Daten schaffen neue Transparenz im Finanz-Risikomanagement Wie Finanzinstitute Risiken erkennen und datengetrieben entscheiden

Viele Banken und Finanzdienstleister kämpfen mit fragmentierten Datenquellen und ineffizientem Risikomanagement. Echtzeitnahe Analysen schaffen hier Abhilfe: Sie zeigen, wo Risiken entstehen, welche Maßnahmen wirken und wie sich Ressourcen gezielt einsetzen lassen – ohne große IT-Transformation.

Für gute Entscheidungen braucht es belastbare Daten – besonders, wenn Ressourcen knapp sind. In wirtschaftlich angespannten Zeiten stehen Finanzinstitute unter Druck: Nichtstun in einer Welt zunehmender IT-Störungen und wachsender Bedrohungen aus dem Cyberraum ist keine Option. In „schwarze Löcher“ zu investieren, nur um regulatorisch konforme Sicherheitsmaßnahmen zu ergreifen, auch nicht.

Doch viele Financial-Service-Organisationen machen genau das: Sie investieren in Tools, Prozesse und Reports – ohne zu wissen, welchen Nutzen sie ihnen bringen und ob sich das Investment wirklich gelohnt hat. Was fehlt, ist eine belastbare Datenbasis, die zeigt, wo Risiken wirklich entstehen, welche Maßnahmen greifen und wo Ressourcen verschwendet werden. Ob in der Luftfahrt zur Erkennung von Gewitterzellen, in der Intensivmedizin zur Überwachung kritischer Vitalwerte oder eben im Finanzwesen zur Identifikation von Cyberrisiken – überall dort, wo Risiken frühzeitig erkannt werden müssen, können Echtzeitdaten entscheidend sein.

Bauchgefühl und IT-Risiko sind eine gefährliche Kombination

Bessere Risikoeinschätzung durch semi-quantitatives Risikomanagement

Proaktives Handeln statt reaktiver Analyse

Im Risikomanagement vieler Finanzinstitute dominiert jedoch noch immer der Blick in die Vergangenheit: Statische Bedrohungskataloge, manuelle Reports und fragmentierte Datenquellen erschweren die rechtzeitige Erkennung von Risiken. Moderne Ansätze setzen daher auf Echtzeitdaten aus dem eigenen Unternehmen: Sie schaffen ein dynamisches Lagebild, das Risiken sichtbar macht, bevor sie eskalieren – und helfen, Investitionen gezielt zu priorisieren, Ressourcen effizient einzusetzen und Maßnahmen auf ihre tatsächliche Wirksamkeit zu überprüfen. Der Digital Operational Resilience Act (DORA) der EU unterstreicht diesen Bedarf: Finanzinstitute sind verpflichtet, IKT-Risiken kontinuierlich zu identifizieren, zu bewerten, zu steuern und zu überwachen – nicht punktuell, sondern als integralen Bestandteil ihrer Geschäftsprozesse. Doch regulatorische Anforderungen allein sind kein Selbstzweck. Entscheidend ist, dass sie mit wirtschaftlichem Mehrwert umgesetzt werden.

In vielen Organisationen werden IKT-Risiken noch immer dezentral, zeitpunktbezogen und in Silos erfasst. Unterschiedliche Managementsysteme liefern divergente Risikobewertungen – was die Vergleichbarkeit erschwert, die Reaktionsgeschwindigkeit senkt und die Entscheidungsfindung behindert. Der Informationsfluss von der 1st zur 2nd Line erfolgt häufig manuell – wodurch relevante Informationen nicht immer rechtzeitig dort ankommen, wo sie gebraucht werden. Mögliche Folgen: Fachbereiche sind überlastet, Prozesse ineffizient und Investitionen schwer zu priorisieren. Sicherheitsmaßnahmen werden umgesetzt, ohne dass klar ist, ob sie tatsächlich wirken – oder lediglich Aufwand und Kosten verursachen.

