16.05.2018

„We want to be a scaling platform for startups“

Interview. Hannes Cizek, Head of Group Digital Banking at Raiffeisen Bank International (RBI), explains what he wants to achieve on the new Austrian Fintech Advisory Council, how RBI handles PSD2 regulation, and what he expects from the second round of the Elevator Lab.
/artikel/rbi-head-of-group-digital-banking-we-want-to-be-a-scaling-platform-for-startups
Hannes Cizek about the Elevator Lab and PSD2
(c) Haris Dervisevic / Der Brutkasten: Hannes Cizek
sponsored

Raiffeisen Bank International (RBI) is pursuing several strategies in corporate innovation of which two programs stand out: the „Elevator Lab“, an accelerator program currently running the application phase for its second round, which highlights innovations from startups and the Intrapreneurship Program „Innovation Garden“, which works with the innovative ideas of the roughly 50,000 employees of the RBI Group. Both programs strongly rely on the involvement of the relevant departments and the cooperation between the network banks in the entire CEE region. Hannes Cizek, RBI Head of Group Digital Banking, bears the main responsibility for the programs. In an interview, he talks about his work in the Austrian Fintech Advisory Council, about the challenges posed by the PSD2 regulation and, of course, about the Elevator Lab and Innovation Garden.

⇒ Zur deutschsprachigen Version des Interviews


You are one of the representatives in the new Austrian Fintech Advisory Council, initiated by the Ministry of Finance. What does a major bank like the RBI want to achieve there?

The aim of the Fintech Advisory Council is to network lawmakers with industry players. It is about increasing exchange and tackling concrete issues. The German Fintech Advisory Council, which has been around for two years and works very well, serves as a model. Key drivers were certainly RBI’s position in the Austrian and Central and Eastern European (CEE) markets as well as our strong activity in the field of corporate startup engagement, which was decisive.

The council includes representatives of traditional banks and insurance companies. There are fintech and venture capital representatives, as well as regulators and legislators – it’s a very diverse group. We hope that the Advisory Council will give us the chance to highlight and discuss topics that are relevant to us and that the overall speed will increase somewhat. We will discuss frameworks, important for fintechs and banks to test new services and products for themselves or in cooperation with others. Another aim is to make the council a comprehensive platform so that you no longer need many bilateral appointments with the other players in the field. The law can then be used to determine what is politically relevant and what should be prioritized.

You mentioned cooperation with startups. Do you have concrete suggestions for the council in this context, especially considering the Elevator Lab?

Regardless of the council in which the priorities are set and worked on, the issue of regulatory sandboxes is generally relevant to us as RBI. Banks and fintechs should be allowed to test services and products in an environment that has a low entry barrier, without having to comply with the full legal and regulatory requirements.

What would you test in the sandboxes?

It could be something quite mundane such as a new service for existing customers. However, I would like to test it with a small user group first and for a limited period of time, as is the practice in technology companies. Then there’s the question: do I have to meet all requirements for this small user group from the start or do I create a regulatory sandbox? In Singapore or Great Britain, the model has been around for several years. The second major topic for us as a cross-border bank is the technical standardization of interfaces and data formats and, by extension, the PSD2 regulation.

How will the PSD2 regulation affect RBI? What effect do you expect it to have with regards to your competitors?

It’s difficult to make precise predictions as no one knows what the real impact on the market will be. The PSD2, which was formally put into force at the beginning of the year and has to be transposed into national law by mid-2019, will eventually lead to market liberalization and a wider opening of the financial services sector to third parties. That means we must develop interfaces for the payment’s area and open them up for third parties. This opens up potential for both sides. Because we can also extend our service by offering third party products to our customers. The key term is “Open Banking”.

(c) Haris Dervisevic / Der Brutkasten

„We need to get even closer to what customers are used to from other industries.“

On the other side, there is the challenge that some of these third-party providers will probably try to become the customer interface. That would reduce banks to the role of a product service provider. We believe that banks still have a strong value proposition for the client, especially in terms of security and trust. For us, this means we must continue to improve, especially in the areas of design and user experience. We need to get even closer to what customers are used to from other industries to avoid the risk of losing our role as customer interface in the digital sphere.

So, it’s mainly a technical challenge and there is more competition expected on a horizontal level?

