Aber auch die Finanzwirtschaft selbst stellt sich angesichts eines steigenden Kostendrucks immer mehr die Frage, ob der Eigenbetrieb noch Zukunft hat. Die Herausforderung, monolithische IT-Strukturen mit zum Teil selbst entwickelter Software mit modernen \u2013 auch aufsichtsrechtlichen \u2013 Anforderungen in Einklang zu bringen, l\u00e4sst auch die Finanzindustrie immer h\u00e4ufiger auf Standardl\u00f6sungen in der Cloud zur\u00fcckgreifen.<\/p>\n\n\n\n
Vorteile durch Standardl\u00f6sungen in der Cloud sichern<\/h3>\n\n\n\n
Auch spielt heute die Vernetzung<\/strong> eine wesentlich wichtigere Rolle. Elektronische Signaturen<\/a> ben\u00f6tigen beispielsweise ein Zusammenspiel mit zertifizierten Vertrauensdienstanbietern oder das Beispiel der K\u00fcnstlichen Intelligenz<\/a>, die oft auch nur funktioniert, wenn man auf einen gro\u00dfen Datenpool zur\u00fcckgreifen kann, den man im eigenen Haus so nicht vorh\u00e4lt. Und auch der Aspekt ist heute wichtig: Gemeinsam genutzte Rechenzentren<\/strong> \u2013 nichts anderes ist ja \u201eCloud\u201c \u2013 lassen sich energetisch deutlich besser ausnutzen, als wenn viele einzelne Unternehmen eigene Rechenzentren betreiben. So k\u00f6nnen Finanzinstitute auch ihren \u00f6kologischen Fu\u00dfabdruck reduzieren<\/strong>. Gerade in heutigen Zeiten, wo einerseits Energie zu sparen ist und andererseits auch Nachhaltigkeitsberichte eine steigende Bedeutung erlangen, ist dies ein nicht zu verachtender Aspekt \u201epro Cloud\u201c.<\/p>\n\n\n\n Finanzinstitute sind nach \u00a7 25a Absatz 1 KWG<\/a> gesetzlich verpflichtet, die Ordnungsm\u00e4\u00dfigkeit der Gesch\u00e4ftsorganisation sicherzustellen.<\/p>\n\n\n\n Hierzu z\u00e4hlt u.a. die Einrichtung interner Kontrollverfahren und eines internen Kontrollsystems zum Zwecke des Risikomonitorings wie auch die Festlegung eines Notfallkonzeptes, namentlich insbesondere f\u00fcr die IT. Aber auch eine angemessene technisch-organisatorische Ausstattung wird vorgeschrieben. Zur Konkretisierung dieser Vorgaben wurden u.a. die Mindestanforderungen f\u00fcr das Risikomanagement (MaRisk<\/a>) erlassen. Diese sehen u.a. eine Feststellung der Risiken und der Beurteilung ihrer Wesentlichkeit vor \u2013 letztlich wird hierdurch auch die H\u00f6he des gebundenen Eigenkapitals beeinflusst. <\/p>\n\n\n\n Viel Arbeit also f\u00fcr das Risikomanagement, aber auch die Revision und den Compliance-Bereich, auch mit dem Interesse, den Risikogehalt zu minimieren. Gerade wenn es um Cloud-Services geht, stellen sich f\u00fcr die Risikoanalyse eine ganze Reihe \u201eneuer Fragestellungen\u201c. <\/p>\n\n\n\n Nachfolgend wollen wir aus f\u00fcnf Aspekten, verschiedene Fragen vorstellen, die ein Finanzunternehmen im Rahmen der Risikobewertung ebenfalls stellen sollte. Diese sollen dabei unterst\u00fctzen, die Reise in die Cloud optimal vorzubereiten.