Wichtige Erkenntnisse
- Mit CSCF v2026 wurde die Perimetergrenze bereits verschoben, wodurch Client-Konnektoren von Kunden (wie z. B. Endpunkte von „ API “, Middleware und Dateiübertragungs-Clients) je nach Architekturtyp in den Geltungsbereich von 14 Kontrollmaßnahmen aufgenommen wurden.
- CSCF v2027 setzt den erweiterten Anwendungsbereich mit 32 Kontrollpunkten fort, von denen 26 verbindlich sind, im Vorfeld des Bescheinigungszeitraums von Juli bis Dezember 2027
- Architekturklassifizierungen, die vor Version 2026 erstellt wurden, müssen möglicherweise neu bewertet werden, wenn Kunden-Client-Konnektoren oder andere Faktoren vorliegen, die den Umfang verändern; die Prüfer werden den zweiten Zyklus mit erweitertem Umfang überprüfen
- Ein praktischer Sicherheitsgrundsatz für den erweiterten Sicherheitsperimeter besteht darin, Dateien und Datenströme zu überprüfen, zu bereinigen und zu kontrollieren, bevor sie die kritische Zahlungsinfrastruktur erreichen.
- Kontrollpunkte entlang dieser Abläufe können nützliche Nachweise für die Protokollierung, Überwachung und Bescheinigung liefern, wobei die Einhaltung der Vorschriften weiterhin in der Verantwortung der Institution liegt
Vorbereitung auf die CSCF-Prüfung 2027
Die meisten an Swift angeschlossenen Institute können ihre „ Secure -Zone“ aus dem Gedächtnis beschreiben: die Messaging-Schnittstelle, die Jump-Server, das abgesicherte Segment, in dem der Zahlungsverkehr stattfindet. Das gehört zu den am besten geschützten Bereichen im Unternehmen. CSCF v2027 fragt, wie gut alles geschützt ist, was dorthin führt.
Die größte Änderung ist bereits erfolgt. Mit der im Juli 2025 veröffentlichten CSCF-Version 2026 wurde die Kontrollmaßnahme 2.4 („Sicherheit des Datenflusses im Backoffice“) im Rahmen einer schrittweisen Einführung verbindlich vorgeschrieben, und die Kunden-Client-Konnektoren wurden in den Geltungsbereich von 14 Kontrollmaßnahmen aufgenommen.
Der direkte Datenaustausch mit dem Backoffice im Rahmen der bisherigen Systeme hat vorerst weiterhin nur empfehlenden Charakter, wobei vorläufig das Jahr 2028 als Termin für eine künftige verbindliche Umstellung vorgesehen ist. Das aktuelle Rahmenwerk umfasst 32 Sicherheitskontrollen, die sich auf sieben Grundsätze verteilen; 26 davon sind verbindlich, und der erweiterte Geltungsbereich wird in den Zyklus 2027 übernommen. CSCF v2027, veröffentlicht im Juli 2026, fügt keine neuen verbindlichen Kontrollen hinzu, bezieht jedoch das „Secrets and Keys Vault “ (SKV) in den Geltungsbereich der meisten davon ein. Beratende Kontrollmaßnahmen bleiben empfohlene Vorgehensweisen, die in späteren Versionen verbindlich werden können. Die Institutionen führen zwischen Juli und Dezember 2026 erstmals eine Bescheinigung gemäß dem erweiterten Geltungsbereich durch, und das Bescheinigungsfenster für v2027 erstreckt sich von Juli bis Dezember 2027, unterstützt durch eine unabhängige Bewertung.
Falls Ihre Architekturklassifizierung noch aus der Zeit vor Version 2026 stammt, sollten Sie sie jetzt neu bewerten – insbesondere, wenn seit der letzten Bewertung Kunden-Client-Konnektoren, externe Dateiflüsse oder neue Integrationspfade eingeführt wurden. Teams, deren erste Bescheinigung mit erweitertem Geltungsbereich durch Improvisation zustande kommt, sehen sich 2027 mit der Erwartung der Prüfer konfrontiert, dass die dahinterstehenden Arbeiten durchdacht wirken müssen. So oder so stellt sich die Frage, ob Ihre Sicherheitsarchitektur bereit ist für das, was nun jenseits der „ Secure -Zone“ liegt.