That’s completely right. The goal of new platforms is always to serve two sides. Over the past ten years, we’ve seen some excellent examples, that we did not necessarily anticipate. We used taxis and booked hotels before and yet the situation in these verticals has changed dramatically in a relatively short period of time. We have to take that seriously. We have to analyze that for ourselves and ask: „what does that mean for our industry?“.

That’s one side, the other side is the implementation. There are still many challenges. Many details are not clear yet and that brings us back to the Fintech Advisory Council. We also want to bring up topics that nobody finds “sexy”. For example, there’s the question of who bears the operational risk when opening interfaces with customer data for third parties – even if the customer has agreed. What requirements must this so-called Third-Party Provider (TTP) fulfill and who monitors their compliance? Who will fulfill the many other bank regulatory requirements in the future? And how standardized can these technical interfaces be?

Unfortunately, at the moment, PSD2 leads to diverse standards internationally. This is completely contrary to the original policy objective of creating a digital single market for financial services in the EU. The upcoming months will be a very exciting phase for all of us.

+++ RBI Elevator Lab: New startup search fields for the second batch +++

Regarding the national standards – as a multinational bank, are you at least trying to develop a consistent system internally?

We strive to develop a group-wide API standard, but of course we have to take national circumstances into account. Our original expectation was that the PSD2 would provide stronger specifications. At least concerning technical implementation, data formats, technical interface and the question of how the API has to be built. However, since the PSD2 is a directive and not a regulation in terms of EU law, detailed implementation is the responsibility of national legislation. This year, it was implemented in the Payment Service Provider Act in Austria. In the Czech Republic, Slovakia, Hungary, Romania and Bulgaria, there are separate laws.

Besides Austria, seven of our fourteen CEE markets are EU member states. In the discussions in the Fintech Advisory Council, but also with the stakeholders in our “host countries”, we are of course already pointing out that different national standards for cross-border banks create additional complexity. But the PSD2 not only affects banks, but also fintechs that need to scale their business and for which technical standardization of interfaces is also relevant. The topic is therefore far more complex than, for example, the „Passporting Rule“, which makes it possible to operate with the banking license of one EU member state in another member country.

Speaking of CEE – the application phase for the second round of the Elevator Lab has recently started. You are conducting regional challenges in eight countries with subsidiary banks. What makes you particularly interested in fintechs from the CEE area?

First of all, we see the CEE region as our home market besides Austria. We have been in the region for almost thirty years and have a unique network and access to local ecosystems. The Raiffeisen brand is extremely well known throughout the CEE region. We want to use all of this. Secondly, there are many talents in the CEE region, where there’s traditionally a technological, mathematical and analytical emphasis in education. More and more young people want to stay in their home countries and see us as an attractive employer with enormous potential for their development.

„We made it clear from the beginning that the Elevator Lab is not a ‚PR gag‘ for us.“

How did Corporate Startup Collaboration work in the first run of the Elevator Lab? What’s the current situation with the startups from round one?

For me, the first round of the Elevator Lab was an incredible success. We managed to finish five pilot projects in four months at the same time. This shows that we made a good selection. On the other hand, it shows that the cooperation partners and the organization were in a position to do so. That was the most important thing for me. We made it clear from the beginning that the Elevator Lab is not a „PR gag“ for us, just to be able to say: „RBI also cooperates with startups.“

We want to generate value for both sides, improve our product and service offer and at the same time be a scaling platform. Of course, that requires a tremendous effort. For a startup, it is normal to evolve on such a scale within four months. For an international corporation, four months are a time span in which you may not plan so much. In that sense, the first round of the Elevator Lab was a huge success for us.

Video Interview with Elevator Lab program lead Max Schausberger:

How much support for Elevator Lab did you have within the organization and how did you prepare for the program?

We have a core team, led by Max Schausberger, which manages the Elevator Lab. It was important to us that this part should not be outsourced. If you want to have maximum impact on the organization, you simply must have such a team yourself. It is important to know the relevant people and areas of expertise and business within the group, as well as to understand how the organization actually works.

In addition, we had about 50 internal but also selected external mentors for the first round. The internal mentors are employees who are not part of the core team themselves, but work in the various departments that cooperated with the startups on the projects. There was always a so-called lead mentor who was technically the „single point of contact“ for the startup. It was pretty cool to see how it appealed to and inspired colleagues from a wide range of disciplines. The colleagues were enthusiastic about the program and worked on it in addition to their normal job. Some were also partly exempted, which was important to really push the development of the prototypes.

