- - Das Grundproblem: IT als Commodity behandeln
- - Fehler 1: Keine Kenntnis der regulatorischen Anforderungen
- - Fehler 2: Fehlende Mandantentrennung
- - Fehler 3: Kein Verständnis für IKT-Protokollierung und Nachvollziehbarkeit
- - Fehler 4: Reaktiv statt proaktiv
- - Fehler 5: Keine dokumentierte Verantwortlichkeit
- - Was einen spezialisierten IT-Partner auszeichnet
- - Häufig gestellte Fragen (FAQ)
Unabhängige Vermögensverwalter sind seit 2020 FINMA-beaufsichtigte Institute und unterstehen FINIG, DSG und FIDLEG. Ein generalistischer IT-Dienstleister, der dieselbe Infrastruktur für eine Schreinerei und einen Vermögensverwalter betreibt, kennt die regulatorischen Anforderungen meist nicht und kann sie deshalb nicht erfüllen. Die fünf häufigsten Schwachstellen sind:
-
fehlende Kenntnis der Regulierung
-
mangelhafte Mandantentrennung
-
lückenhafte IKT-Protokollierung
-
reaktives statt proaktives Arbeiten
-
fehlende dokumentierte Verantwortlichkeit
Was der Dienstleister nicht einrichtet, wird bei der nächsten Prüfung als Mangel festgestellt, und die Verantwortung dafür trägt das Institut, nicht der Dienstleister. Die Wahl eines branchenspezialisierten IT-Partners ist deshalb eine regulatorische Entscheidung.
Stellen Sie sich vor, Ihre Aufsichtsorganisation fragt: «Können Sie mir das Zugriffsprotokoll für das Kundendossier von Herrn Müller aus dem letzten Quartal zeigen?» Ihr IT-Dienstleister antwortet: «Protokoll? Da müssen wir zuerst schauen, ob das aktiviert ist.»
Das ist kein erfundenes Szenario. Es ist die Realität, die wir regelmässig antreffen, wenn Vermögensverwalter zu uns wechseln – nach einer Prüfbeanstandung, einem Datenschutzvorfall oder schlicht weil sie erkannt haben, dass ihr bisheriger IT-Partner die Branche nicht versteht.
Der Markt für IT-Dienstleistungen in der Schweiz ist gross. Aber die Zahl der Anbieter, die wirklich verstehen, was unabhängige Vermögensverwalter brauchen, ist überschaubar. Dieser Artikel zeigt, wo die Lücken liegen und warum es einen Unterschied macht, wen Sie als IT-Partner wählen.
Das Grundproblem: IT als Commodity behandeln
Viele kleine und mittlere IT-Dienstleister sind gut in dem, was sie tun: Server einrichten, Netzwerke verwalten, Helpdesk anbieten. Das sind wichtige Leistungen. Aber Wealth Management ist keine Standard-KMU-Umgebung.
Unabhängige Vermögensverwalter sind seit 2020 durch das Finanzinstitutsgesetz (FINIG) direkt FINMA-beaufsichtigte Institute. Sie unterstehen dem FINIG, dem Datenschutzgesetz (DSG) und dem Finanzdienstleistungsgesetz (FIDLEG). Sie werden von anerkannten Aufsichtsorganisationen wie AOOS, SO-FIT oder VQF regelmässig geprüft. Und sie verwalten hochsensible Kundendaten, die im Falle eines Vorfalls nicht nur regulatorische, sondern auch existenzielle Konsequenzen haben können.
Ein generalistischer IT-Dienstleister, der dieselbe Infrastruktur für eine Schreinerei, ein Architekturbüro und einen Vermögensverwalter betreibt, behandelt alle drei gleich. Das ist das Problem.Fehler 1: Keine Kenntnis der regulatorischen Anforderungen
IKT-Governance-Anforderungen nach FINIG, Auslagerungsregeln mit FINMA-Prüfrecht, Cyber-Meldepflichten nach Art. 29 Abs. 2 FINMAG, Anforderungen an Protokollierung und Aufbewahrung, Datenschutz nach DSG – das sind keine abstrakten Konzepte. Sie bestimmen konkret, wie eine IT-Umgebung konfiguriert, dokumentiert und betrieben werden muss.
Ein IT-Dienstleister, der diese Anforderungen nicht kennt, kann sie nicht erfüllen. Was er nicht einrichtet, wird bei der nächsten Prüfung als Mangel festgestellt. Und für diesen Mangel trägt der Vermögensverwalter die Verantwortung, nicht sein IT-Dienstleister. Die FINMA hält das klar fest: Die Gesamtverantwortung verbleibt stets beim Institut, auch bei vollständiger Auslagerung.
