SIBOS 2017 in Genf – es geht los!

Die SIBOS, die weltweit größte Messe für Zahlungsverkehr, steht wieder vor der Tür. Auf der diesjährigen Veranstaltung (26.09. – 29.09.) ist auch PPI Schweiz am Start.
Wir werden dabei unsere Kompetenz zum Thema Zahlungsverkehr sowohl von der Produkt- als auch von der Beratungsseite präsentieren.

Brandheisse Themen dieses Jahr sind Instant Payments, Interbanken-Zahlungen über EBICS, ein neues Clearing-Produkt und natürlich eine europaweite Studie zum Thema Kosteneffizienz im ZV.

PPI hat sich im Zahlungsverkehr insbesondere in Deutschland, der Schweiz sowie im Produktumfeld auch in anderen europäischen Ländern einen hervorragenden Ruf erarbeitet.

Wir twittern von der SIBOS! Ab Montag wird hier im Blog ein Live-Feed zu lesen sein. Wir freuen uns über Ihren Besuch am Stand B79.

#SIBOS #Finance #PPIonTour

Weiterlesen

RegTech – Der „kleine Bruder“ von FinTech auf der Überholspur

RegTech war lange Zeit ein stiller Begleiter der Finanzwelt. Sicher nicht als Begriff an sich, doch regulatorischen Anforderungen mit technologischen Hilfsmitteln entgegenzutreten ist nichts Neues.

Seit 2015 etabliert sich RegTech nun jedoch als fester Begriff im FinTech-Ökosystem. Geprägt durch neue Technologien und verschiedene Interessengruppen setzt der „kleine Bruder“ von FinTech nun zum Überholvorgang an und gerät immer mehr ins Rampenlicht. Das Jahr 2016 wird auf manchen Foren bereits als „RegTech Year" betitelt und die Suchanfragen auf google steigen stetig. Aber was verbirgt sich eigentlich genau hinter dem Begriff RegTech? Woher kommt der „Hype“ und sind die Ideen und Lösungen wirklich den aktuellen Anforderungen gewachsen?

Definition und Beschreibung von RegTech
RegTech verbindet die Begriffe Regulatory und Technologie. Der Begriff wird übergreifend für StartUps und deren Umsetzungsideen verwendet, die versuchen regulatorisch bedingte Vorhaben durch neue Technologien und Standards zu lösen. Dabei werden sowohl Fach- als auch IT-Themen aus den Bereichen Compliance, Guidelines und Regulation betrachtet. Innovative Technologien, wie zum Beispiel Artificial Intelligence, Big Data oder Cloud Systeme, dienen hier als Basis für die neuen Lösungsvorschläge.

Die Kombination aus jungen dynamischen Teams und neuen innovativen Technologien prägt das Ansehen von RegTechs. So werden sie als flexibel in der Aufstellung des Teams, schnell in der Umsetzung von Anforderungen, integrativ im Umgang mit neuen Umgebungen und analysestark in der Auswertung von Ergebnissen gesehen. Diese Kombination steht für einen der Grundpfeiler ihres Erfolges.

Der zweite Grundpfeiler ist das Umfeld in dem sie sich bewegen. Der Finanzplatz Europa wird zunehmender durch Regulierungen gesteuert, überwacht und verändert. Seit der Finanzkrise 2007/08 überschwemmen Reform- und Regulierungswellen die Finanzindustrie. Schätzungsweise 10 bis 15 Prozent aller Arbeitsplätze sind bereits in den Bereichen Governance, Risikomanagement und Compliance angesiedelt und die Kosten für die Bewerkstelligung der neuen Anforderungen steigen weiter. Themen wie Basel IV, SREP, MiFID II oder auch KYC und PSD2 stellen die europäischen Banken vor Herausforderungen und zwingen sie zum Handeln.

RegTech in der Schweiz?
Obwohl die Schweiz im europäischen Umfeld eine eigene Rolle einnimmt, werden auch hier Stimmen zu Regulatorien laut. Dennoch ist die Anzahl der RegTech-Firmen sowie die Anzahl der RegTech-Lösungen bisher noch reduziert. Das Postulat von Martin Landolt „Förderung der Digitalisierung in der Regulierung (RegTech)“, welches am 17. Juni 2016 vom Nationalrat angenommen wurde, wird jedoch das Thema RegTech weiter vorantreiben.