<\/p>\n\n\n\n Wie ist die wirtschaftliche und gesellschaftsrechtliche Situation des Anbieters, \u00fcber welches Know-how \u2013 insbesondere im Finanzumfeld \u2013 verf\u00fcgt der Anbieter? Verf\u00fcgt der IT-Anbieter \u00fcber eine IT-Strategie,<\/p>\n\n\n\n \u00dcberhaupt: Wie lange ist die L\u00f6sung schon am Markt und wie oft wurde sie schon installiert, insbesondere in der Finanzbranche? K\u00f6nnen Referenzen benannt werden?<\/p>\n\n\n\n Bei diesen Fragen geht es um die Nachhaltigkeit der eingesetzten L\u00f6sung<\/strong>. Ist ein dauerhafter Betrieb der L\u00f6sung \u00fcberhaupt vorgesehen oder handelt es sich vielleicht nur um eine Projektl\u00f6sung, vielleicht sogar ein nicht supportetes Template? So l\u00e4sst sich auch beurteilen, ob das in Rede stehende Produkt, f\u00fcr den Anbieter eine strategische Bedeutung hat und es werden kostspielige Migrationen auf ersetzende L\u00f6sungen vermieden. Auch bankaufsichtlich ist vorgesehen, dass Unternehmen \u00dcberlegungen zur Nutzung von Cloud-Diensten in ihrer IT-Strategie ber\u00fccksichtigen. Insofern macht es Sinn, nur nachhaltig nutzbare Dienste in Anspruch zu nehmen. Und letztlich, falls ein Haus bereits die L\u00f6sung einsetzt und vermutlich umfangreiche und sorgf\u00e4ltige Pr\u00fcfungen durchgef\u00fchrt hat, best\u00e4rkt dies nat\u00fcrlich auch die Einsetzbarkeit im eigenen Unternehmen \u2013 entbindet aber selbstredend nicht von einer eigenen verantwortungsvollen Pr\u00fcfung.<\/p>\n\n\n\n Hat der IT-Anbieter einen Notfallplan zur Aufrechterhaltung des Betriebs des ausgelagerten Bereichs und welche Ma\u00dfnahmen sieht dieser Notfallplan vor?<\/p>\n\n\n\n Hier geht es darum, wie oft Backups vorgenommen und vorgehalten werden. Ebenso sollte erl\u00e4utert werden, wie im Notfall ein Disaster Recovery durchgef\u00fchrt wird, also ob Daten auch bei einem Rechenzentrumsausfall nicht verloren gehen und wie hochverf\u00fcgbar das Rechenzentrum ausgelegt ist. Weiter sollte die Redundanz in diesem Zusammenhang erl\u00e4utert werden, also in wie vielen Rechenzentren, wie oft eine Speicherung erfolgt. Hier sollte zudem beschrieben werden, wie die zeitlichen Fristen f\u00fcr die Wiederherstellung kritischer Systeme vereinbart sind und wie viel Datenverlust toleriert wird. Man unterscheidet in diesem Kontext zwischen RTO <\/strong>und RPO<\/strong>:<\/p>\n\n\n\n Gibt es Bestandteile der L\u00f6sung, die an Dritte \u2013 beispielsweise einen Cloud-Betreiber \u2013 ausgelagert werden? Wer ist der Dritte, in welchen L\u00e4ndern ist dieser t\u00e4tig bzw. wo befinden sich die Rechenzentren und hat dieser sich zur Einhaltung aller anwendbaren Gesetze und regulatorischen Anforderungen \u2013 insbesondere Zugangs- und Pr\u00fcfrechten \u2013 verpflichtet? Hinzu kommen interne Compliance Anforderungen, die sogar noch strenger sein k\u00f6nnen.