Sichere Daten und Geschäftsprozesse in der Cloud Finanzwelt in der Public Cloud: Bermudadreieck oder sicherer Hafen?

Anbieter zum Thema

sysob IT-Distribution GmbH & Co. KG

Fsas Technologies GmbH

Die Finanzwelt erobert die Cloud. Laut Cloud-Monitor der KPMG AG Wirtschaftsprüfungsgesellschaft verfolgen bereits fast zwei Drittel der Unternehmen eine Cloud-First-Strategie, setzen also bei Neuentwicklungen zuerst auf Public Cloud Services. Das bringt ihnen viele Vorteile, etwa in Sachen Effizienz, Kosten oder Skalierbarkeit.

Doch die zunehmende Digitalisierung der Branche birgt auch Risiken: Sie fällt zusammen mit einer stets größer werdenden Bedrohungslage durch Cyber-Attacken. Ist es deshalb ratsam, immer mehr Geschäftsprozesse auf den Servern der Hyperscaler abzuwickeln?

Die Finanzwirtschaft ist ein Ozean. Es gibt riesige Tanker und Frachtschiffe – die Großbanken, Sparkassen oder Genossenschaftsbanken. Und es gibt kleine Schnellboote. Dazu gehören etwa moderne Direktbanken oder innovative FinTechs und InsureTechs. Die großen Frachtschiffe verfügen über deutlich mehr Ladungskapazitäten. Sie schiffen also den Großteil des Kundengeschäfts über die Weltmeere. Allerdings sind sie durch ihre Größe auch schwerfällig, während sich die Schnellboote sehr viel kleiner, wendiger und anpassungsfähiger präsentieren.

Mit Kursänderungen tun sich die Größten der Branche deshalb schwerer. Die Digitalisierung ist ein Beispiel dafür. Besonders vertrauliche Daten, komplexe Prozesse oder regulatorischer Druck sind nur drei einfache Erklärungen dafür, warum sich die Finanzwirtschaft mit der digitalen Transformation eher zurückgehalten hat. Mit steigendem Wettbewerbsdruck aber treiben die Unternehmen den Wandel voran, entwickeln neue und digitalisierte Geschäftsmodelle und setzen dabei auch stärker auf die Nutzung von Public-Cloud-Diensten. Laut der Lünendonk-Studie 2023 „Der Markt für IT-Dienstleistungen in Deutschland“ wollen in diesem Jahr 74 Prozent der Finanzdienstleister ihre Anwendungen und die IT-Infrastruktur in eine Cloud-Architektur umwandeln. 84 Prozent planen, ihre Budgets für die Cloud-Transformation zu erhöhen.

Piraten im Cyberspace

Die Finanzwirtschaft wird also zunehmend digital. Unternehmen werden in absehbarerer Zeit einen Großteil ihrer IT-Ressourcen aus der Cloud beziehen. Davon versprechen sie sich höhere Flexibilität und Skalierbarkeit, mehr Dateneffizienz sowie Kostenersparnisse durch eine optimierte IT-Infrastruktur. Außerdem bietet die Cloud Zugang zu innovativen Technologien wie künstlicher Intelligenz (KI) oder Automatisierungslösungen.

Aber es gibt auch ein Problem: Wie auf den Weltmeeren durch die Piraterie wird auch im Cyberspace die Gefahr durch Kriminelle auf dem „Ozean Finanzwirtschaft“ immer größer. Laut Bundesamt für Sicherheit in der Informationstechnik (BSI) ist sie sogar so groß wie nie zuvor. In seinem Jahresbericht zählt das Amt rund 250.000 neue Varianten von Schadprogrammen sowie 21.000 infizierte Systeme. Hinzu kommen im Schnitt 70 neue Sicherheitslücken in Software-Produkten – jeden Tag. Das sind 24 Prozent mehr als im Vorjahr. Das klingt eher nach Bermudadreieck als nach sicherem Hafen.

