Wie Banken & Versicherungen IT Services compliance-konform in die Cloud auslagern

Onlinebanking, Kundenportale und interne Fachanwendungen laufen bei vielen Banken heute in der Cloud. Wer weitere Systeme auslagern will, muss vor allem eine Frage beantworten: Wie behält die Bank die Kontrolle über ihren Dienstleister?

Die Anforderungen dafür regelt der Digital Operational Resilience Act (DORA). Banken müssen jeden IT-Dienstleister erfassen, seine Risiken bewerten und für kritische Leistungen einen Ausstieg vorbereiten. Wir begleiten mehrere Banken in unterschiedlichen Projekten. Unsere Erfahrung: Die Technik ist selten das Problem. Aufwendig ist der Nachweis gegenüber der Aufsicht.

Dass die Finanzbranche auf Cloud Computing setzt, belegte bereits Anfang der 2020er Jahre eine PwC-Studie zu Cloud Computing im Bankensektor:

Befragt wurden 100 IT-Fachleute aus Banken. 78 % der Institute sind bereits in der Cloud, bei 73 % ist die Cloud-Nutzung fest in der Cloud- oder IT-Strategie verankert. 54 % der Banken nutzen dabei vorrangig eine Private Cloud. 72 % der Institute mit Cloud-Erfahrung haben eine Übersicht der relevanten Compliance-Anforderungen erstellt. Der Trend, IT-Services in die Cloud zu verlagern, dürfte sich weiter verstärken: 83 % der befragten Institute erwarten, dass Cloud-Dienste in den nächsten fünf Jahren deutlich an Bedeutung gewinnen.

Welche Cloud-Modelle kommen für Banken in Frage?

In den Empfehlungen zur Auslagerung von Cloud-Diensten der European Banking Authority (EBA) werden vier Cloud-Modelle unterschieden:

1. Public Cloud: Cloud-Infrastruktur, die von der Öffentlichkeit frei genutzt werden kann.

2. Private Cloud: Cloud-Infrastruktur, die von einem einzelnen Institut genutzt werden kann.

3. Community Cloud: Cloud-Infrastruktur, die von einer konkreten Institutsgemeinschaft genutzt werden kann, einschließlich mehrerer Institute innerhalb einer Gruppe.

4. Hybrid Cloud: Cloud-Infrastruktur, die sich aus zwei oder mehreren speziellen Cloud-Infrastrukturen zusammensetzt.

Bei der Wahl des passenden Modells ist zusätzlich die Frage relevant, welche regulatorischen Anforderungen aufgrund der besonderen Risiken bei der Auslagerung von IT-Leistungen in der Bankenbranche gelten.

Welche Vorgaben gelten für die Auslagerung in die Cloud?

Seit dem 17. Januar 2025 ist der Digital Operational Resilience Act (DORA) der maßgebliche Rahmen für das IT-Risikomanagement von Banken und Versicherungen. Die EU-Verordnung regelt unter anderem den Umgang mit IT-Dienstleistern, das Melden von Vorfällen und das Testen der digitalen Widerstandsfähigkeit. Was DORA im Einzelnen verlangt, beschreibt unser Beitrag zu den Auswirkungen von DORA auf die Finanzbranche.

Die BAIT (Bankaufsichtliche Anforderungen an die IT) haben damit an Bedeutung verloren. Für Institute, die unter DORA fallen, gelten sie seit dem 17. Januar 2025 nicht mehr, bis Ende 2026 hebt die BaFin die BAIT vollständig auf. Für Versicherungen gilt dasselbe für die VAIT.

Die MaRisk (Mindestanforderungen an das Risikomanagement) der BaFin (Bundesanstalt für Finanzdienstleistungsaufsicht) geben auf Basis von § 25a KWG (Kreditwesengesetz) weiterhin den Rahmen für das Risikomanagement vor, auch bei Auslagerungen. Sie bieten dennoch genug Spielraum für ein individuelles Vorgehen. Grundsätzlich ist die auslagernde Bank angehalten, ausreichende Schutzmaßnahmen zu treffen, um die Auslagerungsrisiken so gering wie möglich zu halten.

