Sicherheitsanforderungen Zahlungsdienste Schweiz einordnen

Sicherheitsanforderungen bei Zahlungsdiensten prüfen

Zu klären ist zuerst, welche Daten ein Zahlungsdienst bearbeitet. Karteninhaberdaten lösen PCI DSS aus, Personendaten das Datenschutzgesetz, und bei bewilligten Instituten gilt zusätzlich die Finanzmarktaufsicht. Die Regelwerke stehen nebeneinander und werden getrennt nachgewiesen.

Der Payment Card Industry Data Security Standard (PCI DSS) ist der weltweit gültige Sicherheitsstandard der führenden internationalen Kreditkartenfirmen. Er gilt für alle Unternehmen, die Karteninhaberdaten speichern, verarbeiten oder übertragen, darunter Händler, Zahlungsabwickler, Finanzinstitute und Dienstleister.

Der Standard umfasst zwölf Anforderungen: Firewalls, Passwortwechsel nach Auslieferung einer Software, Schutz gespeicherter Kartendaten, verschlüsselte Übertragung, Virenschutz, sichere Systeme und Anwendungen, beschränkte Datenzugriffe, individuelle Benutzerkennungen, beschränkter physischer Zugang, Protokollierung, Prüfungen aller Sicherheitssysteme und -prozesse sowie Richtlinien zur Informationssicherheit.

Fragen Sie den Anbieter, welche Systeme Karteninhaberdaten verarbeiten, wer darauf zugreifen kann und welche Nachweise er für PCI DSS vorlegt. Lassen Sie sich die Systemgrenze und verbundene Systeme erläutern, auch wenn diese selbst keine Karteninhaberdaten verarbeiten.

Seit 1. September 2023 gelten das revidierte Datenschutzgesetz (DSG), die Datenschutzverordnung (DSV) und die Verordnung über Datenschutzzertifizierungen (VDSZ). Das DSG schützt Personendaten natürlicher Personen, nicht juristischer Personen, und erfasst auch Profiling. Klären Sie, wo der Anbieter Personendaten bearbeitet und wie er seine Informationspflichten erfüllt.

Sicherheitslücken sollten in einem geregelten Ablauf erfasst, bewertet und behoben werden. Fragen Sie, wie der Anbieter Schwachstellen erkennt, Korrekturen priorisiert und deren Umsetzung nachweist; Zuständigkeiten und Eskalationswege müssen verständlich beschrieben sein.

Aufsicht und Sicherheitsanforderungen: Nachweise prüfen

Das Finanzinstitutsgesetz (FINIG, SR 954.1) regelt seit 1. Januar 2020 die Bewilligungsvoraussetzungen und die organisatorischen Anforderungen für Finanzinstitute. Die Finanzinstitutsverordnung (FINIV) konkretisiert sie; die Aufsichtsorganisationenverordnung (AOV) trat zusammen mit FINIG und FINIV am 1. Januar 2020 in Kraft. Banken bleiben dem Bankengesetz (BankG) unterstellt.

Für Finanzintermediäre kommt der GwG-Bereich hinzu: Unabhängige Vermögensverwalter unterstanden der Selbstregulierung durch Branchenorganisationen (SRO), Trustees waren ausser im GwG-Bereich nicht reguliert. Klären Sie, welchem Regime der Anbieter untersteht und wer seine Einhaltung prüft.

Cyberrisiken gehören zu den bedeutendsten operationellen Risiken von Finanzinstituten; die FINMA hat ihre Aufsicht verstärkt. Im Jahresbericht 2024 behandelt sie Cyberrisiken und Outsourcing zusammen.

Das FINMA-Rundschreiben 2023/1 «Operationelle Risiken und Resilienz – Banken» ist seit 1. Januar 2024 in Kraft und konkretisiert die Aufsichtspraxis zu operationellen Risiken, insbesondere zu IKT-Risiken, kritischen Daten und Cyberrisiken. Für Finanzinstitute regelt das FINIG die Bewilligungsvoraussetzungen und die organisatorischen Anforderungen; für Zahlungsdienste sind die jeweils anwendbaren Bewilligungs- und Organisationsanforderungen zu prüfen.

Für das Rundschreiben gilt das Proportionalitätsprinzip: Die Anforderungen sind abhängig von Grösse, Komplexität, Struktur und Risikoprofil des Instituts umzusetzen. Banken und Wertpapierhäuser der FINMA-Kategorien 4 und 5 sowie Institute im Kleinbankenregime können von Erleichterungen profitieren.

