Posts mit dem Label Security werden angezeigt. Alle Posts anzeigen
Posts mit dem Label Security werden angezeigt. Alle Posts anzeigen

Open Banking Teil 3 | Was die alten Römer mit IT Security zu tun haben

Bereits die alten Römer haben ca. 100 v. Chr. Botschaften mittels Caesar-Verschlüsselung chiffriert. Ziel war es, besonders geheime Informationen nur für denjenigen lesbar zu machen, an den die Nachricht auch tatsächlich gerichtet war. Hierfür kannte der Empfänger eine beliebige Zahl (einen Schlüssel), die die Anzahl Stellen im Alphabet darstellte, um die jeder Buchstabe im verschlüsselten Text verschoben werden musste. Kannte man diesen Schlüssel nicht, so war die Entschlüsselung deutlich erschwert. Dieses Bedürfnis nach Verschlüsselung hält bis heute an.

In der modernen Welt werden täglich Unmengen an Daten über verschiedenste Schnittstellen transportiert. Betrachtet man die Bankenwelt, so kann man das aufstrebende Thema Open Banking als Beispiel dafür nehmen, dass auch immer mehr Daten aus der Bank hinaus an TPPs (Third Party Provider), oder gar an Drittbanken gelangen sollen. Besonders im Fokus sind schlanke APIs (Application Programming Interfaces), welche als leicht zu implementieren und kostengünstig gelten. Dem entgegen stehen APIs im Ruf, im Verhältnis zu lang etablierten Schnittstellen, Einbussen in Punkto Sicherheit in Kauf zu nehmen. Diesem Mythos möchte ich entgegentreten. 

Zunächst mal muss man verstehen, wie APIs aufgebaut sind. Nebst der SOAP-Technologie (Simple Object Access Protocol), wird im Kontext von Open Banking die weit verbreitete REST-Technologie (Representational State Transfer), oder auch RESTful APIs genannt, verwendet. REST beschreibt die grundlegenden Aspekte, welche die entsprechende Schnittstelle erfüllen muss. Ein zentraler Punkt bildet HTTP (Hypertext Transfer Protocol) und das in der Transportschicht verwendete TLS (Transport Layer Security). 

Beim Aufbau einer TLS-Verbindung werden Zertifikate und unterstützte Verfahren zwischen den Partnern ausgetauscht und darauf basierend eine Session aufgebaut. Diese Session kommt jedoch nur zu Stande, wenn die Vertrauenswürdigkeit durch das Zertifikat gewährleistet wurde. 

In einem ersten Schritt wird dem Server mitgeteilt, welcher Verschlüsselungs-Algorithmus verwendet werden soll. Anschliessend übergibt der Client dem Server ein Zertifikat, welches unter anderem einen Public-Key beinhaltet. Während der Public-Key im Besitz des Servers ist und zur Verschlüsselung der Daten dient, verfügt der Client über den dazugehörigen einmaligen Private-Key. Dieser ermöglicht die Entschlüsselung. Eine solche Verschlüsselungsmethode wird auch asymmetrische Verschlüsselung genannt, da verschlüsselte Informationen nur mittels Privat-Key und auch nur in eine Richtung entschlüsselt werden können. Eine Besonderheit hierbei ist, dass die asymmetrische Verschlüsselung nur für den Session Aufbau einer Verbindung zum Zuge kommt. Vereinfacht gesagt, werden sowohl vom Client, als auch vom Server, mittels Public-Key des jeweils anderen, zufällig generierte Zahlenfolgen verschickt. Sind beide Seiten im Besitz der zufällig generierten Zahlenfolgen, wird durch den Client ein Pre-Master-Secret asymmetrisch verschlüsselt an den Server übermittelt. 

Nach erfolgreicher Übermittlung können nun beide Seiten (Client und Server), unabhängig voneinander einen finalen Master-Secret berechnen. Dieser Master-Secret ergibt sich aus den beiden zufällig generierten Zahlenfolgen, sowie dem Pre-Master-Secret, welcher durch den Client an den Server übermittelt wurde. Beide Seiten müssen demnach alle zuvor übermittelten Daten während dem Session Aufbau besitzen. So kann die Authentizität beider Parteien sichergestellt werden. Ab diesem Zeitpunkt werden alle Daten innerhalb der aufgebauten Session symmetrisch mittels Master-Secret verschlüsselt. 

Was bedeutet das nun konkret für die Datensicherheit über APIs?

TLS gewährleistet nebst der Authentizität von Client und Server, auch die Datensicherheit aller Übertragungsmedien. Dies erfolgt durch eine asymmetrische Übergabe verschiedenster Schlüssel, aus denen wiederum ein finaler Schlüssel generiert wird. Ist man im Stande diesen finalen Schlüssel zu errechnen, so kann man mit hoher Sicherheit davon ausgehen, dass die aufgebaute Verbindung - Point to Point - privat unter Client und Server besteht. Technisch ist dann zwar möglich die Verbindung von aussen zu beeinflussen, bspw. zu kappen oder zu unterbrechen, lesen der Daten, oder sich als Client ausgeben ist jedoch nicht mehr möglich. 

Dieser Blog wurde von Julien Rösch gepostet.


SwatchPAY! – die berühmte Plastikuhr wird zum Plastikgeld

Wir freuen uns, dass wir die Gelegenheit bekommen haben, uns in Biel mit Swatch über die seit Anfang Jahr auf dem Schweizer Markt erhältliche Payment-Lösung SwatchPAY! zu unterhalten.

Imposant ragt die neue Holzdachkonstruktion des Architekten Shigeru Ban über den Eingang des neuen Swatch Hauptsitzes an der Nicolas-G.-Hayek-Strasse in Biel. An der Drehtür wird noch gearbeitet, Handwerker wuseln herum und nehmen letzte Einstellungen an der Elektronik vor, optimieren Zugangsschranken oder dichten eingesetzte Glasscheiben ab. Der neue Firmensitz ist noch nicht ganz fertig – und doch wirkt die bahnbrechende Architektur bereits jetzt einladend, cool und attraktiv.

