So schützen Finanzunternehmen ihre Cloud-Systeme

Finanzunternehmen haben die Vorzüge der Cloud erkannt, stehen aber vor Herausforderungen hinsichtlich der Datensicherheit, der Compliance und regulatorischen Anforderungen. Unterschiedliche, nicht zwingend kongruente Absicherungen der Hybrid- und Multi-Cloud-Systeme sorgen für zusätzliche Komplexität in der IT. Banken benötigen deshalb eine Lösung, die umfassenden Schutz für alle Systeme – lokale Rechenzentren und Cloud-Anwendungen – bietet. 

Der Trend ist klar: Im Zuge der Digitalisierung zieht es Finanzunternehmen zunehmend in die Cloud. Laut der PwC-Studie „Cloud Computing im Bankensektor 2021“ setzen 78 Prozent der deutschen Banken auf Cloud-Dienste. Dabei nutzen sie die Cloud bevorzugt, um ihre IT-Infrastruktur auszulagern oder um große Datenmengen zu analysieren. Komplett in die Cloud zu wechseln, kommt bislang aber für die wenigsten Institute in Frage. Lediglich die Solarisbank hat im vergangenen Jahr den Sprung gewagt und alle Kernbanksysteme, Produkte und sicherheitsrelevante Dienste in die Cloud migriert. Aufgrund der strengen regulatorischen Richtlinien scheuen die meisten Banken vor diesem Schritt zurück. Sie betreiben weiterhin parallel ihre eigenen Rechenzentren.

Auch bei der Wahl des Cloud-Modells lässt sich der Großteil der Finanzunternehmen von Sicherheitsgedanken leiten: 54 Prozent vertrauen auf die Private Cloud, knapp ein Fünftel setzt auf eine Hybrid Cloud, allerdings mit steigender Tendenz. Denn immerhin ein Drittel der Nichtnutzer (27 %) gab in der PwC-Studie an, ein hybrides Cloud-Modell zu bevorzugen. Auch Multi-Cloud-Umgebungen – also die Implementierung von Cloud-Lösungen von verschiedenen Anbietern (gegebenenfalls in Verbindung mit einer Hybrid Cloud) – sind im Bankensektor mittlerweile verbreitet.

Neue Sicherheitslösungen für die Cloud nötig

Mit der Zahl der unterschiedlichen Modelle und Lösungen steigen die Sicherheitsanforderungen. So müssen die IT-Experten des Unternehmens nicht nur den Schutz des eigenen Rechenzentrums managen, sondern auch die Sicherheitslösungen für jede der genutzten Cloud-Anwendungen kennen und steuern. Das erhöht den Aufwand und die Komplexität in der Administration enorm.

Da sich die Absicherung von Cloud-Systemen vom Schutz herkömmlicher Rechenzentren unterscheidet, werden neue Sicherheitslösungen benötigt. Und nur selten greifen diese Schutzmechanismen der einzelnen Cloud-Komponenten vollkommen ineinander. So viel Komplexität ist teuer und macht verwundbar. Zudem stehen viele Banken und Finanzdienstleister der Technologie ambivalent gegenüber: So ergab jüngst eine Umfrage der Unternehmensberatung Accenture, dass sich 82 Prozent der Banken eine Verbesserung der Sicherheit in der Cloud erhoffen. Doch 52 Prozent der befragten Führungskräfte stufen diesen Aspekt wiederum als größtes Hindernis ein.

Reputationsschäden vermeiden

Doch gerade im Finance-Bereich setzt die Regulatorik voraus, dass Unternehmens- und Nutzerdaten, wie etwa PII (personally identifiable Information), in der Cloud umfassend abgesichert sind. Finanzinstitute sind hier bereits auf einem guten Weg: Laut der PwC-Studie haben 87 Prozent Prozesse zur Überwachung und Steuerung von Cloud-Risiken definiert. Solche Vorsichtsmaßnahmen sind elementar, denn stellen Prüfer Sicherheitslücken oder regulatorische Verstöße fest, können sie hohe Strafen verhängen. Kommt es sogar zum Datendiebstahl, trifft dies Finanzunternehmen noch weitaus schlimmer, da auch Reputationsschäden drohen. Solch einen Vertrauensverlust seitens der Kunden gilt es unbedingt zu vermeiden. Damit es gar nicht erst soweit kommt, braucht es eine Lösung, die gleichermaßen alle Systeme abdeckt, einfach zu verwalten und effizient ist.

Grundsätzlich bieten Cloud-Anwendungen bereits eine robuste IT-Architektur; Betreiber gewährleisten, dass ihre Services rund um die verfügbar und vor Ausfällen geschützt sind. Zudem sind Finanzunternehmen bei der Entwicklung von Cloud-Sicherheitskonzepten nicht auf sich allein gestellt. Die Unterstützung eines IT-Dienstleisters ist sinnvoll, wenn es darum geht, sich gegen Cyber-Angriffe abzusichern.

Die Finanzbranche im Fokus von Cyberkriminalität

Wie wichtig ein umfassender Schutz und eine explizite Cloud Security sind, wird deutlich, wenn man die Cyberangriffe auf das Finanzwesen betrachtet. Im vergangenen Jahr ist die Zahl der Angriffe auf Finanzorganisationen exponentiell gestiegen: Weltweit wurden 3,5 Milliarden Credential-Stuffing-Angriffe allein auf den Finanzsektor festgestellt, die – abgesehen von der davon ausgehenden Netzbelastung – insbesondere zu mehr Datendiebstahl führten. Dies entspricht einem Anstieg um 45 Prozent gegenüber 2019. Auch DDoS-Attacken (Distributed Denial ofService) haben 2020 zugenommen: Im EMEA-Raum hat sich die Zahl im Vergleich zum Vorjahr verdoppelt. Ziel der DDoS-Angriffe ist oftmals der Ausfall eines Cloud-Services.

Doch Finanzunternehmen können sich gegen solche Attacken wappnen und ihre sämtlichen Systeme – vom lokalen Rechenzentrum, über die Private Cloud bis hin zu Hybrid- und Multi-Cloud-Modellen – umfassend schützen. Akamai bietet hierfür ein einheitliches Sicherheitssystem, das vor die lokalen Rechenzentren und die Clouds geschaltet wird. Es schützt Anwendungen und APIs unter anderem mit einer Web Application Firewall (WAF), Bot-Management-Systemen sowie DDoS-Schutz an der Edge. Dadurch verringert sich der administrative Aufwand für die Finanzunternehmen, da alle Systeme einheitlich geschützt werden. So ein vorgeschalteter Schutz erleichtert auch einen Wechsel zu einem anderen Cloud-Anbieter oder eine Erweiterung der Multi-Cloud. Zudem wird auf diese Weise eine möglicherweise vorhandene Schatten-IT abgesichert.

Autor: Gerhard Giese, Industry Strategist bei Akamai