Information Security Archive | Pragmatica AG Prozessoptimierung & Digitalisierung https://www.pragmatica.ch/information-security-news/ Consulting & Projekt Management für Banken und Versicherungen Tue, 31 Mar 2026 01:15:51 +0000 de hourly 1 https://wordpress.org/?v=6.9.4 FINMA Risikomonitor 2025 https://www.pragmatica.ch/finma-risikomonitor-2025/ Mon, 16 Mar 2026 15:28:56 +0000 https://www.pragmatica.ch/?p=7238 Analyse des FINMA-Risikomonitors 2025. Erfahren Sie, wie sich neue Durchsetzungsbefugnisse, Auslagerungsrisiken und Cyber-Bedrohungen auf Schweizer Banken und Finanzinstitute auswirken.

Der Beitrag FINMA Risikomonitor 2025 erschien zuerst auf Pragmatica AG Prozessoptimierung & Digitalisierung.

]]>

FINMA Risikomonitor 2025

  • Fokusthema

Die FINMA hat im November 2025 ihren Risiko Monitor 2025 veröffentlicht.
Was das für Sie bedeutet.

Der FINMA-Risikomonitor 2025 markiert einen Wendepunkt, da die Schweizer Finanzaufsichtsbehörde nicht mehr nur Anforderungen stellt, sondern diese auch nachhaltiger als bis jetzt durchsetzt. Das Zeitfenster zwischen „wir sollten“ und „wir müssen beweisen, dass wir es getan haben“ hat sich geschlossen.
 
Unsere Experten für Sicherheit und Regulierung bei Pragmatica haben den Risiko Monitor analysiert und 5 Schwerpunktbereiche herausgearbeitet, die von CISOs, Risikoverantwortlichen und Vorstandsmitgliedern zeitnah beachtet werden sollten.
Disclaimer:
Der FINMA Risikomonitor 2025 deckt ein breites Spektrum an Risikobereichen ab. In diesem Beitrag konzentrieren wir uns gezielt auf die Themen rund um Cybersecurity, ICT-Risiken und operationelle Resilienz, da diese unseren Beratungsschwerpunkt bilden.

1. Erweiterung der Aufsicht:
Outsourcing entbindet nicht von Verantwortung

Die FINMA erwartet eine umfassende und ineinandergreifende Governance, klare Rechenschaftspflicht und prüfungsreife Nachweise. Dies gilt überall dort, wo Outsourcing kritische Funktionen und Geschäftsprozesse betrifft. Neun von zehn Banken lagern kritische Funktionen aus. Die Sorgfaltspflicht und Verantwortung bleiben jedoch immer bei der auslagernden Institution und können nicht delegiert werden.
Die Frage für Ihr Unternehmen:

Können Sie nachweisen, dass Sie für alle ausgelagerten kritischen Funktionen und Geschäftsprozesse die volle Verantwortung tragen und ein angemessenes Third Party Risk Management betreiben?

Wie wir helfen können

Wir haben Banken der FINMA-Kategorien 2 bis 5 beim Aufbau und der Implementierung von Rahmenwerken für Third Party Risk Management begleitet.

Dabei entwickeln wir gemeinsam die erforderlichen regulatorischen Nachweise, damit Sie einen prüfungsbereiten Zustand erreichen.
Institutionen, die frühzeitig handeln, behalten deutlich mehr Kontrolle über das Prüfungsergebnis.

Interessiert sie eine Gesamtübersicht?
Laden Sie unseren Report herunter oder vereinbaren Sie einen Termin mit uns!

Unser umfassendes Slide Deck bietet vertiefte Einblicke in alle Schwerpunktbereiche. Es beschreibt unsere Rahmenbedingungen, unser Dienstleistungsangebot sowie unsere bewährte Prüfungsmethodik.
Report herunterladen
Termin vereinbaren

2. Aufsichtsschwerpunkt:
Von Rundschreiben zu verbindlichen Prüfkriterien

Dies stellt eine wesentliche Veränderung dar. Die FINMA prüft Dritte zunehmend direkt, sowohl mit eigenem Personal als auch mit beauftragten Prüfern. Bestehende Rundschreiben sind keine reinen Leitlinien mehr, sondern werden aktiv als Prüfkriterien angewendet.
Die Frage für Ihr Unternehmen:

Sind Ihre Risikotoleranzen, Melde-Schwellenwerte und Eskalationsprozesse so ausgestaltet, dass sie einer aufsichtsrechtlichen Prüfung standhalten?

Wie wir helfen können

Unser pragmatischer Ansatz umfasst eine strukturierte Gap-Analyse vor dem Audit, begleitete Probeläufe sowie gezielte Probeinterviews.

Wir identifizieren und adressieren Ihre individuellen regulatorischen Herausforderungen. Dabei stärken wir nicht nur Ihre operative Resilienz, sondern entwickeln auch Ihren Audit-Prozess systematisch weiter.

3. Drittparteien / Outsourcing:
Von Outsourcing zur ganzheitlichen Lieferkette

Die FINMA erweitert den Fokus vom klassischen Outsourcing auf die gesamte Lieferkette. Dies umfasst auch Unterauftragnehmer Ihrer Partner. Die auslagernde Partei bleibt rechtlich für die gesamte nachgelagerte Lieferkette verantwortlich.
Die Frage für Ihr Unternehmen:
Verfügen Sie über ein strukturiertes Third Party Risk Management (TPRM) mit klarer Anbieterklassifizierung, angemessenen Sicherheitsanforderungen, einer Bewertung von Konzentrationsrisiken sowie einer kontinuierlichen Überprüfung?

Wie wir helfen können

Wir haben TPRM-Frameworks für Banken der FINMA-Kategorien 3 bis 5 sowie für grosse Finanzdienstleister entwickelt und implementiert. Dabei definieren wir klare Aufgaben, Befugnisse und Verantwortlichkeiten für alle beteiligten Parteien.

