Helfen „Software-Stücklisten“ aus der Komplexitätsfalle? Cloud-Lösungen in der Finanzbranche – mit mehr Transparenz zu mehr Sicherheit

Anbieter zum Thema

Tanium GmbH

netfiles GmbH

Insider Research

Nutanix Germany GmbH

Cloud-basierte Lösungen bieten ein extrem hohes Maß an Skalierbarkeit, an Effektivität und Effizienz. Nicht ohne Grund setzen immer mehr Firmen auf SaaS-, PaaS- und IaaS-Angebote um ihre Daten zu speichern und zu verarbeiten. Auch in der Finanzbranche kommen cloud-basierte Lösungen immer häufiger zur Anwendung.

Doch sehen sich die IT-Abteilungen von Finanzunternehmen in wachsendem Maße mit einem Problem konfrontiert: Im immer komplexer werdenden Geflecht ihrer Cloud-Infrastrukturen drohen sie die Übersicht über die Daten und Datenströme ihrer Unternehmen zu verlieren. Vielerorts mangelt es an der erforderlichen Transparenz.

Um international konkurrenzfähig zu bleiben, setzen immer mehr deutsche Unternehmen auf cloud-basierte Lösungen. Cloud-basierte Anwendungen bieten mehr Skalierbarkeit als On-Premises-Lösungen, können effektiver und effizienter betrieben werden und halten einen stetig wachsenden Pool an Möglichkeiten bereit, Daten gewinnbringend weiter zu verwerten.

Auch die deutsche Finanzbranche, Banken wie Fintechs, profitieren erheblich von der Cloud. 78 Prozent der deutschen Banken, so die PWC-Studie „Cloud Computing im Bankensektor“, nehmen bereits Cloud-Dienste in Anspruch. Vor allem im Customer Relationship Management (65 Prozent), bei den Zahlungsdienstleistungen (57 Prozent) sowie bei den regulatorischen und Kontrolldienstleistungen (56 Prozent) kommen Cloud-basierte Lösungen mittlerweile zum Einsatz.

Doch sehen sich die IT-Abteilungen der deutschen Banken und Fintechs hierbei in wachsendem Maße mit einem Problem konfrontiert: Umso größer die Migration in die Cloud, umso komplexer die Cloud-Infrastruktur, in der Daten gespeichert, be- und verarbeitet werden. Hier kontiniuierlich den Überblick zu behalten, stellt für sie eine immer größere Herausforderung dar. Zu erkennen, wo welche Daten in der Cloud genutzt werden – und wie – ist schwierig und zeitaufwendig. Doch muss diese Arbeit geleistet werden. Denn die rechtliche Verantwortung für die Daten – der eigenen wie die der Kunden – liegt letztlich beim Finanzinstitut, und nicht beim Anbieter der Cloud-Lösung.

Mehr Sichtbarkeit, mehr Kontrolle, mehr Sicherheit

Für mehr Übersicht in der Cloud zu sorgen ist nötig und möglich. Doch sollte das Problem gleich zu Beginn gelöst werden. Bevor die Datenmigration in die Cloud beginnt. Natürlich kann auch zu einem späteren Zeitpunkt für mehr Übersichtlichkeit gesorgt werden, doch muss dann mit teils erheblichem Mehraufwand gerechnet werden.

Man muss sich klar machen, dass man selbst und nicht der Anbieter der cloud-basierten Lösung für die Sicherheit der eigenen Daten verantwortlich ist. Und dass mit der zwingend erforderlichen Übersicht über Daten und Datenströme – und damit auch über die eingesetzten Anwendungen – Handlungsspielräume und Kontrollmöglichkeiten, entstehen, die letztlich die – gerade in der Finanzbranche wichtige – Sicherheit der Daten überhaupt erst ermöglichen.

