KI wird zum Übersetzer zwischen IT-Betrieb und Security DORA zwingt IT-Betrieb und Security in Finanzunternehmen zusammen

Anbieter zum Thema

KPMG AG Wirtschaftsprüfungsgesellschaft

Fujitsu Technology Solutions GmbH

IT-Betrieb und Security in Finanzunternehmen sind organisatorisch längst zusammengewachsen, systemisch aber noch getrennt. DORA macht die Integration zur Pflicht und erhöht den Druck, Silos in der Si­cher­heits­ar­chi­tek­tur zu überwinden. KI kann dabei als intelligenter Übersetzer zwischen beiden Welten fungieren.

Die Woche startet für die Bank mit einer unangenehmen Überraschung: Ein zentraler Server für den Zahlungsverkehr meldet am Montagmorgen eine enorme CPU-Last. Es werden permanent Überweisungsaufträge gesendet. Das System droht unter der Anfragenflut zusammen­zu­bre­chen und abzustürzen. Was ist zu tun?

Lange Zeit gab es für die Antwort dieser Frage unterschiedliche Sichtweisen. Der IT-Betrieb identifiziert eine Gefahr für den Zahlungsverkehr: Stürzt das System ab, stehen die Über­wei­sung­en still. Es droht eine Downtime. Um sie abzuwenden, wollen die Administratoren den Server sofort neu starten und so den Dienst für die Kunden retten. Die Experten des Security Information and Event Management (SIEM) vermuten einen Hacker-Angriff, etwa in Form einer Ransomware-Attacke. Sie müssen das System sofort isolieren und den Arbeitsspeicher sichern. Nur so lassen sich digitale Spuren sichern und der Angriff entschlüsseln.

Cybersicherheits-Gesetze

Schritt für Schritt DORA-konform

Silos als Sicherheitsrisiko

Die Geschichte ist ein fiktives Beispiel. Aber sie verdeutlicht ein historisch gewachsenes Problem in vielen Banken und Finanzunternehmen. Dort arbeiteten IT-Betrieb und IT-Security lange Zeit getrennt voneinander. Die einen optimierten auf Performance und Stabilität, die anderen auf Risikominimierung und Compliance. Die einen schauten auf Auslastungskurven, die anderen auf Bedrohungsmuster. Das führte im Falle eines Angriffs zu Interessenkonflikten. Denn wer entscheidet im Ernstfall, was zu tun ist und welche Konsequenzen folgen daraus? Wenn der Betrieb den Neustart erzwingt, löscht er wertvolle Beweise. Friert die Security den Server stundenlang ein, blockiert sie das Kerngeschäft. Beides ist im digitalen Zeitalter nicht mehr praktikabel. Finanzunternehmen können es sich zunehmend weniger leisten, Betrieb und Security voneinander zu trennen.

Die gute Nachricht: Viele Unternehmen haben das bereits erkannt. In den meisten Instituten arbeiten IT-Betrieb und -Security schon zusammen, sind organisatorisch verwachsen. Für die Systeme gilt das jedoch häufig noch nicht. Zwar verschwindet die Trennung in modernen Cloud-Strukturen zunehmend. Beispielsweise durch Ansätze wie DevSecOps (Development, Security, Operations), wo Sicherheitsaspekte direkt bei der Softwareentwicklung mitgedacht werden. Doch gerade in der Finanzwelt können alte Kernbankensysteme den Fortschritt verlangsamen, weil sie mit den modernen Lösungen oft nicht kompatibel sind. Zudem sind die Systeme in der Regel isoliert gewachsen – und die Sicherheitsarchitektur gleich mit. Eine hohe Komplexität ist die Folge. Das beweist auch eine aktuelle Studie von IDC und KPMG. Darin sagt jeder dritte Befragte (37 %), siloartige, nicht integrierte Sicherheitstools seien eine Hürde, um die Ursache von Sicherheitsvorfällen zu ermitteln.

Cloud-Sicherheit im Finanzsektor

DORA-Compliance in der Cloud: Was Finanzunternehmen beachten müssen

Druck durch Hacker und den Gesetzgeber

Das ist gerade deshalb relevant, weil Cyber-Angriffe zunehmend schwerer zu erkennen sind. Hacker verändern ihre Strategie. Ransomware-Attacken etwa gehen mittlerweile deutlich leiser, schneller und dank KI automatisierter vonstatten. Während Angreifer früher ganze Systeme verschlüsselt haben, schleichen sie sich heute eher unbemerkt ein, saugen Daten ab und manipulieren Informationen. Der schnellste Angriff der jüngsten Vergangenheit dauerte nur wenige Minuten. Um solche Eingriffe zu erkennen, muss die Security sehr tief in die Monitoring-Tools des Betriebs eingebunden sein. Doch dafür braucht es nicht nur Zugriffs­rechte, sondern auch die Automatisierung und Anbindungen an die wichtigen Applikationen und Sicherheitssysteme. Nur wer die Telemetriedaten des Alltags mit den Sicherheits­er­eig­nis­sen verknüpft, erkennt Anomalien rechtzeitig.