4. Insider Threats:
Eigenständige Risikokategorie

Insider Threats sind eine eigenständige und offiziell anerkannte Risikokategorie. Der Fokus der FINMA liegt auf vorsätzlichen, böswilligen Handlungen und nicht auf einfachen menschlichen Fehlern. Der Geltungsbereich umfasst zudem nicht nur interne Mitarbeitende, sondern auch Dritte.
Die Frage für Ihr Unternehmen:
Geht Ihr Insider Threat Programm über klassisches Data Loss Prevention hinaus?
Deckt es auch Dritte ab und berücksichtigt digitale, physische und personelle Angriffsflächen?

Wie wir helfen können

Unser Framework für Insider Threat and Risk Management, basierend auf ASIS ESRM 2019, hat eine systemrelevante Bank dabei unterstützt, regulatorische Feststellungen erfolgreich abzuschliessen und eine formale Genehmigung durch beauftragte Prüfer zu erreichen.

Alle unsere Frameworks basieren auf etablierten Industriestandards und Best Practices und lassen sich flexibel an Ihre Bedürfnisse anpassen.
Zudem unterstützen wir Sie beim Aufbau bereichsübergreifender Teams.

5. Cyber & ICT Risks:
Weitere Zunahme der Risiken

Cyber und ICT Risks nehmen weiter zu. Die FINMA erwartet eine klare Verschiebung von klassischer Perimeterverteidigung hin zu integrierter operativer Resilienz über die gesamte Lieferkette hinweg.
Die Frage für Ihr Unternehmen:

Sind Ihr Vulnerability Management, Ihre Detection Capabilities und Ihre Incident Response Prozesse auf die aktuellen regulatorischen Erwartungen abgestimmt?

Wie wir helfen können

Von Vulnerability Management Roadmaps bis hin zu Threat Led Tabletop Exercises kombinieren wir tiefgehendes technisches Know-how mit fundiertem regulatorischem Verständnis.

So entwickeln wir praxisnahe und geschäftsrelevante Lösungen, die Ihre Resilienz nachhaltig stärken.

Bereit für Ihre FINMA-Prüfung

Ob Sie sich auf eine Prüfung vorbereiten, regulatorische Feststellungen abschliessen oder Ihre Position im FINMA Risk Monitor proaktiv bewerten.
Wir unterstützen Sie gezielt in jeder Phase.

Wir sind bereit, wenn Sie es sind.

Laden Sie unseren vollständigen FINMA Risko Monitor 2025 Report herunter:

Report herunterladen

Oder tauschen Sie sich direkt mit unseren Experten aus und vereinbaren Sie einen Termin:

Termin vereinbaren
Name
An welchen Gebieten sind Sie interessiert?

Unsere Experten

André Bussmann

Senior Partner, Leiter Information/Cyber Security, GRC & Datenschutz

+41 41 749 10 15 | +41 76 563 20 00
andre.bussmann@pragmatica.ch

Beratungsschwerpunkte / Expertise

  • Projekt- und Programm Management für Business und IT
  • Business und IT Transformations- und Change-Management
  • Beratung und Implementierung regulatorischer Anforderungen für Banken und Versicherungen
  • Spezielle Fachgebiete sind Operational Resilience/BCM, Information/Cyber Security, GRC (Governance, Risk & Compliance) und Data Privacy (GDPR & CH DSG)


Relevante Berufserfahrung, Abschlüsse und Ausbildungen

  • > 25 Jahre Projekt- und Programm Management nationale und internationale Projekte in der Finanzdienstleistungsbranche
  • > 20 Jahre Business- und IT-Projekte in der Umsetzung regulatorischer Anforderungen in der Finanzdienstleistungsbranche
  • > 10 Jahre Outsourcing (Near- und Offshoring) von Business & IT Services
  • Zertifizierungen: Certified Information Security Manager (CISM) von ISACA, Project Management Professional (PMP) von PMI, Prince 2 Practioner
  • Ausbildungen in Lean Management, Design Thinking, PROSCI Change Management, OneTrust Certified Privacy Professional
Linkedin Xing

Tarik Kayapinar

Motto:
„Positives Denken und der Glaube an sich selbst, sind der Weg zum Erfolg.“

Warum Pragmatica:
Pragmatica ermöglicht mir, mich in einem spannenden Umfeld in Kunden-Projekten oder in internen Tätigkeitsfeldern zu entfalten. Ich kann hier sowohl meine Stärken weiter vertiefen als auch neue Fähigkeiten lernen, die meine Weiterentwicklung stark fördern. Das kollegiale und familiäre Umfeld bei der Pragmatica ist mir wichtig, so fühle ich mich heimisch.

Beratungsschwerpunkte / Expertise

  • Informationssicherheitsmanagement (ISMS) in der Banken- und Versicherungs-Industrie
  • Risiko-Management u.a. im Bankensektor (CH) und im Mobilitäts- und Transportkonzern (DE)
  • 3rd Party Security und Vertragsmanagement in der Versicherungsbranche
  • Identity & Access Architecture & Data Compliance im Bankensektor
  • Interne Auditierung im Finanzdienstleistungssektor
  • Geschäftskontinuitätsmanagement-System (ISO 22301)
  • Datenschutzmanagement (DSGVO): Umsetzung und interne Schulung
  • ISMS Schwerpunkte: Führung, Risiko Management, Lieferantenmanagement, Physische Sicherheit, Incident Management, BCM, Compliance und Asset Management


Relevante Berufserfahrung, Abschlüsse und Ausbildungen

  • 9 Jahre Informationssicherheits-Management / ISMS
  • 7 Jahre IT- und Geschäftsprozess-management
  • 5 Jahre Datenverwaltung
  • 4 Jahre Datenschutzmanagement (DSGVO) und DSFA
  • 4 Jahre Security Awareness
  • 5 Jahre Projektmanagement, Prince2 Practitioner zertifiziert
  • 6 Jahre Risiko- und Qualitätsmanagement
  • 4 Jahre Identity & Access Management
Linkedin Xing

Dr. Doron Zimmermann

Motto:
„Si sapis, alterum alteri misce: nec speraveris sine desperatione nec desperaveris sine spe.“
(Wenn Du weise bist, mische diese zwei Dinge: Hoffe nie ohne Zweifel, und Verzweifle nie ohne Hoffnung)
-Lucius Annaeus Seneca

Warum Pragmatica:
Wer menschlich ist im Umgang mit seinen Mitmenschen, der schart Seineesgleichen um sich. Pragmatica bringt kluge Leute aus verschiedensten Aspekten des Berufslebens zusammen; was Sie vereint, ist ein Streben nach Qualität in der Arbeit für den Kunden und ein Wille das Vertrauen des Kunden damit zu erwerben. Obschon dies alltäglich klingt, ist es auf Stufe einer Organisation aussergewöhnlich.