Wir treffen im Raum „Goldfinger“ Alain Villard, den Brand Manager von Swatch Schweiz, zum Interview. Und auch wenn das Sitzungszimmer nicht aussieht wie das Office von „M“ oder James Bond, so macht alleine die Namensgebung neugierig und Lust auf mehr.


Sehr geehrter Herr Villard, herzlichen Dank, dass Sie sich Zeit nehmen, mit uns über SwatchPAY! und den Schweizer Markt zu sprechen. Sie lancieren in der Schweiz SwatchPAY!, was genau darf ich mir als Endkunde darunter vorstellen?

Weniger eine ausgeklügelte Strategie oder einen Masterplan als vielmehr die Lust als Marke immer wieder innovative Produkte auf den Markt zu bringen und unsere Kundschaft damit zu überraschen. Das haben wir auch in den vergangenen Jahren stets so gemacht. Jedes Jahr kamen wir mit zwei oder sogar drei neuen Produktlinien auf den Markt. Vor SwatchPAY! lancierten wir im vergangenen Oktober mit grossem Erfolg Swatch by You, die personalisierte Uhr. Und SwatchPAY!, die Uhr mit Bezahlfunktion, ist etwas, das wir im Juni 2017 sehr erfolgreich in China auf den Markt gebracht haben. Interessanterweise treffen wir damit den Nerv der Zeit. Dieses Produkt haben unsere Kunden so nicht von uns erwartet und das generiert schon mal ein gewisses Mass an Aufmerksamkeit. Es geht uns aber nicht darum, in Wettbewerb mit andern Marken zu treten, die ebenso - auf ihre Weise - eine Bezahlfunktion am Handgelenk anbieten, sondern es ist ein Service, eine zusätzliche Funktion, die wir unseren Kunden anbieten.

Der Erfolg einer solchen Payment-Lösung hängt nicht zuletzt von einem einfachen Onboarding-Prozess ab. Wie funktioniert der bei SwatchPAY! und welche Voraussetzungen muss der Kunde dafür erfüllen?

Sie können in eine von aktuell 29 dafür eingerichteten Verkaufsstellen in der Schweiz gehen, suchen sich eines der momentan vier Modelle von SwatchPAY! aus und laden auf Ihrem Smartphone die SwatchPAY! App herunter. Weiter sollten Sie bereits im Besitz einer Zahlungskarte von Mastercard sein, herausgegeben von einem der folgenden Unternehmen: Cembra Money Bank, Cornèrcard, Credit Suisse, Swiss Bankers, Swisscard, UBS, Viseca oder Wirecard - bald wird übrigens auch Visa hinzukommen und vielleicht auch American Express, das werden wir sehen. Das Onboarding wird dann direkt vor Ort im Swatch Store gemacht. Dafür nutzen Sie die im Laden installierte SwatchPAY! Box. Als erstes öffnen Sie die App, generieren sich ein Login und erfassen Ihre Zahlungskartenangaben. Dazu können Sie aus der App heraus die Zahlungskarte ganz einfach scannen. Dann scannen Sie mit der App den QR-Code auf der SwatchPAY! Box und positionieren die Uhr auf das dafür vorgesehene Feld. Die Uhr synchronisiert sich nun mit den Zahlungskarteninformationen der App. Es wird also ein Token auf Ihrer Uhr erzeugt, der an Ihre Zahlungskarte gekoppelt ist. Dieser Prozess dauert nur wenige Minuten. Sobald der Token generiert ist, ist ihre Uhr einsatzfähig und Sie können sofort damit bezahlen.

Ist es möglich, mehrere Uhren mit einer Mastercard zu tokenisieren?

Ja, das geht. Das Gegenteil ist jedoch nicht möglich. Sie können nicht mehrere Zahlungskarten auf der gleichen Uhr hinterlegen. In der App verwalten Sie, bei welcher der Uhren Sie die Bezahlfunktion gerade aktiv haben möchten. Sie haben hier also ganz einfach die Möglichkeit, den Token auf der Uhr sofort zu sperren.

An welche Zielgruppe richtet sich SwatchPAY! ?

An Alle (lacht). Wir haben das Glück, dass wir eine sehr breit gestreute Kundschaft haben, von ganz jung bis ganz alt, das war schon immer so. Das heisst, wir wollen unseren Fokus mit SwatchPAY! nicht unnötig einschränken. Trotzdem müssen wir hier klar sein: die Millennials sind schwieriger zu bekommen als vielleicht andere Generationen und es ist natürlich klar, dass das eine Zielgruppe ist, die wir als Mehrwert sehen. Durch SwatchPAY! eröffnen sich für uns aber auch neue Kundensegmente wie z.B. Bankangestellte, die reissen uns die Uhren geradezu aus der Hand. Wir haben dank SwatchPAY! in den letzten zwei Monaten sehr viele neue Kunden gewonnen.

Was hat die Marke Swatch bewogen überhaupt ins Bezahlbusiness einzusteigen?

Das ist gar nicht so neu für Swatch. Wir sind vor über 20 Jahren mit dem Chip-Konzept gestartet. Wir hatten Ende der 90er Jahre Swatch Access lanciert, eine Uhr auf der man z.B. den Ski-Pass speichern konnte. Wir haben das mit dem Chip somit nicht neu erfunden. Auch Tickets für Stadionbesuche konnte man auf der Uhr hinterlegen. Und vor drei Jahren brachten wir die Swatch Bellamy Uhr auf den Markt, mit der man bereits bezahlen konnte. Swatch Bellamy war jedoch ein ganz anderes Konzept als die heutige SwatchPAY!. Die Idee damals war gut, aber das Konzept war zu kompliziert. Es lief über eine hinterlegte Prepaid-Karte, bei der leider jedes Aufladen Spesen verursachte.