Je weiter sich die Finanzwelt digitalisiert, desto anfälliger wird sie für Attacken aus dem Netz. Vor diesem Hintergrund stellt sich die Frage, wie sinnvoll es ist, Geschäftsprozesse und damit sensible Daten auf die Server großer, international agierender Cloud-Provider auszulagern, statt sie on-premises über die eigene Infrastruktur zu hosten? Ist die Public Cloud wirklich sicherer als die On-Premises-Lösung im Keller?

Vorsprung durch Technik

Sie hat zumindest das Potenzial, sicherer zu sein. Schließlich haben die Hyperscaler im Rahmen ihrer Entwicklungen bereits Milliarden in die Sicherheit ihrer Systeme investiert. Zu diesem Zweck haben sie nicht nur klassische, aber hochentwickelte Bausteine wie Firewalls oder Verschlüsselungssysteme angeschafft. Mit Hilfe vielschichtiger Algorithmen sind Systeme für die Anomalieerkennung entstanden, die Angriffe fast unmittelbar erkennen. Dabei ist auch die Internationalität großer Provider ein Benefit. Wo auch immer eine neue Schwachstelle oder ein Cyberangriff auftaucht, werden sie es aufnehmen und darauf reagieren. Sowohl das Investitionsvolumen als auch der Wissensrückstand ist für Finanzunternehmen nicht aufzuholen.

Gleiches gilt für die Erfahrungen und Benchmarks, die große Cloud-Anbieter bereits gemacht oder gesetzt haben. Die drei Hyperscaler Microsoft, AWS und Google wickeln einen großen Anteil am weltweiten Internetverkehr ab. Das spricht für die Reputation, aber auch für die hohen Sicherheitsansprüche, denen der Provider nachkommen muss. Um allerdings ein derartiges Datenvolumen überhaupt bereitstellen zu können, spielt die Infrastruktur eine entscheidende Rolle. Hyperscaler verfügen über die State-of-the-art-Hardware und orchestrieren diese in effizienten und erprobten Rechenzentrumsdesign. Sie zählen zu den größten Rechenzentrumsanbietern der Welt. Zusätzlich bieten die meisten ein Basis-Set hochintegrierter Security-Tools, wie etwa DDoS Protection (Distributet Denial of Service) und eine zentrale Identitätsverwaltung – und das in der Regel kostenlos. Alles das müssten Finanzunternehmen eigens aufbauen und orchestrieren.

Mehr Schein als sein

Und dennoch geht mit der Strategie, geheime Daten in die Public Cloud und damit auf fremde Server auszulagern, ein gewisses Unbehagen einher. Die gewohnte Serverumgebung im Keller hingegen vermittelt ein Gefühl von Sicherheit. Deshalb wähnen Banken die Arbeit mit der eigenen Infrastruktur oft sicherer als in der Cloud. Es ist eine trügerische Sicherheit, wie ein Blick auf die Zahlen zeigt. Laut Cloud-Monitor von KPMG werden eigene Server von Finanzunternehmen viermal so häufig Ziel von Cyberattacken wie die Public Cloud: So wurden 26 Prozent der On-Premises-Lösungen im vergangenen Jahr zur Zielscheibe von Angriffen, bei Public-Cloud-Infrastrukturen waren dagegen gerade einmal sechs Prozent betroffen. Warum ist das so?

Das ist eine berichtigte Frage, denn auf den ersten Blick sind die technischen Voraussetzungen für sämtliche Schutzmechanismen erst einmal dieselben. Eine Firewall ist eine Firewall – egal ob sie die Server eines Cloud-Providers oder die IT-Infrastruktur eines Finanzunternehmens schützt. Geht es allerdings darum, diese Sicherheitsmechanismen zu aktualisieren, effizient zu nutzen und umfangreich aufrecht zu erhalten, bietet die Cloud klare Vorteile.

Diese beginnen bereits bei der Implementierung: Cloud-Anbieter stellen sogenannte CNAPP-Tools (Cloud Native Application Protection Platform) zur Verfügung. Das sind API-basierte Instrumente, die sich in die eigene, bestehende IT-Umgebung der Unternehmen integrieren lassen. Damit einher gehen zahlreiche Vorteile im Bereich Administration. Während zum Beispiel auf den alten Servern der eigenen Infrastruktur vom Schwachstellenmanagement über Patching bis zur Datenbank für Log-in-Informationen für jede Funktion eigene Tools im Einsatz waren, bündeln die CNAPP-Tools alle Informationen in einer Lösung. Zusätzlich wird über den API-basierten Ansatz immer eine vollständige Anbindung der Cloud-Umgebung sichergestellt. So lassen sich Fehlkonfigurationen und Schwachstellen frühzeitig und risikoorientiert erkennen und priorisiert abarbeiten.