Meine Expertise

  • Sicherheitsrisikomanagement
  • Informationssicherheit
  • Vorsorgeplanung (BCM)
  • Krisenmanagement
  • Unternehmenssicherheit
  • Insider Risiko Management


Relevante Berufserfahrung, Abschlüsse und Ausbildungen

  • 20+ Jahre Sicherheitsrisikomanagement
  • Versicherungs,-Energie-, Logistik-, Telekommunikationsbranchen Erfahrung
  • Leiter Sicherheit in CSO und CISO-Funktionen
  • Verwaltungserfahrung (Stab, Bundesrat)
  • Lehre und Forschung (ETH & National Defense University, Washington, D.C.)
  • Zertifizierter Manager für Informationssicherheit – CISM (ISACA)
  • Sicherheitsrisikomanagement für Unternehmen, Zertifikat (ASIS)
  • Sonderausbildungen für Insider Risiko Management
  • Doktoriert an der Universität Cambridge (Emmanuel), Vereinigtes Königreich
Linkedin
Salvatore Profilbild

Salvatore Arcidiacona

Motto:
„Letzten Endes sind die Ziele einfach: Sicherheit und Schutz.“

Warum Pragmatica:
Ich schätze bei Pragmatica die langjährigen Partnerschaften, die auf Vertrauen basieren und das Ergebnis der Zufriedenheit der Kunden ist. Ich bin fest davon überzeugt, dass sich die hohe Qualität der Beratungsleistungen und die Umsetzung pragmatischer Lösungen für unsere Kunden auszahlen, insbesondere angesichts des aktuellen Kostendrucks und des Drucks zur Innovation.

Meine Expertise
  • Cyber Defence & Security Operations (SOC/CDC)
  • Cyber Threat Intelligence
  • Security Incident Management
  • Regulatorische Compliance (FINMA, DORA)
 
Relevante Berufserfahrung, Abschlüsse und Ausbildungen
  • 20+ Jahre Erfahrung in Cybersicherheit und IT Security
  • Gründer und Leiter eines globalen Cyber Defence Center (internationales Fintech)
  • Erfahrung in sektorübergreifender Krisenkoordination (FS-CSC, BACS/NCSC)
  • Master of Advanced Studies in Information Systems Management
  • Aktives Mitglied DefCon Chapter Switzerland
Linkedin

Weitere Themen

, , ,

FINMA Risikomonitor 2025

info ➞

, ,

Generative KI

info ➞

, ,

Vom Kostendruck zur Effizienzrevolution

info ➞

,

Brauche ich wirklich KI?

info ➞

,

Die Schweiz im Fadenkreuz ausländischer Nachrichtendienste

info ➞

, ,

Resilienz in der Supply Chain: Warum das Bedrohungsbild ein neues Sicherheitsdenken erfordert

info ➞

,

UBS Datenleck via Chain IQ: Third Party Risk & Supply Chain Security Lessons

info ➞

,

Third Country Intercept: Wie sicher sind Ihre Daten in der Cloud?

info ➞

Prozess Management: Zielerreichung oder „Neujahrs-Effekt“?

info ➞

Künstliche Intelligenz gewinnbringend einsetzen dank einer griffigen KI-Journey

info ➞

Der Beitrag FINMA Risikomonitor 2025 erschien zuerst auf Pragmatica AG Prozessoptimierung & Digitalisierung.

]]> Die Schweiz im Fadenkreuz ausländischer Nachrichtendienste https://www.pragmatica.ch/lagebericht-ndb-2025/ Tue, 21 Oct 2025 21:42:52 +0000 https://www.pragmatica.ch/?p=6406 Der Lagebericht 2025 des Nachrichtendienstes des Bundes (NDB) spricht eine deutliche Sprache: Die Bedrohungslage durch Spionageaktivitäten in der Schweiz hat ein neues Niveau erreicht. Die Schweiz bleibt seit Jahrzehnten ein attraktiver Operationsraum für fremde Nachrichtendienste. Doch laut aktuellem Bericht ist nicht nur das Ausmass dieser Aktivitäten weiterhin hoch – es nimmt signifikant zu. Der NDB bestätigt explizit, dass die Aktivitäten des verbotenen Nachrichtendienstes eine neue Qualität erreicht haben. Besonders betroffen sind Unternehmen mit hoher Innovationskraft, internationaler Vernetzung oder zentraler Bedeutung für kritische Infrastrukturen.

Der Beitrag Die Schweiz im Fadenkreuz ausländischer Nachrichtendienste erschien zuerst auf Pragmatica AG Prozessoptimierung & Digitalisierung.

]]>

Die Schweiz im Fadenkreuz ausländischer Nachrichtendienste

  • Information SECURITY

Unternehmen müssen jetzt handeln.