Ich bekomme durch diese Uhr also einen Bezahlchip ans Handgelenk, der im Prinzip das Gleiche kann wie die EC- oder Kreditkarte in meiner Tasche, nämlich kontaktlos bezahlen. Warum glauben Sie, brauche ich das als Konsument resp. warum muss eine Uhr bezahlen können?

Unser Ziel ist es, den Bezahlvorgang so einfach wie möglich zu machen. Ich benutze SwatchPAY! nun seit 6 Monaten (ich war einer der Tester) und ich muss Ihnen sagen, dass es Spass macht und dass das Handling viel einfacher und auch sicherer ist als wenn ich jedes Mal meine Karte ziehen muss. In der Vergangenheit liess ich meine Kreditkarte immer mal wieder zuhause liegen, das passiert mir heute nicht mehr (lacht).

Bei der Entwicklung des Produktes dachten wir vor allem daran, wie wir unseren Kunden einen Mehrwert bieten können, der sehr bequem und auch einfach im Umgang ist. Und das haben wir geschafft, der Aufwand am Verkaufspunkt ist viel geringer. Nehmen wir an, Sie sind in einem Club an der Bar und müssen bezahlen. Die Uhr können Sie selbst dann ans Lesegerät halten, wenn Sie zwei Drinks in den Händen halten. Zudem ist es viel sicherer, denn normalerweise haben Sie die Kreditkarte nicht am Handgelenk festgebunden und falls die Uhr tatsächlich abhandenkommen sollte, können Sie den Token sofort via Smartphone sperren. Sie müssen dafür nicht mal Ihre Bank anrufen.

Sie haben sich bei SwatchPAY! für ein hinterlegtes Kreditkartenschema entschieden, was von der Technologie her nicht neu ist. Sie sprachen vorhin über innovative Produkte, das führt natürlich zur Frage, warum Swatch hier nicht viel weitergegangen ist und etwas ganz Eigenes entwickelt hat?

Ich bin weder Ingenieur noch zuständig für die Produktabteilung, von daher kann ich Ihnen diese Frage nicht vollumfänglich beantworten. Aber als Zuständiger für den Schweizer Markt kann ich Ihnen sagen, dass wir schnell sein und etwas Einfaches anbieten wollten. Bestimmt gibt es noch sehr viele Ideen, die vielleicht weiterführend sind, aber Sie müssen verstehen, dass wir uns hier nicht im Smartwatch-Bereich bewegen, das war nie direkt unser Ziel. Swatch war immer ein buntes Accessoire. Bei uns muss es einfach und erschwinglich sein. Und die vorliegende Lösung bekommen Sie zu einem absolut genialen Preis. Andere Angebote, die mehr Entwicklungsarbeit, mehr Aufwand erfordern, würden wir Ihnen ziemlich sicher nicht zu einem Preis von unter hundert Franken bieten können. Aber genau das wollten wir unbedingt.

Sie haben den Preis angesprochen, eine SwatchPAY! bekommt man zu einem geringfügig höheren Preis als die meisten Ihrer normalen Uhren. Glauben Sie, dass der Bezahlchip generell zu einem Standard werden wird in sämtlichen Modellen?

Die Swatch New Gent, die der gleichen Grösse entspricht wie die SwatchPAY! Uhren, bekommen Sie für 75 Franken, während Sie für die SwatchPAY! 85.- bezahlen. Das heisst, die SwatchPAY! ist tatsächlich nur zehn Franken teurer. Mittel- und langfristig gesehen wäre es sicherlich ideal, wenn wir jedes Swatch Modell mit der Bezahlfunktion ausrüsten könnten. Der Kunde kann dann frei wählen, ob er eine klassische Swatch Uhr oder vielleicht doch lieber eine Swatch Irony (Edelstahluhr A.d.R.) haben möchte. Zurzeit ist es aber noch nicht soweit. Die Schweiz ist nach China das zweite Land weltweit in dem wir SwatchPAY! lanciert haben. Wir planen zudem Rollouts für 2019 in mehreren Ländern in Europa sowie in Amerika. Unsere Ingenieure und die Produktabteilung überlegen bereits jetzt, wie wir in absehbarer Zeit die Bezahlfunktion in möglichst viele weitere Uhrenmodelle einbauen können.

Ich habe gelesen, dass es unter Umständen gar nicht so einfach sein soll, aufgrund der Bauart des Chips und der NFC-Antenne, kleinere Uhren damit auszurüsten und somit auch feinere Handgelenke bedienen zu können. Ist die Technik vielleicht auch gar noch nicht soweit?

Ja, das habe ich auch gehört, diese Frage taucht immer mal wieder auf. Und die Antwort, die die Entwickler darauf geben ist tatsächlich, dass die Antenne einen gewissen Platz braucht. Im Moment bedingt das also die vorliegende Uhrengrösse. Aber das schliesst nicht aus, dass wir in Zukunft auch feinere Uhrenmodelle damit ausstatten können. Und ich möchte in diesem Zusammenhang auch darauf hinweisen, dass wir historisch gesehen mit Swatch New Gent, der Modellvorlage für SwatchPAY!, extrem viel Erfolg auch bei Frauen hatten. Der Gehäusedurchmesser beträgt 41mm. Und von den vorliegenden vier SwatchPAY! Modellen sind mindestens zwei sehr weiblich. Es ist eher das Gegenteil der Fall. Bei uns melden sich Männer, die sich männlichere Modelle mit inkludierter Bezahlfunktion wünschen, und das werden wir nun in den nächsten Monaten umsetzen.

Inwiefern achten Sie bei der Lancierung von SwatchPAY! in einem neuen Markt auf Statistiken, die den Anteil an Bargeldtransaktionen im jeweiligen Land beschreiben?

