Was ist SWIFT?

SWIFT (Society for Worldwide Interbank Financial Telecommunication) ist eine von Mitgliedern der Finanzgemeinschaft gegründete Genossenschaft. SWIFT wurde im Jahr 1973 von 239 Banken in 15 Ländern ins Leben gerufen. Dies diente dazu, das Format von Finanzinformationen zu standardisieren und den elektronischen Austausch zwischen Finanzinstituten und Unternehmen zu erleichtern. Seitdem ist eine SWIFT-Transaktion in der internationalen Finanzbranche zum etablierten Standard für Geldtransfers geworden. Heute stellen mehr als 11.000 Institutionen eine Verbindung zu SWIFT her, und das in mehr als 200 Ländern und Territorien. Das SWIFTNet-System für Finanznachrichten ist ein äußerst stabiles Nachrichtennetzwerk mit einer Verfügbarkeit von 99,999 %. Die Standardisierungsbemühungen von SWIFT haben zu Fortschritten bei Automatisierung und Zahlungen geführt, einschließlich grenzüberschreitender Zahlungen und Zahlungen in Echtzeit. Aufgrund der sicherheitstechnischen Auswirkungen von Geldtransfers hat SWIFT ein Sicherheitsframework entwickelt: SWIFT Customer Security Controls Framework (CSCF). 

Das SWIFT-System ist eine Genossenschaft, die sich aus aktiv involvierten Stakeholdern zusammensetzt. Als Organisation wird SWIFT von den Zentralbanken der folgenden Länder kontrolliert: Belgien, Frankreich, die Vereinigten Staaten, Kanada, Deutschland, Italien, die Niederlande, Schweden, die Schweiz, Japan und Großbritannien.

SWIFT standardisiert nicht nur die Finanzkommunikation, sondern bietet auch ein Framework für Sicherheitskontrollen für SWIFT-Nutzer: Das SWIFT CSCF umfasst empfohlene und obligatorische Sicherheitskontrollen.

SWIFT CSCF erfordert, dass Unternehmen ihre Umgebung mithilfe von Maßnahmen wie Zugriffskontrollen mit geringstmöglichen Berechtigungen sichern. Das CSCF erweitert die Schutzmaßnahmen um leistungsstarke Reaktionen und die Handhabung von Vorfällen. Die Sicherheitslösungen von Akamai bieten Informationen und umfassenden Schutz, um Finanzdaten vor Sicherheitsverletzungen und versehentlicher Offenlegung zu schützen. Akamai unterstützt Ihre Sicherheitsteams dabei, die Effektivität und den ROI Ihrer Sicherheitsinvestitionen zu maximieren, indem es über die herkömmliche Endpoint Detection hinausgeht und eine leistungsstarke Zero-Trust-Lösung für die Sicherheit und den Datenschutz bereitstellt. 

Akamai bietet:

• Eine globale Sicherheitsplattform, die Zero-Trust-Sicherheit mit umfassender Abdeckung Ihrer IT-, IoT- und OT-Umgebungen durchsetzt
• Umfassende Transparenz von Assets, Zugriffen und Netzwerkflüssen
• Detaillierte Durchsetzung von Sicherheitsrichtlinien

Das steigende Volumen und die zunehmende Komplexität von Betrugsfällen, die auf das SWIFT-Netzwerk und die anderen Zahlungssysteme abzielen, haben zur Schaffung des SWIFT Customer Security Controls Framework (CSCF) geführt. Dieses ist Teil des Customer Security Programme (CSP). CSCF ist ein Sicherheitsframework mit obligatorischen und empfohlenen Sicherheitskontrollen, die für alle Finanzinstitute gelten, die das SWIFT-Nachrichtensystem verwenden. Drei Ziele bilden das CSCF, denen sieben strategische Sicherheitsgrundsätze zugrunde liegen. Das CSCF-Framework deckt vier SWIFT-Nutzerarchitekturen ab: A1, A2, A3 und B. Die erforderlichen Sicherheitskontrollen hängen davon ab, unter welche Architektur ein SWIFT-Nutzer fällt.

Große, gezielte SWIFT-Hacks, wie 2016 auf die Zentralbank von Bangladesch, wobei über 81 Millionen US-Dollar erbeutet wurden, führte zur Entwicklung des CSCF-Cybersicherheitsframeworks, um Angriffe auf SWIFT-Kunden abzuwehren. Cyberkriminelle greifen SWIFT jedoch weiterhin an. Ein Bericht des Europäischen Zahlungsverkehrsrats aus dem Jahr 2021 führt Beispiele von Cyberangriffen mit mehreren Vektoren an, die die SWIFT-bezogene Bankinfrastruktur ausnutzen. Der Bericht weist auf einige gravierende Datenschutzverstöße hin, die Bankkartendaten betreffen und auf gezielten APT-Angriffen auf das SWIFT-Servicebüro basieren. Im Jahr 2021 änderte SWIFT seine CSCF-Maßnahmen zur Beschränkung des Internetzugangs von empfohlen auf obligatorisch. Dies ging einher mit der Verwendung einer verbesserten Multi-Faktor-Authentifizierung bei der Vorlage oder beim Zugriff auf einen SWIFT-bezogenen Service, eine Anwendung oder Komponente, die von einem Dienstanbieter betrieben wird. Die folgenden Institutionen sind verpflichtet, das CSCF von SWIFT einzuhalten:

Finanzinstitute – Finanzinstitute, die die SWIFT-Nachrichtenplattform nutzen, müssen sich an die obligatorischen Kontrollen des CSCF halten. Dies bedeutet, dass diese Institutionen über zuverlässige Sicherheitskontrollen verfügen müssen, die das Unternehmen vor externen und internen Bedrohungen schützen. Die Kontrollen umfassen den Schutz vor Schwachstellen, um Malware- und Ransomware-Infektionen zu verhindern, sowie die Trennung von Rollen und Zugriffsberechtigungen zum Schutz vertraulicher Daten, Anmeldedaten oder kritischer Assets. Eines der Grundprinzipien der CSCF-Kontrollen ist die Zugriffsverwaltung mit den geringstmöglichen Berechtigungen. Durch die Implementierung eines Zero-Trust-Sicherheitsmodells können Finanzunternehmen ihre Umgebung sichern, sich vor der Ausnutzung von Schwachstellen schützen, Identitäten verwalten und Berechtigungen trennen, damit sie mit dem CSCF in Einklang stehen.

Dritte und Anbieter – Jedes Unternehmen, das Finanzinstitute bei der Verarbeitung, Speicherung oder Übermittlung von SWIFT-Finanztransaktionsdaten unterstützt, muss die CSCF-Kontrollen ebenfalls einhalten. Das gleiche Zero-Trust-Sicherheitsmodell wird diesen Drittanbietern helfen, die obligatorischen Kontrollen des SWIFT CSCF einzuhalten. Auf diese Weise schützen diese Anbieter ihr eigenes Unternehmen vor Cyberangriffen, die auf die Lieferkette abzielen, und auch andere Unternehmen in der Lieferkette, einschließlich der Finanzinstitute, für die sie tätig sind.

Die SWIFT-CSCF-Compliance erfordert eine Bestätigung anhand einer unabhängigen Beurteilung. Ein Unternehmen muss über erforderliche Sicherheitsmaßnahmen verfügen, um sich auf diese Beurteilung vorzubereiten. Die Umsetzung des SWIFT CSCF erfordert einen systematischen Sicherheitsansatz. Eine Zero-Trust-Architektur unterstützt die erforderlichen obligatorischen und empfohlenen Kontrollen des SWIFT CSCF. Sie setzt die CSCF-Kontrollen durch, um Technologie und Richtlinien zusammenzuführen und Sicherheit auf einer detaillierteren Ebene zu ermöglichen, die über die gesamte potenzielle Angriffsfläche hinweg filtert. Akamai bietet eine umfassende Lösungsproduktfamilie, die eine breite Palette der vom SWIFT CSCF geforderten Kontrollen umfasst. Akamai unterstützt durch Risikomanagement, Reporting und Dokumentation (die alle über eine Zero-Trust-Strategie bereitgestellt werden) auch die SWIFT-CSCF-Compliance.

SWIFT bietet drei zentrale Nachrichtenservices:

FIN – FIN ist der führende Nachrichtenservice von SWIFT. Er soll den Austausch einzelner strukturierter Nachrichten mit den Formaten MT/MX und ISO 15022 erleichtern. Darüber hinaus ist FIN für das Validieren des Nachrichtenformats, das Überwachen der Zustellung sowie das Speichern und das Abrufen zuständig.

FileAct – FileAct ist ein System zur Unterstützung großer und strukturierter Dateiübertragungen, wie z. B. Massenzahlungsdateien oder Wertpapiermehrwertinformationen.

InterAct – InterAct bietet einen Service für die Nachweisbarkeit für XML-basierte Finanznachrichten, einschließlich der Formate SWIFT MX und ISO 20022.

SWIFT GPI – Mehr als 4.000 Finanzinstitute haben sich bei SWIFT GPI angemeldet, einer Plattform für grenzüberschreitende Zahlungen. Die Plattform ist für schnelle Zahlungen optimiert und bietet Funktionen zur Nachverfolgung.

SWIFT GPI Instant – SWIFT GPI Instant kombiniert Sofortzahlungen von SWIFT GPI mit inländischen Echtzeitzahlungsnetzen, um grenzüberschreitende Zahlungen schnell und nahtlos zu ermöglichen.

SWIFT Go – SWIFT Go ist ein Standard für internationale Zahlungen in niedriger Höhe.

SWIFT arbeitet mit der ISO zusammen, um Normen zu entwickeln: 

• ISO 15022: für die Wertpapierabwicklung und Vermögensverwaltung verwendet.
• ISO 20022: ein neuer offener globaler Nachrichtenstandard für alle Prozesse der Finanzbranche.

SWIFT ist nicht für die Überwachung oder Kontrolle von SWIFT-Nachrichten verantwortlich, die über das SWIFT-System gesendet werden. Stattdessen werden Finanztransaktionen, die unter Sanktionen fallen, von den Finanzinstituten und den nationalen Behörden ermittelt, die sie überwachen. Die finanziellen Sanktionen, die während der russischen Invasion in die Ukraine verhängt wurden, wurden von nationalen Institutionen durchgesetzt. Die Europäische Union stimmte bspw. zu, wichtige russische Banken vom SWIFT-System auszuschließen.