Kunden-Client-Konnektoren und der erweiterte Anwendungsbereich
Ein Zahlungsumfeld wird selten über seine stärkste Schutzbarriere angegriffen. Dateien und Daten gelangen über Kundenportale, Uploads von Partnern, Plattformen für die verwaltete Dateiübertragung, Middleware-Warteschlangen, „ API “-Integrationen und Wechseldatenträger, die ins Rechenzentrum gebracht werden, in Swift-bezogene Systeme. Über jeden dieser Kanäle können schädliche oder nicht vertrauenswürdige Inhalte in die Infrastruktur gelangen, die bei früheren Architekturüberprüfungen als sicher außerhalb des Geltungsbereichs eingestuft wurde.
Das Framework behandelt diese Pfade nun als Teil der entsprechenden Sicherheitsarchitektur. Client-Konnektoren von Kunden fallen namentlich in den Geltungsbereich: „ API “-Endpunkte, Middleware und Dateiübertragungs-Clients, unabhängig davon, ob sie auf Servern oder Client-Endpunkten ausgeführt werden. Die Überprüfung erstreckt sich auf die Software selbst – von Sicherheitsupdates und Schwachstellenscans bis hin zur Softwareintegrität –, wodurch der Code der internen Konnektoren derselben Prüfung unterzogen wird wie die Dateien, die sie übertragen.
Falls Ihre Architekturklassifizierung aus der Zeit vor Version 2026 stammt, müssen Komponenten, die Sie zuvor als nicht in den Geltungsbereich fallend behandelt haben (z. B. ein kundenorientierter Upload-Dienst, ein Integrationsbus oder ein Dateiübertragungsserver), möglicherweise neu bewertet werden, insbesondere wenn sie einen Kunden-Client-Konnektor verwenden oder einen solchen darstellen.
Unsere Swift-Infografik stellt diese Einstiegspunkte auf einer einzigen Seite dar.
Für die Sicherheitsverantwortlichen lassen sich die Risiken auf zwei Szenarien reduzieren: Eine schädliche Datei, die in die Zahlungsinfrastruktur gelangt, gefährdet die Verfügbarkeit des Zahlungsgeschäfts selbst, und eine bei einer Überprüfung festgestellte Lücke im Sicherheitsumfang wird zu einem dokumentierten Befund, der dem Vorstand zur Kenntnis gebracht wird. Beide Folgen sind kostspieliger als die Neubewertung, mit der sie verhindert werden könnten.
Die Dateisicherheit gehört in Ihre Architekturprüfung
Nahezu jeder Kanal, den der erweiterte Anwendungsbereich abdeckt, dient dem Austausch von Dateien oder strukturierten Daten: Uploads von Kunden und Partnern, Batch-Übertragungen zwischen Institutionen, Anhänge, die Middleware durchlaufen, sowie Dateien, die über die Grenzen von „ API “ hinweg übertragen werden. Eine einzelne Antiviren-Engine am Netzwerkrand wurde für ein enger gefasstes Problem als dieses entwickelt.
Damit wird die Dateisicherheit zu einer architektonischen Entscheidung. Ein praktischer Grundsatz besteht darin, Dateien und Datenflüsse zu prüfen, zu bereinigen und zu kontrollieren, bevor sie die kritische Zahlungsinfrastruktur erreichen, und dabei sicherzustellen, dass die angewandten Kontrollmaßnahmen dem jeweiligen Datenfluss und dessen Risiko angemessen sind.
Prüfung von Dateien, bevor sie in die Zahlungssysteme gelangen
Ein Partner lädt über Ihr Kundenportal einen Rechnungsstapel hoch. Die Datei landet auf einer Plattform für verwalteten Dateitransfer, wird von einer Middleware-Warteschlange abgeholt, der Inhalt wird von einem Integrationsdienst neu formatiert, und die Ausgabe gelangt an eine Anwendung, die über eine Verbindung zu Swift-angeschlossenen Systemen verfügt. Vier Schritte trennen eine externe Datei von der kritischen Zahlungsinfrastruktur, und in vielen Institutionen vertraut jeder Schritt dem vorhergehenden.
Die Anwendung des Prinzips „Prüfen, Bereinigen und Kontrollieren“ bedeutet, an jedem Knotenpunkt eine spezifische Kontrollmaßnahme zu implementieren. MetaDefender™ Core und MetaDefender ICAP Server scannen Dateien, die über kundenorientierte Webanwendungen, über REST API oder ICAP -Integration hochgeladen werden. MetaDefender Managed File Transfer überprüft Inhalte, die zwischen Backoffice- und Swift-bezogenen Systemen übertragen werden, und unterstützt damit Control 2.4, „Sicherheit des Datenflusses im Backoffice“.