So, the projects were also widely accepted within the departments?

Certainly. Nobody did it just as a hobby. The departments were already strongly involved in the selection of the startups. Therefore, we knew that, in the case of our five participating startups, there was a very clear business or customer need that we could address together. Therefore, the departments were very committed. The Elevator Lab was not imposed on them, but they were looking for solutions in these areas. I think that was and is decisive for the whole project.

You also have a second program, the „Innovation Garden“. It is an intrapreneurship program where you are searching for ideas, suggestions and concepts from within the organization. What can you tell us about it?

After focusing on Startup Engagement and the launch of Elevator Lab last year, we also wanted to use the innovation potential of our more than 50,000 employees. We believe that this can be done best by transferring the methods we used in the Elevator Lab and in our startup cooperation to the internal organization. Innovation Garden is a platform where ideas are submitted and then evaluated according to similar criteria as in the Elevator Lab. Again, the key questions are: Is there a clear customer and business need? And can the ideas solve these challenges?

Cross-border and cross-functional teams are rated very highly within the program. We want to build scalable solutions for the group as a whole and not for a single market. Then prototypes are developed in short phases of twelve weeks. According to our plan, we’ll have two rounds with a total of eight prototypes by the end of the year. We tested the format last year with three pilot projects and were delighted with the innovative spirit of our teams. It’s certainly a cool program that I expect a lot from this year.

The first round is currently in progress. How many applicants are there?

Currently, about 300 ideas have been submitted and roughly 2,100 colleagues have registered on the platform. The team around Silvia Handler has done a lot of internal communication to promote the Innovation Garden and to implement it. I’m convinced that we can achieve a lot. We have so many good people in the organization. They just need the chance to work on such a project in a clear setup with methodical support and enough resources and budget. Of course, we took care of that. It’s the same logic as in the Elevator Lab – we first validate the idea engaging with end customers from the beginning before even building a prototype. Only ideas that make it into the final selection after the three-month prototype phase will lead to a Minimum Viable Products (MVP).

You spoke of group-wide solutions before. If a particular subsidiary has a single pain point that is perceived as a big problem only in this location, is that still relevant?

If that is a pain point that exists only in that particular organization and not in all others, that would mean that other subsidiaries already have a solution that works. That too is a side goal of Innovation Garden. We want to provide a little more transparency, know-how transfer and exchange within the group.

(c) Haris Dervisevic / Der Brutkasten

„You will make a giant leap with us over the four months.“

Finally, back to the Elevator lab again. Do you have a personal message for the potential applicants?

RBI is an honest and open partner in the CEE region that is looking for cooperation. On elevator-lab.com, you can see which startups participated last year. Just ask them about the program. I think they will give the same feedback. It is not a “uneven relationship”, but a partnership on an equal footing. And from a methodical point of view as well as from the input we can deliver, Elevator Lab is, I believe, a really exciting accelerator program. So, what I want to tell potential applicants is: The program is well structured, it will not exceed your time budget, but it will provide a lot of input for your business idea and you will make a giant leap with us over the four months.

⇒ official Elevator Lab website

Deine ungelesenen Artikel:
20.08.2026

Teslakee: Österreichischer Sicherheitsforscher baute App um Tesla-Schwachstellen entgegenzuwirken

Die toothR new media GmbH, ein österreichisches IT-Sicherheitsunternehmen im Wissenspark Urstein bei Salzburg, das unter der Marke IT Wachdienst.com kleine und mittlere Unternehmen berät, veröffentlicht die Android-App TeslaKee. Sie entschärft eigenen Angaben nach zwei dokumentierte Schwachstellen des Bluetooth-Autoschlüssels von Tesla.
/artikel/teslakee-oesterreichischer-sicherheitsforscher-baute-app-um-tesla-schwachstellen-entgegenzuwirken
20.08.2026

Teslakee: Österreichischer Sicherheitsforscher baute App um Tesla-Schwachstellen entgegenzuwirken