Der Gesetzgeber fordert mittlerweile genau das. So steigt zusätzlich zur Bedrohung auch der regulatorische Druck auf die Unternehmen. Eine Ursache dafür ist der Digital Operational Resilience Act (DORA), der nun seit etwas mehr als einem Jahr in Kraft ist. Durch ihn ist IT-Security keine Checkliste mehr, sondern fester Bestandteil der operativen Widerstandsfähigkeit – und zwar auf Basis der Bedrohungen eines Unternehmens. Die Aufsicht legt verstärkt Wert darauf, dass Unternehmen wesentliche Bedrohungen kennen und robuste Wiederanlauf­kon­zep­te vorhalten. Das bringt IT-Betrieb und IT-Security zusammen. Es braucht gemeinsame Wiederanlaufpläne, die sicherstellen, dass der Betrieb schnell wieder läuft.

Sicherheitsbollwerk oder Overkill?

DORA – Countdown für Finanzinstitute

KI als Übersetzer

Aber wie werden Unternehmen dieser Situation gerecht – der wachsenden Gefahr aus dem Netz, der immer strengeren Regulierung und der historisch gewachsenen Fragmentierung der Sicherheitslandschaft? Hier kommt KI ins Spiel. Sie kann die Rolle eines intelligenten Über­setzers übernehmen, der permanent zwischen Betrieb und Sicherheit vermittelt. KI-Systeme können Datenströme aus beiden Welten in Echtzeit korrelieren, Muster erkennen und beispielsweise Vorschläge für neue Schwellwerte eines Security Operation Centers (SOC) oder auch Use Cases definieren. Sie verknüpfen Sicherheitsvorfälle automatisch mit den Logs des IT-Betriebs. Das beschleunigt die Cyber-Abwehr enorm. Erkennt die KI beispielsweise einen verdächtigen Zugriff, kann sie diesen sofort blockieren, ohne das gesamte System lahmzulegen. Auf diese Weise schafft sie eine „Single Source of Truth“, die für beide Teams eine allgemeingültige Entscheidungsgrundlage bildet.

Um sie in den Arbeitsalltag einer Bank zu integrieren, kann ein agnostisches Risiko-Dashboard mit den Kern-KPIs ein guter Hebel sein. Wie in einer Art Cockpit würden alle relevanten Daten an einer Stelle zusammenfließen: Bedrohungslagen, Schutzbedarfsanalysen der einzelnen Applikationen, Informationen aus dem Patch-Management. Ein Chief Information Security Officer (CISO) oder ein Chief Information Officer (CIO) sieht dort sekundengenau, wo die größten Gefahren lauern, und erfährt in Echtzeit, ob kritische Applikationen gerade bedroht sind oder ob wichtige Sicherheitsupdates fehlen. Auch Simulationen für Bedrohungsszenarien können über KI dargestellt werden. Zudem können die wichtigsten Handlungsfelder für zielgerichtete Investitionen und Projekte erkannt werden.

Interview zu DORA und modellbasierten SIEM Use Cases

Wie DORA die Cyberabwehr von Finanzunternehmen revolutioniert

Identifizieren, Priorisieren, Systematisieren

Damit ein solches Dashboard funktioniert, sollte es allerdings systematisch aufgebaut werden. Denn was nutzt es dem CISO, wenn im Cockpit Aktionen auflaufen, die kritische Applikationen gar nicht betreffen? Deshalb ist es wichtig, zunächst die Top-Bedrohungen zu identifizieren und die Sicherheitslandschaft auch dahingehend auszurichten. Das bedeutet, die Anwendungen so zu priorisieren, dass sie den Schutzbedarf realistisch abbilden. Nach der Priorisierung ist das Zusammenspiel das A und O. IT-Betrieb und -Security müssen nicht nur organisatorisch, sondern auch systemisch zusammenwachsen – und automatisiert werden. Dafür braucht es eine Sicherheitsarchitektur, die Systeme vernetzt und Prozesse synchronisiert. Gemeinsame Runbooks im Sinne von Incidence und Response dürfen nicht nur in der Schublade liegen, sie müssen als automatisierte Abläufe in den Systemen hinterlegt sein.

Das hätte auch der Bank im Eingangsbeispiel geholfen. In einer vernetzten Welt sieht das Team schließlich kein isoliertes Lastproblem, sondern das Dashboard liefert sofort den Kontext: Gezielter Angriff auf unser Zahlungsmodul, KI hat die Beweissicherung isoliert gestartet und die Last auf die Backup-Systeme geleitet. Die Security erhält ihre forensischen Daten, der Betrieb bleibt stabil – und die Woche startet entspannt.

Über den Autor: Christian Nern ist Partner und Head of Cyber Security und Tech Regulation Solution bei KPMG im Bereich Financial Services in München. Vor seiner Tätigkeit bei KPMG hat der Diplom-Kaufmann 25 Jahre lang in exponierten Leadership-Positionen verschiedener Bereiche in der IT-Industrie gearbeitet.

DORA: Compliance als Erfolgsfaktor im Finanzsektor

Monitoring und Incident Management in der Cloud

(ID:50865738)