Sorgfältige Planung und Konzeption sorgen dafür, dass alle Anforderungen erfasst werden und die Kosten für Plattform und Betrieb kalkulierbar bleiben. Da die dazugehörenden Tätigkeiten schnell ein aufwendiges Projekt ergeben, beauftragen Banken, die selbst nicht über ein spezialisiertes IT-Team verfügen, bei der Migration häufig einen Cloud Provider.

Darf eine Bank ihre gesamte IT in die Cloud auslagern?

Ja, technisch und regulatorisch ist das möglich. Die Aufsicht schreibt nicht vor, dass bestimmte Systeme im eigenen Rechenzentrum bleiben müssen. Sie verlangt, dass die Bank die Risiken der Auslagerung steuert, den Dienstleister überwacht und im Notfall handlungsfähig bleibt. Die Verantwortung bleibt immer bei der Bank, auch wenn der Betrieb beim Dienstleister liegt. Deshalb entscheidet weniger die Frage, was ausgelagert werden darf, als die Frage, ob Vertrag, Kontrollen und Nachweise des Anbieters diese Steuerung möglich machen.

Wie steuert und überwacht eine Bank ihren Cloud-Dienstleister?

Mit einem Vertrag, der die Kontrolle festschreibt, und mit Nachweisen, die der Dienstleister regelmäßig liefert. In der Praxis sind das vier Bausteine:

• Register und Risikobewertung: Die Bank erfasst jede Vereinbarung mit einem IT-Dienstleister in ihrem Informationsregister und bewertet vor Vertragsschluss, ob die Leistung kritische oder wichtige Funktionen betrifft.

• Vertrag: Er beschreibt die Leistung, die Standorte der Datenverarbeitung, die Service Levels und die Kündigungsrechte. Bei kritischen oder wichtigen Funktionen kommen uneingeschränkte Zugangs-, Inspektions- und Prüfrechte für Bank und Aufsicht hinzu.

• Laufende Nachweise: Der Dienstleister unterstützt bei IT-Vorfällen, arbeitet mit der Aufsicht zusammen und legt Prüfberichte vor, etwa nach IDW PS 951.

• Ausstiegsplan: Für kritische oder wichtige Funktionen hat die Bank eine dokumentierte und getestete Ausstiegsstrategie, mit der sie die Leistung ohne Unterbrechung zurückholen oder zu einem anderen Anbieter verlagern kann.

Einen großen Teil davon bereitet ein erfahrener Dienstleister vor, von den Vertragsklauseln bis zu den Prüfberichten. Die Entscheidung und die Verantwortung bleiben bei der Bank. Wie eine einzelne Kontrolle im Alltag aussieht, zeigt das Beispiel Datensicherung.

Wie wird eine Compliance-Vorgabe in der Praxis umgesetzt?

Am Beispiel der Datensicherung lässt sich das gut zeigen. Die Aufsicht verlangt ein angemessenes Datensicherungskonzept, legt aber keine technischen Details fest: Wie lange Daten aufbewahrt werden, wie oft gesichert wird und wie schnell eine Wiederherstellung erfolgen muss, erarbeiten Bank und Dienstleister gemeinsam. In einem solchen Konzept steht dann beispielsweise, dass Backups täglich erfolgen, die gesicherten Daten auf bestimmten Medien in gesicherten Räumen liegen und nur ein begrenzter Personenkreis darauf Zugriff hat.

Ob das Konzept eingehalten wird, prüfen bei uns regelmäßig drei Stellen: unsere interne Revision, die interne Revision der Bank und eine Wirtschaftsprüfung im Rahmen der Prüfung nach IDW PS 951. So entsteht aus einer allgemeinen Vorgabe ein überprüfbarer Nachweis.

Worauf sollten Banken bei der Wahl des Cloud-Anbieters achten?

Neben den Kosten zählen drei Punkte:

• Belastbare Service Level Agreements (SLAs) mit klaren Zusagen zu Verfügbarkeit, Reaktionszeiten und Wiederherstellung.

• Fachliche Kompetenz und Erfahrung im Betrieb regulierter Cloud-Umgebungen.

• Nachweisbare Compliance: Der Anbieter hat eigene Fachleute für die regulatorischen Anforderungen und kann Prüfberichte vorlegen. Hier trennt sich die Spreu vom Weizen, weil diese Arbeit personalintensiv und damit teuer ist.

