Wo Welten aufeinanderprallen

Ein Aspekt, der eine ganz neue Dimension bekommen muss, ist die IT-Sicherheit. Die bislang vorherrschende Praxis in Banken, um die Wirksamkeit von Sicherheitsmaßnahmen zu beurteilen, ist die Papierprüfung. Aus seiner Erfahrung schließt der CISO, dass sich die IT und ihre Anwendungen über die nächsten Monate in der Praxis genau so verhalten, wie er das aufgrund der theoretischen Bewertung befunden hat. Ein solches Vorgehen passt allerdings nicht mehr in eine moderne DevOps-Welt, in der zum Teil täglich neue Anwendungen eingespielt werden, die auch die Sicherheitsstruktur beeinflussen. Heute bedeutet die Einführung neuer Software nicht nur, ein wenig Anwendungscode auf einen Server zu schieben. Moderne, zunehmend containerisierte Apps bestehen in der Regel aus zahlreichen Bausteinen, die gerne auf verschiedene Ressourcen verteilt sind und insgesamt eine komplexe Systemstruktur bilden, die sich zudem oft noch dynamisch verändert. Spätestens hier ist selbst der erfahrenste „Papierprüfer“ mit seinem Latein am Ende.

Zudem haben viele Banken ihre IT-Sicherheit als „Burgmodell“ aufgesetzt. Der Grundgedanke dahinter: möglichst hohe „Zäune“ um die sensiblen Daten und Systeme, volle Konzentration auf Abschottung. Zugriffe am liebsten nur von Desktop-Rechnern innerhalb der Bank – oder, wenn schon von außerhalb, dann ausschließlich über VPN-gesicherte Leitungen. Auch das passt nicht in eine Cloud-Welt, in der mobile Mitarbeiter der Bank von überall und mit ihren eigenen Geräten sogar sensible Forecast-Zahlen oder den Jahresabschluss abrufen und damit arbeiten.

In solchen Szenarien kommen moderne Security-Instrumente wie Data Loss bzw. Leakage Prevention (DLP) ins Spiel. Das Burgmodell funktioniert nicht mehr in einer offenen und mobilen Welt. Es muss für einen effektiven Schutz am Perimeter umgebaut und – noch wichtiger – im Kern durch einen „Zero Trust“-Ansatz ersetzt werden. Null Vertrauen heißt auch, jede Anwendung so zu programmieren, dass sie Daten nur verschlüsselt überträgt und nur an Gegenstellen, die sich erfolgreich authentifiziert haben. Von solchen Modellen sind Banken heute noch meilenweit entfernt, zumindest in ihrer Legacy-Welt.

Und viele Banken sitzen in der Tat noch auf einem riesigen Berg von Legacy-Anwendungen, deren Pflege vor einer ungewissen Zukunft steht. Ihre Entwickler stehen zum Teil kurz vor der Rente oder sind längst aus dem Unternehmen ausgeschieden. Die verwendeten Programmiersprachen sind veraltet und Nachwuchs zu finden, der sich in solche – nach IT-Maßstäben „antiquierte“ – Software einarbeitet, ist ein Ding der Unmöglichkeit. Insofern steigt auch von dieser Seite der Druck bei den Banken, in modernere Infrastrukturen wie die Cloud zu migrieren.

Cloud Banking: mit angepassten Prozessen zur Hochform

Der CISO muss in die Softwareentwicklung einsteigen, denn eine seiner wichtigsten Aufgaben in einer modernen, Cloud-integrierten Welt ist es, seinen Controlling-Tools Automatismen beizubringen, die auch in extrem dynamischen Umgebungen lückenlos funktionieren. Wenn ihm das gelingt, stehen ihm allerdings Möglichkeiten offen, von denen er bisher nur geträumt haben dürfte. Beispielweise kann der CISO künftig bei Vorfällen in der Cloud den entsprechenden Account isolieren, in Quarantäne setzen und den Angriff analysieren lassen – und das alles in Echtzeit.

Ein weiteres Beispiel für die Einbindung von Cloud-Aktivitäten in die organisatorischen Prozesse einer Bank betrifft das IT-Kostencontrolling. Hyperscaler locken mit einer sehr attraktiven Hardware-, Software- und Serviceausstattung – immer auf dem neuesten Stand und bestens gewartet und gesichert. Durch Hinzubuchen weiterer Recheninstanzen lassen sich ganz einfach noch ein paar Prozent bei der App-Performance realisieren und ein Klick auf GPU-Unterstützung eröffnet ungeahnte Skalierungsoptionen, gerade bei modernen Anwendungen mit Künstlicher Intelligenz (KI). Sind diese Dinge nicht sauber an ein IT-Kostencontrolling gekoppelt, laufen die Kosten der Bank schnell ins Uferlose.

In der modernen Finanzwelt werden Banking-Apps zum Schlüsselkriterium für Kunden und zum wichtigsten Instrument für das Service-Angebot der Banken. Das Kundenerlebnis mit der App entscheidet über Top oder Flop. Da moderne Apps nur im engen Zusammenspiel mit Cloud Services ihre Stärken ausspielen können, müssen Banken möglichst schnell einen Weg finden, ihre IT für die Cloud zu optimieren. Dabei ist eine Politik der kleinen Schritte einem langwierigen Gesamtumstieg vorzuziehen. Kleine Workloads als Start in die Cloud schaffen schnell Erfolgserlebnisse und sorgen für Motivation. Außerdem beginnt so von Anfang an die praktische Lernkurve. Banken können währenddessen bereits ihr Betriebsmodell in Richtung Cloud umgestalten. Eines ist sicher: Wer zu langsam ist und kein positives Kundenerlebnis schaffen kann, wird es im Banking der Zukunft schwer haben.