Die toothR new media GmbH, ein österreichisches IT-Sicherheitsunternehmen im Wissenspark Urstein bei Salzburg, das unter der Marke IT Wachdienst.com kleine und mittlere Unternehmen berät, veröffentlicht die Android-App TeslaKee. Sie entschärft eigenen Angaben nach zwei dokumentierte Schwachstellen des Bluetooth-Autoschlüssels von Tesla.
/artikel/teslakee-oesterreichischer-sicherheitsforscher-baute-app-um-tesla-schwachstellen-entgegenzuwirken
Tesla
(c) Tesla

Der österreichische Sicherheitsforscher Martin Herfurt hat bereits vor Jahren eine Sicherheitslücke bei Tesla entdeckt, wie er damals auf der Videoplattform YouTube demonstrierte: Der digitale Autoschlüssel am Smartphone sei zwar bequem, jedoch bei allen Tesla-Fahrzeugen ohne Ultra-Breitband-Technik (UWB) grundsätzlich angreifbar. ToothR new media bzw. IT-Wachdienst.com veröffentlicht nun mit TeslaKee eine Smartphone-App, die dokumentierte Schwachstellen des Bluetooth-PhoneKey-Protokolls entschärfen soll: den Relay-Angriff, der zum Fahrzeugdiebstahl in Sekunden führt, und die sogenannte BlueBait-Attacke, mit der sich Fahrerinnen und Fahrer über gefälschte Fahrzeug-Signale orten lassen — selbst dann, wenn das eigene Auto kilometerweit entfernt steht.

Teslakee-Founder: „App beantwortet jede Authentifizierungsanfrage“

„Tesla-Fahrzeuge entriegeln, sobald sich das gekoppelte Smartphone in Bluetooth-Reichweite meldet. Die eingesetzte Kryptografie ist solide. Die Schwachstelle liegt eine Ebene darüber, in der Logik: Die offizielle App beantwortet jede Authentifizierungsanfrage — bedingungslos, ohne zu prüfen, ob die Situation überhaupt plausibel ist. Genau das macht zwei Angriffe möglich“, beschreibt Herfurt per Aussendung das Tesla-Problem.

Bei einem Relay-Angriff arbeiten zwei Täter mit zwei handelsüblichen Funkmodulen zusammen. Einer folgt Fahrzeughaltern ins Einkaufszentrum, der zweite steht am Auto auf dem Parkplatz. Die Funkstrecke zwischen beiden verlängert die Bluetooth-Reichweite künstlich um beliebige Distanzen. Für das Fahrzeug sieht es so aus, als stünden Besitzer direkt daneben. Das Auto entriegelt, lässt sich starten und wegfahren — während das Handy unberührt in der Jackentasche steckt.

Der Angriff wurde von Herfurt im Rahmen des Projekts TEMPA auf Sicherheitskonferenzen live demonstriert und als Video dokumentiert. Er benötige keine Kenntnis von Passwörtern, keinen Tesla-Account und hinterlasse keine Einbruchsspuren — ein Umstand, der in der Schadensregulierung regelmäßig zu Problemen mit Versicherungen führt, wie der Sicherheitsforscher sagt.

Das Bluetooth-Problem

Neuere Fahrzeuge begegnen diesem Problem mit UWB-Distanzmessung: Das Auto misst hierbei physikalisch, wie weit das Telefon tatsächlich entfernt ist, und ein weitergeleitetes Signal fliegt auf. Diesen Schutz hat die große Mehrheit der Fahrzeuge jedoch nicht. Die weltweite Tesla-Flotte mit Bluetooth-PhoneKey wird derzeit auf rund acht Millionen Fahrzeuge geschätzt. Davon sind jedoch nur etwa 20 Prozent mit UWB ausgestattet.

Der zusätzliche Schutz kam erst mit den jüngsten Modellgenerationen – für rund sechs Millionen Fahrzeuge bleibt Bluetooth damit die Grundlage des Zugangs. Beim Model S und Model X wurde UWB ab 2021 (Palladium) eingeführt, beim Model 3 ab 2024 (Highland) und beim Model Y ab 2025 (Juniper). Betroffen sind damit alle älteren Modelle der jeweiligen Baureihen.

Erschwerend komme hinzu: UWB schütze nur, wenn Fahrzeug und Smartphone die Technik beherrschen. Ein Großteil der verbreiteten Android-Geräte hat, Herfurt zufolge, keinen UWB-Chip. Selbst Besitzer eines neuen Fahrzeugs würden damit still auf die ungeschützte Bluetooth-Ebene zurückfallen.