Der Lagebericht 2025 des Nachrichtendienstes des Bundes (NDB) spricht eine deutliche Sprache: Die Bedrohungslage durch Spionageaktivitäten in der Schweiz hat ein neues Niveau erreicht. Die Schweiz bleibt seit Jahrzehnten ein attraktiver Operationsraum für fremde Nachrichtendienste. Doch laut aktuellem Bericht ist nicht nur das Ausmass dieser Aktivitäten weiterhin hoch – es nimmt signifikant zu. Der NDB bestätigt explizit, dass die Aktivitäten des verbotenen Nachrichtendienstes eine neue Qualität erreicht haben. Besonders betroffen sind Unternehmen mit hoher Innovationskraft, internationaler Vernetzung oder zentraler Bedeutung für kritische Infrastrukturen. 

Der Lagebericht 2025 des Nachrichtendienstes des Bundes (NDB) spricht eine deutliche Sprache: Die Bedrohungslage durch Spionageaktivitäten in der Schweiz hat ein neues Niveau erreicht. Die Schweiz bleibt seit Jahrzehnten ein attraktiver Operationsraum für fremde Nachrichtendienste. Doch laut aktuellem Bericht ist nicht nur das Ausmass dieser Aktivitäten weiterhin hoch – es nimmt signifikant zu. Der NDB bestätigt explizit, dass die Aktivitäten des verbotenen Nachrichtendienstes eine neue Qualität erreicht haben. Besonders betroffen sind Unternehmen mit hoher Innovationskraft, internationaler Vernetzung oder zentraler Bedeutung für kritische Infrastrukturen.

Quelle: NDB, «Sicherheit Schweiz 2025»: Globale Konfrontation hat direkte Auswirkungen auf die Schweiz

Gleichzeitig warnt der NDB vor einer zunehmend hybriden Bedrohungslage, bei der staatlich gelenkte Akteure gezielt kritische Infrastrukturen ins Visier nehmen könnten. Zwar wurde in der Schweiz bislang keine direkte staatliche Cyber-Sabotage beobachtet, jedoch sind laut Bericht Machtkalküle und geopolitische Zielsetzungen klare Treiber für potenzielle Angriffe – auch auf die Schweiz. Dabei können sowohl Schweizer Interessen als auch jene unserer europäischen Nachbarn zum Ziel werden, wenn deren Infrastruktur hierzulande betrieben oder gehostet wird. 

Was heisst das für Schweizer Unternehmen konkret?

Unternehmen mit digitalen Geschäftsmodellen, internationalen Lieferketten oder einer Rolle als Cloud-Hub für Drittstaaten sind besonders exponiert. Die Herausforderungen rund um grenzüberschreitende Datenverarbeitung und Drittstaatenzugriffe sind dabei zentral. Welche Risiken konkret bestehen und wie sie adressiert werden können, erläutern wir im Detail im Beitrag „Third Country Intercept Risk in der Cloud“. Doch die Bedrohung betrifft nicht nur Technologie- oder Finanzunternehmen – sondern alle Organisationen, deren Informationen, Systeme oder Personen ein potenzielles Ziel darstellen. Die Verteidigung gegen Spionage beginnt nicht an der Landesgrenze, sondern beim eigenen physischen, logischen und personellen Sicherheitsdispositiv. 

Pragmatica unterstützt in drei kritischen Bereichen:

Insider Threat and Risk Management

Der neue Perimeter heisst "Access".

Risiken, die von Innentätern ausgehen, zählen zu den am meisten unterschätzten Gefahren. Wir helfen Ihnen dabei, strukturiert und risikoorientiert potenzielle Gefährdungen durch Mitarbeitende oder nahestehende Drittparteien, u.a. Dienstleister Outsourcing, zu erkennen und wirksam zu adressieren. Dazu zählen Massnahmen zur physischen und logischen Zugriffskontrolle, risikobasierte personelle Sicherheitsprozess, wie z.B. die Identifizierung von Funktionen mit erhöhter Integritätsanforderungen sowie präventive Awareness-Formate für alle relevanten Organisation, Prozesse und Massnahmen im Bereich der personellen Sicherheit. 

Third Party Security Risk Management​

Die Kette ist nur so stark wie ihr schwächstes Glied.

Liefernde, externe IT-Dienstleistende und strategische Partner können Einfallstore und Multiplikatoren für nachrichtendienstliche Aktivitäten im Zusammenhang mit der verbotenen Nachrichtenbeschaffung durch private, parastaatliche und staatliche Akteure sein.

Mit unserer Unterstützung bauen Sie eine strukturierte Third Party Risk Governance auf, führen Security Due Diligences durch und implementieren ineinandergreifende Kontrollmechanismen, die regulatorisch abgestützt und operationell wirksam sind.

supply chain governance titelbild

Resilienz in der Supply Chain: Warum das Bedrohungsbild ein neues Sicherheitsdenken erfordert

29. September 2025

Cyberangriffe auf Lieferketten sind längst kein Einzelfall mehr. Was mit dem jüngsten Angriff auf die weitverbreitete Gepäckmanagement-Software Muse von Collins Aerospace begann – mit Auswirkungen auf Flughäfen in London, Berlin, Brüssel und Dublin – ist Teil einer bedrohlichen Entwicklung: Eine Serie von gezielten Angriffen auf kritische Infrastrukturen und Lieferketten in Europa.

Read More »

Use Case:
Third Country Intercept Risk in der Cloud

Daten reisen grenzenlos – Risiken auch.

Liefernde, externe IT-Dienstleistende und strategische Partner können Einfallstore und Multiplikatoren für nachrichtendienstliche Aktivitäten im Zusammenhang mit der verbotenen Nachrichtenbeschaffung durch private, parastaatliche und staatliche Akteure sein.

Mit unserer Unterstützung bauen Sie eine strukturierte Third Party Risk Governance auf, führen Security Due Diligences durch und implementieren ineinandergreifende Kontrollmechanismen, die regulatorisch abgestützt und operationell wirksam sind.

Third Country Intercept: Wie sicher sind Ihre Daten in der Cloud?

