Cloud-Sicherheit im Finanzsektor DORA-Compliance in der Cloud: Was Finanzunternehmen beachten müssen

Anbieter zum Thema

Dynatrace GmbH

Fsas Technologies GmbH

SEPPmail - Deutschland GmbH

FTAPI Software GmbH

Mit der DORA-Verordnung steigen die Anforderungen an Cloud-Sicherheit und Resilienz im Finanzsektor. Finanzunternehmen müssen Prozesse anpassen, Risiken in Lieferketten beherrschen und Sicherheit mit DevSecOps von Anfang an integrieren.

Cloud-Infrastrukturen spielen für Finanzunternehmen eine immer größere Rolle. Mit der DORA-Verordnung steigen die Anforderungen an ihre Sicherheit und Resilienz deutlich. Unternehmen müssen deshalb ihre Cloud-Prozesse DORA-konform gestalten.

DORA, der Digital Operational Resilience Act der EU, regelt die digitale Widerstandsfähigkeit von EU-Finanzunternehmen und ihren Technologiepartnern. Er verpflichtet Organisationen dazu, ihre digitale Resilienz zu stärken und umfassende Sicherheitsstandards einzuführen – auch für Cloud-Infrastrukturen.

Cloud-Technologien wie Microservices, Container, hybride Infrastrukturen und verteilte Plattformen bewirken in Finanzunternehmen eine hohe Flexibilität. Sie haben aber auch Herausforderungen. Denn DORA erfordert eine umfassende Neubewertung der genutzten Technologien sowie der organisatorischen Verantwortlichkeiten.

Komplex aber notwendig

Auswirkungen von DORA auf euro­päische Finanzinstitute

Angriffsflächen in Cloud-nativen Architekturen

Cloud-native Architekturen bestehen gewöhnlich aus unabhängigen Komponenten, die über APIs kommunizieren. Jede Komponente ist deshalb ein potenzielles Einfallstor für Cyberangriffe. Im Regelfall wird diese Architektur über Kubernetes oder ein ähnliches Orchestrierungs-Tool gesteuert, das ereignis- und nachrichtenbasiert arbeitet. Unternehmen müssen alle Datenströme zwischen den Komponenten absichern und das Systemverhalten lückenlos überwachen.

Grundlegende Maßnahmen sind eine sorgfältige Rollentrennung, die automatisierte Durchsetzung von Policies und die permanente Kontrolle der Rechtevergabe. So weit sind diese Maßnahmen auch in traditionellen On-Premises-Infrastrukturen nicht wesentlich anders. Cloud-native Plattformen hingegen besitzen einige Besonderheiten: Ihr zentrales Element ist die Containerisierung der Cloud-Anwendungen. Diese Container werden dynamisch bereitgestellt und Cybersecurity ist von Anfang an in die Entwicklung integriert.

Typische Verfahren hierfür sind automatisierte Schwachstellen-Scans, die Validierung von Konfigurationen und die Überprüfung der verwendeten Module und Bibliotheken. Unternehmen müssen durchgängige Richtlinien implementieren, die sowohl Entwicklungs- als auch die Betriebsprozesse absichern. Deshalb ist es für Finanzunternehmen so wichtig, spezifische Governance-Modelle einzuführen, um die Verlässlichkeit von Cloud-Prozessen zu stärken.

Interview zu DORA und modellbasierten SIEM Use Cases

Wie DORA die Cyberabwehr von Finanzunternehmen revolutioniert

Risikomanagement und digitale Lieferketten

Letztlich geht es um Risikomanagement. Es muss DORA-konform sein und verlangt die kontinuierliche Erfassung von Ressourcen und Abhängigkeiten. Allerdings haben Cloud-native Umgebungen eine Besonderheit: Sie verändern sich wesentlich schneller als traditionelle On-Premises-Umgebungen. Die IT-Organisationen sind nur mit automatisierten Tools in der Lage, den Überblick zu behalten.

In diesem Kontext hat das Schwachstellenmanagement eine besondere Bedeutung. Denn die Unternehmen müssen Sicherheitslücken in Containern und Komponenten frühzeitig erkennen und sie danach gezielt beheben. Dafür sind zahlreiche Maßnahmen notwendig, beispielsweise Threat-Intelligence-Feeds zur Information über Sicherheitslücken und automatisierte Bewertungssysteme, um sie richtig zu priorisieren.