BlueBait-Attacke

Weniger bekannt, aus Sicht des Datenschutzes aber gravierender, sei ein Angriff, den die Forschung als BlueBait-Attacke bezeichnet — nach dem Köder, mit dem gearbeitet wird: Die offizielle App antwortet auch auf gefälschte Fahrzeuge. Wer einen nachgebauten Tesla-Beacon betreibt — ein Gerät für wenige Euro, wie Herfurt betont — bekommt von jedem vorbeigehenden Tesla-Fahrer eine Antwort des Smartphones. Damit lässt sich zuverlässig feststellen: Diese konkrete Person war zu dieser Uhrzeit an diesem Ort.

„BlueBait funktioniert vollkommen unabhängig davon, wo das Auto steht. Die Halterin muss nicht in der Nähe ihres Fahrzeugs sein — es genügt, dass sie ihr Telefon dabei hat. Mehrere solcher Beacons, verteilt über eine Stadt, ergeben ein Bewegungsprofil“, beschreibt Herfurt diese Gefahr. „Die Anwendungsfälle sind unangenehm konkret: Stalking, häusliche Gewalt und Nachstellung, verdeckte Beobachtung durch Dritte, kommerzielles Kunden-Tracking im Einzelhandel, das Ausspähen von Fahrzeugen als Vorbereitung eines Diebstahls. Betroffene bemerken davon nichts — es gibt keine Anzeige, keinen Hinweis, kein Protokoll.“

Entscheidend dabei ist, dass UWB nicht gegen BlueBait helfe. Die Distanzmessung greife erst, wenn das Fahrzeug die Nähe des Telefons überprüft — sie verhindert den Diebstahl. Die Ortung entstehe jedoch schon eine Stufe davor, allein dadurch, dass das Telefon auf eine Anfrage überhaupt reagiere. Von der Ortbarkeit sind deshalb auch Halterinnen und Halter brandneuer Fahrzeuge mit UWB betroffen. Solange die Entscheidung, ob geantwortet wird, nicht auf dem Telefon selbst getroffen wird, bleibe das Problem bestehen. Hier kommt die App von Herfurt ins Spiel.

Die Idee hinter TeslaKee

Die zentrale Idee hinter TeslaKee besteht nicht darin, die offizielle Tesla-App zu ersetzen, sondern eine ganz konkrete Schwachstelle in Teslas eigener Umsetzung zu schließen: den Bluetooth-basierten digitalen Schlüssel, mit dem sich das Smartphone am Fahrzeug authentifiziert.

Eine Policy-Engine prüft jede Authentifizierungsanfrage gegen einen selbst definierten Regelsatz, bevor eine Antwort erfolgt. Passt der Gerätekontext nicht zu einer plausiblen Annäherung, bleibt die Reaktion aus, das Angreifersignal läuft ins Leere, das Fahrzeug bleibt verschlossen, und auch ein BlueBait-Köder erhält keine verwertbare Antwort. Fahrzeug- und Privatsphärenschutz laufen so über denselben Mechanismus, so der Claim.

Alle internetbasierten Funktionen der Tesla-App, etwa Navigationsziele, Updates, Supercharger-Planung oder der Fernzugriff über hunderte Kilometer, bleiben eigenen Angaben nach unverändert erhalten, da sie über Teslas Server laufen. „Beide Apps sind parallel nutzbar: TeslaKee übernimmt nur den Bluetooth-Nahbereich, in dem die Schwachstellen liegen, und dafür wird der offiziellen App lediglich die Berechtigung „Geräte in der Nähe“ entzogen, ihr Schlüssel bleibt im Fahrzeug hinterlegt“, liest man in der Aussendung.

Kern des Tesla-Schutzes

Den Kern des Tesla-Schutzes bildet ein Baukasten aus zehn konfigurierbaren Kontextregeln (Pflicht- oder optionale Regel mit Quorum), etwa Bewegungserkennung, GPS-Geofence, Abgleich mit dem letzten Parkplatz samt Mobilfunkzellen, bekanntes WLAN, Zeitfenster, Signalstärke, Schrittzähler, barometrische Höhe, Bildschirmstatus und erlaubte Funkzellen. Für Ausnahmen wie Fahrzeugübergabe oder Werkstattbesuch gibt es eine befristete manuelle Übersteuerung (15/30/60 Minuten), und ein Live-Policy-Test zeige jederzeit nachvollziehbar, welche Regel gerade greift.