29. Januar 2025

Für Unternehmen wird die Frage nach der Sicherheit und dem Datenschutz in der Cloud zunehmend komplexer. Ein entscheidender Aspekt, der oft unterschätzt wird, ist das Risiko des Datenabflusses durch Drittstaaten wie die USA – bedingt durch deren nationale Sicherheitsgesetze. Besonders betroffen sind Organisationen, die auf die Dienste grosser Cloud-Anbieter (Hyperscaler) angewiesen sind.

Read More »

Warum Pragmatica?

Wir kombinieren tiefgreifende Erfahrung in der Informations- und Cybersicherheit mit regulatorischem Know-how und methodischer Exzellenz. Unsere Beratung ist umsetzungsorientiert, zielgerichtet und abgestimmt auf Ihre organisatorischen Rahmenbedingungen. Dabei bringen wir unsere breite Erfahrung aus sicherheitsrelevanten Transformationsprojekten in der Finanzindustrie, im Gesundheitswesen und im öffentlichen Sektor ein.

Fazit: Die neue Bedrohungslage verlangt entschlossenes Handeln.

Wir helfen Ihnen, ein ganzheitliches und umfassendes Sicherheitsdispositiv (physisch, logisch und personell) modular auf Ihre Bedürfnisse ausgerichtet, proportional und zielführen den aktuellen Herausforderungen anzupassen.

Ob im Rahmen eines Assessments, einer strategischen Sicherheitsplanung oder durch operative Unterstützung bei konkreten Projekten – mit Pragmatica sind Sie auf der sicheren Seite.

Sie haben Fragen?

Gerne begleiten wir Sie und Ihr Unternehmen auf dem Weg zur Sicherheit!

Kontaktieren Sie uns für ein vertrauliches Erstgespräch und eine erste Einschätzung Ihrer Sicherheitslage.

Kontakt

Quellenangabe

  • «Sicherheit Schweiz 2025»: Globale Konfrontation hat direkte Auswirkungen auf die Schweiz. (n.d.). https://www.vbs.admin.ch/de/ndb-sicherheit-schweiz-2025

Weitere Topics

, , ,

FINMA Risikomonitor 2025

info ➞

, ,

Generative KI

info ➞

, ,

Vom Kostendruck zur Effizienzrevolution

info ➞

,

Brauche ich wirklich KI?

info ➞

,

Die Schweiz im Fadenkreuz ausländischer Nachrichtendienste

info ➞

, ,

Resilienz in der Supply Chain: Warum das Bedrohungsbild ein neues Sicherheitsdenken erfordert

info ➞

,

UBS Datenleck via Chain IQ: Third Party Risk & Supply Chain Security Lessons

info ➞

,

Third Country Intercept: Wie sicher sind Ihre Daten in der Cloud?

info ➞

Prozess Management: Zielerreichung oder „Neujahrs-Effekt“?

info ➞

Künstliche Intelligenz gewinnbringend einsetzen dank einer griffigen KI-Journey

info ➞

Der Beitrag Die Schweiz im Fadenkreuz ausländischer Nachrichtendienste erschien zuerst auf Pragmatica AG Prozessoptimierung & Digitalisierung.

]]> Resilienz in der Supply Chain: Warum das Bedrohungsbild ein neues Sicherheitsdenken erfordert https://www.pragmatica.ch/resilience-in-the-supply-chain/ Mon, 29 Sep 2025 19:43:27 +0000 https://www.pragmatica.ch/?p=6383 Cyberangriffe auf Lieferketten sind längst kein Einzelfall mehr. Was mit dem jüngsten Angriff auf die weitverbreitete Gepäckmanagement-Software Muse von Collins Aerospace begann – mit Auswirkungen auf Flughäfen in London, Berlin, Brüssel und Dublin – ist Teil einer bedrohlichen Entwicklung: Eine Serie von gezielten Angriffen auf kritische Infrastrukturen und Lieferketten in Europa.

Der Beitrag Resilienz in der Supply Chain: Warum das Bedrohungsbild ein neues Sicherheitsdenken erfordert erschien zuerst auf Pragmatica AG Prozessoptimierung & Digitalisierung.

]]>

Resilienz in der Supply Chain

  • Information SECURITY

Warum das Bedrohungsbild ein neues Sicherheitsdenken erfordert

Cyberangriffe auf Lieferketten sind längst kein Einzelfall mehr. Was mit dem jüngsten Angriff auf die weitverbreitete Gepäckmanagement-Software Muse von Collins Aerospace begann – mit Auswirkungen auf Flughäfen in London, Berlin, Brüssel und Dublin – ist Teil einer bedrohlichen Entwicklung: Eine Serie von gezielten Angriffen auf kritische Infrastrukturen und Lieferketten in Europa. 

Nur wenige weitere Beispiele aus den letzten Monaten:

  • Jaguar Land Rover musste kürzlich die Produktion stoppen – mit bis heute andauernden Auswirkungen. 
  • Ein sogenannter Prompt-Injection-Angriff („Echoleak“) auf Copilot, Teil des Microsoft-Ökosystems, konnte im letzten Moment gestoppt werden. 
  • Marks & Spencer verzeichnete einen Angriff auf die zeitkritische Lieferkette – mit einem erwarteten Verlust von rund einem Drittel des Jahresgewinns. 
  • Der Outsourcing-Dienstleister ChainIQ wurde kompromittiert – mit Folgeschäden für Unternehmen wie UBS, Pictet und Manor. 

Diese Vorfälle sind nur die Spitze des Eisbergs. 

Was alle diese Angriffe gemeinsam haben: Sie treffen Unternehmen über ihre Lieferketten. Diese sind heute oft hochgradig vernetzt, komplex und auf spezialisierte Drittparteien ausgelagert – genau das macht sie zur idealen Angriffsfläche.  