Ob wir nun aber über RegTech, FinTech oder PayTech sprechen, ausschlaggebend für die Entwicklung der Themen in der Schweiz wird die Kooperation zwischen den einzelnen Institutionen sein. Neue innovative Ideen wird es brauchen, um einen Fortschritt zu gewährleisten - sei es nun regulatorisch bedingt oder von einem anderen Gesichtspunkt aus getrieben. Gleichzeitig wird es mit Blick auf die wachsende Verlagerung der IT ins Ausland und durch die komplexen IT-Systeme der Banken immer schwerer werden als junges StartUp allein auf dem Finanzmarkt zu bestehen.

Die „einfache“ Abstimmung der Spezifikationen wird demnach nicht ausreichen, um einen langfristigen Erfolg zu gewährleisten. Der Fokus sollte daher auf den gesamten Regulierungsapparat gelegt werden. Die Kooperation zwischen RegTechs, etablierten Beratungsunternehmen und Banken ist und wird daher der Schlüssel sein, um die Digitalisierung der Schweiz weiter auszubauen.

Dieser Beitrag wurde von Florian Stade gepostet.

#RegTech #Digitalisierung #DigitalBanking

Weiterlesen

Digital Identity Teil 3 - Lösungsbeispiel und strategische Haltung

Anforderungen an Digital Identity

In seiner einfachsten Weise ist eine digitale Identität eine Online-Legitimation für ein real existierendes Individuum. Vorstellen kann man sie sich als Datensatz mit Informationen zu einer Person, die von ihr selbst erhoben werden oder auch aus anderen Quellen stammen, wie beispielsweise von Firmen und staatlichen Institutionen, die Informationen über diese Person besitzen. Dieser Datensatz kann „harte“ Attribute enthalten wie Name, Adresse, Geburtsdatum, Führerausweisnummer etc., er kann jedoch auch mit „weichen“ Attributen wie Social Media-Nutzung oder Informationen aus Bewertungsportalen angereichert werden. Durch das Zusammenspiel dieser Attribute entsteht ein eindeutiges Bild einer Person, das mit hinreichender Sicherheit bestätigt, dass eine Person diejenige ist, für die sie sich ausgibt. Dieser digitale Footprint kann als „unique“ bezeichnet werden und ist deshalb geeignet, eine digitale Identität zu erstellen, die dem Besitzer / der Besitzerin erlaubt, auf Services in der Online- oder auch der realen Welt zuzugreifen.

Internationales Umfeld
Im internationalen Umfeld gibt es bereits verschiedene Initiativen. Beispielsweise hat Kanada 2012 eine Secure Key Initiative gestartet, die zum Ziel hat, die Identitäten der Kunden für Finanzinstitute und Behörden zu verwalten. Teilnehmer an dieser Initiative sind unter anderem die Tangerine Bank, Bank of Montreal, TD Bank und Scotiabank.

Die Initiative sieht es vor, dass sich kanadische Bürger über ihr E-Banking bei staatlichen Onlineservices anmelden können. Dabei wird sichergestellt, dass die Bank keinerlei Informationen an die Behörden gibt und umgekehrt. Der Nutzer hat den Vorteil, dass er das bereits vorhandene Login seiner Bank verwenden kann, um sich hiermit in einfacher Weise für Dienstleistungen des Gesundheitswesens, der Behörden und anderer teilnehmenden Firmen anzumelden. Mehr Informationen gibt es hier: http://securekey.com

Ähnlich wie in Kanada hat im Frühling 2016 die britische Regierung gemeinsam mit Barclays und anderen Partnern eine Identitätsverifikationsplattform ins Leben gerufen. Diese soll sich sowohl am Verkaufspunkt, im Banking, im E-Commerce und auch im elektronischen Kontakt mit Behörden (eGOV) etablieren. https://www.gov.uk/government/publications/introducing-govuk-verify/introducing-govuk-verify

Beides sind jedoch nur kleine Schritte hin zu einer universell einsetzbaren, einheitlichen digitalen Identität, die sowohl technische wie auch datenschutzrechtliche Anforderungen in Einklang bringt. Nichtsdestotrotz könnte sich ein solches Modell zum Standard entwickeln und Banken wären als vertrauenswürdige Betreiber prädestiniert, da sie ein vergleichsweise grosses Vertrauen der Kunden geniessen, wenn es darum geht, vertrauliche Daten sicher zu behandeln. Vertrauen der Konsumenten in eine intuitiv zu bedienende Lösung ist entscheidend, dass sie sich am Markt durchsetzt.

Mögliche strategische Haltung von Finanzinstituten gegenüber Digital Identity (IDaaS)

Die vollständige Identifizierung von Kunden ist traditionell ein Muss-Prozess im Banking. Dieser Prozess ist ressourcen- und kostenintensiv und wird von jeder Bank bei jedem Onboarding eines neuen Kunden vollständig in standardisierter Art und Weise durchgeführt.

