IT-Sicherheit für Vermögensverwalter und Finanzdienstleister
Anforderungen für Grossinstitute, Team von fünf Leuten, ausgelagerte IT und trotzdem die volle Verantwortung. Wo wir bei Schweizer Finanzdienstleistern konkret ansetzen.
Die Lage
Seit dem Finanzinstitutsgesetz stehen auch unabhängige Vermögensverwalter und Trustees unter FINMA-Aufsicht. Die Mehrheit von ihnen sind Kleinstbetriebe mit weniger als fünf Vollzeitstellen.
Diese Betriebe müssen Erwartungen an operationelle Risiken und Auslagerungen erfüllen, die für Institute mit eigenen Stabsstellen formuliert wurden. Was bei einer Bank eine Abteilung ist, ist beim Vermögensverwalter eine Zusatzaufgabe für jemanden, der eigentlich Kunden betreut.
Dazu kommt ein zweiter Prüfer, den viele unterschätzen: Depotbanken prüfen ihre angeschlossenen Vermögensverwalter selbst, mit eigenen Fragebogen und eigenen Fristen. Wer dort nicht liefert, riskiert die Geschäftsbeziehung, nicht nur eine Beanstandung.
Und der teuerste Angriffspunkt liegt nicht in der Technik, sondern im Ablauf. Zahlungsfreigaben laufen über Mail und Telefon, oft unter Zeitdruck. Business Email Compromise war im FBI-IC3-Jahresbericht 2025 mit rund 3 Milliarden Dollar gemeldetem Schaden aus 24'768 Meldungen die zweitteuerste Betrugsart überhaupt.
Was wir in dieser Branche antreffen
- Anforderungen für Grossinstitute, Team von fünf LeutenWas für eine Bank eine Stabsstelle ist, ist beim Vermögensverwalter eine zusätzliche Aufgabe für jemanden, der eigentlich Kunden betreut. Der Umfang der Anforderung skaliert nicht mit, die Mannschaft schon.
- Die IT ist ausgelagert, die Verantwortung nichtEin externer Dienstleister betreibt die Systeme. Gegenüber Aufsicht, Depotbank und Kunden stehst trotzdem du gerade. Auslagerung verschiebt die Arbeit, nicht die Rechenschaft.
- Zahlungsfreigaben laufen über Mail und TelefonGenau dort setzt Zahlungsbetrug an. Ein verbindliches Rückrufprinzip an einer hinterlegten Nummer ist die wirksamste Einzelmassnahme in diesem Geschäft und kostet keine Lizenz.
- Die Depotbank prüft mit eigenem FragebogenNeben Aufsicht und Prüfgesellschaft kommt ein dritter Adressat mit eigenen Fristen. Ohne wiederverwendbare Nachweise wird jede Anfrage zur Sonderaufgabe, die den halben Betrieb blockiert.
- Compliance-Kosten wachsen, ohne dass jemand sagt, wann es reichtOhne Referenzrahmen wird jede neue Anforderung mit einem weiteren Werkzeug oder einem weiteren Mandat beantwortet. Ein Reifegradbild beendet diese Spirale, weil es zeigt, was schon abgedeckt ist.
- Diskretion ist das eigentliche ProduktEin Vorfall, der öffentlich wird, kostet selten Systeme. Er kostet Mandate. Deshalb zählt hier nicht nur die Abwehr, sondern auch ein geübter Ablauf für den Ernstfall.
Typischer Auslöser
Depotbank oder Prüfer verlangen Nachweise zu IT-Sicherheit und Auslagerung, und intern gibt es niemanden, der sie erstellen kann. Oder ein Zahlungsbetrug wurde gerade noch rechtzeitig gestoppt.
Der ODCUS-Unterschied
Kein Verkauf zusätzlicher Werkzeuge. Erster Schritt ist immer: Was habt ihr schon, was davon funktioniert, und was können wir streichen? Die meisten Mandate beginnen damit, Kosten zu senken und den Schutz gleichzeitig zu verbessern.