„Die Verschlüsselung von Tesla ist in Ordnung — das Problem ist, dass das Telefon jede Frage beantwortet, ohne sich zu fragen, wer da eigentlich fragt. Ein Auto, das aufgeht, weil jemand mein Signal aus dem Supermarkt auf den Parkplatz verlängert hat, ist die eine Hälfte. Die andere Hälfte ist, dass ein zwanzig Euro teures Bastelgerät am Straßenrand mitschreiben kann, wann ich vorbeigegangen bin — dafür muss mein Auto nicht einmal in der Nähe sein“ präzisiert Herfurt. „Gegen den Diebstahl hilft UWB tatsächlich, aber nur bei neuen Fahrzeugen mit passendem Telefon. Gegen das Mitschreiben hilft es überhaupt nicht: Das Telefon antwortet dem gefälschten Beacon weiterhin, auch im nagelneuen Auto. Deshalb muss die Entscheidung, ob überhaupt geantwortet wird, auf das Telefon — und genau das macht TeslaKee.“

TeslaKee ist ab sofort für alle Interessierten öffentlich verfügbar — für Android ab Version 10, vorausgesetzt wird ein Gerät mit StrongBox-Sicherheitschip (verbreitet ab Baujahr 2019). Parallel läuft weiterhin ein internes Testprogramm, dessen Rückmeldungen in die Weiterentwicklung einfließen. Kompatibel sind Tesla Model 3, Y, S und X mit Bluetooth-PhoneKey. Für die einmalige Schlüsselanmeldung wird die NFC-Keycard des Fahrzeugs benötigt. An einer TeslaKee-App für das iPhone wird bereits gearbeitet.

Toll dass du so interessiert bist!
Hinterlasse uns bitte ein Feedback über den Button am linken Bildschirmrand.
Und klicke hier um die ganze Welt von der brutkasten zu entdecken.

brutkasten Newsletter

Aktuelle Nachrichten zu Startups, den neuesten Innovationen und politischen Entscheidungen zur Digitalisierung direkt in dein Postfach. Wähle aus unserer breiten Palette an Newslettern den passenden für dich.

Montag, Mittwoch und Freitag

AI Summaries

„We want to be a scaling platform for startups“

AI Kontextualisierung

Welche gesellschaftspolitischen Auswirkungen hat der Inhalt dieses Artikels?

Leider hat die AI für diese Frage in diesem Artikel keine Antwort …

„We want to be a scaling platform for startups“

AI Kontextualisierung

Welche wirtschaftlichen Auswirkungen hat der Inhalt dieses Artikels?

Leider hat die AI für diese Frage in diesem Artikel keine Antwort …

„We want to be a scaling platform for startups“

AI Kontextualisierung

Welche Relevanz hat der Inhalt dieses Artikels für mich als Innovationsmanager:in?

Leider hat die AI für diese Frage in diesem Artikel keine Antwort …

„We want to be a scaling platform for startups“

AI Kontextualisierung

Welche Relevanz hat der Inhalt dieses Artikels für mich als Investor:in?

Leider hat die AI für diese Frage in diesem Artikel keine Antwort …

„We want to be a scaling platform for startups“

AI Kontextualisierung

Welche Relevanz hat der Inhalt dieses Artikels für mich als Politiker:in?

Leider hat die AI für diese Frage in diesem Artikel keine Antwort …

„We want to be a scaling platform for startups“

AI Kontextualisierung

Was könnte das Bigger Picture von den Inhalten dieses Artikels sein?

Leider hat die AI für diese Frage in diesem Artikel keine Antwort …

„We want to be a scaling platform for startups“

AI Kontextualisierung

Wer sind die relevantesten Personen in diesem Artikel?

Leider hat die AI für diese Frage in diesem Artikel keine Antwort …

„We want to be a scaling platform for startups“

AI Kontextualisierung

Wer sind die relevantesten Organisationen in diesem Artikel?

Leider hat die AI für diese Frage in diesem Artikel keine Antwort …

„We want to be a scaling platform for startups“