Grundsätzlich ist jedes Unternehmen verpflichtet, eine Selbsteinschätzung gemäss den Vorgaben des Kreditkartenanbieters vorzunehmen. Je nach Umsatzhöhe und Art der Karteninhaberdaten-Verwendung sind Fragebögen auszufüllen und Massnahmen wie Schwachstellenscans oder ein Auditbericht durch ein befugtes Unternehmen zu ergreifen.

Ab mehr als 6 Mio. Kreditkartentransaktionen pro Jahr, nach einem erlittenen Angriff, nach der Einstufung als Level 1 durch ein Kartenunternehmen oder nach einer Kompromittierung von Kartendaten gelten strengere Anforderungen. Die Einhaltung kann unter anderem mit Schwachstellenscans oder einem Auditbericht durch ein befugtes Unternehmen nachgewiesen werden.

Unterscheiden Sie zwischen einer allgemeinen Sicherheitsdarstellung und einem Nachweis für konkrete PCI-DSS-Anforderungen. Lassen Sie sich erklären, welche Dienstleistung geprüft wurde, welche Systeme einbezogen sind und welche Nachweise für Ihre eigene Nutzung relevant sind. Die blosse Bezeichnung eines Standards genügt nicht.

Vorfälle und Meldewege bei Anbietern beurteilen

Vereinbaren Sie vor Vertragsabschluss, wie der Anbieter Sicherheitsvorfälle erkennt, an Ihre Organisation meldet und bei der Bearbeitung unterstützt. Halten Sie fest, wer auf beiden Seiten zuständig ist und welche Informationen Sie im Ereignisfall benötigen.

Seit September 2020 präzisiert die Aufsichtsmitteilung 05/2020 die Cybermeldepflicht. Bis 2021 wurden insgesamt 95 Cyberattacken mit wesentlicher Bedeutung für die betroffenen Beaufsichtigten gemeldet. Der Risikomonitor 2024 zeigt eine Zunahme der bei der FINMA eingegangenen Meldungen über erfolgreiche oder teilweise erfolgreiche Cyberattacken um 30 Prozent gegenüber dem Vorjahr.

Ein Vorfall muss nicht vollständig erfolgreich sein, um relevant zu werden. Prüfen Sie, ob die Meldewege auch bei einem teilweise erfolgreichen Angriff greifen und ob der Anbieter Auswirkungen auf Ihre Daten und Leistungen verständlich beschreibt.

Die Einstufung braucht definierte Kriterien, eine festgelegte Zuständigkeit und einen Ablauf, der auch dann funktioniert, wenn das betroffene System nicht verfügbar ist. Kriterien für wesentliche Vorfälle, auslösende Stellen und Fristen sollten vor einem Vorfall schriftlich festgelegt und den Beteiligten bekannt sein.

Fragen Sie den Anbieter nach seinem Verfahren für Sicherheitsmeldungen und danach, wie Kunden über einen relevanten Vorfall informiert werden. Vertrag und Kontaktwege sollten Zuständigkeiten und die für Ihre Organisation erforderlichen Informationen klar benennen.

Entwicklung der Cyberattacken-Meldungen an die FINMA (2020–2024)

Sicherheitsdispositiv und Wiederherstellung testen

Ein dokumentiertes Sicherheitskonzept ist nur dann aussagekräftig, wenn die Abläufe im Betrieb nachvollziehbar sind. Fragen Sie, wie der Anbieter seine Verfahren zur Reaktion auf Vorfälle und zur Wiederherstellung überprüft und wie er erkannte Lücken nachverfolgt.

Getestet wird nicht nur die technische Abwehr, sondern das Zusammenspiel im Ernstfall: wer entscheidet, wer informiert, über welche Kanäle eskaliert wird, wer wem Auskunft gibt und wie die Wiederherstellung gesteuert wird. Existieren diese Abläufe nur auf Papier, zeigt erst die Übung, ob Kontaktangaben aktuell sind, ob die Ersatzkommunikation ausserhalb der kompromittierten Systeme funktioniert und ob Zuständigkeiten bei Abwesenheiten geregelt sind.

Bitten Sie um nachvollziehbare Angaben dazu, welche Schwachstellen eine Übung aufgedeckt hat und wie daraus Korrekturen abgeleitet werden. Ein Anbieter sollte erklären können, wer Massnahmen verantwortet und wie die Umsetzung überprüft wird.

PCI DSS verlangt Routinen für Prüfungen aller Sicherheitssysteme und -prozesse. Fragen Sie, wie der Anbieter Schwachstellenscans durchführt und wie er Prüfungen durch befugte Unternehmen belegen lässt.

