Sensible Informationen: So schützen sich Banken vor Daten-Dieben
20minuten.ch (19. Januar 2012) – Das Corpus Delicti der Weltwoche im Fall Hildebrand ist ein zusammengebastelter Screenshot. Dagegen sind die Banken wehrlos.
Das geklaute Dokument von Philipp Hildebrands Sarasin-Konto ist Flickwerk. Das räumt auch Rechtsanwalt Hermann Lei ein. Er gibt zu, an den Kontoauszügen Philipp Hildebrands herumgeschnipselt zu haben, bevor er sie weitergegeben hat. «So ein Abbild, wie ihn die Weltwoche vom Konto von Herrn Hildebrand publiziert hatte, kann man bei uns nicht auf den Bildschirm zaubern», bestätigt auch Sarasin-Sprecher Benedikt Gratzl.
Vermutlich hat der Bankdatendieb – ein inzwischen entlassener und strafrechtlich belangter Sarasin-IT-Supporter – verschiedene Informationen auf den Bildschirm geholt und einzeln ausgedruckt oder mit einer Kamera abgelichtet. Die Bank Sarasin will sich zu diesen Details nicht äussern.
Taste «Printscreen» wird deaktiviert
Die Weiterung in der Causa Hildebrand wirft die Frage auf, wie sich andere Banken vor derartigen Daten-Diebstählen schützen. Bei der Zürcher Vontobel sprich man in diesem Zusammenhang von drei Sicherheitsstufen.
Erstens können Kundendaten mittels der Taste «Printscreen» nicht ausgedruckt werden. Die Funktion wird deaktiviert, sobald geschützte Daten auf dem Schirm sind.
Zweitens können nur autorisierte Personen Kundendaten bearbeiten. Typischerweise haben ein Teamleiter und seine Kundenberater Zugriff auf die eigenen Kunden. Die Autorisierung erfolgt stufengerecht, sprich: je grösser und bedeutender ein Kunde ist, desto hierarchisch höher ist die Stelle, welche grünes Licht geben muss.
Drittens arbeitet Vontobel mit zwei separierten Systemen, wenn es um Kundendaten geht. Das eine ist von der Firma Avaloq, das andere ein firmeneigenes.
Stammdaten und Transaktionen sind nicht auf selber Seite sichtbar
Mit Avaloq können mittels Kontonummer Transaktionen wie Käufe und Verkäufe von Wertschriften und Währungen des Kunden auf den Schirm geholt werden. Mit der eigenen Software werden die Stammdaten bearbeitet. Erst dort sind Name, Geburtsdatum und weitere persönliche Daten sichtbar.
Die Stammdaten und die Transaktionen werden erst durch einen weiteren Prozess zusammengeführt, beispielsweise bei Erstellung eines Kontoauszugs, der zum Kunden geht.
«Transaktionsdaten und persönliche kundenidentifizierende Daten werden bei Vontobel über zwei physisch voneinander getrennte Systeme bewirtschaftet», fasst Vontobel-Sprecher Reto Giudicetti zusammen. «Dadurch ist die finanzielle Privatsphäre der Kunden wirksam geschützt.» Das habe sich in der Praxis bewährt.
Das «Need-to-know»-Prinzip
Die Schutzmechanismen sind bei anderen Banken zum Teil ähnlich, zum Teil anders. «Innerhalb der IT gibt es viele unterschiedliche Funktionen mit unterschiedlichen eingeschränkten Zugriffsrechten auf Systeme und Daten», sagt Julius-Bär-Sprecher Martin Somogyi. Zugriffsrechte würden konsequent nach dem «Need-to-know»-Prinzip vergeben. «Dass einzelne IT-Spezialisten auf Systeme mit Kundendaten zugreifen können, um ihre Arbeit zu erledigen, ist unumgänglich», sagt der Bär-Mann. Diesbezüglich würden strenge Kontroll- und Überwachungsprozesse bestehen.
Auch die Grossbank UBS verweist auf das «Need-to-know»-Prinzip. «UBS hat klare Datenschutzrichtlinien und sehr hohe Sicherheitsstandards, die laufend überprüft und angepasst werden», nimmt Sprecher Dominique Gerster Stellung. Der Daten-Zugang würde «strikt» nach «Need-to-Know» und «Need-to-Do» gehandhabt. «Das heisst, es haben nur jene Mitarbeitende Zugang zu Daten, die diese für die Erfüllung ihrer Aufgaben benötigen», führt Gerster aus.