Warum diese Leistungen dort greifen
Einmal aufgebaut, bedient es alle drei Adressaten
Aufsicht, Depotbank und Kunden fragen im Kern dasselbe in unterschiedlicher Form. Ein ISMS liefert die Belege strukturiert und wiederverwendbar, inklusive Auslagerungs- und Lieferantenverzeichnis.
Jede weitere Anfrage wird damit zur Routine statt zur Sonderaufgabe. Das ist der eigentliche Zeitgewinn, nicht das Zertifikat.
Sorgfalt, die dokumentiert und belegbar ist
Wir übernehmen die benannte Sicherheitsverantwortung und liefern Reporting in Geschäftssprache für Verwaltungsrat, Prüfer und Aufsicht.
Dazu gehören die Themen, an denen es in kleinen Instituten am häufigsten scheitert: Freigabeprozesse für Zahlungen, Prüfung der IT-Dienstleister und ein Notfallplan, den es wirklich gibt.
Standort bestimmen, bevor das nächste Budget beschlossen wird
Ein Festpreis-Assessment zeigt, wo du gegenüber anerkannten Rahmenwerken stehst und welche Massnahmen wirklich Wirkung haben.
Das ist die Grundlage, um Compliance-Ausgaben zu begrenzen, statt sie jedes Jahr fortzuschreiben.
Der Dienstleister wird geführt, nicht nur beauftragt
Wir prüfen den IT-Partner strukturiert, halten Anforderungen vertraglich fest und kontrollieren, ob sie eingehalten werden.
Damit wird aus einer Auslagerung eine steuerbare Beziehung, die auch einem Prüfer standhält.
Für wen das passt
- Unabhängige Vermögensverwalter und Trustees unter FINMA-Aufsicht
- Kleine und mittlere Finanzdienstleister mit ausgelagerter IT
- Institute, deren Depotbank Sicherheitsnachweise verlangt
- Betriebe, in denen Zahlungsfreigaben über Mail und Telefon laufen
Verwandte Mandate
- Privileged Identity und Access Management mit Entra ID
- Cybersecurity-Strategie und Governance aus einem Reifegrad-Assessment
- Microsoft-365-Tenant härten inklusive Gerätemanagement
Anonymisierte Einblicke in echte Mandate. Nicht alle stammen aus dieser Branche, die Aufgabenstellung ist aber dieselbe.
Häufige Fragen
Unsere IT ist komplett ausgelagert. Brauchen wir trotzdem etwas Eigenes?
Ja. Der Dienstleister betreibt die Systeme, aber die Pflicht zur Auswahl, Anweisung und Kontrolle bleibt bei dir. Prüfer fragen nicht, wer die Server bedient, sondern wie du sicherstellst, dass er tut, was vereinbart ist.
Brauchen wir ISO 27001 für die FINMA?
Nein, die Aufsicht verlangt kein bestimmtes Zertifikat. Der Nutzen liegt darin, dass ein ISMS die Belege einmal ordnet, die sonst Aufsicht, Depotbank und Kunden getrennt einfordern.
Wie schützen wir uns konkret gegen Zahlungsbetrug?
Der wirksamste Hebel ist ein verbindliches Rückrufprinzip an einer vorher hinterlegten Nummer, verbunden mit einer klaren Regel, dass Eile kein Grund ist, davon abzuweichen. Das ist Prozessarbeit, keine Softwarefrage.
Wir sind zu fünft. Lohnt sich ein Mandat überhaupt?
Gerade dann. Bei fünf Personen gibt es keine Kapazität, sich nebenbei einzuarbeiten. Ein Mandat mit wenigen Tagen im Monat ist meist günstiger als die Zeit, die intern für Fragebogen und Recherche draufgeht.
Sprechen wir über deine Situation
Dreissig Minuten, kostenlos und unverbindlich. Wir sagen dir ehrlich, ob und wo wir helfen können.