Dienstleister und Ausweichmöglichkeiten bewerten

Zahlungsdienste können von externen Systemen und Dienstleistern abhängen. Ermitteln Sie im Auswahlprozess, welche Teile der Leistung ausgelagert sind, welche Daten dort verarbeitet werden und wie sich ein Ausfall auf Ihren Betrieb auswirken könnte.

Zahlungsdienste müssen ihre kritischen Dienstleister und deren Zugriffe kennen. Bei ausgelagerten Dienstleistungen stellen sich dieselben Fragen wie im eigenen Haus: Wer hat Zugriff auf welche Daten und Systeme, und wie werden Zugriffe erteilt und entzogen? Wie meldet der Dienstleister Vorfälle an das eigene Institut, und wie rasch kann eine Leistung notfalls wieder selbst oder bei einem anderen Anbieter erbracht werden? Antworten darauf gehören in die Vereinbarung.

Für die eigene Steuerung empfiehlt sich ein Verzeichnis der kritischen Abhängigkeiten mit den zugehörigen Vertragspunkten: Weisungsrechte, Prüfrechte, Meldepflichten bei Vorfällen und Regelungen beim Vertragsende. So ist im Krisenfall bekannt, welche Hebel gegenüber welchem Anbieter bestehen.

PCI DSS gilt auch für Dienstleister, die Karteninhaberdaten speichern, verarbeiten oder übertragen. Verlangen Sie von ausgelagerten Dienstleistern denselben Nachweisumfang wie im eigenen Haus und lassen Sie die Systemgrenze vertraglich festhalten.

Wer seine kritischen Abhängigkeiten kennt, kann bei einer Szenarioanalyse wie bei einem realen Vorfall schneller und belegbar Auskunft geben. Ohne diese Kenntnis bleiben Meldewege und Tests unvollständig.

Sicherheitsanforderungen für Zahlungsdienste in der Schweiz einordnen

Für die Auswahl eines Zahlungsdienstes sind zwei Fragen zentral: Welche Daten verarbeitet der Anbieter, und welche Nachweise belegt er für die damit verbundenen Sicherheitsanforderungen? Bei Kartendaten ist PCI DSS der massgebliche Standard, bei Personendaten das DSG, bei der Zulassung das FINIG und bei Banken das BankG; das FINMA-Rundschreiben 2023/1 konkretisiert die Aufsichtspraxis zu operationellen Risiken.

Klären Sie zuerst, welche Daten und Systeme die angebotene Leistung berührt. Fragen Sie, welche Sicherheitsanforderungen der Anbieter auf diese Bereiche anwendet und wie er die Umsetzung belegt. Legen Sie vor der Auswahl fest, welche Informationen Sie bei einem Sicherheitsvorfall benötigen und über welche Wege der Anbieter Sie erreicht.

Bei Kartendaten ist die Systemgrenze ein konkreter Prüfpunkt. Fragen Sie, welche Teile der Leistung in die PCI-DSS-Bewertung einbezogen wurden und welche Nachweise dafür vorliegen. Beziehen Sie verbundene Systeme ein, auch wenn sie selbst keine Karteninhaberdaten verarbeiten.

Verlassen Sie sich nicht allein auf allgemeine Aussagen oder Zertifikatsbezeichnungen. Fordern Sie Nachweise an, die zur konkreten Leistung, zu den verarbeiteten Daten und zu den betroffenen Systemen passen. Bei Kartendaten sollte der Anbieter belegen, welche PCI-DSS-Anforderungen bewertet wurden.

Bei einem grenzüberschreitenden Angebot erfassen Sie die Leistung, die beteiligten Anbieter und die jeweils vorgelegten Sicherheitsnachweise getrennt. Für Anbieter im Fürstentum Liechtenstein gilt das Zahlungsdienstegesetz (ZDG) vom 6. Juni 2019, das die gewerbsmässige Erbringung von Zahlungsdiensten erfasst. So bleibt nachvollziehbar, welche Aussagen sich auf welchen Dienst und welche Systeme beziehen.

Für die Anbieterauswahl ergeben sich praktische Prüfpunkte: Umfang der Kartendatenverarbeitung, verbundene Systeme, Nachweise zu PCI DSS, DSG, FINIG und FINMA-Rundschreiben 2023/1 sowie geregelte Vorfall- und Wiederherstellungsabläufe. Halten Sie offene Fragen fest und klären Sie sie vor dem Vertragsabschluss.