Pix nach Geschäftsschluss: C & M Software und die konzentrierte

Zusammenfassung

C & M Software Ltda. ist dasselbe brasilianische Rechtsunternehmen, CNPJ 03.215.009/0001-08, das 2020 eine dokumentierte PSTI-Genehmigung erhielt und das die Banco Central do Brasil nach ihrem Credentialling-Regime ab 2025 nun als „im Prozess des ordnungsgemäßen Austritts“ führt.
Der Vorfall im Juli 2025 brachte die zentrale Abwicklungsinstanz von Pix nicht zum Erliegen, zeigte jedoch, wie ein einzelner Zugangsanbieter zu einer konzentrierten Kontrollfläche für die Nachrichten, Anmeldedaten, Betrugseinstellungen, Supportentscheidungen und Migrationsoptionen mehrerer Institute werden kann.
C&M gibt an, dass der Angriff durch Social Engineering und Missbrauch gültiger Anmeldedaten begann, nicht durch einen Softwarefehler. Diese Unterscheidung beantwortet jedoch nicht die strengere Kontrollfrage: ob privilegierter Zugriff, Transaktionsintegritätsprüfungen, Anomalieerkennung und die Trennung von Kunde und Anbieter als Gesamtsystem stark genug waren.
Brasiliens überarbeitete PSTI-Regeln machen den Käufer zu einem ständigen Aufseher, nicht zu einem passiven Kunden. Institute müssen private Signaturschlüssel aufbewahren, Transaktionen vor der Signatur validieren, den Anbieter überwachen und in der Lage sein, einen geordneten Wechsel durchzuführen, ohne altes Vertrauen in eine neue Umgebung zu übertragen.
Öffentliche Belege geben nicht preis, warum C&M in der Kategorie des ordnungsgemäßen Austritts steht, wann dieser Prozess abgeschlossen sein wird, den endgültigen konsolidierten Verlust aus dem Betrug von 2025 oder das Ergebnis der unabhängigen Überprüfung, die das Unternehmen in Auftrag gegeben haben soll. Das sind wesentliche Lücken, keine Einladungen zum Raten.

Die Zahlungsschiene, die Bürozeiten bekam

Für einen kurzen Zeitraum im Juli 2025 war die aufschlussreichste Tatsache über C & M Software ein Zeitplan. Pix ist für den kontinuierlichen Betrieb ausgelegt, aber die mit C&M verbundenen Vorgänge konnten nur an Werktagen zwischen 6:30 und 18:30 Uhr wieder aufgenommen werden. Jedes teilnehmende Institut musste ausdrücklich zustimmen, die Betrugsüberwachung musste verstärkt und Transaktionslimits angewendet werden. Die Banco Central do Brasil, oder BCB, hatte zunächst angeordnet, dass die Institute von der von C&M betriebenen Infrastruktur getrennt werden; sie ersetzte dann die vorsorgliche Aussetzung nach Abhilfemaßnahmen durch eine teilweise Aussetzung.Reuters berichtete über die Bedingungen dieser kontrollierten Rückkehr, währendFolha de S.Paulo die engere Überwachung durch die Regulierungsbehörde beschrieb.

Dieses Zwölf-Stunden-Fenster war nicht einfach eine Ausfallstatistik. Es machte eine Schicht sichtbar, die normalerweise hinter der Marke Pix verschwindet. Die BCB betreibt das Sistema de Pagamentos Instantâneos (SPI) als die zentrale Infrastruktur Brasiliens zur Abwicklung von Sofortzahlungen zwischen Instituten. Sie verarbeitet jede Anweisung einzeln in Echtzeit; sobald eine Transaktion abgewickelt ist, ist sie endgültig und unwiderruflich. Direkte Teilnehmer wickeln über dedizierte PI-Konten bei der Zentralbank ab, ohne Überziehungskredite. Dies sinddie eigenen Beschreibungen der BCB zum SPI. Dennoch baut und betreibt nicht jedes Institut jede Verbindung, Nachrichtenschnittstelle, Bedienkonsole, Betrugsregel und Supportprozess selbst. Ein Provedor de Serviços de Tecnologia da Informação (PSTI) kann Daten für den Zugang zur Rede do Sistema Financeiro Nacional, der RSFN, verarbeiten.

C&M besetzte diese Nahtstelle. Es war nicht Pix, nicht die Zentralbank und, wie die BCB nach dem Angriff betonte, kein Auftragnehmer der Zentralbank. Es verkaufte Technologie an Institute, die einen Weg in die regulierte Zahlungsinfrastruktur benötigten. Diese Unterscheidung ist wichtig. Das zentrale SPI konnte verfügbar bleiben, während eine Gruppe angeschlossener Institute den Zugang dazu verlor oder einschränken musste. Kundenguthaben konnten unberührt bleiben, während Gelder von Finanzinstituten angeblich von Abwicklungskonten bewegt wurden.

Ein Angriff konnte sich auf legitim erscheinende Autorität stützen, anstatt die Kryptographie der zentralen Schiene zu brechen.

Dies ist die zentrale These des Artikels: Das wirtschaftlich bedeutende Produkt war nie nur eine Verbindung. Es war eine privat betriebene Schaltzentrale für die öffentliche Finanzinfrastruktur. Der Anbieter konnte die Kosten und den Implementierungsaufwand jedes Kunden senken, indem er spezialisierte Systeme und Mitarbeiter bündelte. Dieselben Verbundvorteile konnten betriebliches Wissen, privilegierte Arbeitsabläufe und Wiederherstellungsentscheidungen konzentrieren.

Der Vorfall bei C&M im Jahr 2025, gefolgt von der Einstufung des Unternehmens in die aktuelle Kategorie des ordnungsgemäßen Austritts der BCB, verwandelt diese These von einer abstrakten Outsourcing-Sorge in einen praktischen Test dafür, wie Brasiliens Zahlungsrand gesteuert wird.

Ein Unternehmen, drei verschiedene Statusfragen

Die Identitätsbrücke ist ungewöhnlich stark, aber die Statussprache erfordert besondere Sorgfalt. Eine aktuelle öffentliche Unternehmensabfrage auf Basis von Bundesregisterdaten identifiziertC & M Software Ltda., CNPJ03.215.009/0001-08, als eine aktive GmbH in Barueri, São Paulo, gegründet am 8. Juni 1999 und hauptsächlich klassifiziert unter Entwicklung und Lizenzierung nicht anpassbarer Computerprogramme.Die aktuelle CNPJ-Seite von Serasa Experian dokumentiert diese Details. Dieselbe CNPJ erscheint in der langjährigen CMSW-Geschäftsidentität des Unternehmens und unter derselben Barueri-Adresse auf seiner Website.

Eine zweite Frage ist der historische Regulierungsstatus. In einem am 22. Mai 2020 im brasilianischen Amtsblatt veröffentlichten Auszug erklärte die BCB, dass sie C&M Software Ltda., CNPJ 03.215.009/0001-08, am 20. Mai 2020 als PSTI nach der damals geltenden Circular 3.970 zugelassen habe.Die Mitteilung im Diário Oficial ist eindeutig. Es ist ein solider Beleg dafür, dass das zugewiesene Unternehmen und der historisch zugelassene Anbieter dieselbe Entität sind. Die eigene Geschichte von C&M besagt, dass es diese Rolle viel früher ausgeübt habe und der erste vom Zentralbank genehmigte Anbieter gewesen sei, aber diese weitergehenden Ursprungsbehauptungen sind Unternehmensaussagen und kein Ersatz für den veröffentlichten Rechtsakt.

Die dritte Frage ist der aktuelle PSTI-Status unter einem Regime, das sich nach den Angriffen von 2025 geändert hat. Die aktuelle RSFN-Seite der BCB unterteilt benannte Anbieter in drei Gruppen. Gokei, JD Consultores und Sinqia sind im neuen Credentialling-Prozess und entsprechen der Instruction 664. Tivit und Topaz sind im Credentialling und in der Anpassung ohne Kunden. ABBC und„PSTI CMSW (C&M Software) – CNPJ: 03.215.009/0001-08“sind„im Prozess des ordnungsgemäßen Austritts“ im Rahmen der Resolution 498aufgeführt.

Diese drei Tatsachen können nebeneinander bestehen. Die Unternehmensregistrierung kann aktiv sein. Die PSTI-Genehmigung von 2020 kann authentisch sein. Die aktuelle Regulierungszeile kann dennoch eine Zeile für den ordnungsgemäßen Austritt sein und nicht die Credentialling-Kohorte. Die Existenz des Unternehmens ist nicht das PSTI-Credentialling; die historische Genehmigung ist kein Beweis für die aktuelle Erlaubnis; und ein ordnungsgemäßer Austrittsprozess ist kein Beweis dafür, dass das Softwareunternehmen alle Geschäftsbereiche eingestellt hat.

Die BCB-Seite gibt nicht an, warum C&M in dieser Kategorie ist. Die Resolution 498 enthält mehrere Wege und Befugnisse für Übergang, Vorsichtsmaßnahmen, Decredentialling und Austritt, aber die öffentliche Zeile sagt nicht, welche Fakten auf CMSW zutrafen. Die Chronologie schafft eine offensichtliche Frage, da der Angriff von 2025 vor dem neuen Regime stattfand. Sie beweist nicht, dass der Vorfall die aktuelle Klassifizierung verursacht hat. Die Seite gibt auch kein Abschlussdatum des Austritts oder den genauen Umfang der erlaubten Tätigkeit während des Übergangs an. Die verantwortungsbewusste Schlussfolgerung ist daher eng: Per 17.

Juli 2026 unterstützt die aktuelle Liste des Regulierers nicht die Beschreibung von C&M als derzeit credentiallierten PSTI. Sie unterstützt die Beschreibung von C&M als den genauen rechtlichen Anbieter, der nun in einem ordnungsgemäßen Austrittsprozess aufgeführt ist.

