Diskretionshinweis: Warum wir keine Kundennamen nennen
Alpstein Wealth Partners ist ein unabhängiger, FINMA-bewilligter Vermögensverwalter mit Sitz in Zürich. Ein kleines, eingespieltes Team betreut vermögende Privatkunden mit hohem Anspruch an Diskretion und regulatorische Sorgfalt.
Bei Alpstein Wealth Partners funktionierte die IT, zumindest auf den ersten Blick. Microsoft 365 war im Einsatz, ein lokaler IT-Generalist kümmerte sich um den Support, und wenn etwas klemmte, half der COO nebenbei aus. «IT war bei uns Chefsache im schlechtesten Sinne des Wortes», sagt Marc Hublatt (Platzhalter), Partner und COO. «Sie landete bei mir, weil sie sonst nirgends landete.»
Der Wendepunkt kam mit der ordentlichen Prüfung. Die Prüfgesellschaft stellte Fragen, auf die es keine dokumentierten Antworten gab: Wer hat Zugriff auf welche Kundendaten? Wann wurden Berechtigungen zuletzt überprüft? Wie ist die Mehrfaktor-Authentifizierung umgesetzt, und warum gibt es Ausnahmen? «Wir konnten vieles mündlich erklären. Aber mündlich zählt bei der Aufsicht nicht. Was nicht dokumentiert ist, existiert nicht.»
Die anschliessende Analyse durch Dinotronic bestätigte das Bauchgefühl: zwei verwaiste Konten ehemaliger Mitarbeitender mit aktivem Zugriff auf SharePoint, Mehrfaktor-Authentifizierung mit historischen Ausnahmen für die Geschäftsleitung, externe Freigaben aus OneDrive ohne Kontrolle, und ein Backup, dessen Wiederherstellung noch nie getestet worden war.
Dinotronic überführte die gewachsene Umgebung in den Managed Workplace Service mit integriertem Identitäts- und Informationsschutz. Zugriffe werden seither über intelligente Richtlinien gesteuert: Nur verwaltete, verschlüsselte und konforme Geräte erhalten Zugang zu Kundendaten, jede Anmeldung wird auf Plausibilität geprüft. Berechtigungen wurden vollständig bereinigt und werden seither quartalsweise rezertifiziert. Das Portfoliomanagement-System blieb unangetastet, wurde aber sauber in das Zugriffskonzept und das Auslagerungsinventar integriert.
Denn entscheidende Teil war jedoch nicht technisch: «Dinotronic hat uns nicht einfach Technik installiert, sondern ein ganzes Ökosystem aufgebaut. Jede Massnahme ist dokumentiert, jede Entscheidung begründet.», so COO Hublatt.
«Was wir bei Dinotronic gekauft haben, ist streng genommen keine IT», bilanziert Hublatt. «Es ist die Gewissheit, dass wir jederzeit prüfungsbereit sind. Das lässt mich meine eigentliche Arbeit machen.»
Marc Hublatt, Chief Operations Officer, Alpstein Wealth Partners AG