Das ist eine gute Frage. Natürlich sind solche Informationen interessant, aber für unsere Zwecke eher zweitrangig. Bei der Lancierung von SwatchPAY! spielt vor allem eine Rolle, wie viele Karten-Issuer es auf dem jeweiligen Markt gibt und wie viele Kunden die haben. Je weniger Player mit vielen Kunden, desto interessanter für uns. Und dann achten wir natürlich auch darauf, wie stark die Marke Swatch in dem jeweiligen Markt ohnehin schon ist. Das spricht zum Beispiel für Italien und Frankreich, aber eher weniger für die nordischen Staaten, obwohl gerade in Schweden sehr oft bargeldlos bezahlt wird.

Die App, die es braucht, damit die PAY-Funktion der Uhr genutzt werden kann, hat Swatch entwickelt. Darin fülle ich meine Zahlungskarteninformationen ab und erzeuge beim Onboarding-Prozess den entsprechenden Token auf der Uhr. Kann ich als Kunde in der App die getätigten Transaktionen sehen?

Nein, die sehen Sie im Moment noch nicht. Die Funktion existiert aber, sie war nur noch nicht fertig für die Lancierung am 17. Januar. Wir wollten mit dem Produkt unbedingt auf den Markt und haben die App deshalb ohne dieses Feature gebracht. Das wird aber sehr bald kommen, es ist nur noch eine Frage von Wochen. Sie werden dann in der SwatchPAY! App jedoch lediglich diejenigen Transaktionen sehen, die Sie mit der Uhr vorgenommen haben. Während Sie natürlich in der App Ihres Kartenherausgebers alle Transaktionen sehen können, unabhängig davon, ob Sie mit der Uhr oder mit der Karte bezahlt haben.

Apple bringt nach der AppleWatch und ApplePay nun eine eigene Kreditkarte heraus. Es werden neue Features versprochen wie z.B. eine Ausgabenanalyse und Fraud-Protection. Klingt sowas für Swatch verlockend oder befinden Sie sich da wo ganz anders?

Wie bereits gesagt möchte ich unsere Produkte nicht mit Apple vergleichen, weil die Produktstrategien grundsätzlich verschieden sind. Schon die Preise sind nicht zu vergleichen. Zudem glaube ich, dass Apple in der Schweiz nicht alle Issuer von Mastercard überzeugen konnte, während die alle bei uns mitmachen. Klar haben wir in der Schweiz ein Renommee, und ich nehme an, das hat natürlich geholfen.

Unser Produkt hält, was es verspricht, es ist einfach im Handling und sehr sicher. Die Uhr verbindet sich weder mit dem Smartphone noch mit dem Internet. Und wir haben keinen Zugriff auf die Informationen der Kunden, das wollen wir auch nicht und das wird auch so bleiben.

Herr Villard besten Dank für dieses Gespräch.


Dieses Interview wurde von  Matthias Hungerbühler geführt.

#SwatchPAY! #Digitalisierung #SmartWatch #Innovation

Cyber-Sicherheit am Finanzplatz Schweiz

Cyber-Sicherheit ist dieser Tage ein Buzzword in der Finanzbranche. Risikomanager grübeln über die Modellierung, Versicherer über das Pricing von Policen und die FINMA weiss, dass Cyber-Risiken das bedeutendste OpRisk für Banken ist und dass nicht genug für den Schutz getan wird. Derweil werden die Angreifer immer mächtiger und professioneller.


Aber wie gut oder schlecht geschützt sind die Banken hierzulande nun eigentlich im Vergleich zu anderen Branchen oder der Konkurrenz andernorts? Darüber weiss man leider relativ wenig. Grosse Research-Häuser nutzen meist qualitative Umfragen, die a) nicht repräsentativ, da kleines Sample und b) schwer vergleichbar sind. Eine umfassende Differenzierung zwischen Branchen, Ländern und weiteren Variablen müsste auf einer konsistenten Bewertung zahlreicher Unternehmen bezüglich der Faktoren Systeme, Prozesse und Mitarbeiter beruhen. Kaum realistisch.



Einen ersten Schritt haben wir getan. Das Tool cysmo® aus eigenem Hause bewertet Unternehmen nach einer konsistenten Logik vollautomatisch bezüglich mittlerweile über 30 verschiedener Scores. Und zwar innerhalb kürzester Zeit, ohne interne Informationen zu nutzen und browserbasiert. Einfach Domain angeben, 2 Minuten warten, fertig. Klarerweise kann aufgrund der Outside-in-Sicht von cysmo® nicht jeder Aspekt bewertet werden. Die Sicherheit interner Prozesse oder das Verhalten von Mitarbeitern wird z.B. nicht bewertet. Dazu bedürfte es aufwendiger Penetration-Tests oder Security Audits. Dennoch, ein Hacker geht zunächst genauso vor wie cysmo®: Informationen über verwendete Server, Hosts und Provider, Verschlüsselungstechniken, offene Zugangspunkte oder im Darknet auffindbare Mail-Adressen werden genutzt, um DDoS- DNS- Malware-, Phishing- oder andere Social Engineering-Attacken zu initiieren. Wer hier also Schwachstellen hat, ist einer erhöhten Gefahr ausgesetzt. Zudem liegt es, wenn schon die von aussen sichtbaren Systeme unsicher sind, wahrscheinlich auch intern im Argen.



Für unsere Analyse haben wir mehrere zehntausend Unternehmen aus Deutschland und der Schweiz mittels machine learning ausgewertet. Cysmo® hat die Scores zu 6 Teil- und einem Gesamt-Rating aggregiert und in prozentuale Schutzniveaus übersetzt. Da wir Grössen-Indikatoren wie den Umsatz einbezogen haben, können wir den marginalen Effekt für verschiedene Branchen angeben, also wieviel besser oder schlechter eine Bank unabhängig ihrer Grössen-Merkmale abschneidet. 



