SWIFT-Rahmenwerk für Kundensicherheitsmaßnahmen:

Übersicht

SWIFT veröffentlicht jährlich ein aktualisiertes Rahmenwerk für Kundensicherheitskontrollen (Customer Security Controls Framework, CSCF), und zwar etwa ein Jahr vor Beginn des Umsetzungszeitraums, sodass die Nutzer genügend Zeit haben, sich auf den Bescheinigungszyklus des folgenden Jahres vorzubereiten. Das Rahmenwerk umfasst derzeit 32 Kontrollmaßnahmen – 25 verbindliche und 7 empfohlene –, die auf anerkannte Standards wie ISO 27002, PCI DSS, SOC 2 und NIST CSF abgestimmt sind. Jeder SWIFT-Nutzer muss jährlich mindestens die aktuellen verbindlichen Anforderungen nachweisen, was durch eine unabhängige Prüfung verifiziert wird.

Die bedeutendste Änderung in CSCF v2026 seit mehreren Zyklen ist, dass die Anforderung „Control 2.4A – Sicherheit des Datenflusses im Backoffice“ von einer Empfehlung zu einer verbindlichen Vorschrift wird. Damit erstreckt sich der Geltungsbereich des Rahmenwerks über die SWIFT Secure Zone hinaus auf Brückenserver, Middleware, Dateiübertragungssysteme und andere Backoffice-Komponenten, die SWIFT-bezogene Daten verarbeiten, nachdem diese die zentrale sichere Infrastruktur verlassen haben.

Warum das wichtig ist 

Jeder SWIFT-Nutzer muss die jährliche KYC-SA-Bescheinigung ausfüllen, und Geschäftspartner sowie Aufsichtsbehörden können den Status der Bescheinigung einsehen, wodurch das Fehlen einer Bescheinigung oder eine wesentliche Nichteinhaltung der Vorschriften zu einem direkten Faktor in den Korrespondenzbankbeziehungen wird und nicht nur eine Feststellung der internen Revision bleibt.

Die Umstellung der Vorschrift 2.4A auf verbindlichen Charakter bedeutet, dass sich der kryptografische Schutz nicht mehr auf die SWIFT-eigenen Nachrichtenkomponenten beschränken darf. Die Institute müssen nun die Datenflüsse zwischen der Secure Zone und den Backoffice-Systemen erfassen und nachweisen, dass Finanznachrichten, Abstimmungsdateien und Referenzdaten auf ihrem gesamten Weg geschützt sind.

Wie sich dies auf die Kryptografie auswirkt 

Das SWIFT-Rahmenwerk für Kundensicherheitskontrollen behandelt das Thema Kryptografie anhand mehrerer miteinander verzahnter Kontrollbereiche. Die wichtigsten Bereiche mit direkten Auswirkungen auf die Kryptografie sind:

Prüfungsbereitschaft

Bewertungen und Prüfungen – unabhängig davon, ob sie intern durchgeführt, von einer Aufsichtsbehörde vorgenommen oder von einem unabhängigen Gutachter überprüft werden – konzentrieren sich auf nachgewiesene Fakten und nicht allein auf Grundsatzerklärungen. Zu den wichtigsten Bereichen, die Prüfer und Gutachter üblicherweise untersuchen, gehören:

• Kontrollmaßnahme 2.4A – Bestandsaufnahme der Datenflüsse: Hat die Organisation die direkten und indirekten Datenflüsse zwischen der Sicherheitszone und den Backoffice-Systemen erfasst und diese jeweils hinsichtlich Vertraulichkeit, Integrität und Authentizität bewertet?
• HSM und Nachweise zur Schlüsselverwahrung: Gibt es Nachweise dafür, dass SWIFT-bezogene Schlüssel mithilfe von Mechanismen generiert und gespeichert werden, die auf „ hardware “ basieren?
• Genauigkeit der KYC-SA-Bescheinigung: Gibt die Bescheinigung der Organisation ihren Status in Bezug auf die derzeit geltenden verbindlichen Kontrollmaßnahmen korrekt wieder?
• Unterlagen zur unabhängigen Bewertung: Liegen Unterlagen wie Architekturdiagramme und Datenflussübersichten vor, die eine Überprüfung durch einen unabhängigen Gutachter unterstützen?
• Abbildung des Anwendungsbereichs von Bridging-Servern und Middleware: Wurden alle Bridging-Server, Middleware-Komponenten und Dateiübertragungssysteme im Anwendungsbereich von Kontrollmaßnahme 2.4A identifiziert?
• Software sowie Überprüfung der Signatur von Konfigurationen: Kann die Organisation nachweisen, dass die „ software “ und Konfigurationsänderungen an SWIFT-bezogenen Komponenten vor der Bereitstellung signiert und überprüft werden?

LEITEN SIE DIES AN DIE GESCHÄFTSFÜHRUNG WEITER

CSCF v2026 schreibt Control 2.4A verbindlich vor und erweitert unsere kryptografischen Verpflichtungen über die SWIFT Secure Zone hinaus auf die Middleware- und Backoffice-Systeme, die täglich mit SWIFT-Daten in Berührung kommen. Dies ist ein deutlich größerer Anwendungsbereich als der, der bei unserer letzten unabhängigen Bewertung abgedeckt wurde.

Unser Zertifizierungsstatus ist für Geschäftspartner und Aufsichtsbehörden einsehbar, weshalb es sich hierbei ebenso sehr um eine Frage der Korrespondenzbankbeziehungen wie um eine Sicherheitsfrage handelt. Wir benötigen eine aktuelle Bestandsaufnahme der Backoffice-Datenflüsse und der zu ihrer Absicherung dienenden Verschlüsselung, und zwar lange vor Beginn unseres nächsten KYC-SA-Zertifizierungszeitraums – und nicht erst währenddessen.