Diese Schlussfolgerung steht im Widerspruch zum Ton des aktuellen Marketings von C&M. DieCMSW-Homepage sagt, das Unternehmen sei von BACEN „homologiert“, und die aktuelle Corner-Seite bewirbt ein „PSTI Clássico“-Modell mit vollständiger CMSW-Infrastruktur und vollständiger Zentralbank-Compliance. Dies sind gegenwärtige Unternehmensbehauptungen. Sie können Produkte, historische Stellung, Übergangsregelungen oder die eigene Interpretation des Unternehmens beschreiben; die Seiten gleichen die Behauptungen nicht mit der aktuellen Tabelle der BCB ab. In einem regulierten Zugangsmarkt sollte ein Käufer diesen Widerspruch anhand des Regulierers und des vorgeschlagenen Vertrags klären, bevor er eine Verkaufsseite als maßgeblich behandelt.

Was Corner tatsächlich kontrollierte

Das Wertversprechen von C&M lässt sich am einfachsten verstehen, wenn man der Arbeit eines Zahlungsinstituts folgt, anstatt Softwaremodule aufzulisten. Eine kleine Bank, ein Fintech, eine Kreditgenossenschaft, ein Broker oder ein Zahlungsinstitut möchte Pix und andere Dienste anbieten. Seine kundenorientierte App mag die Anweisung erstellen, aber das Institut muss dennoch Teilnahmeregeln verwalten, standardisierte Nachrichten austauschen, die RSFN erreichen, Zertifikate unterhalten, Liquidität kontrollieren, die Abwicklung abgleichen, Betrug überwachen, Betriebsausnahmen beantworten und den Dienst durch Ausfälle aufrechterhalten.

Diese Fähigkeiten direkt aufzubauen bedeutet, regulierte Konnektivität mit spezialisierter Zahlungsabwicklung rund um die Uhr zu kombinieren.

Die Corner-Plattform von C&M versprach, diese Belastung zu komprimieren. Ihreaktuelle Produktseitesagt, die Plattform verbinde Institute über das traditionelle Sistema de Pagamentos Brasileiro und das SPI mit der BCB. Sie bewirbt Pix, Open Finance, die Nova Plataforma de Cobrança, Boleto und ältere Zahlungsdienste; Integration mit gängigen Legacy-Systemen; Nachrichtenübermittlung über ein Frontend oder Webdienste; Betrugsbewertung und Verhaltensregeln; Liquiditätsunterstützung; Treasury-Ansichten; und kontinuierliche Verfügbarkeit. Die Seite schlägt drei Bereitstellungsmodelle für „Corner 2026“ vor: ein klassisches Modell mit CMSW-Infrastruktur, ein hybrides Arrangement, das den Betrieb mit einem CMSW-Rechenzentrum teilt, und eine lokale Installation, bei der der Kunde mehr technologische Souveränität behält und CMSW spezialisierten Third-Level-Support bereitstellt.

Diese Modelle verteilen die Kontrolle unterschiedlich. In einer vollständig verwalteten Anordnung kann der Anbieter mehr vom Netzwerk, der Verarbeitung, der Überwachung und dem Supportpfad besitzen. Dies kann den Markteintritt beschleunigen und die Notwendigkeit des Kunden, seltene RSFN-Expertise vorzuhalten, verringern. Ein hybrides Modell kann Anwendungs- oder Datenkomponenten verschieben, ohne unbedingt betriebliches Wissen zu übertragen. Eine lokale Lizenz kann die Laufzeitinfrastruktur unter das Dach des Instituts bringen, es aber von proprietärem Code, Release-Wissen und Eskalationsingenieuren abhängig machen.

„On Premises“ ist daher nicht gleichbedeutend mit „unabhängig“, so wie „managed“ nicht gleichbedeutend mit „unkontrolliert“ ist.

Ein historisches C&M-Dokument, das als Geschäfts- und Technologieplan für Corner eingereicht wurde, liefert weitere Details, sollte aber nicht als Prüfung des Systems von 2026 gelesen werden. Es beschreibt Weboberflächen, Nachrichtendienste, Zugang über die RSFN, VPN-Arrangements, Kundenfirewalls, redundante Kommunikation, Treasury-Kontrollen und die Nutzung des SPB als Ausweichlösung für Pix. Es beschreibt auch Kontrollen rund um die Liquidität des PI-Kontos eines Teilnehmers: Salden, Einzahlungs- und Rücknahmeregeln, Simulationen, wenn andere Abwicklungsdienste geschlossen sind, Genehmigungen und betriebliche Benachrichtigungen.Das Dokument ist eine nützliche Karte der behaupteten Konstruktion von C&M, aber sein Alter und seine Herkunft schränken ein, was es über die Umgebung des Vorfalls von 2025 oder das heute angebotene Produkt beweist.

Die wirtschaftliche Einheit, die verkauft wurde, war daher breiter als Pakete, die sich zwischen zwei Endpunkten bewegen. Corner saß dort, wo eine Geschäftsanweisung eines Kunden zu einer für ein reguliertes System akzeptablen Nachricht wurde. Es half dabei, zu bestimmen, wie eine Anweisung authentifiziert, genehmigt, geplant, beobachtet, abgeglichen und eskaliert wurde. Seine Konsolen und APIs konnten das Betriebsgedächtnis des Zahlungsteams des Kunden werden. Seine Supportmitarbeiter konnten die Personen werden, die verstanden, warum eine Nachricht um 2 Uhr morgens fehlschlug.

Seine Betrugseinstellungen konnten den Punkt vermitteln, an dem eine gültige Anmeldeinformation eine scheinbar gültige Transaktion hervorbrachte.

Diese Breite erklärt sowohl die Attraktivität als auch die Gefahr. Gemeinsam genutzte Zahlungsinfrastruktur kann billiger und zuverlässiger sein, als wenn jedes kleine Institut sie nachbaut. Spezialisten sehen mehr Fehlermodi und können dedizierte Teams unterhalten. Aber wenn mehrere Kunden denselben Anbieter nutzen, kann ein Defekt, ein kompromittierter Zugangspfad, ein schlechtes Release oder eine langsame Notfallentscheidung institutionelle Grenzen überschreiten. Der tiefste Nutzen des Produkts – konzentrierte Expertise – grenzt an sein tiefstes Risiko – konzentrierte Kontrolle.

Von einer Anweisung zu unwiderruflichem Geld

Die Architektur wird klarer, wenn die Transaktion in Kontrollphasen unterteilt wird. Erstens erstellt ein Kunde oder ein Institut eine beabsichtigte Zahlung. Zweitens wendet das Institut Konto-, Autorisierungs-, Betrugs- und Compliance-Regeln an. Drittens konstruieren Systeme die entsprechende Pix-Nachricht und stellen einen sicheren Kanal her. Viertens authentifiziert und signiert der Teilnehmer, was er senden möchte. Fünftens erreicht die Nachricht das von der BCB betriebene SPI über das regulierte Netzwerk. Schließlich verändert die Abwicklung die Salden auf PI-Konten und wird unwiderruflich.

Ein PSTI kann bei mehreren Phasen helfen, ohne die Entscheidung des Kunden legal zu besitzen. Deshalb sind Formulierungen wie „verbindet eine Bank mit Pix“ sowohl nützlich als auch gefährlich ungenau. Netzwerkkonnektivität ist nur eine Abhängigkeit. Nachrichtenerstellung, Zertifikatshandling, API-Berechtigungen, Konsolenzugriff, Ausnahme-Warteschlangen, Liquiditätsansichten und Betrugsgrenzen können bestimmen, ob das Institut weiß, was es autorisiert.

Wenn ein Angreifer eine betrügerische Anweisung vor der endgültigen Signatur betrieblich normal aussehen lassen kann oder einen überprivilegierten legitimen Pfad nutzen kann, kann das zentrale System genau das tun, wofür es entwickelt wurde: eine gültig präsentierte Anweisung abzuwickeln.

Die Beweise von 2025 legen die vollständige Kette der Angreifer nicht offen. Der Bericht von C&M besagt, dass der Vorfall mit dem Missbrauch von Anmeldedaten begann, während Polizeiberichte behaupteten, dass ein Mitarbeiter des Unternehmens den unbefugten Zugang ermöglichte. Es gibt keinen öffentlichen abschließenden forensischen Bericht, der jeden Befehl, jede Berechtigungserweiterung, jede Zertifikatsaktion und jede Transaktionsgenehmigung abbildet. Es wäre leichtsinnig, diese Lücke mit einem erdachten technischen Exploit zu füllen.

Dennoch ist es möglich, die architektonischen Fragen zu identifizieren, die eine verteidigungsfähige Untersuchung beantworten würde.

Wer hat jede Anweisung generiert? Welche Identität, welches Gerät und welcher Netzwerkpfad hat sie initiiert? Was hat das Institut vor der Signatur gesehen? Besaß, speicherte oder erreichte der Anbieter privates Signaturmaterial? Welche menschlichen und maschinellen Genehmigungen waren für ungewöhnliche Änderungen von Wert, Volumen oder Ziel erforderlich? Waren die Kundenumgebungen stark genug getrennt, dass der Zugriff, der mit einem Institut verbunden war, ein anderes nicht beeinträchtigen konnte? Arbeiteten Betrugskontrollen vor der Abwicklung oder hauptsächlich danach?

Konnte eine Support-Identität eine API aufrufen, die für ein Institut bestimmt war? Unterschieden sich Zeit, Geschwindigkeit und Konzentration der Transfers ausreichend von den Normen der betroffenen Institute, um anzuhalten und nicht nur zu alarmieren?

