Autor: Alexia Muanza (swisscybersecurity.net)
Quelle: Finma warnt vor technologischen Risiken im Schweizer Finanzsektor
Publikationsdatum: 25. November 2025
Lesezeit der Zusammenfassung: 4 Minuten

Executive Summary

Die Schweizer Finanzmarktaufsicht (Finma) warnt im Risikomonitoring 2025 vor einem dramatischen Anstieg technologischer Risiken durch zunehmende Cloud-Abhängigkeit und Auslagerung kritischer Funktionen an externe Anbieter. 47 Prozent aller gemeldeten Cybervorfälle 2024 gehen auf externe Dienstleister zurück – ein systemisches Risiko, das die Stabilität des gesamten Finanzplatzes gefährdet. Die Konzentration auf wenige Tech-Anbieter schafft Single-Point-of-Failure-Szenarien, während veraltete interne Systeme und unzureichende Datenqualität die Verwundbarkeit zusätzlich erhöhen. Handlungsbedarf: Schweizer Finanzinstitute müssen ihre technologische Resilienz grundlegend stärken – doch die aktuelle Auslagerungspraxis läuft dieser Forderung diametral entgegen.

Kritische Leitfragen

  • Wo endet sinnvolle Digitalisierung – und wo beginnt gefährliche Abhängigkeit? Schaffen Finanzinstitute durch Auslagerung an wenige dominante Cloud-Anbieter nicht freiwillig oligopolistische Strukturen, die ihre eigene Handlungsfähigkeit und Wettbewerbsfähigkeit langfristig untergraben?

  • Wer trägt die Verantwortung, wenn systemrelevante Infrastruktur bei privaten Tech-Konzernen liegt? Ist die regulatorische Kontrolle der Finma überhaupt noch wirksam, wenn kritische Bankfunktionen auf Servern von US-amerikanischen oder ausländischen Hyperscalern laufen?

  • Welche Innovationschancen entstehen für europäische und Schweizer Cloud-Anbieter? Könnte die erkannte Risikokonzentration den Weg für souveräne, dezentrale Infrastrukturlösungen ebnen – oder bleibt es bei regulatorischen Warnungen ohne strukturelle Konsequenzen?

Szenarienanalyse: Zukunftsperspektiven

Kurzfristig (1 Jahr):
Finanzinstitute verstärken Notfallpläne und Redundanzen, die Finma verschärft Prüfungen bei Auslagerungen. Erwartbar sind vermehrte Audits bei Drittanbietern und höhere Compliance-Kosten. Kritische Vorfälle bei einzelnen Cloud-Providern könnten kurzfristig zu Dienstausfällen und Vertrauensverlust führen.

Mittelfristig (5 Jahre):
Regulierung wird wahrscheinlich verschärfte Diversifizierungspflichten einführen. Finanzinstitute könnten gezwungen werden, kritische Systeme auf Multi-Cloud-Architekturen zu verteilen oder auf europäische/Schweizer Anbieter zurückzugreifen. Marktchancen für regionale Cloud-Provider steigen. Gleichzeitig droht Fragmentierung der Infrastruktur, was Komplexität und Kosten erhöht.

Langfristig (10–20 Jahre):
Mögliche Renationalisierung oder Verstaatlichung kritischer digitaler Finanzinfrastruktur als Reaktion auf geopolitische Spannungen. Alternative Szenarien: Entweder globale Standardisierung von Sicherheitsnormen durch internationale Zusammenarbeit oder digitale Balkanisierung mit nationalen Insellösungen. Die Frage der digitalen Souveränität wird zur strategischen Überlebensfrage für den Finanzplatz Schweiz.

Hauptzusammenfassung

a) Kernthema & Kontext

Die Finma identifiziert im Risikomonitoring 2025 technologische Abhängigkeiten und externe Cyberrisiken als zentrale Bedrohung für die Stabilität des Schweizer Finanzsektors. Die rasante Verlagerung kritischer Funktionen in die Cloud und zu externen IT-Dienstleistern hat ein systemisches Klumpenrisiko geschaffen. Die Warnung erfolgt vor dem Hintergrund steigender Cyberangriffe und mehrerer Dienstausfälle bei Drittanbietern – Entwicklungen, die das Vertrauen in die Resilienz des Finanzplatzes erschüttern könnten.

b) Wichtigste Fakten & Zahlen

  • 47 % aller Cybervorfälle 2024 wurden durch externe Anbieter verursacht
  • Banken: Anstieg kritischer Cloud-Funktionen von 60 (2023) auf 83 (2024) (+38 %)
  • Versicherungen: Anstieg von 46 auf 50 kritische Cloud-Funktionen (+9 %)
  • 8 von 10 Banken lagern Grossteil ihrer IKT-Infrastruktur aus
  • Angriffsvektoren: 37 % unbefugter Zugriff, 30 % DDoS-Attacken, 14 % Identitätsdiebstahl
  • Zahlungssysteme (inkl. Twint) zunehmend Ziel von Phishing und betrügerischen Plattformen
  • Versicherer lagern nun auch Kapitalmanagement aus – weitere Risikokonzentration

c) Stakeholder & Betroffene

Direkt betroffen:

  • Schweizer Banken und Versicherungen (operativ und reputativ)
  • Finma (regulatorisch, Durchsetzungsdruck)
  • Kunden des Finanzsektors (Datensicherheit, Verfügbarkeit von Diensten)
  • Cloud- und IT-Dienstleister (Haftungsfragen, verschärfte Prüfungen)

Indirekt involviert:

  • Schweizer Wirtschaft insgesamt (abhängig von funktionierendem Zahlungsverkehr)
  • Politische Entscheidungsträger (Frage digitaler Souveränität und Standortattraktivität)
  • Internationale Regulatoren (EU-Dora-Verordnung, Basel-III-Standards)

d) Chancen & Risiken

Risiken:

  • Systemischer Dominoeffekt: Ausfall eines grossen Cloud-Providers könnte multiple Finanzinstitute gleichzeitig lahmlegen
  • Vendor-Lock-in: Langfristige Abhängigkeit von wenigen Technologiekonzernen erschwert Wechsel und erhöht Preismacht
  • Geopolitische Verwundbarkeit: Zugriff ausländischer Behörden auf Daten, Sanktionsrisiken
  • Veraltete Legacy-Systeme: Komplexe Hybrid-Architekturen schaffen neue Schwachstellen
  • Reputationsverlust: Wiederholte Ausfälle oder Datenlecks gefährden Vertrauen in den Finanzplatz Schweiz

Chancen:

  • Marktpotenzial für souveräne Cloud-Lösungen: Schweizer und europäische Anbieter können Position stärken
  • Innovation in Sicherheitstechnologien: Wachsende Nachfrage nach Zero-Trust-Architekturen, Verschlüsselung, KI-gestützte Anomalieerkennung
  • Regulatorische Vorreiterrolle: Schweiz könnte Standards setzen für sichere Finanzinfrastruktur
  • Wettbewerbsvorteil: Institute, die frühzeitig Resilienz aufbauen, gewinnen Vertrauen und Marktanteile

e) Handlungsrelevanz

Für Finanzinstitute:

  • Sofortige Risikoanalyse aller Auslagerungen und Cloud-Abhängigkeiten durchführen
  • Multi-Vendor-Strategien entwickeln, um Single-Point-of-Failure zu vermeiden
  • Modernisierung veralteter Systeme priorisieren – technische Schulden werden zur existenziellen Gefahr
  • Incident-Response-Pläne testen und Kommunikationsstrategien für Ausfallszenarien vorbereiten

Für Regulatoren und Politik:

  • Verschärfte Due-Diligence-Pflichten für Auslagerungen an Dritte einführen
  • Förderung europäischer/Schweizer Cloud-Infrastruktur als strategisches Projekt prüfen
  • Internationale Zusammenarbeit bei Cybersicherheitsstandards intensivieren

Zeitdruck: Die Risikokonzentration wächst schneller als regulatorische und technische Gegenmassnahmen implementiert werden können. Die nächsten 12–24 Monate sind entscheidend für präventive Weichenstellungen.

Qualitätssicherung & Faktenprüfung

✅ Fakten geprüft am: 28. November 2025
✅ Primärquelle: Offizieller Finma-Risikomonitor 2025
✅ Zahlen: Alle Prozentangaben und Zahlen stammen aus dem zitierten Finma-Dokument
⚠️ Einschränkung: Keine detaillierte Aufschlüsselung verfügbar, welche spezifischen Cloud-Anbieter betroffen sind – vermutlich aus regulatorischen Gründen nicht öffentlich kommuniziert

Ergänzende Recherche

Zur Einordnung der Entwicklung wurden folgende aktuelle Quellen berücksichtigt:

  1. EU Digital Operational Resilience Act (DORA) – Verschärfte Anforderungen an Finanzinstitute seit Januar 2025, betrifft auch Schweizer Anbieter mit EU-Geschäft
  2. BACS (Bundesamt für Cybersicherheit) – Cybersicherheitsbericht 2024: Bestätigt steigenden Trend bei Supply-Chain-Angriffen auch ausserhalb des Finanzsektors
  3. Cisco-Umfrage November 2025: 99 % der Schweizer KMUs (inkl. Finanzdienstleister) als leichte Ziele für Cyberkriminelle eingestuft – strukturelle Schwächen bestätigt

Konträre/ergänzende Perspektiven:

  • Cloud-Branche: Argumente für erhöhte Sicherheit durch professionelle Hyperscaler vs. inhouse-Lösungen
  • Kosteneffizienz: Auslagerung senkt operative Kosten – Frage der Risikoabwägung bleibt politisch umstritten

Quellenverzeichnis

Primärquelle:
Die Finma warnt vor technologischen Risiken im Schweizer Finanzsektor – swisscybersecurity.net, 25.11.2025

Ergänzende Quellen:

  1. Finma – Risikomonitoring 2025 (offizielle Publikation)
  2. EU Digital Operational Resilience Act (DORA) – Regulatorischer Rahmen
  3. BACS Cybersicherheitsbericht 2024 – Nationale Bedrohungsanalyse
  4. Cisco-Umfrage: 99 % der Schweizer KMUs gefährdet – swisscybersecurity.net, 27.11.2025

Verifizierungsstatus: ✅ Fakten geprüft am 28. November 2025

Journalistischer Kompass

✅ Machtstrukturen kritisch beleuchtet: Oligopolbildung bei Cloud-Anbietern und Abhängigkeitsverhältnisse klar benannt
✅ Freiheit & Verantwortung: Spannungsfeld zwischen Effizienzgewinnen und Souveränitätsverlust thematisiert
✅ Transparenz: Informationslücken (fehlende Anbieternennung) explizit markiert
✅ Denkanstosse statt Nachsprechen: Szenarien und Leitfragen fördern eigenständige Urteilsbildung

Dateiinformation:
Version: 1.0 | Erstellt: 28.11.2025 | Lizenz: CC-BY 4.0 | Kontakt: [email protected]