<\/p>\n\n\n\n Die Aufsichtsbeh\u00f6rde, aber nat\u00fcrlich auch das Finanzinstitut selbst, hat ein gro\u00dfes Interesse zu wissen, wessen Dienste letztlich genutzt werden. Im April 2018 hat die BaFin, fu\u00dfend auf den Regelungen des \u00a7 25b KWG<\/a>, konkretisierende Regelungen zur Einhaltung der aufsichtsrechtlichen Vorgaben zu Informations- und Pr\u00fcfungsrechten<\/a> sowie Kontrollm\u00f6glichkeiten erlassen. Diese wurden wenig sp\u00e4ter in einem Merkblatt<\/a> zusammengefasst. Dadurch erwartet die Aufsicht weitgehende, uneingeschr\u00e4nkte Rechte, u.a. Weisungs- und K\u00fcndigungsrechte, aber auch Zugangs- und Pr\u00fcfrechte, die bis zum Drittbeteiligten durchschlagen. Nur wenn alle Beteiligten hierzu bereit sind, k\u00f6nnen derartige Dienste von beaufsichtigten Unternehmen f\u00fcr wesentliche Gesch\u00e4ftsprozesse<\/a> genutzt werden. Insofern ist absolute Transparenz hier unerl\u00e4sslich; und nat\u00fcrlich m\u00fcssen rechtliche Risiken durch ausl\u00e4ndische, ggf. unbekannte Jurisdiktionen, vermieden werden. Auch hier stellt sich dann \u00fcbrigens auch wieder die Frage nach dem Notfallplan, der redundanten Speicherung usw.<\/p>\n\n\n\n Kann der IT-Anbieter konkrete \u201etechnische und organisatorische Ma\u00dfnahmen\u201c (TOMs) zur Sicherstellung der Vertraulichkeit, Integrit\u00e4t und Verf\u00fcgbarkeit der angebotenen L\u00f6sung vorlegen? Besteht ein Zugriff des IT-Anbieters auf die eigenen Daten bzw. wird mittels Mehrfaktor-Authentifizierung sichergestellt, dass ein Zugriff erschwert wird, und werden Zugriffe und wichtige Verarbeitungsschritte sowie sicherheitsrelevante Ereignisse protokolliert? Wann erfolgt die L\u00f6schung der Daten und der Backups? Werden Daten verschl\u00fcsselt transportiert (\u201eData in Transit\u201c) und abgelegt (\u201eData in Rest\u201c) und welche Verschl\u00fcsselungsmechanismen werden hier verwendet? Und gibt es einen Incident-Response-Prozess?<\/p>\n\n\n\n Wir empfehlen die Aush\u00e4ndigung der TOMs und den Vergleich dieser mit TOMs von anderen Anbietern. Hieraus ergeben sich eine Reihe von Informationen, beispielsweise wie das Unternehmen datenschutzrechtliche Fragestellungen konkret in der Praxis umsetzt \u2013 nicht nur hinsichtlich der L\u00f6sung selbst, sondern auch bzgl. der organisatorischen Gegebenheiten wie Passwortvorgaben oder geb\u00e4udetechnische Fragestellungen. M\u00f6glicherweise sind dabei auch die weiteren gestellten Fragen geregelt. Und der Incident-Response-Prozess umfasst eine Reihe von Verantwortlichkeiten (z.B. IT-Sicherheitsbeauftragter, Datenschutzbeauftragter, Gesch\u00e4ftsleitung, Marketing, \u2026), die die Aufnahme, Bewertung, Empfehlung, Entscheidung und Kommunikation des jeweiligen Vorfalls vornehmen.<\/p>\n\n\n\n Welche M\u00f6glichkeiten gibt es, die Daten in das eigene Haus oder auf einen Drittanbieter zu migrieren? Wird das eigene Unternehmen hierbei vertraglich von seinem IT-Anbieter unterst\u00fctzt und welche Fristen sind hier zu beachten?