Technische Innovationen wie das Internet und die Verbreitung von Smartphones ermöglichen es, einen Kunden nicht mehr auf traditionelle Art und Weise über ein physisches Ausweisdokument zu identifizieren, sondern über Datensätze, die online jederzeit und ortsunabhängig zur Verfügung stehen. Daneben erhöhen technische Add-Ons wie GPS, Biometrie und Auswertung von Kaufverhalten die Sicherheit, dass eine Person auch diejenige ist, für die sie sich ausgibt.

Ein Provider für Digital Identity kann aktuell in einen recht überschaubaren Markt eintreten, eine standardisierte Lösung anbieten und sich Identitätsprüfungen bezahlen lassen. In der Schweiz kann davon ausgegangen werden, dass jede beschränkt oder vollständig geschäftsfähige Person über ein Bankkonto verfügt. Daraus kann man schliessen, dass auch ein Grossteil bereits einmal von einer Bank identifiziert worden ist. Da es beispielsweise für Telekommunikationsfirmen oder Fintech Start-ups ebenfalls interessant ist einen solchen Service einzuführen, gilt der Grundsatz des Schnelleren. Insbesondere die überarbeitete Zahlungsdiensterichtline (PSD2 – wir berichteten) drängt Banken zum Handeln. Daneben stehen bereits weitere Initiativen in den Startlöchern, weshalb es empfehlenswert ist, bereits jetzt eine strategische Position zu diesem Thema einzunehmen.

Das war der dritte und letzte Teil zu dieser Serie.

Weitergehende Informationen erhalten Sie bei PPI Schweiz

Haben Sie die Teile 1 und 2 verpasst? Hier die Links:
Digital Identity Teil 1 - Ein Thema für Banken?
Digital Identity Teil 2 - Identifikationsmedien gestern und heute

Dieser Beitrag wurde von Marco Vosseler gepostet.

#DigitalFinance #IDaaS #DigitalIdentity #Digitalisierung

Weiterlesen

Ich und mein digitales Ich – PPI Schweiz zu Gast beim IFZ FinTech Forum

"Chancen und Gefahren im Identity Management". Unter dieser Überschrift lud die Hochschule Luzern am Mittwochabend zum IFZ FinTech Forum ein. Ingo Deutschmann von der BehavioSecGmbH, Christian Weber von der SECO und Hans-Jörg Widiger von der GemaltoAG referierten über interessante Fragestellungen und Themen im Bereich Digital Identity.

"Was bringt uns Digital Identity?”, "Überwiegen die Vorteile oder die Nachteile?" und "Kann ich mich eigentlich noch vor meinem digitalen Ich verstecken?". Fragen zu denen, wie der anschliessende Networking-Apéro deutlich zeigte, wohl ein jeder eine eigene Meinung hat.

Deutlich wurde, dass der Trend der Digitalisierung mit grossen Schritten vorangeht. Die Frage nach dem Umgang mit der digitalen Identität und die Verwaltung unseres digitalen Fussabdruckes wird in den nächsten Jahren eines der wohl am heissesten diskutierten Themen bleiben.

Hans-Jörg Widiger eröffnete die Vortragsreihe mit einem Sprung nach Estland. Das Land an der Ostsee, welches sich 1990 aus der ehemaligen UdSSR abspaltete und seit 2004 Mitglied der EU ist, gilt als eines der am weitesten fortgeschrittenen Länder im Bereich e-Government. "Running a Country Digital". Dies ist das Thema des Vortrages und kann gleichzeitig als Leitbild für Estland angesehen werden.

Estland hat es geschafft sich heute als einziges Land in Europa als eGesellschaft zu etablieren. Jeder Bürger besitzt einen Rechtsanspruch auf eine Internetverbindung und ist ab dem 15ten Lebensjahr dazu verpflichtet eine eID zu besitzen. Hierbei handelt es sich um eine Karte mit Chip und Lesegerät (bald auch mit NFC Token), die sowohl den Esten als auch dort lebenden Ausländern angeboten wird. Die Gründung von Unternehmen, das Einreichen der Steuererklärung oder das Abrufen der Schulnoten der Kinder läuft darüber komplett digital. Daneben dient sie natürlich der Identifikation, als Zugticket oder für die digitale Signatur. Fast alles ist heute mit der eID möglich und wird auch genutzt und akzeptiert. Grund dafür ist laut Widiger das Bürgerportal, eine Plattform, auf der jeder seine digitalen Daten einsehen kann und darüber informiert wird, wer sich seine Daten angesehen hat. Diese Transparenz ist einer der Schlüsselpunkte für die Akzeptanz und den Erfolg des Projektes eGesellschaft und sollte als Vorbild für alle europäischen Staaten dienen, die auf dem Weg zur eGesellschaft sind.