Diese Fragen unterscheiden vier Kontrollen, die das Marketing oft unter „Sicherheit“ zusammenfasst. Kanalsicherheit schützt die Route. Identitätssicherheit stellt fest, wer oder was anwesend ist. Transaktionsintegrität stellt sicher, dass die genau genehmigten Daten die signierten und gesendeten Daten sind. Verhaltenskontrolle fragt, ob eine scheinbar autorisierte Handlung plausibel ist. Ein sicherer Kanal mit einer kompromittierten Identität kann eine betrügerische Anweisung perfekt transportieren. Multi-Faktor-Zugang zu einer überprivilegierten Rolle kann dennoch unsicher sein.

Ein prädiktiver Score, der nach einer unwiderruflichen Abwicklung eintrifft, kann gleichzeitig beeindruckend und nutzlos sein.

Brasiliens überarbeitete Regeln machen diese Trennung nun explizit. Der Kunde muss seine privaten Signaturschlüssel aufbewahren und die Transaktionsintegrität vor der Signatur validieren. Der Anbieter muss Rückverfolgbarkeit und Echtzeitüberwachung aufbauen. Unterschiedliche Zertifikate müssen unterschiedlichen Umgebungen und Funktionen dienen. Dies sind keine redundanten Kontrollen. Sie sind ein Versuch zu verhindern, dass ein einzelnes Anbieterkonto, eine Kundenanmeldeinformation oder eine betriebliche Abkürzung die gesamte Intentionskette zum Einsturz bringt.

Die Nacht des Einbruchs, ohne falsche Genauigkeit

Der öffentliche Zeitplan beginnt um die Nacht vom 30. Juni auf den 1. Juli 2025. Am 2. Juliberichtete Reuters, dass C&M die BCB über einen Cyberangriff auf seine Technologieinfrastruktur informiert hatte. Der Regulierer ordnete an, den Zugang von Finanzinstituten zu der von C&M betriebenen Infrastruktur zu blockieren. BMP, ein betroffenes Institut, erklärte, dass unbefugter Zugriff auf Reservekonten bei der Zentralbank für den Interbankenausgleich erfolgte, aber keine Kundenkonten oder internen Salden betroffen waren. Reuters zitierte eine Quelle, die besagte, dass C&M etwa zwei Dutzend kleinere Institute bediente, während betont wurde, dass sich die gemeldeten Verlustschätzungen unterschieden und kein offizieller Gesamtbetrag genannt wurde.

Die Darstellung von C&M entwickelte sich am 3. Juli zu einem detaillierten öffentlichen FAQ. Das Unternehmen erklärte, die damals verfügbaren Beweise deuteten darauf hin, dass ein Mitarbeiter durch Social Engineering zur Preisgabe von Anmeldedaten verleitet wurde, möglicherweise gefolgt von der Nutzung weiterer Anmeldedaten oder Authentifizierungsmechanismen. Es bestritt eine technische Schwachstelle oder einen direkten Einbruch in seine kritischen Systeme. Es erklärte, es habe Anmeldedaten und Schlüssel widerrufen, die betroffene Umgebung isoliert, den speziellen Rücknahmemechanismus von Pix aktiviert, Rückbuchungen beantragt, Behörden und Kunden benachrichtigt und eine externe forensische Bewertung in Auftrag gegeben. Es sagte auch, die Produkte seien getrennt und der Vorfall habe eine kundenspezifische Simulation von Pix-Transaktionen betroffen.Das FAQ ist die Position des Unternehmens, kein unabhängiges Ergebnis.

Das Unternehmen räumte auch Kontrollentscheidungen ein, die von Bedeutung sind. Es erklärte, Corner habe Genehmigungen, Kanal- und Zeitkontrollen, Multi-Faktor-Authentifizierung, einen Pilot für Reserveoperationen und andere Sicherheitseinstellungen geboten, aber einige Kunden hätten nicht jede verfügbare Kontrolle aktiviert. Es erklärte, es überprüfe die API-Governance, das Onboarding und die Richtlinien für externen Zugriff und werde höhere verbindliche Sicherheitsanforderungen in Betracht ziehen.

Diese Darstellung impliziert eine Grenze der gemeinsamen Verantwortung: Der Anbieter stellte Optionen bereit, Kunden konfigurierten einige davon, und ein legitim erscheinender Zugangspfad wurde missbraucht. Sie legt nicht fest, ob die Optionalität für das Risiko angemessen war, ob die sicheren Standardeinstellungen stark genug waren oder ob Kontrollen auf Anbieterebene die Aktivität unabhängig von der Konfiguration eines Kunden hätten stoppen sollen.

Unabhängige Berichterstattung fügte Behauptungen hinzu, aber kein endgültiges technisches Urteil.The Associated Press berichtete, dass die Polizei von São Paulo einen C&M-Mitarbeiter beschuldigte, Anmeldedaten verkauft und anderen geholfen zu haben, unbefugten Zugang zu erlangen. Die Polizei erklärte, mehr als R$540 Millionen seien von einem Finanzinstitut abgezweigt worden, die Gesamtverluste könnten höher sein und R$270 Millionen seien blockiert worden.CNN Brasil berichtete über eine polizeiliche Zahl von R$542 Millionen für BMPund zitierte die BCB mit der Klarstellung, dass weder C&M noch seine Mitarbeiter Auftragnehmer der Zentralbank seien. Dies waren Behauptungen und vorläufige Ermittlungsaussagen zu einer mutmaßlichen Straftat. Eine Festnahme oder Anschuldigung ist keine Verurteilung, und die mit einem Institut verbundenen Beträge sind nicht unbedingt der endgültige Gesamtbetrag.

Presseschätzungen reichten noch höher. Folha und andere Medien berichteten über Zahlen um R$800 Millionen oder R$1 Milliarde, während Reuters eine Quelle zitierte, die einen Milliarden-Gesamtbetrag bestritt. Das Unternehmen lehnte es ab, einen Wert zu bestätigen. Die verantwortungsbewusste Wahl ist nicht, die Zahlen zu mitteln oder die größte Schlagzeile zu erhöhen.

Der verifizierte Kern ist enger: Gelder von Finanzinstituten waren betroffen; mindestens eine polizeiliche Darstellung bezifferte den Betrag für BMP auf über R$540 Millionen; Kundeneinlagensalden waren Berichten zufolge nicht betroffen; die zentrale Pix-Infrastruktur der BCB wurde nicht als verletzt beschrieben; und der endgültige konsolidierte Verlust bleibt in den hier geprüften Beweisen nicht offengelegt.

Die Wiederherstellungssequenz ist genauso wichtig wie der Betrag. Die BCB trennte zuerst abhängige Institute, erlaubte dann einen kontrollierten Werktagsbetrieb von 6:30 bis 18:30 Uhr nach Abhilfemaßnahmen, mit stärkerer Überwachung, Limits und Kunden Zustimmung. C&M erklärte, der DICT-Dienst und der kontrollierte Pix-Betrieb seien zurückgekehrt. Die Einschränkung reduzierte die sofortige Gefährdung, zeigte aber auch die Kontinuitätskosten der Abhängigkeit: Institute, die auf den Anbieter angewiesen waren, konnten ihn nicht ohne regulatorische, technische und betriebliche Arbeit einfach umgehen.

„Gültige Anmeldedaten“ sind der Beginn der Untersuchung

Die Unterscheidung von C&M zwischen kompromittierten Anmeldedaten und einer Software-Schwachstelle ist technisch bedeutsam. Sie ist für sich genommen nicht entlastend. Ein Pufferüberlauf, eine ungepatchte Komponente, ein gestohlenes Passwort, ein bestochener Mitarbeiter und eine schlecht abgegrenzte Support-Rolle sind unterschiedliche Fehlermechanismen. Sie erfordern unterschiedliche Abhilfemaßnahmen. Dennoch muss ein Zahlungskontrollsystem für die Möglichkeit ausgelegt sein, dass eine autorisierte Identität feindselig wird oder überzeugend nachgeahmt wird.

Sicherheit, die nur funktioniert, während jeder Inhaber von Anmeldedaten vertrauenswürdig ist, ist eine Personalrichtlinie, keine belastbare Transaktionsarchitektur.

Der Vorfall von 2025 wirft daher eine nützlichere Frage auf als „Wurde der Code gehackt?“: Wie viel schädigende Autorität konnte ein kompromittierter Pfad aufbauen, bevor eine andere unabhängige Kontrolle eingriff? Die Antwort hängt von Least Privilege, Aufgabentrennung, Kundenisolation, Transaktionssignatur, Verhaltensgrenzen und menschlicher Eskalation ab. Wenn die Anmeldedaten eines Mitarbeiters allein keine Nachrichten erstellen oder genehmigen konnten, bräuchte ein Angreifer eine zweite unabhängige Fähigkeit.

Wenn das betroffene Institut die genauen Zahlungsdaten validierte, bevor es einen von ihm allein kontrollierten Schlüssel verwendete, wäre der Anbieterzugang nicht ausreichend. Wenn ungewöhnliches Nachtvolumen einen harten Stopp verursachte, würde die Geschwindigkeit gegen den Angreifer und nicht gegen den Verteidiger wirken.

Nichts davon beweist, dass eine bestimmte fehlende Kontrolle den C&M-Vorfall verursacht hat. Die öffentlichen Beweise sind nicht granular genug. Es erklärt jedoch, warum sich die anschließenden Anforderungen des Regulierers auf diese Punkte konzentrieren. Instruction 664 verlangte von bestehenden Anbietern, Ende-zu-Ende-Spuren zu verstärken, die sichere Aufbewahrung und den Kunden Zugriff auf Protokolle zu gewährleisten, privilegierten und Remote-Zugriff zu überprüfen und externe Verbindungen und ungewöhnliche Zugriffsmuster zu überwachen. Dieaktuelle Resolution 498besagt, dass ein PSTI keinen Zugang zu privaten Schlüsseln haben darf, die zum Signieren von Zahlungssystemnachrichten verwendet werden. Sie erfordert eine 24-Stunden-Betrugsüberwachung in Echtzeit, die in der Lage ist, außergewöhnliche Werte, Volumen und Raten vor der Einreichung zu bewerten, nicht nur nach der Abwicklung.