Die Risiken steigen insbesondere durch:

  • Konzentration von Services auf wenige Anbieter 
  • SaaS-, Cloud- und Procurement-Outsourcing ohne abgestimmte Sicherheitsarchitektur 
  • Zugriffsrechte von Drittparteien, die jene der eigenen Mitarbeitenden übersteigen 
  • Fehlende Kontrolle über neue Perimeter – digitale, physische und personelle Zugangskanäle 

Jede dieser Schwächen kann im Ernstfall zum Multiplikator für Angreifer werden – mit enormem Schaden. 

threatscape titelbild

Neue Realität: Bedrohungen sind hybrid

Lieferketten sind heute digital UND physisch exponiert – betroffen sind nicht nur Daten, sondern auch Logistiksysteme, Standorte und Personen. Cyberkriminelle, Wirtschaftsspionage, staatlich finanzierte Akteure – sie alle nutzen mehrdimensionale Angriffspfade. 

Besonders kritisch: Managed Services und Third Parties mit privilegiertem Systemzugriff. Wird ein solcher Dienstleister kompromittiert, kann dies einen Dominoeffekt mit massiven Folgeschäden auslösen – auch für Unternehmen mit hoher eigener Sicherheitsmaturität. 

Resilienz beginnt mit Risikobewusstsein

Bevor über Technologien, Automatisierung oder Tools gesprochen wird, braucht es ein strategisches Verständnis für das neue Bedrohungsbild. Entscheidend sind: 

  • Sicherheitsbewertungen der gesamten Lieferkette 
  • Koordiniertes Third-Party Risk Management 
  • Abgestimmte Sicherheitsarchitekturen für digitale, physische und personelle Risiken 
  • Kulturelle Resilienz durch Awareness, Leadership und Governance 

Eine punktuelle IT-Security reicht nicht. Resilienz entsteht durch integriertes, pragmatisches Sicherheits-Risikomanagement – strategisch, operativ und kulturell. 

Pragmatica unterstützt Sie mit einem bewährten Ansatz! 

Mit unserer Erfahrung aus über 500 Projekten bieten wir einen praxisorientierten Ansatz für umfassendes Sicherheits-Risikomanagement – mit Fokus auf Lieferketten, Outsourcing und Drittparteienmanagement.

Unsere Leistungen

Enterprise Security Risk Management 

Ganzheitlicher Ordnungsrahmen nach Best Practice zur Steuerung aller Sicherheitsdisziplinen.

Third Party Security Risk Management

Bewertung, Klassifikation und Monitoring externer Partner im Kontext von Governance, Verträgen und Audits.

Insider Threat & Risk Management

DLP-Einführung, Awareness und Benchmarks auf Basis von Counter-Intelligence-Know-how.

Data Transfer Impact Analysis (DTIA)

Bewertung von Auslagerungsrisiken bei Datenübertragungen ins Ausland – mit Fokus auf staatliche Zugriffsmöglichkeiten.

Sie haben Fragen?
Gerne begleiten wir Sie und Ihr Unternehmen auf dem Weg zur Sicherheit!

Kontakt

Quellenangabe

Weitere Topics

, , ,

FINMA Risikomonitor 2025

info ➞

, ,

Generative KI

info ➞

, ,

Vom Kostendruck zur Effizienzrevolution

info ➞

,

Brauche ich wirklich KI?

info ➞

,

Die Schweiz im Fadenkreuz ausländischer Nachrichtendienste

info ➞

, ,

Resilienz in der Supply Chain: Warum das Bedrohungsbild ein neues Sicherheitsdenken erfordert

info ➞

,

UBS Datenleck via Chain IQ: Third Party Risk & Supply Chain Security Lessons

info ➞

,

Third Country Intercept: Wie sicher sind Ihre Daten in der Cloud?

info ➞

Prozess Management: Zielerreichung oder „Neujahrs-Effekt“?

info ➞

Künstliche Intelligenz gewinnbringend einsetzen dank einer griffigen KI-Journey

info ➞

Der Beitrag Resilienz in der Supply Chain: Warum das Bedrohungsbild ein neues Sicherheitsdenken erfordert erschien zuerst auf Pragmatica AG Prozessoptimierung & Digitalisierung.

]]> UBS Datenleck via Chain IQ: Third Party Risk & Supply Chain Security Lessons https://www.pragmatica.ch/cyberangriff-auf-chain-iq/ Mon, 30 Jun 2025 17:49:45 +0000 https://www.pragmatica.ch/?p=6272 Erfahren Sie, was der Cyberangriff auf UBS und Chain IQ über Risiken in der Lieferkette, Sicherheitslücken bei Drittparteien und Compliance im Finanz-Outsourcing offenbart. Stärken Sie jetzt Ihre TPSRM-Strategie.

Der Beitrag UBS Datenleck via Chain IQ: Third Party Risk & Supply Chain Security Lessons erschien zuerst auf Pragmatica AG Prozessoptimierung & Digitalisierung.

]]>

UBS Datenleck via Chain IQ: Third Party Risk & Supply Chain Security Lessons

  • Information SECURITY

Datenleck bei UBS-Dienstleister Chain IQ zeigt gravierende Schwachstellen in der Supply Chain Security

Vergangene Woche wurde bekannt, dass die Schweizer Grossbank UBS indirekt Opfer eines Cyberangriffs wurde – betroffen war der strategische Dienstleister Chain IQ, ein international tätiger Anbieter für Beschaffungsmanagement. Bei diesem Angriff wurden laut Medienberichten persönliche Daten von über 130’000 UBS-Mitarbeitenden sowie vertrauliche Abrechnungsdaten der Pictet Bank kompromittiert (Le Temps,SRF, Handelszeitung).

Dass ein auf Outsourcing spezialisiertes Unternehmen selbst zum Ziel wird, unterstreicht eine unangenehme Wahrheit: Lieferketten sind längst zur systemrelevanten Angriffsfläche geworden – besonders in stark regulierten Sektoren wie dem Finanzdienstleistungswesen.

Supply Chain Attacks: Von SolarWinds zu Chain IQ

Solche Vorfälle erinnern an den berüchtigten SolarWinds-Angriff, bei dem über eine infizierte Software-Komponente Zugang zu zehntausenden Organisationen weltweit geschaffen wurde, darunter auch US-Behörden und Technologieunternehmen wie Microsoft und Cisco (NPR, NCSC UK, PSU Library). Das Muster ist klar: Cyberkriminelle nutzen systemisch relevante Dienstleister, um durch sie Zugriff auf ein weitaus grösseres Ökosystem zu erlangen.