Komplex aber notwendig

Auswirkungen von DORA auf euro­päische Finanzinstitute

Der Schlüssel kann in einem ganzheitlichen, datenbasierten Ansatz liegen: unternehmensweit risikorelevante Daten identifizieren, intelligent verknüpfen und daraus verwertbare Erkenntnisse ableiten. Dafür werden Daten aus Prozessen der 1st und 2nd Line of Defense konsolidiert – etwa aus dem Informationssicherheits-, Incident-, Access- und Patch-Management. Anschließend gilt es, diese Daten zu interpretieren und individuelle Risikoindikatoren auf die unternehmensspezifischen Strukturen anzuwenden. Zum Beispiel: Wenn Resilienztests keine Erkenntnisse ergeben, gleichzeitig aber vermehrt Security Incidents im Zusammenhang mit dem betreffenden Asset auftreten – sind die Testmethoden möglicherweise nicht ausreichend aussagekräftig? Wenn umfangreiche Soll-Maßnahmen technisch korrekt implementiert wurden und dennoch wiederkehrende Security Incidents auftreten – stellt sich die Frage: Ist die Investition in diese Maßnahmen gerechtfertigt? Liegen blinde Flecken im Kontrollsystem vor? Workflowbasierte Tools können relevante Daten on demand bündeln, in Echtzeit analysieren und KI-gestützt bei der Ableitung fundierter Handlungsempfehlungen unterstützen.

Einfache Umsetzung

Was zunächst nach einer klassischen Datenkrake sowie nach einem weiteren ressourcenintensiven Transformationsprojekt klingt, kann sich in der Praxis modular und in kurzer Zeit – abhängig von den individuellen Use Cases – umsetzen lassen. Zunächst werden ausgewählte risikorelevante Prozesse angebunden. Die darauf angewendeten Use Cases gleichen der Installation von Apps auf ihrem bestehenden Smartphone, die dann im Baukastenprinzip schrittweise erweitert werden können. Jede App liefert dabei ihre eigenen risikorelevanten Erkenntnisse.

Vom Alarm zur Aktion

So gewinnen CISOs mit dynamischem Risk-Management die Oberhand

Die Umsetzung ist auf Basis bestehender IT-Infrastrukturen möglich – ob On-Premise, Single- oder Multi-Cloud – und unabhängig vom Kooperationspartner. Zusätzliche Hardware oder dedizierte Betriebsteams sind nicht erforderlich. Im Gegenteil: Die Vereinheitlichung und Homogenisierung der Unternehmensdaten ersetzt manuelle Erfassung, Auswertung und Weiterleitung von Informationen zwischen 1st und 2nd Line sowie an den Vorstand. Das spart Zeit, reduziert Fehlerquellen und entlastet personelle Ressourcen.

Auch technisch ist der Einstieg in der Regel unkompliziert: Gängige Visualisierungstools reichen für eine Grundstruktur meist aus. Viele dieser Tools verfügen bereits über integrierte KI-Funktionalitäten, die als ergänzendes Add-On bei der Generierung von Erkenntnissen zusätzlich unterstützen können. Darüber hinaus sind auch Anbindungen an bestehende oder neue Datenbankstrukturen wie Data Lakes oder Data Warehouses möglich. Nach Abschluss der notwendigen sicherheitsrelevanten Vorgaben werden so Echtdaten angebunden und gehen direkt live.

Finanzsektor im Fokus der Hacker

Cyberangriffe auf Banken nehmen zu und moderne Abwehr ist gefragt

Eine Frage der Kultur

Die Implementierung einer Echtzeit-Datenstruktur ist im Idealfall nicht nur ein Wandel der Technologie, sondern auch der Kultur: Von der Klassifizierung über Priorisierung im Incident Management bis zum Reporting – jede Abteilung, die Daten bereitstellt, kann diese auch nutzen und davon profitieren.

Wer Risiken besser versteht, kann gezielter handeln – und wirtschaftlich sinnvoll entscheiden. Echtzeitdaten schaffen die Grundlage für ein Risikomanagement, das nicht nur schützt, sondern auch steuert: transparent, effizient und zukunftsfähig.

Die Autoren

Fabio Morreale ist Senior Manager bei KPMG im Bereich Financial Services. Seit mehr als sieben Jahren fokussiert er sich auf die Beratung von Banken und Versicherungen zum Thema Informationssicherheit (ISM) und Cyber Risk Management.

Antonia Reich ist Assistant Managerin bei KPMG im Bereich Financial Services. Die studierte Wirtschaftsinformatikerin begleitet Kunden aus dem Finanzsektor bei der Umsetzung von IT-Security- und IT-Compliance-Projekten.

(ID:50614055)