"Wir haben die Funktion Human Risk Manager geschaffen"

Herr Wenger, wie werden sich die Informa­tikbedrohungen angesichts der Ereignisse von 2013 Ihrer Meinung nach entwickeln?

Ich sehe keine grundsätzlich neuen Bedro­hungen. Einige davon sind einfach sichtbarer geworden. Nicht die NSA-Affäre selbst ist überraschend, sondern ihr Ausmass und die Institutionalisierung der Praktiken sind be­achtlich. Darüber hinaus glaube ich, dass wir immer eine Antwort auf die technischen Be­drohungen haben werden, auch wenn wir die­se manchmal erst zeitverzögert finden. Die echten Probleme betreffen Risiken, die vom Menschen ausgehen und im Zusammenhang mit der Kontrolle des Nutzerverhaltens ste­hen. Sie betreffen die Mitarbeiter und die Kun­den gleichermassen. Auf Letztere haben wir jedoch nur wenig Einfluss, zum Beispiel wenn einem Kunden die Mailbox gehackt wird und der Hacker die Gelegenheit nutzt, um mit der Bank zu kommunizieren und Transfers zu be­antragen. Als Privatbank versuchen wir die Kunden auf indirekte Weise zu beeinflussen, indem wir die Mitarbeiter mit Kundenkontakt sensibilisieren.

Die Vermögensverwalter kommunizieren mit ihren Kunden per Smartphone und E-Mail. Wie begleiten Sie diese Praktiken?

Wir haben Richtlinien, die sowohl sehr strikt als auch sehr deutlich sind. Sie verbieten oder beschränken gewisse Praktiken oder Werk­zeuge und bestimmen die Spielregeln. Es liegt in der Verantwortung der Vermögens­verwalter, sie zu respektieren und Vorsicht walten zu lassen, wenn sie mit dem Kunden kommunizieren. Was die Nutzung von Mobil­geräten betrifft, so stellen wir derzeit unseren Vermögensverwaltern keine Smartphones zur Verfügung. Wir tolerieren, dass sie ihre eige­nen benutzen, auch wenn wir uns des Risikos durchaus bewusst sind. Wir bemühen uns vor allem, unsere Mitarbeiter mit Informations­veranstaltungen zu sensibilisieren. In diesen sprechen wir konkrete Fälle an, die vor Ort vorgefallen sind, wie beispielsweise Phishing-Versuche via E-Mail. Wir erklären dann den Mitarbeitern, worauf sie achten müssen, damit sie gewisse "Sicherheitsreflexe" entwickeln.

Wie sieht die Situation hinsichtlich interner Risiken und Mitarbeiter mit unlauteren Ab­sichten aus?

Die Marktbedingungen sind viel härter gewor­den. Das hat die Finma letzten Herbst dazu veranlasst, Massnahmen gegen Datendieb­stahl zu ergreifen. Wir untersuchen derzeit unsere Praktiken hinsichtlich dieser Anforde­rungen, besonders im Bereich des Mitarbeiter­screenings. Das Ziel ist nun, das Screening zu institutionalisieren und seine Häufigkeit und Tragweite zu erhöhen. Schliesslich obliegt es auch dem Manager, im Alltag darauf zu ach­ten.. Um ein starkes Signal zu senden, hat die Bank kürzlich die Funktion Human Risk Ma­nager geschaffen, die der Abteilung Human Resources angegliedert ist, mit der wir eng zusammenarbeiten. Die Banken waren bisher vor der Aussenwelt gut geschützt. In den Ban­ken herrschte gegenseitiges Vertrauen, das grösstenteils auf dem Wohlbefinden der Mitarbeiter basierte. Das war eigentlich kein schlechtes Sicherheitskonzept.