Dürfen Banken Clouds?

×

Cloud-Modelle sind für Banken eine interessante Möglichkeit, Daten effizient zu verwalten und Kosten zu reduzieren. Doch welche Clouds sind mit dem KWG und den MaRisk überhaupt vereinbar?

Mit dem Einsatz von Cloud-Modellen im Outsourcing an (Verbund)-Rechenzentren und deren Cloud-Dienstleister haben Banken eine neue Ära eingeläutet. Das Argument für die Wolken: Sie tragen zur Kosten- und Dateneffizienz sowie zur Flexibilität bei. Sie punkten durch weniger komplexe Strukturen. Außerdem unterstützen Outsourcing-Servicer Banken bei der Verwaltung ihrer Daten. Mit Finance-Clouds können Geldinstitute ihre Prozess-Exzellenz vorantreiben.

Sind Public Clouds für Banken tragbar?

Nach Untersuchungen von Cloud-Experten der Finanz Informatik Technologie Service (FI-TS), dem IT-Partner der Finanz- und Versicherungsbranche, sind im Bankenbereich verschiedene Cloud-Varianten auf dem Vormarsch, darunter Private oder Public Clouds sowie Branchen-Clouds. Dabei stellt sich aber die Frage, ob Banken insbesondere Public Clouds nach §25a des Kreditwesen-Gesetzes (KWG) nutzen dürfen. Oder ob regulatorische Vorgaben, neben dem KWG die Mindestanforderungen an das Risikomanagement an Kreditinstitute (MaRisk), nicht den Einsatz und die Vermarktung von Cloud-Lösungen im Finanzsektor erschweren.

Der Unternehmensberater Hartmut Jäger von der HDP Management Consulting GmbH in Frankfurt merkt gegenüber Springer für Professionals dazu an, dass die Bundesanstalt für Finanzdienstleistungsaufsicht (Bafin) eventuell einer Nutzung von Cloud-Lösungen nicht zustimmen kann. Es sei "nicht klar, ob die Vorgaben der Bafin mit Cloud-Lösungen erfüllbar sind".

Bafin sieht keine Hürden

Bafin-Sprecher Ben Fischer sieht diese Hürde jedoch eher nicht, und verweist auf Punkt 7.2 in den MaRisk. Danach müssen "IT-Systeme und die zugehörigen IT-Prozesse die Integrität, die Verfügbarkeit, die Authentizität sowie die Vertraulichkeit der Daten" sicherstellen. Dies gelte im Grundsatz auch für Cloud-Modelle, wobei natürlich jeweils im Einzelfall geprüft werden müsse. "Gerade Rechenzentren", so Fischer, hätten "fast alle IT an Dienstleister ausgelagert", die sei gängige Praxis. Auch dies muss "den aufsichtsrechtlichen Vorgaben entsprechen". Banken müssen sicherstellen, dass auch für outgesourcte Geschäftsbereiche die erforderlichen Risiko-Controlling-Prozesse gewährleistet sind.

Gut für die Banken. Denn nicht zuletzt stehen hinter Clouds auch Wertschöpfungschancen, wie Springer-Autor Raimund Matros in seinem Buch "Der Einfluss von Cloud Computing auf IT-Dienstleister" aufzeigt. Er betrachtet anhand von Fallstudien unter anderem Clouds als Geschäftsmodelle und diskutiert relevante Einflussgrößen in verschiedenen Marktvarianten.