Das Prinzip ist, dass Authentizität und Plausibilität getrennt sein müssen. Ein gültiges Zertifikat kann nachweisen, dass eine Nachricht von einer erwarteten kryptografischen Identität stammt. Es kann nicht nachweisen, dass die zugrunde liegende wirtschaftliche Anweisung beabsichtigt war. Ein legitimes Support-Konto kann nachweisen, dass sich ein anerkannter Operator eingeloggt hat. Es kann nicht nachweisen, dass der Operator zu dieser Stunde eine kundenproduktive Aktion hätte erreichen sollen. Die Zustimmung eines Kunden zur Nutzung eines verwalteten Anbieters kann einen Vertrag begründen.

Sie kann nicht die Pflicht des Kunden übertragen zu wissen, was sein Konto verlässt.

Dieselbe Logik gilt für „optionale Kontrollen“. Softwareanbieter lassen Kunden oft Reibung gegen Geschwindigkeit eintauschen. In einer gewöhnlichen Geschäftsanwendung kann ein Käufer rational leichtere Genehmigungen wählen. In einem unwiderruflichen Echtzeit-Abwicklungspfad kann eine Option, die vor einer katastrophalen, aber plausiblen Transaktion schützt, Teil des minimalen sicheren Produkts werden. Resolution 498 bewegt sich in diese Richtung, indem sie mehrere Kontrollen zu Teilnahmebedingungen macht und sowohl dem Anbieter als auch dem Institut Pflichten auferlegt.

Die harte Beschaffungsfrage für jeden C&M-Kunden ist nicht, ob eine Funktion in einem Prospekt existiert. Es ist, ob die Funktion im relevanten Pfad obligatorisch, unabhängig testbar und nicht durch dieselbe Identität deaktivierbar ist, die sie einschränken soll.

Brasilien schrieb den PSTI-Deal neu

Die regulatorische Reaktion der BCB ging über C&M hinaus. Im September 2025, unter Berufung auf die Beteiligung der organisierten Kriminalität an jüngsten Angriffen auf Finanz- und Zahlungsinstitute, verhängte die Zentralbank eine sofortige Obergrenze von R$15.000 für Pix- und TED-Überweisungen für Zahlungsinstitute ohne vollständige Genehmigung und für Institute, die sich über PSTIs verbinden.Die Ankündigung der BCBbesagte, dass die Beschränkung nach Nachweis von Kontrollen aufgehoben werden könne, während gleichzeitig der Zugang, IP-Adressänderungen und der Zeitplan für die institutionelle Genehmigung verschärft wurden.

Resolution 498 ersetzte dann ein relativ lockeres Konzept der Anbietergenehmigung durch einen vollständigeren Credentialling- und Überwachungsrahmen. In der Anfang 2026 geänderten Fassung verlangt sie eine brasilianische Rechtsstruktur, kompatible technische und administrative Kapazitäten, Governance- und Kontrollfunktionen, Cyber- und Betrugsrichtlinien, unabhängige Prüfung, Betriebs- und zivilrechtliche Haftpflichtversicherung sowie mindestens R$15 Millionen an eingezahltem Kapital und Eigenkapital. Die BCB kann in Abhängigkeit von Transaktionsvolumen, Kundenanzahl und Risiko mehr verlangen.

Die Verordnung stellt ausdrücklich klar, dass das Credentialling keine allgemeine Genehmigung zur Durchführung der wirtschaftlichen Tätigkeit des Anbieters ist. Deshalb ist eine sorgfältige Statussprache wichtig: Ein Softwareunternehmen kann weiter existieren und andere Produkte verkaufen, während ihm der für einen bestimmten RSFN-Dienst erforderliche Status fehlt.

Instruction 664 lieferte dringende technische Details für bereits im September 2025 tätige Anbieter. Sie erforderte Ende-zu-Ende-Prüfpfade, Aufbewahrungsregeln, sichere Protokolle, die Kunden für Abgleich und Risikomanagement zur Verfügung stehen, strengere Zugriffskontrollen und die Überwachung anormaler externer oder privilegierter Zugriffe. Ein Bericht über eine angemessene Sicherheit von einem unabhängigen, bei der brasilianischen Wertpapieraufsicht registrierten Prüfer war Teil der Compliance-Nachweise.

Dies unterscheidet sich wesentlich von der Aussage eines Anbieters, er habe eine Bewertung in Auftrag gegeben: Das Institut und der Regulierer benötigen einen definierten Umfang, Standard, Ausnahmeliste und Sanierungsstatus.

Die BCB trennte weiter die Signaturbefugnis vom Transport.Instruction 667verlangte von Instituten, die eine Befreiung von der Pix-Obergrenze anstrebten, zu bestätigen, dass sie private Signaturschlüssel nicht mit dem PSTI teilen oder diese Schlüssel in dessen Umgebung speichern. Für einen Anbieter zugängliche Zertifikate mussten widerrufen und ersetzt werden. Kunden mussten unterschiedliche Anmeldedaten für Produktion und Test sowie zwischen Nachrichtensignatur und Kanalaufbau verwenden, Berechtigungen einschließlich derer von Auftragnehmern überprüfen und die Transaktionsintegrität validieren.

Im Januar 2026 passte die BCB das Regime mit Resolution 547 an. Sie präzisierte Governance- und Risikoanforderungen, erlaubte risikoproportionales Kapital über der Untergrenze, stärkte das Decredentialling und verlängerte die Übergangsfrist für bestehende PSTIs zur Beantragung des neuen Credentiallings auf acht Monate.Der erläuternde Hinweis der BCBbesagte, dass Institute, die einen PSTI nutzen, bis zum erfolgreichen Abschluss des Credentiallings ihres Anbieters der Pix- und TED-Obergrenze von R$15.000 unterliegen. Die Übergangsregel besagt, dass ein bestehender Anbieter, der nicht innerhalb der Frist einen Antrag stellt, von Amts wegen de-credentialled wird und einen ordnungsgemäßen Austrittsplan ausführen muss. Es wäre jedoch ein Fehler, aus dieser allgemeinen Klausel zu schließen, dass die Zeile von C&M auf einen versäumten Antrag zurückzuführen ist; die aktuelle Liste gibt den Grund nicht an.

Der resultierende Deal ist teurer und ehrlicher. Ein PSTI kann weiterhin kleineren Instituten Skaleneffekte und spezialisierten Zugang bieten. Im Gegenzug muss der Anbieter finanzielle Leistungsfähigkeit, unabhängige Kontrollnachweise und eine stärkere Sicherheitsarchitektur nachweisen. Das Institut kann die Rechenschaftspflicht nicht auslagern. Es muss kontinuierlich Governance, Cyber-Risiko, Betrugsmanagement und Kontinuität überwachen; Dokumentation und Prüfberichte aufbewahren; erforderliche Kontrollen implementieren; wesentliche Ausfälle melden; seine Signaturschlüssel aufbewahren; und die von ihm signierte Nachricht verifizieren.

Outsourcing ändert, wer die Arbeit erledigt. Es ändert nicht, wem das regulierte Ergebnis gehört.

Geordneter Austritt ist ein Technologieprogramm

„Ordentlicher Austritt“ klingt verwaltungstechnisch. In einem Zahlungssystem ist es ein technisches und betriebliches Programm, das durchgeführt wird, während der alte Dienst noch kritisch sein kann. Resolution 498 besagt, dass der Plan priorisieren muss, die Auswirkungen auf Kundeninstitute und das reguläre Funktionieren des SFN und SPB zu begrenzen. Dieses Ziel ist trügerisch kompakt. Ein Kunde kann einen Zahlungszugang nicht durch Ändern eines Domainnamens und Kopieren einer Datenbank wechseln.

Der Übergang beginnt mit rechtlicher und regulatorischer Eignung. Der empfangende Anbieter muss über das entsprechende aktuelle Credentialling verfügen, oder das Institut muss qualifiziert sein und einen direkten Weg aufbauen. Teilnahmeregister, Kontaktpunkte und Betriebsverantwortlichkeiten müssen geändert werden. Der Netzwerkzugang muss über die beiden unabhängigen Telekommunikationsnetze der RSFN – die BCB sagt, jeder Teilnehmer sei verpflichtet, beide zu nutzen – hergestellt und dann auf Ausfall und Wiederherstellung getestet werden. Firewalls, Adressen, Routen, Kanalzertifikate und Überwachung benötigen neue Eigentümer.

Die Anwendungsarbeit folgt. Pix- und SPB-Nachrichten haben definierte Versionen, Validierungsregeln und Lebenszyklen. Der neue Pfad muss kundenspezifische Transformationen, Idempotenz, Wiederholungen, Bestätigungen, Ausnahmebehandlung und Abgleich reproduzieren, ohne eine Anweisung zu duplizieren oder zu verlieren. Historische Nachrichten und Prüfbelege müssen für regulatorische Überprüfungen und Streitigkeiten verfügbar bleiben. Treasury-Mitarbeiter benötigen vertrauenswürdige PI-Konto-Ansichten. Betrugsregeln müssen migriert werden, ohne Baseline zu verlieren oder dem neuen Anbieter eine Zeit des blinden Lernens zu gewähren.

Schnittstellen zu Kernbankensystemen, Hauptbüchern, Kunden-Apps, Compliance-Systemen und Support-Tools müssen alle parallel getestet werden.