Christian Weber beginnt seinen Vortrag damit, in dem er seine verschiedenen Karten auf den Tisch legt, angefangen beim Pass, über den Führerausweis bis hin zur coop-Karte. “All das ginge auch mit nur einer Karte - aber Sicherheit ist halt unbequem“. In seinem Vortrag "Identifikationsmedien gestern und heute" referiert er über ein Thema, welches auch Teil unseres letzten Blog-Eintrages war. Als Mitarbeiter der SECO hat er die Einführung der eID und SuisseID mitbegleitet. Die SuisseID und eID wurden bereits 2010 lanciert, haben sich aber bis heute kaum durchsetzen können. Nach Christian Weber hat die SuisseID jedoch die Basis für mehr geschaffen. 2020 soll dann die neue eID in der Schweiz ausgerollt werden. Es ist jedoch noch nicht klar, ob bis dahin die Akzeptanz für den Schritt zur eGesellschaft da ist.

Für Ingo Deutschmann ist eines an diesem Abend klar: "Usability und Security müssen sich nicht immer asymmetrisch zueinander verhalten“. In seinem Vortrag zum Thema "Using Behavioral Biometrics to balance Usability and Security“ stellt er eine ganz eigene und neue Methode vor wie Sicherheit gewährleistet werden kann.

Mit Behavioral Biometrics kann der Umgang des Nutzers mit seinem Handy oder Laptop getracked, analysiert und gespeichert werden. Aus diesen Daten lässt sich dann ein digitales Profil erstellen, welches bei erneuter Nutzung der Anwendung geprüft werden kann. So lässt sich herausstellen, ob nun wirklich ich meine Online-Überweisung gerade tätige oder sich eine andere Person auf meinem Profil angemeldet hat. Dass die Technologie funktioniert, hat sie bereits bei einigen Kunden gezeigt. Sein Statement ist ganz eindeutig: “Wir sind die Guten“. Und doch ist es gleichzeitig etwas befremdlich wie sehr mein digitales Ich bereits neben mir existiert, ohne dass ich etwas davon mitbekomme.

Mir bleibt es, mich bei den Veranstaltern und Referenten für einen sehr interessanten Abend zu bedanken. Am 9. November startet dann das nächste FinTech Forum zum Thema: "Künstliche Intelligenz im Banking von morgen".

Wer vorher schon interessiert ist und mehr über Digitalisierung erfahren möchte, kann sich den 3. November im Kalender bereits freihalten. Dann startet das nächste PPI Top Event mit spannenden Referenten zum Thema Digital Finance.

Dieser Beitrag wurde von Florian Stade gepostet.

#DigitalFinance #DigitalIdentity #FinTech #HochschuleLuzern

Weiterlesen

Digital Identity Teil 2 - Identifikationsmedien gestern und heute

Beginnen wir beim bekanntesten und verbreitetsten Identifikationsmittel, dem Pass oder einem ausweisähnlichen Dokument. Seinen Ursprung hat der Reisepass bereits im Mittelalter. Massgeblich vorangetrieben wurde seine Verbreitung jedoch mit der französischen Revolution im Jahr 1792. Erst dann wurden die Reisepapiere mit personenbezogenen Daten versehen wie Namen, Geschlecht und Personenbeschreibung. Bis dahin wurden Personendaten in kirchlich geführten Pfarrregistern geführt, lokal und damit dezentral.

Der Code Civil, der 1802 von Napoleon Bonaparte eingeführt wurde, regelte alsdann auch die Führung der Personenregister und schrieb vor, dass jede Person einen Pass mit sich führen muss, um sich gegenüber der Polizei jederzeit identifizieren zu können. In den folgenden Jahrzehnten wurden unter anderem in Preussen und dem Deutschen Reich Gesetze zur Mitführung eines Passes bei Auslandsreisen verabschiedet. 1981 wurden durch die Europäische Gemeinschaft (EG) die unterschiedlichen Reisepässe weitestgehend angeglichen, später folgten landesspezifisch die Aufnahme von Biometriemerkmalen und elektronisch lesbaren Chips in das Passdokument.