<\/p>\n\n\n\n Im Rahmen der eigenen IT-Strategie verlangt die Aufsicht, dass Unternehmen sich schon heute \u00fcber einen „Cost of Change“ Gedanken machen zu m\u00fcssen. Gerade wenn es sich um gro\u00dfe Datenmengen handelt, wie bei einem Dokumentenmanagement-System<\/a>, ist die Migration zur\u00fcck in die eigene Infrastruktur oder auf einen Drittanbieter oft ein zeitaufwendiges Thema. Bei einem Dokumentenmanagement-System sind nicht nur die Dokumente selber, sondern auch die begleitenden Metadaten sowie weitere Informationen wie Dokumentnotizen, Annotationen und Aktivit\u00e4tenprotokollierung auf eine neue Struktur zu \u00fcberf\u00fchren. Wichtig muss hier sein, dass der IT-Anbieter das Unternehmen auch in der Exit-Strategie unterst\u00fctzt und eine Migration in einem zeitlich ausreichenden Rahmen stattfinden kann.<\/p>\n\n\n\n Wenn diese f\u00fcnf Aspekte eingehend beleuchtet werden, wurde der Risikopr\u00fcfung sicher ein gutes St\u00fcck Rechnung getragen. Als d.velop befassen wir uns seit vielen Jahren auch mit Cloudl\u00f6sungen, unter anderem bieten wir mit d.velop documents<\/a> ein cloudbasiertes, sofort verf\u00fcgbares Dokumentenmanagementsystem an und mit d.velop sign<\/a> eine cloudbasierte und damit eine ohne Hardwarekomponenten auskommende Softwarel\u00f6sung f\u00fcr alle Signaturarten \u2013 von der einfachen bis zur qualifizierten elektronischen Signatur<\/a>. <\/p>\n\n\n\n Dokumente im Bankwesen<\/strong> digital und rechtssicher unterschreiben<\/p>\n\n\n\n\t<\/span>Risikoanalyse bei Nutzung von Cloud-Services <\/span><\/h2>\n\n\n\n
Risikomonitoring nach MaRisk sicherstellen<\/h3>\n\n\n\n
<\/span>Die 5 wichtigsten Aspekte der Risikoanalyse zur Finanz-IT in der Cloud<\/span><\/h2>\n\n\n\n
![\"Infografik](\"https:\/\/www.d-velop.de\/blog\/wp-content\/uploads\/2022\/09\/infografik-pruefung-finanz-it-cloud.png\")
<\/a>1. IT-Anbieter und Strategie<\/h3>\n\n\n\n
\n
2. Ausfallmanagement<\/h3>\n\n\n\n
\n
Bei der Recovery Time Objective handelt es sich um die Zeit, die vom Zeitpunkt des Schadens bis zur vollst\u00e4ndigen Wiederherstellung der Gesch\u00e4ftsprozesse (Wiederherstellung von: Infrastruktur \u2013 Daten \u2013 Nacharbeitung von Daten \u2013 Wiederaufnahme der Aktivit\u00e4ten) vergehen darf. Der Zeitraum kann hier von 0 Minuten (Systeme m\u00fcssen sofort verf\u00fcgbar sein), bis mehrere Tage (in Einzelf\u00e4llen Wochen) betragen.<\/li>\n\n\n\n
Bei der Recovery Point Objective handelt es sich um den Zeitraum, der zwischen zwei Datensicherungen liegen darf, das hei\u00dft, wie viele Daten\/Transaktionen d\u00fcrfen zwischen der letzten Sicherung und dem Systemausfall h\u00f6chstens verloren gehen. Wenn kein Datenverlust hinnehmbar ist, betr\u00e4gt die RPO 0 Sekunden. 1<\/sup><\/li>\n<\/ul>\n<\/div><\/div>\n\n\n\n3. Auslagerung<\/h3>\n\n\n\n
4. Datenschutz<\/h3>\n\n\n\n
5. Cost of Change <\/h3>\n\n\n\n
![\"Infografik](\"https:\/\/www.d-velop.de\/blog\/wp-content\/uploads\/2020\/11\/infografik-vorteile-cloud-dms.jpg\")
<\/a><\/figure>\n\n\n\n<\/span>Fazit: Der Finanz-IT in der Cloud steht mit der richtigen Vorbereitung nichts im Wege<\/span><\/h2>\n\n\n\n