Die Multi-Cloud bringt Banken digitale Kontrolle

Multi-Cloud-Architekturen bieten der Bankenbranche eine große digitale Souveränität - wenn sie richtig konzipiert sind. Dabei geht es nicht um vollständige Autarkie, sondern um die bestmögliche Kontrolle - rechtlich, technisch und operativ.

Digitale Souveränität ist im Bankensektor zu einem der drängendsten strategischen Themen geworden. Vor allem wegen einer Entwicklung, die lange unterschätzt wurde: der strukturellen Abhängigkeit von wenigen globalen Cloud-Anbietern. Das hat das AWS-Outage, also der Ausfall des Amazon Web Service, den Online-Dienste, Websites und Apps weltweit nutzen, im Oktober dieses Jahres erneut nachhaltig vor Augen geführt. Und spätestens Diskussionen um extraterritoriale Zugriffe und geopolitische Spannungen haben gezeigt, dass diese Abhängigkeiten nicht nur technische, sondern auch rechtliche und politische Risiken erzeugen. 

Abhängigkeit von US-Cloud-Anbietern gefürchtet

Die Zahlen sind eindeutig: Laut Bitkom halten 78 Prozent der deutschen Unternehmen ihre Abhängigkeit von US-Cloud-Anbietern für zu hoch. Für Banken kommen weitere Dimensionen hinzu: steigende regulatorische Vorgaben, zunehmende Cyberangriffe und ein geopolitisches Umfeld, in dem Daten nicht mehr nur Ressourcen, sondern politisches Druckmittel sind. 

Für Banken, deren Geschäftsmodell unmittelbar von Integrität, Verfügbarkeit und Vertraulichkeit - digitaler Daten - abhängt, ist das ein Warnsignal. Die Branche muss sich fragen, wie viel Kontrolle sie tatsächlich über ihre digitalen Grundlagen besitzt und welche Teile der Infrastruktur wem anvertraut wurden. 

Wenn Rechtsräume wichtiger werden als Rechenzentren 

Lange beruhigte man sich in Europa mit der Vorstellung, dass Daten im eigenen Land sicher seien. Doch diese Gewissheit ist brüchig geworden. Denn die entscheidende Frage ist heute nicht mehr, wo Daten gespeichert werden, sondern welches Recht ultimativ über sie entscheidet. 

Gesetze wie der US Cloud Act erlauben amerikanischen Behörden, Daten von Unternehmen herauszuverlangen - selbst dann, wenn die Daten physisch in Frankfurt, Dublin oder Zürich liegen. Einzige Bedingung: Der Anbieter muss seinen Firmensitz oder wesentliche Strukturen in den USA haben. Für Banken bedeutet das: Die Wahl eines Rechenzentrums im Inland ist kein Schutz mehr vor Zugriffen von außen. Und juristische Konflikte zwischen europäischen Datenschutzstandards und ausländischen Gesetzen sind keine theoretischen Diskussionen, sondern ein akutes Compliance-Risiko. 

Geopolitik als neue Systemvariable 

Zu dieser Rechtslage kommt die geopolitische Dimension. Staaten investieren zunehmend in digitale Einflusszonen, nutzen Datenströme als Machtinstrument oder setzen extraterritoriale Regeln durch. Was im globalen Wettbewerb um Halbleiter und Plattformökonomien sichtbar ist, gilt im Verborgenen auch für den Finanzsektor. Für Banken entstehen daraus zwei Risiken: 

1. Ein politischer Zugriff kann den Betreiber zwingen, Daten herauszugeben oder Services einzuschränken. 
2. Ein geopolitischer Konflikt kann technische Abhängigkeiten plötzlich zur Achillesferse machen. 

Egal, welches dieser Risiken zum Tragen kommt, durch die starke Bündelung von Workloads bei nur wenigen globalen Anbietern werden die Auswirkungen in jedem Fall verstärkt und im Zweifel systemweit spürbar. Dass die digitale Infrastruktur heute strategische Infrastruktur ist, zeigt sich spätestens dort, wo Cloud-Services, Identitätsdienste oder Verschlüsselungssysteme nicht mehr vollständig unter eigener Kontrolle stehen. 

Der Bankensektor ist besonders verletzlich

Kaum ein Bereich ist so reguliert, so datensensibel und so stark digitalisiert wie das Finanzwesen. Gleichzeitig sind Banken über Jahrzehnte in komplexe IT-Strukturen hineingewachsen, die nicht einfach verschoben oder repliziert werden können. Ein modernes Kernbankensystem mit all seinen Abhängigkeiten zu migrieren, ist ein gigantisches Vorhaben, das nicht von einem Anbieter zum anderen "über Nacht" möglich ist.