Vertrauen muss neu erzeugt, nicht übertragen werden. Im Februar 2026 gab die BCBSPI Notice 003/2026heraus, in dem sie die Teilnehmer aufforderte, wann immer sich eine Technologieumgebung, ein Verbindungsmodell oder ein Lieferant mit Zertifikatszugriff ändert, neue Kanal- und Signaturzertifikate auszustellen, die alten bei der BCB zu deaktivieren und bei der Zertifizierungsstelle zu widerrufen. Die Mitteilung fordert auch neue Zertifikate, wenn Betrug vermutet wird. Dies ist ein entscheidendes Austrittsprinzip: Die Migration ist unvollständig, wenn alte Anmeldeinformationen noch Autorität ausüben können.

Die Unterscheidung zwischen Zertifikaten wurde im Juni 2026 schärfer. Das aktualisierte Pix-Sicherheitsmaterial der BCB trennt Zertifikate, die zur Authentifizierung des Kommunikationskanals verwendet werden, von denen, die zum Signieren von Nachrichten verwendet werden, und verbietet, dass ein Zweck den anderen ersetzt. Diese Trennung verringert die Wahrscheinlichkeit, dass die Kontrolle über den Transport zur Kontrolle über den Wert wird.

Sie erhöht auch die Arbeit: Bestände müssen genau sein, Speicher- und Hardwareschutz müssen überprüft werden, die Zertifikatserneuerung muss geprobt werden, und ein Rollback kann nicht bedeuten, einen kompromittierten Vertrauenspfad stillschweigend wiederherzustellen.

Die drei beworbenen Bereitstellungsmodelle von C&M veranschaulichen, warum der Austritt jedes Kunden anders ist. Ein Kunde im klassischen CMSW-Infrastrukturmodell benötigt möglicherweise eine vollständige Zielumgebung. Ein Hybridkunde kann einige Anwendungskomponenten kontrollieren, ist aber dennoch auf das Rechenzentrum und das Betriebswissen von CMSW angewiesen. Ein Vor-Ort-Kunde kann die Laufzeit haben, aber keine Quellcode-Ebene oder spezialisierten Third-Level-Support. Der Besitz von Vermögenswerten ist nicht gleichbedeutend mit betrieblicher Unabhängigkeit.

Ein glaubwürdiger Austrittsplan identifiziert jede unverzichtbare Abhängigkeit vor einer Krise und testet den Weg weg davon, während der derzeitige Anbieter gesund ist.

Die aktuelle Liste der BCB gibt keinen kundenseitigen Zeitplan, keine Zielanbieter, keinen Restumfang und keine Abschlusskriterien für C&M preis. Diese Details können zu Recht vertraulich sein. Ihr Fehlen bedeutet, dass Außenstehende nicht beurteilen können, wie weit der Austritt fortgeschritten ist.

Kunden und Regulierer sollten jedoch in der Lage sein, einen messbaren Satz von Fragen zu beantworten: Wie viele Institute bleiben abhängig; welche Nachrichtendienste durchlaufen noch den Anbieter; ob neue Anmeldeinformationen ausgestellt wurden; ob jeder Kunde Dual-Path-Tests abgeschlossen hat; wie sich Abgleichsausnahmen verhalten haben; und welches Ereignis die Stilllegung des alten Pfads erlaubt.

Support ist Teil der Sicherheitsgrenze

Zahlungssoftware wird oft als Technologie gekauft und als Support erlebt. Eine fehlgeschlagene Nachricht um 3 Uhr morgens verrät möglicherweise nicht, ob die Ursache im Kern des Kunden, in der Transformation des Anbieters, in einem Zertifikat, in einem Netzwerkpfad, in einer SPI-Regeländerung oder in unzureichender Liquidität liegt. Die schnellste Lösung hängt von Menschen ab, die diese Schichten überblicken können. Der behauptete Vorteil von C&M – langjährige Erfahrung in SPB- und Pix-Nachrichtenübermittlung – wäre in genau diesen Momenten am wertvollsten.

Das schafft eine wenig untersuchte Konzentration. Third-Level-Ingenieure und Betriebsanalysten können umfassende Einblicke und außergewöhnliche Privilegien ansammeln, weil normale Kundenteams die schwierigsten Fälle nicht lösen können. Notfallzugriff kann den normalen Arbeitsablauf umgehen, damit Zahlungen schnell wieder aufgenommen werden können. Gemeinsam genutzte Support-Tools können viele Kundenumgebungen verbinden. Eine kleine Gruppe von Menschen kann den Austausch von Zertifikaten, die Nachrichtenwiederaufbereitung und die Koordination mit Regulierern verstehen.

Ihr Wissen verbessert die Kontinuität, während ihre Konten, Geräte, Arbeitspläne und ihr Urteilsvermögen Teil der Angriffsfläche werden.

Die angebliche Beteiligung eines C&M-Mitarbeiters im Jahr 2025 macht die Personalkontrolle unvermeidlich, aber die Antwort kann nicht darauf reduziert werden, Mitarbeiter zu schulen, keine Anmeldedaten preiszugeben. Ein belastbares Support-Design geht von der Möglichkeit von Nötigung, Bestechung, Ermüdung, Fehlern und Kontoübernahme aus. Es verwendet Just-in-Time-Privilegien, separate Genehmigungen für Produktionsaktionen, gerätegebundene Identität, Sitzungsaufzeichnung, kundeneinsehbare Protokolle, enge Kundenpartitionen, erzwungene Ablaufdaten und Verhaltensstopps.

Es verhindert, dass eine Support-Identität werttragende Anweisungen generiert oder genehmigt. Es macht eine Notfallanhebung so auffällig, dass eine andere Person sie erklären muss, während sie geschieht.

Vergütung und Personalbesetzung gehören ebenfalls zur Due Diligence, auch wenn die öffentliche Aufzeichnung nicht ausreicht, um die Praktiken von C&M zu beurteilen. Ein Anbieter, der kontinuierliche Verfügbarkeit verkauft, benötigt Schichten, die tief genug sind, um einen unverzichtbaren Operator zu vermeiden. Er benötigt benannte Vorfallverantwortliche, zweisprachige oder lokale Unterstützung, wo relevant, getestete Kontaktwege zur BCB und zu Zertifizierungsstellen sowie Nachfolge für Spezialisten, die ältere SPB-Dienste verstehen.

Käufer sollten die Fluktuation in privilegierten Rollen, die Hintergrundüberprüfungsrichtlinie, die Widerrufszeiten für Zugriffe und das Verhältnis zwischen Bereitschaftsingenieuren und kritischen Kunden überprüfen. Eine glänzende 24/7-Service-Erklärung sagt nichts darüber aus, ob die dritte Person in einer Eskalation wach, autorisiert und geübt ist.

Support-Beweise müssen ergebnisbasiert sein. Nützliche Metriken umfassen die Zeit bis zur Bestätigung eines regulatorischen Nachrichtenausfalls, die Zeit zur Isolierung eines Kunden, die Zeit zum Widerruf eines Zertifikats, das Alter ungelöster Abgleichsausnahmen, die Falsch-negativ- und Falsch-positiv-Raten bei Betrugskontrollen, die Häufigkeit von privilegiertem Zugriff und die Wiederherstellungsleistung während unangekündigter Übungen. Die durchschnittliche Ticketlösung kann den einen Zahlungsvorfall verbergen, der zählt. Ein Anbieter sollte daher kritische Pfade separat melden und Kunden ihre eigenen Spuren einsehen lassen.

Schließlich müssen Support-Pflichten Vertragsbeendigung und regulatorischen Austritt überleben. Der derzeitige Anbieter hat möglicherweise weniger kommerziellen Anreiz, Experten zu halten, während Kunden migrieren, gerade dann, wenn historisches Wissen am meisten benötigt wird. Ein ordentlicher Austrittsplan sollte ein abgeschottetes Übergangsteam finanzieren, Schlüsselpersonenrisiken identifizieren, aktuelle Runbooks verlangen und die Reaktionsniveaus bis zum Wechsel aufrechterhalten. Kontinuität ist nicht erreicht, wenn die Infrastruktur eingeschaltet bleibt, aber die Menschen, die sie verstehen, gehen zuerst.

Der Preis der Delegation

C&M veröffentlicht keinen allgemeinen PSTI-Tarif. Die Corner-Seite verweist potenzielle Kunden auf den Verkaufskontakt, während ein Pix Automático-FAQ besagt, dass ein bestimmter Dienst über Nachrichten abgerechnet wird und keine zusätzlichen Einrichtungsgebühren oder überraschenden monatlichen Gebühren für bestehende Corner-Nutzer mit sich bringt. Dies ist eine eingeschränkte Marketingaussage, keine vollständige Preisliste. Jede Schätzung der gesamten kommerziellen Bedingungen von C&M wäre daher Spekulation.

Die Kostenlogik des Produkts kann dennoch analysiert werden. Ein verwalteter PSTI-Dienst ersetzt mehrere sichtbare Ausgaben: Dual-Netzwerk-Konnektivität, sichere Umgebungen, spezialisierte Zahlungsingenieure, Nachrichten-Software, Zertifikate, Überwachung, Tests, regulierungsorientierte Abläufe und kontinuierlichen Support. Der Anbieter kann Fixkosten auf mehrere Kunden verteilen. Ein kleines Institut kann Pix möglicherweise schneller und mit einem erfahreneren Team erreichen, als es selbst zusammenstellen könnte. Die Preisgestaltung pro Nachricht gleicht auch einige Ausgaben mit dem Transaktionsvolumen ab.