Die dritte Herausforderung ist die digitale Lieferkette. Üblicherweise enthält der Software-Katalog von Cloud-basierten IT-Landschaften viele verschiedene Anwendungen mit ganz unterschiedlichen Anbietern oder Herstellern. Unternehmen sollten deshalb Software-Stücklisten führen und die Sicherheitsstandards der jeweiligen Drittanbieter dokumentieren. Ein wichtiger Aspekt sind hier die vertraglichen Vereinbarungen, also die Service-Levels. Diese Definition von Mindestanforderungen hilft, die Kontrolle über komplexe Liefernetzwerke zu behalten.

DORA verschärft Security-Anforderungen in der Finanzwelt

Geschäftskommunikation im Finanzsektor wirksam absichern

Security by Design mit DevSecOps

Grundlage für die digitale Resilienz ist ein effektives Incident-Management. Finanzunternehmen benötigen Werkzeuge und Observability-Plattformen, mit denen sie Sicherheitsprobleme in Echtzeit erkennen, analysieren und melden. Ergänzend sind zentrale Dashboards hilfreich, die Kennzahlen visualisieren und Frühwarnsysteme für Sicherheitsvorfälle integrieren.

Das wichtigste Hilfsmittel zur Umsetzung dieser Anforderungen ist der DevSecOps-Ansatz. Das ist ein Betriebskonzept, das IT-Security („Sec“) fest in die Prozesse der Softwareentwicklung („Dev“) und des IT-Betriebs („Ops“) integriert. Sicherheit ist dadurch kein nachträglich oder isoliert zu behandelndes Thema. Stattdessen ist es durchgängig vom ersten Planungsschritt bis zum laufenden Betrieb zu berücksichtigen.

Sicherheitsprüfungen wie beispielsweise Code-Analysen, Schwachstellenscans, Richtlinienprüfungen und Compliance-Kontrollen finden automatisiert und regelmäßig statt. IT-Teams übernehmen jeweils die Verantwortung für die Security in ihren eigenen Aufgabenbereichen. DevSecOps befähigt sie dazu, Sicherheitsfragen eigenverantwortlich anzugehen und technische Lösungen in Eigenregie umzusetzen.

Dazu gehören auch die Reaktionen auf Angriffe, die ebenfalls automatisiert sein sollten. Dabei gilt das Vorsorgeprinzip: Regelmäßige Tests der Wiederanlaufpläne sichern im Krisenfall die Lauffähigkeit der Prozesse. Denn viele Probleme entstehen nicht durch den eigentlichen Cyberangriff, sondern durch fehlgeschlagene Versuche, den IT-Betrieb wieder hochzufahren.

Cybersicherheits-Gesetze

Schritt für Schritt DORA-konform

Regelkonformität als strategischer Vorteil

Daran zeigt sich, dass DORA-Compliance keine einfache Aufgabe ist. Auch die Cloud-Anbieter und IKT-Dienstleister der Finanzunternehmen sind hier gefragt. Sie tragen eine Mitverantwortung für digitale Resilienz und die Einhaltung von Sicherheitsstandards. Dafür müssen sie nachweisen, dass sie über robuste interne Kontrollsysteme und zertifizierte Sicherheitsprozesse verfügen. Ein Beispiel dafür ist eine Zertifizierung nach ISO 27001 sowie weiterer Standards, wie etwa ISO 27017 für Informationssicherheit in Cloud-Diensten.

Trotz aller Komplexität sollten Finanzunternehmen DORA nicht als Belastung betrachten. Die Verordnung hat positive Folgen für die Strategie der Unternehmen: Sie können bestehende Prozesse proaktiv überdenken und die eigene digitale Widerstandsfähigkeit gezielt stärken. DORA gibt Unternehmen zudem die Möglichkeit, sich systematisch mit technischen Schulden und Altlasten auseinanderzusetzen.

DORA-Compliance erhöht das Vertrauen von Kunden, Aufsichtsbehörden und Investoren. So entsteht eine Basis für die Weiterentwicklung des Unternehmens und seine nachhaltige Positionierung im Finanzmarkt.

Über den Autor: Roman Spitzbart ist VP EMEA Solutions Engineering bei Dynatrace.

(ID:50532082)