Zu den Ergebnissen: Deutsche Banken sind insgesamt deutlich besser geschützt bzw. erreichen positive marginale Effekte. Zurückzuführen ist das vor allem auf höhere Malware-, DDoS- und DNS-Widerstandsfähigkeit. Die eidgenössischen Institute dagegen erreichen insgesamt nur durchschnittliche Schutzniveaus, im Bereich Social Engineering sogar deutlich unterdurchschnittliche! Deutsche Banken sind über 20% sicherer als Grossbanken in der Schweiz. Nur wenig überdurchschnittlich schneiden übrigens auch viele weitere Branchen ab, die gemäss BABS zu den kritischen Infrastrukturen zählen.



Wie sind diese Ergebnisse zu bewerten? Das zu erwartende Schutzniveau hängt u.a. von der Gefährdung und der Verwendung kritischer Informationen auf IT-Systemen ab. Unternehmen, die weniger gefährdet sind oder auf Websites und in Mails keine schützenswerten Informationen verwenden oder austauschen, müssen ihre Systeme u.U. weniger gut abschirmen. Allerdings kann das nicht den deutlichen Länderunterschied für Banken erklären. Weder ist der Finanzplatz Schweiz weniger gefährdet (oder zumindest wäre uns das nicht bekannt), noch nutzt man hierzulande weniger kritische Informationen in von aussen sichtbaren IT-Systemen. Um also robuste Strukturen z.B. fürs Online-Banking zu garantieren, sollte die Widerstandsfähigkeit in den Bereichen DDoS und DNS verbessert werden. Mail-Adressen sowie der generelle Mail-Verkehr sollten geheim und mit modernen Verfahren verschlüsselt sein, um nicht von sog. CEO Frauds und ähnlichen Social Engineering-Attacken heimgesucht zu werden.



Mit unserer Auswertung können wir detaillierte und robuste Aussagen über die Outside-in-Cyber-Sicherheit treffen, woraus sich bei fachkundiger Interpretation Handlungsempfehlungen ableiten lassen. Für Details wenden Sie sich bitte direkt an das Team hinter cysmo®. Uns zumindest scheint die Baustelle Social Engineering / Spoofing / Phishing zentral, auch weil Angreifer immer professioneller und kreativer werden, um durch gefälschte Mails an vertrauliche Daten zu gelangen. Der überraschend deutliche Länderunterschied gibt uns zudem zu denken. 



Zum Denken sind auch Sie eingeladen. Was glauben Sie: Gibt es Auffälligkeiten bezüglich der Geschäftsfelder von Banken? Sind Kantonal- und Genossenschaftsbanken, Sparkassen, Gesamtbanken, Bausparkassen oder doch Investmentbanken am besten geschützt? Schreiben Sie uns ihre Vermutung, die Auflösung erhalten Sie als Antwort.



Dieser Blog wurde von Sebastian Strub verfasst

#Cybersecurity #Cysmo #FINMA

Die Migration ZV – eine letzte Hürde

Migration ZV, Berg, LEON, Digital Finance Blog
Die Zeit läuft. Nach mehreren Etappen voller Diskussionen, Spezifikationen, Überlegungen und Entscheidungen geht das Projekt Harmonisierung Zahlungsverkehr in die entscheidende Phase. Doch die Zielgerade gestaltet sich schwieriger als anfangs angenommen und verlangt von allen Beteiligten noch einmal alles ab. Banken, Softwarepartner, Unternehmen und Privatkunden – sie alle sind betroffen. Sie müssen sich alle mit den neuen ISO-20022-Formaten auseinandersetzen. Die Migration wird zum Nadelöhr im Harmonisierungsprojekt ZV.

Ein Rückblick:
Wir können heute bereits auf mehrere Jahre Projektarbeit zurückschauen. Ziel war und bleibt es, durch die Umstellung auf die neuen XML-Formate nicht nur den industriellen Standards gerecht zu werden, sondern gleichzeitig einen höheren Automatisierungsgrad im Zahlungsverkehr zu erreichen. Vom Interbanken-Zahlungsverkehr bis hin zu allen Bereichen im Customer-To-Bank-Verfahren war und ist weiterhin alles betroffen.
Vorteile ergeben sich hierbei nicht nur für Finanzinstitute, sondern ebenfalls für Bankkunden und Softwareanbieter – sei es nun in der Optimierung der Kreditoren- und Debitorenbuchhaltung oder in der Umstellung der Kanäle (zum Beispiel auf EBICS). Kostenersparnisse und ein besserer Schutz vor Cyber-Kriminalität sind nur einige Aspekte, die an dieser Stelle aufgezählt werden können.

Interessiert? Lesen Sie hierzu auch unsere Blogartikel:
Optimierungschance für Corporates
Angst vor Dridex - Wie schützt man sich

Die heutige Herausforderung
Mit dem Enddatum Mitte 2018 ist nun die Zeit gekommen mit der Migration zu starten, bei der alle in die Verantwortung genommen werden müssen. Die Frage nach dem „einen Verantwortlichen“ ist hierbei nach Meinung des Autors nicht angebracht. Vielmehr sollten alle Akteure zusammenspielen und der Migration gemeinsam entgegentreten.

Link zur Broschüre
Finden Sie sich wieder? SIX zeigt in ihrer Broschüre zum Thema Harmonisierung Zahlungsverkehr die Akteure auf.

Doch was bedeutet Migration genau?
Mit der Migration Zahlungsverkehr werden nun die Umstellungen, die bereits in den letzten Jahren bei den Banken begonnen haben, auf die Kunden und Softwarepartner übertragen. Alle Akteure werden hierbei endgültig in die Pflicht genommen, auf ISO 20022 umzustellen.
Dabei ist weitaus mehr betroffen als lediglich die Ablösung von DTA. Wagt man den Blick auf die verschiedenen Bereiche, wird die Komplexität der Umstellung deutlich. Stellen Sie sich doch selbst die Frage, in welchen Bereichen Sie überall betroffen sind.

