Im Gespräch mit Peter Hofmann, Custodigit

Interview mit Peter Hofmann, CEO von Custodigit

Im Rahmen der PwC 2020 Global Risk Studie haben wir Peter Hofmann, CEO von Custodigit interviewt. Im Gespräch mit Maria Sommerhalder, Blockchain Competence Centre bei PwC, erzählte er, wie er Cyberrisiken wahrnimmt und wie Kunden und Risikoexperten mit diesen umgehen. 

Wie verwendet Custodigit Daten, um Risiken zu erkennen und zu steuern?

Wir benötigen nicht alle verfügbaren Daten, sondern schauen uns einzelne Daten dafür genau an. Wir unterscheiden zwischen Cyberrisiken und Produktrisiken. Bei den Cyberrisiken werden wir gut von Swisscom unterstützt. Sie teilen uns mit, ob Daten von Custodigit verkauft werden. Zusätzlich haben sie Scanner im Darknet integriert, sogenannte Honeypots. Diese untersuchen, ob wir irgendwo im Netz auftauchen. Auf der Produktseite überwachen wir die Chains, um zu schauen, ob diese unter Attacken stehen.

Ist künstliche Intelligenz oder Machine Learning aktuell ein Thema im Risikomanagement?

Ja, das ist ein Thema. Vor allem beim Produkt möchten wir Machine Learning zur Identifizierung von Betrug anwenden. Kunden wollen, dass ihr Produkt besser vor Betrug geschützt ist. Wir befinden uns aber erst auf dem Weg hin zur Integration dieser neuen Technologien.

Was ist bei Custodigit das grösste Hindernis, das der Nutzung neuer Technologien im Wege steht?

Kapazitäten und Kapital. Ernsthafte Sorgen, dass wir keine Experten dazu fänden, haben wir aber nicht. Glücklicherweise verfügen wir bei uns im erweiterten Umfeld über genügend Experten bezüglich Machine Learning.

Wie werden Risikoexperten in die Entscheidungen bezüglich Investitionen in Daten und Technologien miteinbezogen?

Bei uns werden alle miteinbezogen. Das ist der Vorteil, wenn das Unternehmen nur aus sechs Mitarbeitenden besteht.

Gibt es einen Bereich, in dem Ihr Unternehmen substanzielle Veränderungen vornimmt, wie beispielsweise Abläufe organisieren oder neue Märkte erschliessen?

Wir sind zurzeit in der Phase der Implementation des ersten Businessplans. In den nächsten zwei Jahren geht es bei uns darum, die Organisation zu stabilisieren, Prozesse entsprechend zu etablieren und umzusetzen.

Wo wurden Ihre Sicherheitsexperten erstmals richtig gefordert?

Als die Cyberattacken zugenommen haben. Wir stehen relativ stark unter Cyberbeschuss. Selbst unsere Büroumgebung, die strikt entkoppelt ist von unserer Produkteumgebung, steht permanent unter Beschuss. Deshalb stehen wir dort mit den Security-Experten der Swisscom im regelmässigen Austausch.

Woher beziehen Sie als Pionier in neuen Technologien das Wissen, dass Sie die Risiken korrekt einschätzen und angemessene Massnahmen dagegen ergreifen?

Das ist einerseits das interne Erfahrungswissen und andererseits externes Expertenwissen aus unserem Ökosystem heraus. Wir haben beispielsweise intensive Reviews durchgeführt, als wir die Architektur der Plattform konzipiert haben. Dafür haben wir einen Core-Entwickler des Bitcoin-Netzwerks hinzugezogen.

Wie wissen Sie, dass Sie intern die richtigen Experten haben?

Intern hat man die richtigen Experten, wenn diese selbst das passende Mindset zur Risikobeurteilung haben: Man braucht einen gesunden Hang zur Paranoia. Zudem schauen wir, wer schon lange im Markt tätig ist und Zeit hatte, Erfahrungen aufzubauen, und eine gewisse Lernkurve aufweist.

Wie verändert sich das Risikoprofil Ihrer Kunden, wenn sie erstmals Crypto Assets halten, und die Verwahrung der Assets respektive der Private Keys an Ihr Unternehmen auslagern?

Viele wissen anfangs wenig und kennen die Risikopositionen nur beschränkt. Deshalb ist eine relativ lange Schulung nötig, bis sie Risiken identifizieren und einschätzen können. Und dann dauert es lange, bis erkannt wird, wie man mit diesen Risiken umgehen kann. In der ersten Phase nehmen wir unsere Kunden als sehr euphorisch, in der zweiten Phase als überängstlich wahr. In der dritten Phase erkennen die Kunden, dass die Risiken überschaubar sind.

Wie reagieren die Kunden auf die veränderten Risiken? Brauchen sie neue Tools oder mehr Mitarbeiter?

Für diese neuen Risiken sind auch neue Werkzeuge, wie beispielsweise Chain-Analyse-Tools, nötig. Es braucht auch ein neues Mindset bei den Mitarbeitenden. Es ist also nicht primär eine Frage der Ressourcen, sondern vor allem der Schulung.

Wie wird die Blockchain-Technologie die Arbeit der Risikoexperten in den nächsten drei bis fünf Jahren verändern?

Normalerweise überschätzen wir die kurzfristigen und unterschätzen dafür die langfristigen Auswirkungen. Völlig verändern wird sich die Risikolandschaft vermutlich nicht. Ich glaube aber, dass es ganz neue Fragestellungen innerhalb der Arbeit der Risikoexperten geben wird. Innert drei Jahren werden diese mehr Gewicht erhalten, aber noch nicht im Zentrum stehen. In fünf Jahren hoffe ich, dass es ein substanzieller Teil der Arbeit sein wird. Auch die Cyberrisiken werden sich nicht völlig verändern. Aber die Blockchain wird für volle und transparente Nachvollziehbarkeit stehen.

Wie wird sich Zusammenarbeit zwischen Risikoexperten und deren Nutzung von Daten und Technologien in Zukunft entwickeln?

Es wird vermutlich einen gewissen Wandel in der Industrie, vor allem der Finanzindustrie, geben. Wir müssen uns so schnell wie möglich mit dem Thema vertraut machen und eine realitätsnahe Einschätzung aufbauen und erkennen, dass es zwar neue Risiken gibt, diese aber gemanagt werden können.