Automatisierung lautet ohnehin das Stichwort in der Cloud-Welt. Herkömmliche On-Premises-Modelle sind oft auf lokalen Servern historisch gewachsen – viele Datenbanken wurden individuell zusammengesetzt. Das gilt auch für die Sicherheitsmechanismen. Findet sich irgendwo eine Schwachstelle, muss sie manuell wieder geschlossen werden. Taucht diese Schwachstelle an mehreren Stellen im System auf, wird dieser Schritt erneut wiederholt.

In der Public Cloud dagegen können sich Finanzunternehmen an vorgefertigten Systemen bedienen, die sich beliebig zusammensetzen lassen. Diese sind nicht nur für sich selbst abgesichert, sondern auch im Verbund gegen Attacken geschützt. Sollte sich dennoch eine Schwachstelle zeigen, erfolgt die Behebung in vielen Services durch den Provider und häufig, bevor die Schwachstelle öffentlich bekannt wird. Nicht nur an einer, sondern automatisiert an allen Stellen, an denen der Fehler auftaucht.

Sicherheit auf der grünen Wiese

Ein insbesondere für die Finanzwirtschaft wichtiger Bereich ist die Regulatorik. Schließlich sind die Daten, mit denen hier gearbeitet wird, besonders vertraulich – und die regulatorischen Vorschriften daher besonders hoch. Häufig misstrauen die Institute den Hyperscalern und bauen ihre Infrastrukturen auch deshalb selbst auf, weil sie sicherstellen wollen, dass sie die gesetzlichen Vorgaben erfüllen. Mittlerweile ist dieses Misstrauen jedoch unbegründet. Durch die Anforderungen des europäischen Markts haben große Cloud-Anbieter ihr Portfolio in den letzten Jahren an die umfassende Regulatorik angepasst. So können sich Banken heute darauf verlassen, dass deren Sicherheitsmaßnahmen aktuellen Standards wie NIS-Richtlinien (The Network and Information Security Directive) oder künftig bestimmt auch der DORA (Digital Operational Resilience Act) entsprechen.

Die Daten und Geschäftsprozesse sind in der Cloud also nicht nur sicherer, transparent und regelkonform ausgelagert. Dank Skalierungsmöglichkeiten und Automatisierung arbeiten die Systeme auf den Servern der Hyperscaler auch effizienter als das On-Premises-Modell im Keller. Das wiederum schafft personelle und zeitliche Ressourcen, die dann an anderer Stelle eingesetzt werden können. Zum Beispiel in der Entwicklung neuer und digitalisierter Geschäftsmodelle. Auch hier haben die kleinen Schnellboote gegenüber den großen Frachtern einen Geschwindigkeitsvorteil. Viele FinTechs oder Direktbanken haben ihre Produkte von Anfang an in der Cloud entwickelt und müssen gar nicht erst dorthin umziehen. Großbanken, Sparkassen oder auch Versicherungen dagegen können einen Teil ihres Portfolios gar nicht umziehen, weil es zu tief verwurzelt ist.

Deshalb sind diese Institute gut beraten, neue Prozesse auch in der neuen Cloud-Umgebung entwickeln. Hier können sie auf der grünen Wiese anfangen und Sicherheitsaspekte mitdenken – Security by Design. Besonders erfolgreich sind Unternehmen in der Cloud, wenn sie die neuen Möglichkeiten mit der richtigen Methodik koppeln: Laut Cloud-Monitor konnten 61 Prozent der Unternehmen, die Dev(Sec)Ops-Methoden einsetzen, die Sicherheit steigern. Wenn es auf See stürmisch wird: Die Cloud ist ein sicherer Hafen – sowohl für Schnellboote als auch für Frachtschiffe.

(ID:50000339)