PPI, Schweiz, Zahlungsverkehr, EBICS, ISO20022, pain.001, Lohn, DTA, Kreditor, Debitor, Cash Management


Je nach Blickwinkel ergeben sich darüber hinaus verschiedene Aufgaben und Handlungsfelder. So sind Finanzinstitute angehalten sich mit ihren Softwarepartnern bezüglich Formatspezifika und Umstellungsfristen abzusprechen – während sie gleichzeitig ihre Kunden über die neuen Formate und Möglichkeiten informieren sollen. Die Softwareanbieter stehen in der Verantwortung, im Gegenzug nicht nur die neuen Formate umzusetzen, sondern ebenfalls auf neue Kundenbedürfnisse (wie zum Beispiel EBICS) zu reagieren. Die Bankkunden selbst müssen ihre internen Strukturen anpassen und gegebenenfalls umstellen. Explizit bei jenen mit mehreren Bankverbindungen ist hier die Kommunikation und Abstimmung mit allen Parteien notwendig. Den Blick nur auf sich selbst ist daher wenig förderlich, vielmehr muss auf das Gesamtbild geschaut werden, um später von den Vorteilen zu profitieren.

Das ist aber noch nicht das Ende. Mit der Migration der Kunden in Bezug auf die neuen Meldungstypen ist jedoch das Ziel noch nicht ganz erreicht. Es stehen mit dem neuen Lastschrift- und E-Rechnungsverfahren und der Ablösung des Einzahlungsscheines bereits neue, weitreichende Veränderungen kurz bevor.

Für Sie gebloggt hat Florian Stade


#MigrationZV #Harmonisierung #EBICS #ISO20022 #LEON


ZV-Frühstück Westschweiz 2016 - Lausanne, 10. November 2016

Am 10. November 2016 lud PPI Schweiz die Westschweizer Zahlungsverkehrsgemeinde zum ersten PPI-Frühstück ins Hotel „Angleterre & Résidence“ in Lausanne ein. Der bereits in der Deutschschweiz erfolgreich lancierte Anlass fand auch bei den Westschweizer Kollegen grossen Anklang. Adnan Khalfallah von PPI Schweiz, seines Zeichens Moderator des Events, durfte über 30 Teilnehmer bei Kaffee und Gebäck begrüssen und in die Vorträge zu den Themen „Migration Zahlungsverkehr“ gemäss der neuen Norm ISO 20022 und „EBICS“ (Electronic Banking Internet Communication Standard) überleiten.

 Als Referenten konnten folgende Experten gewonnen werden:
  • Michel Desponds, Senior Technical Consultant bei PostFinance führte den Teilnehmern nochmals die Wichtigkeit und Grösse des Vorhabens „Migration Zahlungsverkehr Schweiz“ vor Augen. Es war beeindruckend zu hören, wie engagiert PostFinance die Kundenmigration vorantreibt und mit welchen Grössen der Marktführer im Zahlungsverkehr agiert. PostFinance geht in der Beratung mehrstufig vor und arbeitet mit einem Pyramiden-Modell, bei der auf der untersten Stufe die Basis-Migration (technisch) steht und an der Spitze die Optimierung des Working Capital. Entgegen dem offiziellen Enddatum für die Annahme von Zahlungen im Format DTA per Mitte 2018, möchte PostFinance alle ihre Kunden per Ende 2017 migriert haben. Eine Handvoll Tipps aus der Praxis und eine kleine, aber feine Fragerunde haben den Vortrag von Michel abgerundet.
  • Patrik Giger, Verantwortlicher für die Payment Connectivity Services von UBS behandelte in seiner Rede den Kommunikationsstandard EBICS. EBICS wird bei UBS in erster Linie von Corporate Clients für die Übermittlung von Zahlungsaufträgen und für den Bezug von elektronischen Reports eingesetzt. Patrik konnte dem Plenum einen direkten Einblick in die Arbeitsgruppe EBICS geben, in der die Schweiz neben Deutschland und Frankreich als fixes Mitglied fungiert. Die Schweiz engagiert sich in dieser Arbeitsgruppe auch als Vermittler, was sich z.B. darin ausgewirkt hat, dass ab dem nächsten Jahr eine neue harmonisierte EBICS-Version mit einem einheitlichen Auftragsartenkonzept publiziert werden kann. Das Thema „Sicherheit“, ein Steckenpferd von Patrik, wurde im Zusammenhang mit EBICS als sicheres Verfahren für die Übermittlung und Signierung von elektronischen Aufträgen als abschliessendes Thema präsentiert.
An dieser Stelle möchten wir den beiden Referenten recht herzlich für ihr Engagement danken. Auch dank ihrer Präsenz war der erste Anlass in Lausanne so gut besucht. Die Vortragsfolien und die besten Fotos zum Anlass sind nachfolgend publiziert.
Fazit: Der erste Anlass in der Westschweiz zum Thema Zahlungsverkehr im Rahmen eines Frühstücks war ein voller Erfolg. Die beiden Themen „Neuer Zahlungsverkehr“ und „EBICS“ wurden kompetent übermittelt und erste Feedbacks der Teilnehmer sind Ansporn genug, einen weiteren Frühstücksanlass Anfang 2017 zu planen. Französisch sprechende ZV-Experten sind herzlich willkommen.

Für Fragen zu unserem Engagement in der Westschweiz stehen wir selbstverständlich gerne zur Verfügung. 

Wir freuen uns auf ein baldiges Wiedersehen in Lausanne oder Genf.


#EBICS #MigrationZV #ISO20022 #Frühstücksevent #Security

Wie Sie in Ihrer Firma Cybercrime ermöglichen

PPI Schweiz
Es vergeht kaum eine Woche ohne einen neuen Betrugsfall in Europa. Betroffen sind Kunden aller Bankengruppen, vom Multinational bis zum KMU. Der Zahlungsverkehr digitalisiert, automatisiert und optimiert sich. Dies bringt jedoch auch Risikofaktoren mit sich, wenn man präventiv nicht einige Vorkehrungen trifft.