Aber die Rechnung ist nur die erste Schicht. Implementierungskosten umfassen die Abbildung von Kernbankdaten auf Zahlungsnachrichten, die Einrichtung von Umgebungen, das Onboarding von Identitäten, das Festlegen von Betrugsschwellen, die Durchführung von Homologationstests, die Schulung von Betriebsabläufen und den Nachweis des Abgleichs. Wiederkehrende Wirtschaftlichkeit kann eine Plattform- oder Supportgebühr, Nutzungsgebühren, Module, Konnektivität, Speicher, Audit-Unterstützung und höhere Servicelevel kombinieren. Regulatorische Änderungen schaffen zusätzliche Arbeit. Die veröffentlichten Datenschutzbestimmungen von C&M besagen, dass geänderte rechtliche oder regulatorische Anforderungen Kosten verursachen können, die zu verhandeln sind, und dass kundenangeforderte Prüfungen dem Kunden in Rechnung gestellt werden können.Die Richtlinie legt auch Prüf- und Vorfallverantwortlichkeiten fest, obwohl es sich um ein vertragliches Dokument des Unternehmens und nicht um einen unabhängig überprüften Kontrollbericht handelt.

Risiko fügt einen weiteren Preis hinzu. Versicherungsselbstbehalte, Kapitalpuffer, Betrugsverluste, Vorfallsanwälte, forensische Arbeiten, Kundenentschädigungen und regulatorische Einschränkungen können Abonnementeinsparungen in den Schatten stellen. Die Transaktionsgrenze von R$15.000, die für Institute verhängt wurde, die Anbieter nutzen, die den neuen Credentialling-Prozess nicht abgeschlossen haben, kann die Produktökonomie eines Kunden verändern, selbst wenn seine Technologie noch funktioniert. Ein Treasury- oder Geschäftszahlungsprodukt wird weniger nützlich, wenn Routineüberweisungen das Limit überschreiten.

Der Status des Anbieters ist daher ein kommerzielles Merkmal mit unmittelbaren Umsatzfolgen.

Der Austritt ist die letzte Schicht und oft die am wenigsten bepreiste. Ein Kunde, der durch die Nutzung proprietärer Konsolen, Transformationen und Betriebswissen spart, kann später für parallele Infrastruktur, Datenextraktion, neue Zertifikate, dualen Support und monatelange Tests zahlen. Die Wechselkosten steigen mit jeder nicht dokumentierten Regel, jeder anbietergesteuerten Betrugskonfiguration und jeder Integration, die nur im Kopf des derzeitigen Anbieters existiert. Eine lokale Bereitstellung kann die Infrastruktur-Migrationskosten senken, aber die Abhängigkeit von der Anwendung und der Expertise erhalten.

Ein niedrigeres monatliches Angebot kann daher eine teurere Zukunftsvariante erwerben.

Ein rationaler Vergleich verwendet die Gesamtkontrolle und nicht die Kosten pro Nachricht. Addieren Sie Implementierung, interne Überwachung, unabhängige Sicherheit, Vorfallsübungen, regulatorische Änderungsarbeiten und einen finanzierten Austritt. Vergleichen Sie dann das Restrisiko: Wie viel Wert kann sich bewegen, bevor ein unabhängiger Stopp erfolgt; wie viele Kunden teilen sich eine Ausfalldomäne; wie schnell kann ein Schlüssel ersetzt werden; und ob ein alternativer Pfad jemals eine echte Testnachricht getragen hat. Der günstigste Anbieter ist nicht der mit dem niedrigsten Tarif.

Es ist derjenige, der das erforderliche Zahlungsergebnis mit den geringsten kombinierten Kosten für Betrieb, Überwachung, Ausfall und Austritt liefert.

Wettbewerb ist eine Wahl der Kontrollarchitektur

Die aktuelle Anbieterseite der BCB nennt nur eine kleine Übergangsgruppe, sollte aber nicht zur Berechnung des Marktanteils verwendet werden. Sie zeigt drei Anbieter im Credentialling und konform mit Instruction 664, zwei in der Anpassung ohne Kunden und zwei im ordnungsgemäßen Austritt. Die Seite sagt nicht, dass dies eine vollständige wirtschaftliche Bestandsaufnahme aller Softwareanbieter, direkten Verbindungen oder konzerninternen Arrangements ist. Die eigene Website von C&M zeigt wechselnde Marktanteilszahlen, die dynamisch generiert zu sein scheinen und nicht von einer prüfbaren Methodik begleitet werden.

Sie sind ungeeignet als Beweis für Konzentrationsprozentsätze.

Die Wettbewerbsentscheidungen sind dennoch identifizierbar. Ein Institut kann einen anderen erfolgreich credentiallierten PSTI suchen, direkte RSFN- und SPI-Fähigkeiten aufbauen, wo seine regulatorische Form dies erlaubt, einen konzerninternen Technologieanbieter unter der Ausnahmeregelung zur Trennung nutzen oder überdenken, ob es eine direkte Teilnahme an einem bestimmten Pix-Dienst benötigt. Direkte und indirekte Pix-Teilnahme weisen auch Abwicklungs- und Verzeichnisfunktionen unterschiedlich zu. Jede Option ändert Kosten und Kontrolle, anstatt einfach ein Logo durch ein anderes zu ersetzen.

Ein anderer verwalteter Anbieter bietet den funktional nächsten Ersatz. Er kann die Migrationskomplexität reduzieren, wenn er denselben Nachrichtenkatalog und vertraute Legacy-Systeme unterstützt. Der Käufer muss dennoch fragen, ob „anderer Anbieter“ eine andere Ausfalldomäne bedeutet. Zwei Marken können sich ein Rechenzentrum, einen Telekommunikationsanbieter, einen Zertifikatsprozess, eine Softwarekomponente, einen Sicherheits-Subunternehmer oder einen kleinen Pool spezialisierter Mitarbeiter teilen. Konzentration sollte über vierte Parteien und gemeinsame Infrastruktur kartiert werden, nicht nach Anbieternamen gezählt.

Direkter Betrieb erhöht die Kontrolle, schafft aber auch eine neue betriebliche Institution innerhalb des Instituts. Es braucht Leute, die Katalogveröffentlichungen verfolgen, beide RSFN-Netzwerke warten, Schlüssel schützen, Liquidität verwalten, Betrug kontinuierlich überwachen und Vorfälle koordinieren können. Der Sicherheitsgewinn besteht nur, wenn der Käufer diese Aufgaben besser ausführen kann als ein Spezialist. Eine schlecht besetzte Direktverbindung kann Anbieterkonzentration gegen Schlüsselpersonenrisiko und schwächere Wartung eintauschen.

Ein konzerninterner Anbieter kann Anreize angleichen und Wissen halten, aber er kann Governance, Identitätssysteme und Krisenmanagement mit dem Finanzinstitut teilen, das er schützen soll. Die geänderte Resolution 498 befreit anbieterinterne Verarbeitungsanbieter vom vollständigen externen PSTI-Rahmen, während sie betriebliche Trennung und anwendbare technische und Sicherheitskontrollen verlangt. Das ist keine Lizenz zum Zusammenlegen von Pflichten. Die Gruppe muss zeigen, dass die Kompromittierung einer gewöhnlichen Unternehmensumgebung nicht zur Zahlungsbefugnis werden kann.

Internationale Standards untermauern diese Architektursicht. Die CPMI-IOSCOMethodik für kritische Dienstleisterfragt nach Unternehmensrisiko, Informationssicherheit, Zuverlässigkeit, Technologieplanung und Abhängigkeiten von Dritten. DieGrundsätze für Drittanbieterrisiken des Basler Ausschusses von 2025behandeln Konzentration, Lieferkettenabhängigkeit, Lebenszyklusmanagement und Austritt als Bankverantwortlichkeiten. Diese Standards wählen nicht C&M oder einen Konkurrenten aus. Sie erklären, warum eine Beschaffungsentscheidung den vollständigen Abhängigkeitsgraphen abdecken muss und während der gesamten Vertragslaufzeit überprüfbar bleiben muss.

Für C&M hat der Wettbewerb nun eine zeitliche Dimension. Eine Produktseite kann weiterhin Corner 2026, hybride Bereitstellung und spezialisierten Support bewerben. Ein reguliertes Institut, das RSFN-Zugang benötigt, muss mit den aktuellen Statusbelegen der BCB beginnen. Wenn ein vorgeschlagener Dienst davon abhängt, dass C&M als externer PSTI fungiert, benötigt der Käufer eine schriftliche Bestätigung der Rechtsgrundlage, des Übergangsumfangs und des erlaubten Zeitplans von der zuständigen Behörde.

Wenn der Vorschlag eine lokale Softwarelizenz, ein Support-Dienst oder ein Nicht-PSTI-Produkt ist, muss der Käufer definieren, welche regulierten Funktionen bei C&M verbleiben und welche nicht. Mehrdeutigkeit über die Rolle ist selbst ein Kontrollversagen.

Zwölf Beschaffungstests

Die nützliche Reaktion auf den Vorfall von 2025 ist kein generischer Cyber-Fragebogen. Ein Käufer sollte Tests durchführen, die Kontrollgrenzen beobachtbar machen, bevor er Produktionszahlungen einem Anbieter anvertraut. Für C&M müssen diese Tests auch die aktuelle Einstufung als ordnungsgemäßer Austritt berücksichtigen.

