IT-Sicherheitsstrategie Public Cloud: Wie sicher sind Banken in Zeiten der Cyberangriffe?

Anbieter zum Thema

KPMG AG Wirtschaftsprüfungsges.

xSuite Group GmbH

Softeq Development GmbH

Esker Software Entwicklungs-und Vertrieb

Sind Banken im Zuge ihrer Public-Cloud-Transformation noch sicher? Cyberbedrohungen haben jüngst eine neue Qualität erreicht. Wie muss sich die Finanzbranche für die Zukunft aufstellen?

Auch wenn die Täter des Anschlag aufs Netz der Deutschen Bahn am 8. Oktober 2022 bisher nicht ermittelt sind: Der Vorfall hat gezeigt, wie verwundbar unsere Kritische Infrastruktur ist. Und was für unser Verkehrs- und Versorgungsnetz gilt, gilt erst recht für den Cyberspace. Mit Banken und Börsen steht und fällt das globale Wirtschaftssystem.

Sind sie in Zeiten der Cloud-Migration noch sicher?

Um die Antwort vorwegzunehmen: ja. Oder präziser: Im Moment jedenfalls. Doch sehen wir in den kommenden Jahren eine ernste Gefahr auf die Branche zukommen. In seinem Bericht zur Lage der IT-Sicherheit in Deutschland verzeichnete das Bundesamt für Sicherheit in der Informationstechnik (BSI) 2023 24 Prozent mehr Schwachstellen in Softwareprodukten und 50 Prozent Zuwachs bei Phishing-Attacken gegen Unternehmen. Eine Entwicklung, die mit dem Angriff Russlands auf die Ukraine einhergeht. Denn seit der Kreml den gesamten NATO-Raum als Feind betrachtet, sollen von Russland gelenkte Cyber­attacken in erster Linie die Ökonomie im Westen lahmlegen – anstatt wie bisher Lösegelder von Unternehmen zu erpressen, zum Beispiel durch Ransomware-Attacken. Europa drohen derzeit durch hochprofessionelle Hackerkollektive massive Schäden, etwa an unserer Kritischen Infrastruktur – vom Verkehrsnetz über die Energieversorgung bis zum Finanzsystem.

Public Cloud: Wie sicher ist sie?

In Europa befindet sich der Finanzsektor derzeit in einer Phase tiefgreifender Transformation: Bei ihrer Migration in die Public Cloud müssen die Institute unzählige GRC-Anforderungen (Governance, Risk, Compliance) erfüllen – von Datenschutzbestimmungen über Nachhaltigkeitskriterien bis zu Exit-Strategien. Obwohl laut der aktuellen Studie „Cloud Transformation im Finanz- und Versicherungssektor“ von KPMG aus dem Jahr 2023 95 Prozent der befragten Finanzunternehmen mittlerweile auf Public-Cloud-Dienste setzen, ist weder dieser Transformationsprozess noch der damit verbundene regulatorische Druck beendet. 

Die Branche plant, ihren Workload in Zukunft massiv zu steigern und mit dem Digital Operational Resilience Act (DORA) steht ihr ab 2025 bereits die nächste EU-Verordnung ins Haus. Viele Experten und Brancheninsider haben in den vergangenen zwei Jahren daher die Sorge geäußert, der Finanzsektor sei vor dem Hintergrund der Umstellung auf die Public Cloud vor den zunehmenden Cyberangriffen nicht ausreichend geschützt. 

Cloud-Sicherheit: Höheres Potenzial als On-Premise-Lösungen

Technisch betrachtet hat eine Cloud-Infrastruktur allerdings das gleiche, wenn nicht sogar höhere Sicherheitspotenzial gegen Cyberangriffe als das klassische On-Premise-Modell. Denn Firewalls, Malware Detection oder auch die Erkennung von Schwachstellen funktionieren meist gleich. Unabhängig davon, ob die Daten auf den Servern der Cloud Provider oder im eigenen Keller gehostet werden. Der entscheidende Faktor besteht darin, wie umfassend, aktuell und effizient die Sicherheitsmaßnahmen sind – und in dieser Hinsicht hat die Cloud diverse Vorteile.

Public Cloud: Die Vorteile der Hyperscaler

Einerseits bieten die Hyperscaler abstrakte Servicemodelle, mit denen sie einen Großteil der Verwaltung der Infrastruktur übernehmen. Andererseits stellen sie ihren Kunden Schnittstellen zur Verfügung, mit deren Hilfe die Institute ihren eigenen Part durch Automation optimieren können. Ergänzt werden diese Funktionen um sogenannte CNAPP-Tools (Cloud Native Application Protection Platform). Diese zapfen die APIs (Application Programming Interface, Programmierschnittstellen) der Hyperscaler an und schalten das Licht in der Cloud Umgebung ein: Auf einen Blick erhalten Nutzer eine vollständige Übersicht über bestehende Risiken.

Integrierte Security-Services: Mehr Effizienz durch Hyperscaler-Lösungen

Sie verknüpft Informationen aus verschiedenen, oftmals noch getrennten Security-Disziplinen wie dem Schwachstellenmanagement, der Härtung oder auch der Malware-Bekämpfung. Das wiederum ist die Grundlage für ein enormes Potential an Effizienzsteigerung: Bei Sicherheitschecks war im Vor-Cloud-Zeitalter etwa für Schwachstellendiagnose, Systemhärtung und Authentifizierung je ein eigenes Tool notwendig – das Angebot der Hyperscaler integriert diese Funktionen standardmäßig in ihren Services. Dadurch wachsen nicht nur die Transparenz über Schwachstellen und der Reifegrad der IT, es werden auch zeitlich und personell Ressourcen im eigenen Unternehmen frei, die an anderer Stelle z.B. in das Security Operations Center (SOC) oder in die Automation von Responses investiert werden können.

Public Cloud: Überlegene Sicherheit durch erstklassige Rechenzentren und Expertenwissen

Der wichtigste Vorteil der Cloud-Anbieter besteht aus unserer Sicht allerdings in einem Element, das vielen zunächst unspektakulär erscheinen mag: Sie verfügen über überlegene Rechenzentrumsdesigns, etwa hinsichtlich der Energieeffizienz. Zusätzlich bieten die meisten ein kostenloses Basis-Set hochintegrierter Security-Tools – etwa DDoS Protection (Distributet Denial of Service) und zentrale Identitätssysteme – an. Rechnen wir nun auch noch die Erfahrung und Expertise mit ein, die Hyperscaler aufgebaut haben, die einen großen Anteil des weltweiten Internetverkehrs auf ihren Servern haben, sind die Banken und Versicherungen bei ihnen in puncto Sicherheit bestens aufgehoben und können Services nutzen, die auf diesem Erfahrungsschatz basieren. 

Die Public-Cloud-Umgebung steht dem klassischen On-Premise-Modell in Sachen Cybersicherheit also in nichts nach und ist darüber hinaus aufgrund der geringen Fertigungstiefe deutlich weniger pflegeintensiv. Keine Frage: Die jüngste Zunahme der Hackerangriffe an Quantität, Qualität und Destruktivität ist besorgniserregend. Doch ist die Finanzwelt angesichts ihrer Cloud-Transformation dagegen nicht schlechter gewappnet als jemals zuvor.