Erstaunlich ist, dass dieses doch recht historische Identitätsmedium noch heute beinahe unverändert existiert. Trotz Industrialisierung und technischen Fortschritts wurde bis heute keine brauchbare elektronische oder virtuelle Version dieses Dokuments entwickelt, die von Behörden und Bürgern akzeptiert wird. (Quelle: Wikipedia)

In der Schweiz wurde 2010 mit der SuisseID ein standardisiertes elektronisches Medium lanciert, um die Identität einer in der Schweiz lebenden Person festzustellen. Bis heute hat es die SuisseID jedoch nicht geschafft sich im täglichen Leben durchzusetzen, was meiner Meinung nach überwiegend am Handling liegt. So erschweren komplizierte Passwörter und Schlüssel die benutzerfreundliche Nutzung im Internet. Die hardtoken- und signaturbasierte SuisseID benötigt auch immer einen USB-Anschluss oder eine Smartcard, was im Zeitalter von Smartphones und Tablets die Nutzung verunmöglicht. Später angebotene Mobile-Services sind nur mit zusätzlichen Kosten nutzbar und das bei Weitem nicht mit allen Devices. Trotz oder gerade wegen der schleichenden Fortschritte bei der Digitalisierung von Identitäten ist eine Person auch heute noch gezwungen, für bestimmte Dienstleistungen eine neue Identifizierung anhand eines Passes oder ausweisähnlichen Dokuments vorzunehmen.

Häufig werden Kopien von Originaldokumenten angefertigt und in elektronischen oder physischen Kundenakten abgelegt. Ein Standardvorgehen bei Kontoeröffnungen. Die Echtheit des Legitimationsmediums wird meist nur oberflächlich geprüft. Wichtigstes Kriterium ist, ob der Name des zukünftigen Kunden auch nicht in irgendeiner Liste vorliegt, wie z.B. für Geldwäscherei, Wirtschaftskriminalität oder Terrorfinanzierung.
Für eine spätere Prüfung liegt der Bank lediglich noch eine Passkopie vor, auf der die meisten Sicherheitselemente des Originals nicht mehr vorhanden sind. Daraus leitet sich die Unmöglichkeit der nachträglichen Überprüfung eines Legitimationsmediums ab. Wird eine solche Passkopie nachträglich benötigt, muss sie oftmals aufwändig in einem Archivsystem gefunden werden. Meist sind die dort abgelegten Kopien prozessbedingt schlecht lesbar (die Kopie einer Kopie). Eine Prüfung auf Echtheit des ursprünglichen Dokuments ist aufgrund der schlechten Qualität praktisch nicht möglich. Im Gegensatz dazu ist ein digitaler Datensatz bestenfalls unveränderbar und von gleichbleibender Qualität. Hierzu mehr im dritten und letzten Teil dieser Serie.

Hier geht es zum Digital Identity Teil 1

Dieser Beitrag wurde von Marco Vosseler gepostet.

#DigitalFinance #IDaaS #DigitalIdentity #Digitalisierung

Weiterlesen

Digital Identity Teil 1 – Ein Thema für Banken?

Die Authentifizierung über Benutzernamen und Passwort ist schon so alt wie der E-Commerce selbst, gilt jedoch noch immer als „State-of-the-Art“. Aktenschränke sind nach wie vor gefüllt mit Passkopien und wenn ein Unbekannter/eine Unbekannte in einer Bar ein alkoholisches Getränk bestellen, muss wie vor 50 Jahren mittels Führerausweis oder Identitätskarte bewiesen werden, dass sie alt genug sind, um Alkohol zu trinken.

Insgesamt betrachtet ist Identity Management ineffizient und ein Stück weit auch riskant. Ineffizient, da die gleichen Informationen immer wieder auf ein Neues in unterschiedlichen Systemen bei verschiedenen Händlern, Finanzinstituten, Versicherern etc. erfasst werden (müssen). Riskant deshalb, da die erfassten Daten in unterschiedlich stark gesicherten IT-Systemen oder als physische Kopien abgelegt werden und häufig keinerlei Kontrolle unterliegen.

Was aber wäre, wenn dieselbe Person in der Bar nicht ein Ausweisdokument zeigen müsste? Sie zeigt dem Barkeeper ihr Smartphone mit einem einmalig gültigen QR-Code, der abgescannt wird und dem Barkeeper auf seinem Kassendevice bestätigt, dass die Person alt genug ist, um Alkohol zu trinken. Bestenfalls wird sogar ein Foto angezeigt, damit das Barpersonal die Person auf der anderen Seite des Tresens auch visuell identifizieren kann.

Was wäre, wenn Konsumenten in einem Webshop beschränkten Zugriff auf persönliche Daten erlauben, anstatt sich mit Benutzernamen und Passwort anzumelden? Diese Daten könnten in einer persönlichen Cloud oder bei einem vertrauenswürdigen Provider hinterlegt werden.