Beweisen Sie die rechtliche und regulatorische Rolle.Gleichen Sie den rechtlichen Namen und die CNPJ der Vertragspartei mit dem aktuellen Eintrag der BCB ab. Ermitteln Sie den genauen Status und Umfang für jedes Leistungsdatum. Unterscheiden Sie Softwarelizenzierung, verwaltete Verarbeitung, RSFN-Zugang, indirekten Pix-Support und Zentralbankteilnahme. Akzeptieren Sie keine historische Amtsblattmitteilung oder Marketingbehauptung als Nachweis des gegenwärtigen Credentiallings.
Verfolgen Sie eine Zahlung von Anfang bis Ende.Beginnen Sie mit der Kundenanweisung und identifizieren Sie jedes System, jede Identität, jede Transformation, jede Genehmigung, jeden Schlüssel, jedes Zertifikat, jede Warteschlange, jedes Protokoll und jeden Abgleichseintrag bis zur Abwicklung. Markieren Sie, welche Partei jede Stufe kontrolliert. Wiederholen Sie dies für Rückbuchung, Zeitüberschreitung, Duplikat, fehlerhafte Nachricht und Liquiditätsdefizit. Architekturfolien sind nicht genug; der Käufer sollte eine kontrollierte Transaktion beobachten.
Demonstrieren Sie ausschließliche Signaturkontrolle.Das Institut sollte seine privaten Signaturschlüssel in einer Grenze erzeugen und aufbewahren, die der Anbieter nicht erreichen kann. Es sollte die genaue Nachricht vor der Signatur verifizieren. Testen Sie, ob ein Anbieteradministrator, Support-Ingenieur oder kompromittiertes Kanalzertifikat keine gültige werttragende Nachricht erzeugen kann. Bestätigen Sie separate Anmeldedaten für Test, Produktion, Kanalaufbau und Nachrichtensignatur.
Versuchen Sie ein Insider-Szenario.Geben Sie einem Red-Team-Operator eine legitime, aber eingeschränkte Support-Identität. Versuchen Sie, einen anderen Kunden zu erreichen, eine Betrugsgrenze zu ändern, eine neue Integration zu erstellen, eine Nachricht wiederzugeben und die Privilegien zu einer ungewöhnlichen Stunde zu erhöhen. Der Test besteht nur, wenn präventive Kontrollen schädliche Aktionen stoppen und kundeneinsehbare Beweise den Versuch in Echtzeit erklären.
Testen Sie anomale Werte und Geschwindigkeit vor der Einreichung.Simulieren Sie Transfers, die einzeln erlaubt, aber insgesamt anormal in Bezug auf Zeit, Ziel, Betrag und Rate sind. Überprüfen Sie, wann ein harter Stopp erfolgt, wer ihn überschreiben kann, ob der Override eine andere Organisation benötigt und wie schnell das Institut benachrichtigt wird. Ein Dashboard-Alarm nach unwiderruflicher Abwicklung ist keine präventive Kontrolle.
Isolieren Sie einen Kunden, ohne alle zu stoppen.Erzwingen Sie einen Fehler oder einen vermuteten Kompromiss in einem Mandanten. Messen Sie die Zeit, um den Zugriff zu widerrufen, Anmeldedaten zu rotieren und Beweise zu sichern. Bestätigen Sie, dass andere Institute sicher fortfahren und dass gemeinsame Komponenten keine Autorität über Partitionen hinweg lecken können. Testen Sie dann das Gegenteil: Ein Ausfall einer gemeinsamen Komponente sollte in einen kontrollierten sicheren Zustand übergehen, anstatt unsichere Transaktionen zu erzeugen.
Widerrufen und bauen Sie Vertrauen neu auf.Führen Sie den Zertifikatsänderungsprozess der BCB durch. Stellen Sie neue Zertifikate aus, deaktivieren Sie die alten Registrierungen und widerrufen Sie sie bei der Zertifizierungsstelle. Weisen Sie nach, dass jeder alte Pfad fehlschlägt, einschließlich Ausweichsystemen und vergessenen Testendpunkten. Zeitnahme der Übung; während eines echten Angriffs ist die Zertifikatswiederherstellung Teil der Dienstwiederherstellung.
Betreiben Sie beide Netzwerkpfade und verlieren Sie einen.Die RSFN verwendet zwei unabhängige Telekommunikationsnetze. Das Institut sollte den Verkehrswechsel, die Kapazität, die Alarme und die Wiederherstellung beobachten, wenn eines ausfällt. Es sollte auch Abhängigkeiten kartieren, die scheinbar unabhängige Routen gemeinsam nutzen lassen in Bezug auf Strom, Einrichtungen, DNS, Identität oder Betrieb.
Gleichen Sie anhand der Beweise des Kunden ab.Der Käufer muss in der Lage sein, zu rekonstruieren, was generiert, genehmigt, signiert, gesendet, bestätigt und abgewickelt wurde, ohne sich vollständig auf die Konsole des Anbieters zu verlassen. Protokolle sollten manipulationssicher sein, für den erforderlichen Zeitraum aufbewahrt werden, zeitnah verfügbar sein und über Identitäten und Nachrichten hinweg korreliert werden. Stichproben von Ausnahmen sollten zu Buchhaltungseinträgen aufgelöst werden.
Prüfen Sie unabhängige Sicherheitsnachweise anstelle von Abzeichen.Besorgen Sie sich den Prüfer, den Umfang, den Zeitraum, die Systeme, die Ausschlüsse, die Ausnahmen und die Sanierungstermine für Sicherheits- und Kontinuitätsarbeiten. Überprüfen Sie, ob die Überprüfung den genauen Produktionsdienst und die Kontrollen nach dem Vorfall abgedeckt hat. C&M gab an, nach dem Angriff externe forensische und Kontrollarbeiten in Auftrag gegeben zu haben; ein potenzieller regulierter Kunde sollte feststellen, welcher Bericht rechtmäßig geteilt werden kann und was ungelöst blieb.
Bepreisen Sie einen vollständigen Austritt vor dem Eintritt.Nennen Sie den alternativen Anbieter oder das direkte Modell, die erforderlichen Mitarbeiter, Daten- und Konfigurationsexporte, den Zertifikatsplan, die Dauer des Parallelbetriebs, die Supportverpflichtungen und die maximal tolerierte Unterbrechung. Setzen Sie die Kosten und Servicelevel im Vertrag fest. Führen Sie dann eine partielle Migrationsübung durch. Ein Dokument, das noch nie eine Nachricht transportiert hat, ist keine Austrittsfähigkeit.
Definieren Sie Nachweise für die Phase des ordnungsgemäßen Austritts.Für einen Kunden, der noch von C&Ms Übergang betroffen ist, dokumentieren Sie die von der Regulierungsbehörde genehmigten Meilensteine, die verbleibenden Dienste, die erlaubten Grenzen, das Migrationsziel, die Kunden Zustimmung, die Überwachungsmaßnahmen und das endgültige Stilllegungsereignis. Prüfen Sie diese auf Vorstandsebene. Da die öffentliche BCB-Seite den Grund oder Zeitplan nicht erklärt, müssen private Governance-Nachweise besonders präzise sein.

Was die öffentliche Akte nicht beantworten kann

Die Beweislage zu C&M ist substanziell genug für eine feste Identität und eine aussagekräftige Risikoanalyse. Sie reicht nicht für ein endgültiges Urteil über die Schuld oder den gegenwärtigen Betriebsumfang. Mehrere Abwesenheiten sollten explizit bleiben.

Erstens gibt es keinen öffentlichen abschließenden forensischen Bericht, der für diesen Artikel geprüft wurde und die vollständige technische Sequenz des Betrugs von 2025 etabliert. C&M erklärte, Social Engineering und Missbrauch von Anmeldedaten seien der Ausgangspunkt gewesen und bestritt einen Softwarefehler. Polizei- und Presseberichte behaupteten, ein Mitarbeiter habe den Zugang erleichtert.

Diese Darstellungen können vereinbar sein, aber sie offenbaren nicht die genauen verwendeten Privilegien, ob zusätzliche Schwachstellen ausgenutzt wurden, welche Nachrichten von wem signiert wurden oder welche Kontrolle die Transfers zuerst entdeckte.

Zweitens gibt es in der hier geprüften öffentlichen Akte keine autoritative konsolidierte Verlustzahl. Polizeiberichte bezifferten BMP mit mehr als R$540 Millionen, während andere Presseschätzungen in Richtung R$800 Millionen oder R$1 Milliarde gingen. Einige Gelder wurden Berichten zufolge blockiert oder zurückgefordert. Auch die Anzahl der betroffenen Institute variierte. Eine Anklagesumme, versuchter Transferwert, Bruttoabzweigungswert, blockierter Wert und endgültiger wirtschaftlicher Verlust sind unterschiedliche Maße. Bis eine Behörde sie abgleicht, würde eine einzelne Schlagzeilenzahl falsche Sicherheit schaffen.

Drittens gibt die aktuelle Seite der BCB die Kategorie von C&M an, aber nicht deren Ursache. Sie sagt nicht, ob der ordnungsgemäße Austritt freiwillig, übergangsweise, die Folge einer Antragsentscheidung, eine Vorsichtsmaßnahme, ein Versäumnis, eine neue Anforderung zu erfüllen, oder eine Kombination davon war. Sie sagt nicht, ob jeder frühere Kunde migriert ist, welche Dienste während des Austritts fortgesetzt werden können oder wann der Abschluss erwartet wird. Resolution 498 beschreibt mögliche Wege; sie identifiziert nicht, welcher Weg auf C&M zutrifft.

Viertens wird das aktuelle Produktmarketing nicht mit diesem Status in Einklang gebracht. Die Website bewirbt vollständige PSTI-Compliance und gegenwärtige Zugriffsfähigkeiten. Es kann eine rechtliche Erklärung mit Übergang, Bereitstellungsmodell, Produktlizenzierung oder Dienstleistungen außerhalb der regulierten PSTI-Rolle geben. In der hier gefundenen öffentlichen Klarstellung wird keine Behauptung mit der aktuellen BCB-Tabelle abgeglichen. Käufer sollten aus der Diskrepanz weder Legalität noch Illegalität ableiten; sie sollten verlangen, dass die Rolle geklärt wird.

Fünftens sind Kontrollnachweise meist selbsterklärend. C&M veröffentlicht historische Sicherheits- und Kontinuitätsdokumente und gibt an, nach dem Vorfall unabhängige Arbeiten in Auftrag gegeben zu haben. Die hier geprüfte öffentliche Akte enthält weder den resultierenden forensischen Bericht, noch eine aktuelle unabhängige Prüfungsmeinung, noch einen aktuellen Notfallwiederherstellungstest, noch kundenspezifische Verfügbarkeitsdaten, noch den Nachweis, dass jede Sanierung nach dem Vorfall abgeschlossen wurde. Die Abwesenheit aus öffentlicher Sicht bedeutet nicht, dass die Arbeit nicht existiert.