Auslagerung an Cloud-Anbieter: Lohnt sich das?

Ein auf Bankenlösungen spezialisierter Cloud Provider wie Adacor mit weitreichenden Kenntnissen über die Regularien und Compliance begleitet Banken bei der Cloud-Migration sinnvoll und nachhaltig.

So erfüllen die Managed Cloud Services von Adacor in der Banking Cloud neben den hohen Anforderungen an Sicherheit, Performance und Verfügbarkeit die regulatorischen Vorgaben von BaFin und EBA, darunter DORA, MaRisk, MaComp, wesentliche Auslagerung nach KWG sowie die EU-Delegiertenverordnung 2017/565. Prüfmöglichkeiten für die Aufsichtsbehörden sind genauso gegeben wie die Bereitstellung von Reports, Berichten der Internen Revision sowie Prüfberichten des dienstleistungsbezogenen IKS. Für den Betrieb von Bankensystemen liegen alle notwendigen Zertifizierungen vor.

Case Study: Cloud Computing für eine Genossenschaftsbank

Für eine große deutsche Genossenschaftsbank übernahmen wir die Planung, Konzeption sowie den anschließenden Betrieb einer Onlineplattform mit Community-Charakter. Zunächst validierten wir die in Frage kommenden Cloud-Lösungen. Auf Basis der Beratungs- und Analyseergebnisse erstellten wir das Konzept und implementierten eine Private Cloud mit entsprechenden Infrastrukturdiensten (Infrastructure as a Service, IaaS).

Die Infrastruktur der Banking Solution ist redundant ausgelegt und auf zwei Rechenzentren verteilt. Eine ausgewogene Lastenverteilung (Load Balancing) sorgt für eine optimale Ressourcen-Nutzung. Die Lasten werden gleichmäßig auf die virtuellen Server verteilt, das Netzwerk wird optimal ausgenutzt und die Kapazität maximiert. Zudem werden Ausfälle abgesichert. Das heißt, bei einem Serverausfall würde die Last direkt auf den Backup-Server weitergeleitet. Zusätzlich stellt die Infrastruktur leistungsstarke Computing Nodes, Storage, Backup und ein Management Center zur Administration bereit.

Das Betriebs- und Backup-Konzept berücksichtigt alle bankspezifischen Bedürfnisse. Dazu zählen eine hohe Ausfallsicherheit, Verfügbarkeit und Wiederherstellbarkeit des Backups sowie eine permanente Systemüberwachung. Zudem verantworten wir das Server- und Plattform-Management.

Die Private-Cloud-Infrastruktur wird über leistungsstarke Hardware in ISO-27001-zertifizierten Rechenzentren in Deutschland betrieben. Beim Datenschutz werden die Richtlinien des Bundesdatenschutzgesetzes (BDSG) und der Europäischen Datenschutz-Grundverordnung (EU-DSGVO) erfüllt. Die hohen Sicherheitsanforderungen erfordern zusätzlich den Einsatz ausgewählter Managed Security Services.

Die ausführliche Geschichte lesen Sie in der Referenz zur sicheren Private-Cloud-Plattform für eine Bank.

Fazit: Banken können IT-Dienste sicher und compliant in der Cloud betreiben

Die Private Cloud bietet im Rahmen der Digitalisierung sichere, performante und den Regularien entsprechende Hosting-Lösungen für Banken. Diesen obliegt nicht nur die Wahl der richtigen Plattform, sondern sie benötigen hohes Fachwissen hinsichtlich der verschiedenen Regularien von BaFin und EBA, seit 2025 vor allem DORA.

Wenn die eigene IT-Abteilung nicht über die entsprechende Größe oder Spezifikation verfügt, lohnt sich für Banken die Einbeziehung eines versierten Cloud Providers, der bei der Migration unterstützt. Bei Adacor begleiten wir Banken von der Konzeption über die Transition bis zum Betrieb moderner Cloud-Plattformen.

Banken werden sich wie alle Finanzunternehmen zukünftig verstärkt auf die Erneuerung ihrer Infrastrukturen fokussieren müssen. Sie brauchen moderne Lösungen für die Kommunikation mit den Kunden und sind dabei auf innovative Technologien angewiesen. Mit dem richtigen Partner an der Seite erreichen sie diesen Meilenstein mit Erfolg.