Es ist unbestritten, dass neue Technologien wie EBICS oder ISO 20022 einen erheblichen Mehrwert schaffen. Wie sieht Ihre Vorgehensweise aus, um sich vor Cyberattacken und Betrugsfällen zu schützen? Cyberattacken sind von Fall zu Fall sehr unterschiedlich und werden sich im Laufe der Jahre noch stark verändern. Allerdings haben alle diese Angriffe ein gemeinsames Ziel: Sie versuchen eine nicht erwünschte Zahlung zur Bank zu senden.

1. Durch eine falsche Organisation Ihrer Informatiksysteme
Sämtliche vertraulichen Zahlungsdateien werden durch Ihr Informatiksystem erstellt, verwaltet und zur Bank übermittelt. Aber können Sie die Sicherheit dieser Dateien gewährleisten? Können Sie sicherstellen, wer innerhalb oder sogar ausserhalb Ihres Netzwerks Zugriff auf diese Daten hat?

Um reibungslos und mit aller Sicherheit mit Ihren Banken zu kommunizieren, müssen Sie sicherstellen, dass Unbefugte weder eine Zahlung erfassen noch autorisieren und schon gar nicht versenden können. Dies können Sie nur durch die ganzheitliche Administration der verschiedenen Akteure. Für sämtliche Software (ERP, HR, Buchhaltung, Travel Expenses) müssen Berechtigungskonzepte vorliegen, die regeln, welcher Benutzer welche Tätigkeiten ausüben darf.

Ihr Netzwerk muss zumindest durch Virenscanner, Firewall, aktueller Software und zentralem Berechtigungsverzeichnis (Active Directory) geschützt werden. Eine unberechtigte Person sollte niemals Zugriff auf Ihr internes Netzwerk haben können. Jede Software, die mit Zahlungsströmen zu tun hat, muss ein sicheres Berechtigungskonzept enthalten, das anhand kollektiver Freigabe und Vier-Augen-Prinzip niemandem ermöglicht, eine Zahlung allein zur Bank zu versenden. Zusätzlich muss gewährleistet sein, dass eine Zahlungsdatei nie ausserhalb einer sicheren Payment Software automatisch oder manuell geändert oder gelöscht werden kann.

Ihre Bank kann Ihnen auch behilflich sein, indem sie Ihnen eine „Verteilte Elektronische Unterschrift“ (VEU) anbietet. Der Vorteil der VEU liegt darin, dass die Freigabe auf mehrere Geräte verteilt werden kann. Hierdurch lässt sich das Risiko einer Trojanerattacke deutlich senken. Die Wahrscheinlichkeit, dass ein Angreifer die Kontrolle über zwei verschiedene Geräte erlangt ist noch geringer, wenn sie sich nicht am selben Standort befinden.

Manche Software-Anbieter bieten heute nur interne Autorisierungen an. Die VEU ermöglicht Ihnen zusätzliche Sicherheitskontrollen zur Bank zu verlagern und somit den Risikofaktor mit einem Vertrauenspartner zu teilen. Ihre interne IT sicher zu machen ist natürlich der erste Meilenstein, den sie erreichen müssen. Aber reicht das, um Ihren Zahlungsverkehr zu sichern?

2. Mangelhafte Sensibilisierung der Mitarbeiter
Die zweite grosse Lücke liegt unmittelbar bei den Mitarbeitern, die einen möglichen Betrugsversuch sofort erkennen müssen. Vertrauenserschleichung, Identitätsdiebstahl, Lastschriftbetrug wie auch Phishing-Attacken sind Bedrohungen, wovor man durch regelmässige Ausbildungen schützen kann. Ein nicht ausreichend sensibilisierter Mitarbeiter kann ein grösseres Sicherheitsrisiko darstellen als ein ungenügend geschütztes Computer-System.

Neben technischen Massnahmen zur Erhöhung der Sicherheit eines Netzwerks ist vor allem das richtige Verhalten jedes einzelnen Benutzers von entscheidender Bedeutung. Dies umfasst beispielsweise Passwortrichtlinien, auf Vertrauenswürdigkeit der Emails und Webseiten zu achten, sich immer ordentlich aus Applikationen auszuloggen und den Computer zu sperren, wenn der Arbeitsplatz verlassen wird. Besonders wichtig ist dies beim Umgang mit Zahlungs-Software.

Reichen aber eine gut organisierte IT und geschulte Mitarbeiter aus?

3. Durch fehlende technische Sicherheitsfeatures
Sie haben Ihr Sicherheitskonzept durchdacht, Ihre Mitarbeiter sind dank qualitativer Schulungen auf Risiken sensibilisiert, aber benutzen Sie auch eine zeitgemässe Technologie?

Eine starke Authentifizierung (zum Beispiel durch USB Token, Kartenleser usw.) kann Ihre IT-Systeme vor Identitätsdiebstahl schützen, da ohne entsprechende Hardware nicht auf das System zugegriffen werden kann. Diese Technologien können sowohl auf Betriebssystemebene als auch softwarespezifisch eingesetzt werden.

Unterstützt Ihr Software-Anbieter VEU? Mit Hilfe der verteilten elektronischen Unterschrift haben Sie die Möglichkeit das Risiko auf mehrere Geräte zu verteilen. Die Autorisierung von Zahlungsaufträgen mit einer Mobile-App, Zweitunterschrift(en) via E-Banking und sogar limitengesteuerte Freigabeberechtigungen können zu mehr Sicherheit beitragen.