Für die Finanzindustrie kann eine einheitliche digitale Identität verschiedene Vorteile mit sich bringen. Mit Hilfe eines Tokens oder eines digitalen Zertifikats zum Identitätsnachweis wäre es um vieles einfacher, eine Person zu identifizieren. Daneben gibt es den Regulator, der von Banken immer anspruchsvollere Prüfungen hinsichtlich Geldwäscherei und Terrorismusfinanzierung verlangt, was bankseitig zu steigenden Kosten führt und teure Ressourcen bindet.

Ein weiterer Vorteil ist das Plus an Sicherheit. Wenn persönliche Daten nicht mehr in irgendwelchen mehr oder minder abgesicherten IT-Systemen oder CRM-Softwares abgelegt werden, wird Kriminellen tendenziell weniger Anreiz geboten, diese Systeme zu hacken.

Gerade Banken investieren sehr viel Zeit und Geld in die Sicherheit ihrer Onlinebankingsysteme und eignen sich deshalb gut als Verwalter digitaler Identitäten. Neue Technologien wie z.B. Blockchain können zusätzliche Sicherheit bieten. Darüber hinaus sind diverse Sicherheitsüberprüfungen am Kunden-Device möglich. So sind viele Smartphones bereits mit einem Fingerabdrucksensor ausgestattet. Sämtliche Smartphones verfügen über mindestens zwei Kameras und Mikrofone, die Stimm- und Gesichtserkennung ermöglichen. Und nicht zu vergessen: Standortinformationen, ob sie über GPS-Signal, WLAN oder Bluetooth herangezogen werden, können einen Kunden auf wenige Meter exakt lokalisieren und erschweren die missbräuchliche Verwendung.

Damit ergibt sich zum Thema Sicherheit eine interessante Konstellation. Die Sicherheitsinfrastruktur wird zwischen Anbietern und Nutzern aufgeteilt. Durch zielgerichtetes Identity Management entstehen Synergien, von denen auch eine Bank im Kundenverkehr profitieren kann. Abhängig davon, über welchen Kanal Kunden in Kontakt mit einer Bank treten, kann eine angemessene Authentifizierung stattfinden. Der Eintrittspunkt für den Kunden / die Kundin ist dabei immer ein persönliches Smart Device, welches über eine App die Identität bestätigt. Je nach Notwendigkeit – ob der Kanal klassisches E-Banking, Mobile Banking oder gar am Schalter ist – sind unterschiedlich starke Authentisierungsverfahren denkbar.

Fortsetzung folgt.

Dieser Beitrag wurde von Marco Vosseler gepostet.

#DigitalFinance #IDaaS #DigitalIdentity #Digitalisierung

Weiterlesen

Angst vor Dridex - Wie schützt man sich richtig?

"Offline Zahlungs-Software im Visier von Hackern - Schweizer Unternehmen betroffen."

Obige Schlagzeile ist der Mitteilung der Melde- und Analysestelle Informationssicherung MELANI im Juli dieses Jahres entnommen, die eine neue Art von Hacker-Angriff auf Unternehmen in der Schweiz beschreibt.

Firmen verwenden heute für die Abwicklung von Massenzahlungen, insbesondere bei Multibank-Verbindungen, in der Regel eine sog. Offline-Software für die Übermittlung, Freigabe und Ausführung von elektronischen Zahlungsaufträgen. Dabei werden Überweisungen automatisiert, direkt aus der ERP-Software ausgelöst und über sichere Protokolle an die Bank übermittelt. Diese Art der Zahlungsverkehrsabwicklung macht den Grossteil der heute in der Schweiz elektronisch eingereichten Aufträge aus.

Die in der Meldung von MELANI beschriebene Schadsoftware „Dridex“, die sich über schädliche Microsoft Office Dokumente in E-Mails von vermeintlich legitimen Absendern verbreitet, fokussiert seit neuestem genau diese Offline-Software-Lösungen. Dabei werden gezielt Hersteller attackiert, die im Schweizer Markt eine gewisse Verbreitung haben. Viele Firmen sind aktuell etwas verunsichert, wie sicher ihre Lösung in Tat und Wahrheit noch ist und wie sie sich gegen ähnliche Hacker-Angriffe schützen können.

Zunächst gelten einmal die von MELANI seit langem publizierten Sicherheitshinweise wie Verwendung dedizierter Computer, Ignorierung von Mails mit verdächtigen Attachments, regelmässige Aktualisierung von Betriebssystemen und Virenschutzprogrammen etc., welche die Absicherung der eigenen Infrastruktur gewährleisten. Ein Hinweis fällt dabei ins Auge, nämlich der, dass Kollektiv- anstelle von Einzelunterschriften eingesetzt werden sollen. Wie funktioniert das in der Praxis, wo ja keine Papier-Aufträge mehr physisch von den Bevollmächtigten der Firma signiert und an die Bank versendet werden?