Beide leiten Dateien über Metascan™ Multiscanning weiter, wo mehr als 30 Anti-Malware-Engines parallel scannen. Diese Multi-Engine-Prüfung unterstützt Control 6.1 und den Malware-Schutz und erkennt bekannte schädliche Inhalte mit höherer Genauigkeit als jede einzelne Engine. Die Deep CDR™-Technologie bereinigt und regeneriert anschließend jede unterstützte Datei und entfernt eingebettete aktive Inhalte, bevor die Datei weitergeleitet wird. Verdächtige Dateien werden an „ Adaptive “ (Sandbox) weitergeleitet, wo eine emulationsbasierte Analyse dabei hilft, schwer zu erkennende und Zero-Day-Bedrohungen zu erkennen, was die Empfehlung „Control 6.5A, Intrusion Detection“ unterstützt.
Dies gilt auch für die Speicherorte, an denen Backups und Extrakte abgelegt werden: Proactive DLP™ überprüft dort ruhende Dateien auf sensible Inhalte. Das gilt ebenfalls für Wechseldatenträger und temporäre Geräte, die MetaDefender Kiosk und MetaDefender Drive an einem Kontrollpunkt vor dem Zugriff scannen und bereinigen, wodurch die Anforderung „Control 3.1, Physische Sicherheit“ erfüllt wird.
Bei der unternehmensinternen Connector-Software scannt MetaDefender Software Supply Chain Pakete und Abhängigkeiten vor der Bereitstellung auf Schwachstellen und schädliche Komponenten und unterstützt damit die Kontrollpunkte 2.2 („Sicherheitsupdates“), 2.7 („Schwachstellenscans“) und 6.2 („ Software -Integrität“).
Das Ergebnis ist eine Präventionsschicht, die einheitlich auf alle durch sie geleiteten Dateikanäle angewendet wird und vor den Systemen positioniert ist, die sie schützen soll.
Prüfprotokolle, die Ihre Beurteilung untermauern
Wenn im Juli das Zeitfenster für 2027 beginnt, werden die Prüfer den zweiten Bescheinigungszyklus im Rahmen des erweiterten Geltungsbereichs überprüfen, wobei der Nachweis, dass Kontrollmaßnahmen vorhanden sind und wirksam funktionieren, mehr Gewicht haben wird als bloße Absichtserklärungen.
Kontrollpunkte entlang Ihrer Datei- und Datenflüsse können nützliche Nachweise liefern: Kontrollereignisse, an Ihr SIEM weitergeleitete Prüfpfade sowie Aufzeichnungen zur Durchsetzung von Richtlinien, die dokumentieren, wie Inhalte auf ihrem Weg zu den Zahlungssystemen überprüft werden. Diese Nachweise stützen die Kontrollmaßnahme 6.4 „Protokollierung und Überwachung“ sowie die CSCF-Bescheinigung selbst.
Die Einhaltung der Vorschriften liegt weiterhin in der Verantwortung der Institution selbst, und die Prüfer bewerten die Architektur als Ganzes. Das Ergebnis dieser Arbeit ist eine stichhaltige Antwort auf die zentrale Frage der Prüfer: Was kann auf Ihre Zahlungsinfrastruktur zugreifen, und was geschieht damit auf dem Weg dorthin?
Drei Fragen an Ihr Architekturteam
Drei Fragen bieten einen nützlichen ersten Anhaltspunkt im Vorfeld des Zeitfensters 2027:
- Welche externen Datei- und Datenströme können letztendlich Ihre Zahlungsinfrastruktur erreichen?
- Wie werden Dateien geprüft, bevor sie in Swift-bezogene Arbeitsabläufe gelangen?
- Hat die Erweiterung des CSCF-Anwendungsbereichs Auswirkungen auf Ihre derzeitige Architekturklassifizierung oder Ihre Kontrollmaßnahmen?
Unser Datenblatt zu SWIFT CSCF v2027 fasst den erweiterten Anwendungsbereich, die betroffene Infrastruktur und die relevanten Präventivmaßnahmen auf wenigen Seiten zusammen, die Sie an Architektur- und GRC-Teams weitergeben können.
Datenblatt zu SWIFT CSCF v2027 herunterladen
Wenn Sie lieber durch Ihre eigene Umgebung navigieren, mit einem Experten von OPSWAT chatten und Ihre aktuelle Architekturklassifizierung mitbringen möchten.