So entsteht eine paradoxe Situation: Banken sollen resilient, unabhängig und datenschutzkonform agieren - arbeiten aber gleichzeitig mit globalen Plattformen, deren juristische und operative Kontrolle sie nur begrenzt beeinflussen können. 

Die zentralen Stellhebel für digitale Souveränität

Digitale Souveränität ist kein Zustand, sondern eine Architektur- und Managemententscheidung. Drei Bereiche sind entscheidend: 

1. Jurisdiktion: Recht als Risikofaktor 

Banken müssen systematisch prüfen, unter wessen Gesetzen ihre Daten, Schlüssel und Betreiber fallen. Eine souveräne Cloud bedeutet nicht "europäische Adresse", sondern rechtliche Abschirmung gegenüber extraterritorialen Zugriffen. Oft erfüllen nur Anbieter mit Sitz in der EU oder der Schweiz diese Voraussetzung. 

2. Technik: Schlüsselkontrolle als Machtfrage 

Wer die kryptografischen Schlüssel kontrolliert, kontrolliert die Daten. Entscheider sollten deshalb auf Modelle setzen, bei denen: 

• Schlüssel ausschließlich in der Hoheit des Instituts bleiben, 
• der Anbieter technisch keinen Zugang zu Klartextdaten hat, 
• Zero-Knowledge-Architekturen Zugriffspfade verschließen. 

Es ist die wahrscheinlich klarste Sicherheitsregel unserer Zeit: Ohne Schlüsselhoheit gibt es keine Souveränität. 

3. Betrieb: Wer hat im Ernstfall Zugriff? 

Die operative Ebene ist oft die übersehene Schwachstelle. Banken müssen sicherstellen, dass: 

• nur regional autorisierte Teams administrativen Zugriff erhalten, 
• Zugriffe nach dem Vier-Augen-Prinzip erfolgen, 
• alle Aktivitäten protokolliert, nachvollziehbar und begrenzt sind, 
• Notfallzugriffe nicht unkontrolliert eskalieren können. 

Souveränität bedeutet auch, im Krisenfall eigenständig handlungsfähig zu bleiben. 

Multi-Cloud als realpolitische Lösung 

Viele Banken wissen: Die vollständige Rückkehr in proprietäre On-Premises-Welten wäre weder ökonomisch noch technologisch sinnvoll. Der Weg führt deshalb nicht zurück, sondern vorwärts über Multi-Cloud-Architekturen. Richtig konzipiert, erlaubt Multi-Cloud eine Trennung nach Kritikalität: 

• Hochsensible Kernprozesse wandern in souveränen Umgebungen. 
• Standardisierte Workloads verbleiben in leistungsfähigen, globalen Clouds. 
• Portabilität - über Containerisierung, offene Standards und Exit-Strategien - schützt vor neuen Lock-ins. 
• Getrennte Schlüsselverwaltung verhindert, dass Anbieter Daten und Schlüssel gleichzeitig kontrollieren. 

Multi-Cloud ist damit weniger ein Trend als ein Instrument zur Risikodiversifikation, vergleichbar mit der Logik eines Portfolios. 

Souveränität wird zum Wettbewerbsvorteil 

Was vor wenigen Jahren als Fachthema galt, wird jetzt zur strategischen Kennzahl. Banken, die die Kontrolle über ihre digitalen Ressourcen nachweisen können, gewinnen Vertrauen bei Kunden, Partnern und Aufsichtsbehörden und reduzieren operative Risiken, die sonst in die Bewertung von Geschäftsmodellen einfließen. In einer Welt, in der digitale Transparenz und Resilienz zunehmend über Marktchancen entscheiden, ist Souveränität kein Luxusprojekt, sondern ein Stabilitätsanker. 

Fazit: Der Finanzsektor steht vor einer Phase, in der technologische Abhängigkeiten neu bewertet werden müssen. Digitale Souveränität ist dabei nicht das Versprechen vollständiger Autarkie, sondern die Sicherstellung von Kontrolle - rechtlich, technisch und operativ. Die kommenden Jahre werden zeigen, welche Banken diese Herausforderung frühzeitig ernst nehmen. Klar ist: Wer heute in digitale Unabhängigkeit investiert, schafft die Grundlage für Stabilität in einer Welt, die unsicherer, dynamischer und vernetzter geworden ist als je zuvor.