Fehler 2: Fehlende Trennung der Mandanten
Viele Vermögensverwalter arbeiten in einem Shared-IT-Umfeld: ein Büro, mehrere Partner, gemeinsame Infrastruktur. Das klingt praktisch, ist aber regulatorisch heikel, wenn die Mandantentrennung nicht sauber durchgezogen ist.
Wenn Berater A auf die Kundendossiers von Berater B zugreifen kann (auch unbeabsichtigt), verstösst das gegen Datenschutzgrundsätze und kann bei einer Prüfung zu ernsthaften Beanstandungen führen. Korrekte, rollenbasierte Berechtigungsstrukturen und regelmässige Zugriffsreviews gehören zu den Grundanforderungen, die die FINMA bei Prüfungen explizit nachfragt, aber nicht jeder IT-Dienstleister setzt sie um.
Fehler 3: Kein Verständnis für IKT Protokollierung und Nachvollziehbarkeit
Aufsichtsorganisationen und Prüfgesellschaften erwarten, dass ein Vermögensverwalter jederzeit nachweisen kann: Wer hat wann auf welche Daten zugegriffen? Welche Konfigurationsänderungen wurden vorgenommen? FINMA Guidance 03/2024 hat explizit festgehalten, dass Logging und Monitoring bei vielen beaufsichtigten Instituten unvollständig sind: Kritische Log-Daten werden nicht analysiert oder nur während der Bürozeiten überwacht.
Ein IT-Dienstleister, der das Audit Log in Microsoft 365 nicht korrekt konfiguriert hat oder keine Ahnung von eDiscovery-Funktionen hat, hinterlässt eine gefährliche Lücke, die erst bei einer Prüfung sichtbar wird.
Fehler 4: Reaktiv statt proaktiv
Der klassische IT-Dienstleister kommt, wenn etwas kaputt ist. Das reicht für regulierte Unternehmen nicht mehr. Vermögensverwalter brauchen einen Partner, der:
-
laufend überwacht, ob Sicherheitswarnungen aufgetreten sind
-
proaktiv auf neue regulatorische Anforderungen und FINMA-Publikationen hinweist
-
bei Microsoft-Updates prüft, ob compliance-relevante Einstellungen betroffen sind
-
regelmässige Berichte über den Sicherheitszustand der Umgebung liefert
-
Awareness-Schulungen für Mitarbeitende dokumentiert (Anforderung der Aufsichtsorganisationen)
Das ist der Unterschied zwischen einem Break-Fix-Dienstleister und einem echten Managed Service Provider.
Fehler 5: Keine dokumentierte Verantwortlichkeit
Im Falle eines schwerwiegenden Cyber-Vorfalls muss ein beaufsichtigtes Institut die FINMA unverzüglich informieren (gemäss Art. 29 Abs. 2 FINMAG und FINMA Aufsichtsmitteilung 05/2020). Wer zu diesem Zeitpunkt erst anfängt zu klären, was genau betroffen war und welche Systeme involviert sind, wird die vorgesehenen Fristen nicht einhalten.
Viele IT-Dienstleister arbeiten ohne klare Verträge, ohne SLAs und ohne definierte Eskalationsprozesse. Im Normalfall fällt das nicht auf. Im Ernstfall ist es ein ernsthaftes Problem, sowohl gegenüber der Aufsicht als auch gegenüber den Kunden.
Download-Tipp: IKT-Checkliste für Vermögensverwalter
Aus der Praxis mit FINMA-regulierten Vermögensverwaltern und Family Offices entstanden: Unsere Checkliste fasst die wichtigsten IKT-Anforderungen kompakt zusammen und hilft, Lücken in Governance, Sicherheit und Dokumentation sichtbar zu machen.
Was einen spezialisierten IT-Partner auszeichnet
Ein IT-Partner, der Vermögensverwalter wirklich versteht, bringt mehr mit als technisches Know-how. Er kennt die regulatorischen Anforderungen aus der Praxis, hat Erfahrung mit Prüfungsvorbereitung und weiss, welche Konfigurationen bei welchen Aufsichtsorganisationen bestehen.
Dinotronic begleitet seit über 30 Jahren Finanzdienstleister in der Schweiz: Unabhängige Vermögensverwalter, Family Offices und weitere FINMA-regulierte Institute. Als Microsoft-Partner mit ISO 27001:2022 Zertifizierung und einer Empfehlungsrate von 90% kennen wir die Anforderungen aus der Praxis.
Unser Ansatz ist der eines Managed Service Providers: Wir übernehmen die Verantwortung für Ihre IT-Infrastruktur mit klaren SLAs, definierten Prozessen und einem Team, das Ihre Branche versteht. IT. Aber sicher.
Möchten Sie wissen, ob Ihre aktuelle IT-Umgebung den regulatorischen Anforderungen entspricht? Sprechen Sie uns an.
