserem internen Information Security-Team zusammen und nutzen dessen technische Expertise, um unseren Fokus zu lenken und komplexe Ergebnisse richtig zu interpretieren.

Angesichts der zunehmenden Häufigkeit und der steigenden Kosten von Cyberangriffen sind robuste Cybersicherheitspraktiken heute nicht mehr optional, sondern unerlässlich. Dies gilt nicht nur für Emittenten, sondern auch für Anleger, die im Rahmen ihrer treuhänderischen Pflicht Cyberrisiken verstehen und managen müssen. Wir glauben, dass die Entwicklung dieses Rahmens für die Bewertung der Cybersicherheit einen bedeutenden Schritt nach vorne darstellt. Indem wir die Bewertung von Cyberrisiken in unsere Governance- und Kreditanalysen integrieren, verbessern wir die Due Diligence, schaffen einen Präzedenzfall für bewährte Praktiken in der Branche und tragen zu einer widerstandsfähigeren Investitionslandschaft bei.