Chain IQ fungiert als solcher Knotenpunkt. Dass Hacker gezielt solche Dienstleister anvisieren, ist strategisch motiviert: Die Multiplikatorwirkung bei einem erfolgreichen Angriff ist beträchtlich.

Verbundene Risiken: Internationale Datenflüsse und Drittstaatenzugriffe

Bereits in unserem letzten Beitrag haben wir auf kritische Risiken im Kontext Third Country Intercept hingewiesen: Auch rechtlich zulässige Datenflüsse können in Kombination mit schwachen Schutzmassnahmen zu massiven Sicherheitsvorfällen führen.

Die aktuellen Ereignisse zeigen deutlich: Technische und vertragliche Schutzmassnahmen alleine genügen nicht. Es braucht eine ganzheitliche Sicherheitsstrategie über alle Drittbeziehungen hinweg.

Supply Chain Security

Pragmatica TPSRM: Schutz, der über Unternehmensgrenzen hinausgeht

Die Pragmatica AG begleitet seit über 25 Jahren Organisationen beim Schutz ihrer Informationswerte – intern wie extern. Mit unserem Third Party Security Risk Management (TPSRM) Service adressieren wir gezielt die Herausforderungen wachsender Abhängigkeiten im Rahmen von Outsourcing-, Cloud- und Partnerökosystemen.

Unser Serviceangebot im Bereich Informationssicherheit und Cyber Security adressiert gezielt die Herausforderungen bei Sourcing, Partnerschaften und ausgelagerten Services. Gemeinsam mit unseren Kundinnen und Kunden entwickeln wir Sicherheitsstrategien, die über das eigene Unternehmen hinaus wirken – regulatorisch fundiert, technisch abgestimmt und operativ machbar.

In Verbindung mit unserem Risk, Compliance & Privacy Service schaffen wir integrierte Lösungen, die technologische, rechtliche und organisatorische Aspekte ganzheitlich abdecken.

Unser Service umfasst:

    • Systematische Discovery- und GAP-Analysen
    • Vergleich mit Referenzmodellen (z. B. ISO/IEC 27036, NIST)
    • Priorisierte Roadmap mit konkreten Massnahmen
    • Implementierungsbegleitung und Stakeholder-Management
    • Verzahnung mit Cloud Security, Data Governance, BCM & Incident Response

 

Unser Ansatz ist modular, praxisbewährt und branchenübergreifend skalierbar – wir verbinden technische Exzellenz mit regulatorischem Verständnis und klarer Umsetzungsorientierung.

Fazit: Die Sicherheitsstrategie endet nicht an der Unternehmensgrenze

Chain IQ ist ein prominentes Beispiel – aber längst kein Einzelfall. Die Supply Chain ist eine der gefährlichsten Angriffsflächen der Gegenwart. Unternehmen müssen Third Party Risks als integralen Bestandteil ihrer Sicherheitsarchitektur begreifen, und aktiv steuern.

Lassen Sie uns gemeinsam Ihre Resilienz stärken, mit einem TPSRM-Ansatz, der wirkt.

 

Sie haben Fragen?
Gerne begleiten wir Sie und Ihr Unternehmen auf dem Weg zur Sicherheit!

Kontakt

Weitere Topics

, , ,

FINMA Risikomonitor 2025

info ➞

, ,

Generative KI

info ➞

, ,

Vom Kostendruck zur Effizienzrevolution

info ➞

,

Brauche ich wirklich KI?

info ➞

,

Die Schweiz im Fadenkreuz ausländischer Nachrichtendienste

info ➞

, ,

Resilienz in der Supply Chain: Warum das Bedrohungsbild ein neues Sicherheitsdenken erfordert

info ➞

,

UBS Datenleck via Chain IQ: Third Party Risk & Supply Chain Security Lessons

info ➞

,

Third Country Intercept: Wie sicher sind Ihre Daten in der Cloud?

info ➞

Prozess Management: Zielerreichung oder „Neujahrs-Effekt“?

info ➞

Künstliche Intelligenz gewinnbringend einsetzen dank einer griffigen KI-Journey

info ➞

Quellenangaben und weiterführende Informationen

Zum Cyberangriff auf Chain IQ / UBS:

Zum SolarWinds-Hack:

Der Beitrag UBS Datenleck via Chain IQ: Third Party Risk & Supply Chain Security Lessons erschien zuerst auf Pragmatica AG Prozessoptimierung & Digitalisierung.

]]> Third Country Intercept: Wie sicher sind Ihre Daten in der Cloud? https://www.pragmatica.ch/third-country-intercept/ Wed, 29 Jan 2025 19:22:39 +0000 https://www.pragmatica.ch/?p=6053 Für Unternehmen wird die Frage nach der Sicherheit und dem Datenschutz in der Cloud zunehmend komplexer. Ein entscheidender Aspekt, der oft unterschätzt wird, ist das Risiko des Datenabflusses durch Drittstaaten wie die USA – bedingt durch deren nationale Sicherheitsgesetze. Besonders betroffen sind Organisationen, die auf die Dienste grosser Cloud-Anbieter (Hyperscaler) angewiesen sind.

Der Beitrag Third Country Intercept: Wie sicher sind Ihre Daten in der Cloud? erschien zuerst auf Pragmatica AG Prozessoptimierung & Digitalisierung.

]]>

Third Country Intercept Risk in the Cloud

  • Information SECURITY

Sicherheit versus Datenabflussrisiko.
Wie sicher sind Ihre Daten in der Cloud?