Die Banken bieten hier grundsätzlich zwei Lösungen an (teilweise auch in Kombination). Einerseits ist die Freigabe über einen anderen Kanal möglich. Das heisst, die Datei mit den Zahlungsaufträgen wird beispielswiese über das Protokoll EBICS (Electronic Banking Internet Communication Standard) direkt aus der Offline-Software an die Bank übermittelt, wobei der Auftrag aber noch nicht zur Ausführung autorisiert wurde. Mittels Freigabe im Online-Banking der Bank können die Aufträge dann definitiv von einer zweiten Person freigegeben werden.

Eine weitere, sichere und flexible Art der Kollektiv-Unterschrift ist der Einsatz der im EBICS-Standard enthaltenen „Verteilten elektronischen Unterschrift“ (VEU). Der Standard sieht hierbei die Unterschriften-Modelle „Transport“- (keine Autorisierung), „Einzel“-, „Kollektiv A“- und „Kollektiv B“- Unterschriften vor. Pro Auftrag kann zudem auf Seiten der Bank eine Tageslimite definiert werden (wahlweise pro Kunde, Konto und Auftragsart). Die VEU erlaubt dem Kunden eine 1:1 Abdeckung der Unterschriftenregelung seiner Unternehmung und führt in Verwendung mehrerer Kanäle (z.B. Erteilung der zweiten Unterschrift über ein Mobile Device) zu einem sehr hohen Sicherheitsniveau.

Immer mehr Banken in der Schweiz führen die EBICS VEU als Angebot ihrer E-Banking-Lösungen ein. Erkundigen Sie sich bei Ihrem Institut explizit danach oder stellen Sie Ihre Fragen an info@ppi-schweiz.ch wenn Sie noch mehr Information zur EBICS VEU benötigen.

Dieser Beitrag wurde von Carsten Miehling gepostet.

#MELANI #VEU #EBICS #SECURITY

Weiterlesen

Regulierung im Fokus - PSD2 zwingt Banken sich zu öffnen

Die überarbeitete Zahlungsdienstrichtlinie (PSD2) des Europäischen Parlaments und des Rates vom 25. November 2015 ist nicht einfach nur eine weitere Regulierung, die nur aus operationeller und regulatorischer Sicht betrachtet werden muss. PSD2 ist ein Beschleuniger des ohnehin schon allgegenwärtigen Strukturwandels in der – digitalisierten – Finanzindustrie.

Die PSD2 Richtlinien für den Zugang zum Zahlungskonto für Zahlungsauslöse- und Kontoinformationsdienste (XS2A – access to account) werden den strukturellen Wandel vorantreiben. Sie werden die Banken dahinführen, ihre Kundenzahlkonten für angemessen lizenzierte, innovative Dienstleister (TPP – third party provider, Banken und Nicht-Banken Fintechs) zu öffnen.

Daraus ergeben sich eine Reihe von Herausforderungen, denen sich die etablierten führenden Finanzinstitute stellen müssen: PSD2 XS2A Konformitätsgewährleistung, Erhaltung einer stabilen Kundenbasis bzw. deren Erweiterung und Erschaffung eines digitalen Öko-Systems, welches über ein reichhaltiges digitales Dienstleistungsangebot neue Einkommen generiert.

Ein zentrales Element des Konzeptes der Öffnung der Zahlungskonten ist die Entwicklung von Anwendungsprogrammierschnittstellen (APIs – application programming interfaces) durch die Banken. Fintech Unternehmen versuchen in dem sich rasch entwickelnden API Umfeld mit Zahlungs- und Informationsdienstleistungen neue Geschäftsfelder zu erschliessen und Gewinne zu realisieren, die lange Zeit den etablierten Banken und Finanzinstituten vorbehalten waren.

APIs könnten die Verteilung der Finanzdienstleistungen der Banken und Finanzinstitute neu definieren. Einige sehen in PSD2 XS2A und APIs eine Gelegenheit, enger mit aufkommenden Fintech Unternehmen zusammen zu arbeiten. Andere betrachten diese Entwicklung eher als eine Bedrohung für ihr bestehendes Geschäftsmodell.

Für die Finanzinstitute ergeben sich verschiedene Strategien, um mit PSD2 XS2A umzugehen. Wir haben vier generelle Strategieoptionen (Einhaltung, Wettbewerb, Wachsen und Wandel) identifiziert, die dem Blickwinkel der Bankenführungen bezüglich PSD2 XS2A und dem Einsatz von APIs als Geschäftsstrategie Rechnung tragen.