Sind Ihre Zahlungsdateien im Netzwerk verschlüsselt und können sämtliche Änderungen nachverfolgt werden? Kryptographie, MD5-Algorithmen und dessen Hashwerte können dabei helfen, Dateien ausserhalb einer ZV-Software unbrauchbar zu machen. Dazu kann automatische Kopiersoftware behilflich sein, bei Schnittstellen eine Datei gar nicht auf einem Laufwerk hinterlegen zu müssen.

Der Markt bietet zahlreiche Lösungen, um sich vor Angriffen im Bereich Zahlungsverkehr zu schützen. Nicht jede Lösung ist aber die richtige.

Wir bei PPI Schweiz möchten Sie darauf aufmerksam machen, dass Sie für einen sicheren Zahlungsverkehr ein klares Bild Ihrer Prozessketten und Ihrer individuellen Architektur benötigen. 
Sie brauchen eine gute Organisation Ihrer Informatiksysteme, geschulte Mitarbeiter und den Einsatz der für Sie passenden Tools und Technologien.


PPI Schweiz
Was sollte beim Security Check alles berücksichtigt werden?

In diesem Artikel haben wir einen groben Einblick in die relevanten Themen geben können. PPI Schweiz bietet eine Vertiefung und individuelle Beratung zur Identifizierung möglicher Sicherheitsrisiken. Wir freuen uns auf Ihre Kontaktaufnahme.

Hier finden Sie weitere Informationen zum Security Check.

Dieser Beitrag wurde von Julien Lacombe, PPI Schweiz, gepostet.


Julien ist Experte für Cash Management und Zahlungsverkehr. Er verfügt über weitreichende internationale Erfahrung und kennt die Bedürfnisse der Firmenkunden und Finanzinstitute.

Aktuell unterstützt er Kundenprojekte zur Harmonisierung des Zahlungsverkehrs, ISO20022 und EBICS.


#CyberCrime #SecurityCheck #Digitalisierung

Angst vor Dridex - Wie schützt man sich richtig?

PPI Schweiz
"Offline Zahlungs-Software im Visier von Hackern - Schweizer Unternehmen betroffen."

Obige Schlagzeile ist der Mitteilung der Melde- und Analysestelle Informationssicherung MELANI im Juli dieses Jahres entnommen, die eine neue Art von Hacker-Angriff auf Unternehmen in der Schweiz beschreibt.

Firmen verwenden heute für die Abwicklung von Massenzahlungen, insbesondere bei Multibank-Verbindungen, in der Regel eine sog. Offline-Software für die Übermittlung, Freigabe und Ausführung von elektronischen Zahlungsaufträgen. Dabei werden Überweisungen automatisiert, direkt aus der ERP-Software ausgelöst und über sichere Protokolle an die Bank übermittelt. Diese Art der Zahlungsverkehrsabwicklung macht den Grossteil der heute in der Schweiz elektronisch eingereichten Aufträge aus.

Die in der Meldung von MELANI beschriebene Schadsoftware „Dridex“, die sich über schädliche Microsoft Office Dokumente in E-Mails von vermeintlich legitimen Absendern verbreitet, fokussiert seit neuestem genau diese Offline-Software-Lösungen. Dabei werden gezielt Hersteller attackiert, die im Schweizer Markt eine gewisse Verbreitung haben. Viele Firmen sind aktuell etwas verunsichert, wie sicher ihre Lösung in Tat und Wahrheit noch ist und wie sie sich gegen ähnliche Hacker-Angriffe schützen können.

Zunächst gelten einmal die von MELANI seit langem publizierten Sicherheitshinweise wie Verwendung dedizierter Computer, Ignorierung von Mails mit verdächtigen Attachments, regelmässige Aktualisierung von Betriebssystemen und Virenschutzprogrammen etc., welche die Absicherung der eigenen Infrastruktur gewährleisten. Ein Hinweis fällt dabei ins Auge, nämlich der, dass Kollektiv- anstelle von Einzelunterschriften eingesetzt werden sollen. Wie funktioniert das in der Praxis, wo ja keine Papier-Aufträge mehr physisch von den Bevollmächtigten der Firma signiert und an die Bank versendet werden?

Die Banken bieten hier grundsätzlich zwei Lösungen an (teilweise auch in Kombination). Einerseits ist die Freigabe über einen anderen Kanal möglich. Das heisst, die Datei mit den Zahlungsaufträgen wird beispielswiese über das Protokoll EBICS (Electronic Banking Internet Communication Standard) direkt aus der Offline-Software an die Bank übermittelt, wobei der Auftrag aber noch nicht zur Ausführung autorisiert wurde. Mittels Freigabe im Online-Banking der Bank können die Aufträge dann definitiv von einer zweiten Person freigegeben werden.

Eine weitere, sichere und flexible Art der Kollektiv-Unterschrift ist der Einsatz der im EBICS-Standard enthaltenen „Verteilten elektronischen Unterschrift“ (VEU). Der Standard sieht hierbei die Unterschriften-Modelle „Transport“- (keine Autorisierung), „Einzel“-, „Kollektiv A“- und „Kollektiv B“- Unterschriften vor. Pro Auftrag kann zudem auf Seiten der Bank eine Tageslimite definiert werden (wahlweise pro Kunde, Konto und Auftragsart). Die VEU erlaubt dem Kunden eine 1:1 Abdeckung der Unterschriftenregelung seiner Unternehmung und führt in Verwendung mehrerer Kanäle (z.B. Erteilung der zweiten Unterschrift über ein Mobile Device) zu einem sehr hohen Sicherheitsniveau.

Immer mehr Banken in der Schweiz führen die EBICS VEU als Angebot ihrer E-Banking-Lösungen ein. Erkundigen Sie sich bei Ihrem Institut explizit danach oder stellen Sie Ihre Fragen an info@ppi-schweiz.ch wenn Sie noch mehr Information zur EBICS VEU benötigen.

Dieser Beitrag wurde von Carsten Miehling gepostet.

#MELANI #VEU #EBICS #SECURITY