Für Unternehmen wird die Frage nach der Sicherheit und dem Datenschutz in der Cloud zunehmend komplexer. Ein entscheidender Aspekt, der oft unterschätzt wird, ist das Risiko des Datenabflusses durch Drittstaaten wie die USA – bedingt durch deren nationale Sicherheitsgesetze. Besonders betroffen sind Organisationen, die auf die Dienste grosser Cloud-Anbieter (Hyperscaler) angewiesen sind.

Rechtsgrundlagen, die Sie kennen sollten:

  • Executive Order 12333 (EO 12333): Mandat für US-Behörden wie NSA und CIA zur Auslandnachrichtengewinnung. Entscheidungen erfolgen ohne gerichtliche Überprüfung.
  • FISA Sec. 702: Erlaubt gezielte Überwachung „non-US-persons“ und bindet Cloud-Anbieter per „compelled assistance“ zur Mitwirkung – oft geheim und ohne Benachrichtigung der Kunden.

Disclaimer: Die genannten Rechtsgrundlagen (EO 12333 & FISA Sec. 702) sind im Verwaltungs- bzw. nationalen Sicherheitsrecht verankert und stehen somit über dem Zivilrecht, auf dessen Basis die meisten Outsourcing-Verträge mit Hyperscalern von Schweizer Unternehmen geschlossen werden.
Wir bieten keine juristische Beratung, sondern Sicherheitsberatung.

Was bedeutet das für Ihr Unternehmen?

  • Schrems II und die Realität der Datenschutzanforderungen: Trotz Standardvertragsklauseln (SCCs) und zusätzlicher Sicherheitsmassnahmen bleiben Lücken in der Datenkontrolle bestehen.
  • Transparenzdefizite und geopolitische Risiken: Die Intransparenz bei Überwachungsanfragen und mögliche Sanktionen könnten unerwartete Auswirkungen auf die Datenverfügbarkeit haben.

Die Meinung des European Data Protection Board (EDPB) ist, dass es derzeit keine rechtlichen, organisatorischen oder technischen Massnahmen gibt, die das Risiko der Auslandnachrichtenbeschaffung durch Drittstaaten in der Cloud vollständig eliminieren können.

 

Fazit: Sicherheitspositionierung ist entscheidend

Unternehmen in der Schweiz und Europa müssen eine umfassende Sicherheitsstrategie entwickeln, um Risiken durch Drittstaateneinwirkungen zu minimieren. Dazu gehören:

  1. Auswahl von Cloud-Anbietern, die höchste Verschlüsselungsstandards bieten und idealerweise nicht der „compelled assistance“ (erzwungene Hilfeleistung) im Rahmen der EO 12333, FISA-Pflichten oder ähnlichen verwaltungsrechtlichen Verpflichtungen unterliegen.
  2. Einsatz von Technologien wie Client-Side Agents (CSA) und Highly Secure Models (HSM), um das Risiko zu mitigieren.
  3. Stärkung des internen Sicherheitsdispositivs auf logischer, technischer, physischer und personeller Ebene, um auf mögliche Vorfälle vorbereitet zu sein.

Die Gefahr von Datenabflüssen in der Cloud ist nicht nur ein Datenschutzproblem – es ist ein Sicherheitsrisiko mit globalen Auswirkungen.

Sind Ihre Cloud-Daten wirklich sicher?

Mit unserer langjährigen Expertise im Prozessdesign entwickeln wir massgeschneiderte Lösungen, die statutarische und regulatorische Vorgaben mit den gängigen Security Best Practices harmonisieren. Dabei identifizieren wir schnell die für Ihr Unternehmen relevanten Anforderungen und integrieren diese nahtlos in bestehende Vertrags- und Risikomanagementprozesse. Unser Fokus liegt auf der Einbindung aller relevanten Stakeholder und der Optimierung kritischer Schnittstellen, um eine effiziente und sichere Zusammenarbeit mit Drittparteien zu gewährleisten.

Wir unterstützen Sie gerne mit folgenden Leistungen:

  • Durchführung einer umfassenden Risikoanalyse der Outsourcing-Verträge aus der Perspektive des Third-Party Security Risk Management
  • Sicherheitsbasierte Data Transfer Impact Analysis (DTIA) zur Bewertung von Datenübertragungsrisiken
  • Überprüfung zusätzlicher organisatorischer und technischer Sicherheitsmassnahmen
  • Identifikation und Ausweisung von Sicherheitsrisiken bei Outsourcing an Cloud-Provider in Drittstaaten
  • Erstellung eines priorisierten Plans zur Risikominderung (Risk Treatment Plan)
  • Auswahl von Cloud-Anbietern, die höchste Verschlüsselungsstandards bieten und idealerweise nicht der „compelled assistance“ (erzwungene Hilfeleistung) im Rahmen der EO 12333, FISA-Pflichten oder ähnlichen verwaltungsrechtlichen Verpflichtungen unterliegen.

     

Sie haben Fragen?
Gerne begleiten wir Sie und Ihr Unternehmen auf dem Weg zur Sicherheit!

Kontakt

Weitere Topics

, , ,

FINMA Risikomonitor 2025

info ➞

, ,

Generative KI

info ➞

, ,

Vom Kostendruck zur Effizienzrevolution

info ➞

,

Brauche ich wirklich KI?

info ➞

,

Die Schweiz im Fadenkreuz ausländischer Nachrichtendienste

info ➞

, ,

Resilienz in der Supply Chain: Warum das Bedrohungsbild ein neues Sicherheitsdenken erfordert

info ➞

,

UBS Datenleck via Chain IQ: Third Party Risk & Supply Chain Security Lessons

info ➞

,

Third Country Intercept: Wie sicher sind Ihre Daten in der Cloud?

info ➞

Prozess Management: Zielerreichung oder „Neujahrs-Effekt“?

info ➞

Künstliche Intelligenz gewinnbringend einsetzen dank einer griffigen KI-Journey

info ➞

Der Beitrag Third Country Intercept: Wie sicher sind Ihre Daten in der Cloud? erschien zuerst auf Pragmatica AG Prozessoptimierung & Digitalisierung.

]]>