Alle Optionen umfassen strategische, planerische und betriebliche Überlegungen, auf die hier kurz und in späteren Blogs detaillierter eingegangen wird. Die Wahl der „richtigen“ strategischen Entscheidung erfordert von der jeweiligen Leitung ein Überdenken ihrer zukünftigen Ausrichtung, der gewünschten Positionierung in der Wertschöpfungskette, des Dienstleistungsangebotes und die Auswirkungen auf das Betriebsmodell.

Option 1:   Einhaltung

Diese Option stellt für die Banken die Minimalvariante des Handelns dar. Wenn sich eine Bank für diese Option entscheidet, legt sie den Schwerpunkt auf PSD2-Konformität und öffnet sich den Fintechs für Zahlungsauslöse- und Kontoinformationsdienste so wenig wie nötig.

Option 2:   Wettbewerb

Die Wettbewerbsoption ist in dem Sinne ähnlich wie die „Einhalte“- Option, da die PSD2-Konformität verbindlich ist. Im Gegensatz zur „Einhalte“- Option ist diese Option jedoch eine nach vorne gerichtete Strategie, bei der die Banken selbst innovative Zahlungsauslöse- und Kontoinformationsdienste schaffen und sich so die Möglichkeit offenhalten, ihre eigene Bedeutung für die Kunden zu steigern sowie sich auf gleicher Ebene mit Drittanbietern zu bewegen.

Option 3:   Wachsen

Auch diese Option stellt die PSD2-Konformität sicher. Die Banken setzen hier jedoch den Schwerpunkt auf die Entwicklung und das Anbieten von Dienstleistungen mittels Anwendungsprogrammierschnittstellen (API – Application Programming Interface), die weit über die grundlegenden von PSD2 XS2A verlangten Zahlungsauslöse- und Kontoinformationsdienste gehen. Dies wird es Banken ermöglichen, neue Ertragsquellen zu erschliessen. Beispiele hierfür sind umfassendere Kontoinformationen, Identitätsinformationen in Verbindung mit existierenden und neuen Produkten und Dienstleistungen. Beispiele für Angebote, die weiter gehen als zahlungsbezogene Services, sind Vergleichsdienste, Kreditwürdigkeitsprüfungen, Echtzeit-Finanzberater, persönliche Finanzplanung und -verwaltung, erweiterte Kreditantragsverarbeitung und Digitale Identitätsdienste (Authentisieren, Altersprüfungen, Online-Verträge ...).

Option 4:   Wandel

Diese Option kombiniert in sich die vorhergehenden drei Optionen. Die Bank legt ihren Schwerpunkt auf die „Bank als Plattform“-Strategie. Damit wird es auch Drittanbietern ermöglicht, Anwendungen und Dienstleistungen rund um das Finanzinstitut zu entwickeln. Dabei wird die Bank zum kompletten digitalen Akteur, stellt sich dem Wettbewerb und geht Partnerschaften ein, um die Gunst der Kunden für Zahlungs- und Informationsdienste zu gewinnen, die weitreichender sind als der rein regulatorische Umfang von PSD2 XS2A. Im Wesentlichen wird die Bank zu einer vielseitigen digitalen Plattform, sowohl für die eigenen Finanzdienstleistungen wie auch für die Dienstleistungen von Dritten.

Die Wahl der strategischen Option wird unterschiedliche und teils beträchtliche Auswirkungen auf die künftigen Geschäfte der Bank, auf das Betriebsmodell und auf die Kundenwahrnehmung haben. Banken, die mehr Ambitionen haben als sich nur zu fügen, können die Technologie (API) wirksam zu ihrem Nutzen und Vorteil einsetzen und ihren digitalen Wandel beschleunigen.

Die digitale Öffnung der Banken, der Weg zum „Open Banking“ beginnt heute!

Gerne können wir Ihnen auch in einem direkten Gespräch die Herausforderungen, Chancen und Gefahren darlegen. Bitte kontaktieren Sie uns hier.

Dieser Beitrag wurde von René Heusser (PPI Schweiz) in Zusammenarbeit mit Innopay Analysis gepostet.

René ist Partner bei PPI Schweiz und Experte für Digital Banking, elektronischen Zahlungsverkehr und Trade Finance.
Im Bereich Digitalisierung verfügt er über Expertise in PSD2, Access to Accounts und Open Banking. 
Als Senior Consultant arbeitet René in Kundenprojekten zur Harmonisierung Zahlungsverkehr.

#PSD2 #XS2A #DigitalFinance #DigitalBanking #Fintech

Weiterlesen