Sie bedeutet, dass ein externer Leser sie nicht verifizieren kann.

Schließlich ist die Konzentration selbst nicht gemessen. C&M hat historische und aktuelle Marktanteilsbehauptungen aufgestellt, aber die sichtbaren Zahlen variieren und entbehren einer offengelegten Methode. Reuters zitierte zum Zeitpunkt des Angriffs etwa zwei Dutzend kleinere Kunden, während Unternehmensseiten eine viel breitere historische Reichweite zitieren. Die BCB-Übergangsliste ist kein Nenner für den Marktanteil.

Eine rigorose Konzentrationsbewertung würde aktuelle Kundenzahlen, deren Transaktionswerte, gemeinsame Abhängigkeiten, Substituierbarkeit und Zeit für die Migration benötigen – Daten, die dem Regulierer eher zur Verfügung stehen als der Öffentlichkeit.

Beobachtungspunkte für C & M Software und seine Vertragspartner

Der erste Beobachtungspunkt ist die BCB-Liste selbst. Eine zukünftige Änderung könnte den Abschluss des ordnungsgemäßen Austritts, einen anderen Status oder eine neue öffentliche Erklärung zeigen. Bis dahin sollte C&M nicht als derzeit credentialliert beschrieben werden, nur weil seine Website eine gegenwärtige PSTI-Sprache verwendet. Umgekehrt sollte eine Zeile des ordnungsgemäßen Austritts nicht zu der Behauptung gedehnt werden, das Unternehmen sei aufgelöst oder vom Verkauf aller Software ausgeschlossen.

Der zweite Punkt ist die Kundenmigration. Nachweise dafür, dass Institute zu einem erfolgreich credentiallierten Anbieter gewechselt, direkten Zugang aufgebaut, Zertifikate ersetzt und den Abgleich abgeschlossen haben, würden zeigen, ob der Austritt wie beabsichtigt funktioniert. Hinweise auf wiederholte Fristverlängerungen, anhaltende Transaktionslimits oder die Abhängigkeit von temporären Arrangements würden auf ein höheres Kontinuitätsrisiko hindeuten. Das kritische Maß ist nicht die Ankündigung einer Migration, sondern die getestete Produktionsfähigkeit ohne den alten Vertrauenspfad.

Der dritte Punkt ist die Offenlegung unabhängiger Kontrollen. C&M erklärte, externe forensische und Sicherheitsarbeiten in Auftrag gegeben zu haben und die API-Governance, das Onboarding und den Zugriff zu überprüfen. Eine Zusammenfassung, die Umfang, Ergebnisse, verbleibende Ausnahmen und Abschlussdaten identifiziert – ohne ausbeutbare Details preiszugeben – würde das öffentliche Verständnis der Sanierung wesentlich verbessern. Ebenso ein aktueller Sicherheitsbericht, der unter Vertraulichkeit Kunden zur Verfügung steht. Marketingseiten, die „vollständige Compliance“ sagen, sind schwächer als ein eingeschränkter Nachweis mit Ausnahmen.

Der vierte Punkt ist Durchsetzung und Rechtsprechung. Polizeibehauptungen, Strafanzeigen, Zivilklagen oder regulatorische Maßnahmen können klären, wer was getan hat und welche Verlustzahl relevant ist. Sie können auch frühe Theorien verwerfen. Die Berichterstattung sollte während des gesamten Prozesses die Unterscheidung zwischen Behauptung und Feststellung wahren. Eine spätere Verurteilung würde strafbares Handeln von benannten Personen feststellen; sie würde dennoch nicht jede Architektur- oder Governance-Frage beantworten.

Der fünfte Punkt ist die Produktneupositionierung. Die Modelle Classic, Hybrid und On-Site von Corner 2026 deuten darauf hin, dass C&M versuchen könnte, Software- und Expertise-Umsätze zu erhalten, selbst wenn sich die Anbieterrolle ändert. Dies kann ein legitimer Weg sein, aber Verträge müssen angeben, wer die regulierte Verbindung betreibt, wer die Schlüssel hält, wer den Betrug überwacht und welches Unternehmen für den Support verantwortlich ist. Eine beim Kunden eingesetzte Lizenz kann immer noch proprietäre Abhängigkeiten enthalten; ein Hybrid kann weiterhin privilegierte Abläufe konzentrieren.

Der sechste Punkt ist die Umsetzung des eigenen neuen Standards durch den Regulierer. Die aktuelle Tabelle zeigt einen Markt im Übergang, kein endgültiges Feld. Erfolgreiche Credentialling-Entscheidungen, höhere Kapitalanforderungen, Prüfungsergebnisse und Kundenlimits werden zeigen, wie streng Resolution 498 angewendet wird. Die BCB sollte auch auf aggregierte Informationen zur Anbieterkonzentration und zum Migrationsrisiko beobachtet werden.

Strenge Anbieterregeln können die Sicherheit verbessern, während unbeabsichtigt die Anzahl der Lieferanten reduziert wird; weniger, stärkere Anbieter können dennoch eine sektorweite Abhängigkeit schaffen.

Der letzte Beobachtungspunkt gehört den Vorständen der Kunden. Resolution 498 erlegt dem vertragschließenden Institut fortlaufende Überwachungspflichten auf. Ein Vorstand, der den PSTI-Status als Beschaffungszertifikat und nicht als lebendige Betriebsbedingung behandelt, hat die Lektion verpasst. Er sollte Kennzahlen zu privilegiertem Zugriff, anomalen Transaktionen, Zertifikatsgesundheit, Vorfallsübungen, Prüfungsausnahmen, Konzentration und Austrittsbereitschaft erhalten.

Er sollte den maximalen Wert kennen, der sich bewegen könnte, bevor ein unabhängiger Stopp erfolgt, und die Zeit, die benötigt wird, um über einen anderen Pfad zu operieren.

Die Schaltzentrale unter dem öffentlichen Dienst

Die Leistung von Pix wird nicht dadurch geschmälert, dass ihre Abhängigkeiten anerkannt werden. Das zentrale System kann hochverfügbar, endgültig und sicher sein, während der Zugang am Rand ungleichmäßig bleibt. Tatsächlich zeigt der Vorfall von 2025 eine Form von Resilienz: Die BCB isolierte eine betroffene Anbieterschicht, hielt die zentrale Schiene in Betrieb und stellte den eingeschränkten Zugang unter strengeren Kontrollen wieder her. Er zeigt auch die Kosten dieser Isolation für Institute, deren Weg von C&M abhing.

C & M Software baute ein Geschäft darauf auf, schwierige Infrastruktur nutzbar zu machen. Es sammelte Wissen über Zahlungsnachrichten, verband Legacy-Systeme, bot Betriebskonsolen und unterstützte Institute, die den vollständigen RSFN-Stack nicht reproduzieren wollten. Das ist echte technologische Arbeit. Genau deshalb wurde das Unternehmen bedeutsam. Je näher ein Lieferant an den Punkt rückt, an dem eine Absicht zur unwiderruflichen Abwicklung wird, desto weniger angemessen ist es, den Lieferanten als gewöhnliche Unternehmenssoftware zu bewerten.

Der Angriff von 2025 zeigte, dass eine Anmeldeinformation gefährlicher sein kann als ein defekter Server. Die aktuelle Zeile des ordnungsgemäßen Austritts zeigt, dass Kontinuität den Austritt umfassen muss, nicht nur redundante Hardware. Das neue Regulierungsregime zeigt, dass das Institut einen kryptografischen und betrieblichen Kern bewahren muss, den es nicht delegiert: seine Schlüssel, seine Validierung der Transaktionsabsicht, seine Überwachung des Lieferanten und seine Fähigkeit, Routen zu wechseln.

Es gibt keine evidenzbasierte Abkürzung zu einem endgültigen Urteil über C&M. Die Darstellung des Unternehmens zu Social Engineering ist plausibel und spiegelt sich teilweise in Polizeiberichten wider, aber die öffentliche forensische Kette ist unvollständig. Der aktuelle Status des Regulierers ist klar, aber der Grund nicht. Die Produktbehauptungen der Website sind sichtbar, aber ihr Verhältnis zum ordnungsgemäßen Austrittsprozess ist ungeklärt. Diese Spannungen sollten sichtbar bleiben, anstatt zu einer Rechtfertigung oder Verurteilung geglättet zu werden.

Die dauerhaftere Schlussfolgerung betrifft das Marktdesign. Gemeinsam genutzte Anbieter ermöglichen es kleineren Instituten, sich hochentwickelter öffentlicher Infrastruktur anzuschließen. Sie schaffen auch private Engpässe unterhalb eines universellen Dienstes. Brasiliens Antwort nach 2025 – Kapital, Versicherung, unabhängige Sicherheit, Schlüsseltrennung, Betrugskontrollen vor der Abwicklung, Kundenüberwachung und ordnungsgemäßer Austritt – erkennt an, dass ein PSTI keine neutrale Röhre ist. Es ist eine kritische Kontrollfläche.

Für jedes Institut, das C&M-Software in Betracht zieht, von seinem Anbieterdienst migriert oder einen Nachfolger auswählt, ist die entscheidende Frage daher nicht „Kann uns dieser Anbieter mit Pix verbinden?“ Sondern „Welche Befugnisse wird diese Verbindung konzentrieren, welche Befugnisse werden unabhängig bei uns verbleiben, und können wir beide Antworten in der schlimmsten Nacht des Vertrags beweisen?“ Pix mag in Sekunden abwickeln. Das Vertrauen in die darunter liegende Schaltzentrale muss über Jahre hinweg konstruiert werden.