Der richtige Ansatz: Software Inventarisieren

Supply-Chain-Angriffe, bei denen Angreifer in die Produktion von Software-Anbietern eindringen, um Hintertüren und Schadcode in Software, Updates und Patches einzuschleusen, bevor sie an die Kunden versendet werden, ist gerade in der Finanzbranche ein wachsendes Problem. Laut der EMEA-Studie „Threat Landscape for Supply Chain Attacks“ hat die Zahl solcher Angriffe hier allein zwischen 2020 und 2021 um ganze 400 Prozent zugenommen.

Der erste und entscheidende Schritt auf dem Weg zu mehr Übersicht, Kontrolle und Sicherheit ist deshalb die Inventarisierung sämtlicher eingesetzter Software, sowohl der internen als auch der externen. Alle Komponenten jeder eingesetzten Software müssen bestimmt und katalogisiert werden. Nur dann wird man im Fall eines bekannt gewordenen Supply-Chain-Angriffs schnell reagieren, und die entsprechende Software abstellen, das Problem beheben können.

Dies ist jedoch eine echte Herausforderung. Denn die Anbieter der cloud-basierten Lösungen bieten ihren Kunden – zumindest derzeit – in aller Regel keinen Zugang zu und Zugriff auf Informationen über die einzelnen Komponenten ihrer Software-Produkte. Verständlicherweise betrachten sie diese Informationen als Geschäftsgeheimnis und wollen sie schützen. Hier ist die Finanzbranche gefragt.

Eine „Software-Stückliste“ als Grundvoraussetzung

Die Finanzbranche sollte sich zusammenschließen und einen gemeinsamen Rechtsrahmen entwickeln, der Anbietern cloud-basierter Lösungen den Einsatz einer „Bill of Material“ zwingend vorschreibt. Ähnlich wie Lebensmittelunternehmen nach EU-Recht verpflichtet sind, die einzelnen Zutaten der von ihnen angebotenen Lebensmittel aufzulisten, sollten Anbieter cloud-basierter Softwarelösungen ihren Kunden alle Komponenten ihrer Produkte auflisten und damit transparent machen.

Andernfalls sollten sie – zumindest von Unternehmen der Finanzbranche – keine Aufträge mehr erhalten. In den USA haben zahlreiche Unternehmen bereits vor geraumer Zeit damit begonnen, ihre Open-Source-Software mit Komponenteninformationen zu versehen. Diese Praxis sollte innerhalb der Finanzbranche zum Standard werden.

Know Your Customer – KYC für die Cloud

Eine weitere Maßnahme, die die deutsche Finanzbranche von ihren Anbietern einfordern sollte: die Offenlegung des Cybersicherheitsschutzes ihrer Produktionsinfrastruktur und der von ihnen gelieferten Software-Produkte. Es ist wichtig, dass alle Anbieter, deren Produkte mit den Daten einer Bank in Kontakt kommen, auch den erforderlichen Schutz vor Cyberangriffen gewährleisten können. Schließlich kann ein Angriff auf die IT-Infrastruktur oder die Daten einer Bank auch über eine Anbieterverbindung erfolgen.

Banken müssen sich hier in der Verantwortung sehen und dafür sorgen, dass ihre Software-Lieferanten Mindestsicherheitsstandards hinsichtlich ihrer IT-Sicherheit erfüllen. Ermöglichen kann dies eine „Know Your Customer“-(KYC)-Überprüfung der IT-Lieferanten im Hinblick auf ihre IT-Sicherheit. Nur denjenigen Anbietern, die diese Standards dann erfüllen, sollte die Arbeit mit den Daten der Bank gestattet werden.

Wollen deutsche Banken und Fintechs ihre Migration in die Cloud erfolgreich fortsetzen, werden sie um diese beiden Maßnahmen nicht herumkommen. Denn nur mit Transparenz und Sicherheit wird es ihnen gelingen, ihrer Verantwortung gerecht zu werden, ihren Cloud-Datenverkehr transparenter und damit kontrollierbarer und sicherer zu machen.

(ID:49308247)