Cloud-Banking in Europa: trübe Aussicht dank wolkenfreiem Himmel

Der Markt für Cloud-Dienstleistungen boomt. Nur die Finanzbranche – allen voran europäische Banken und Finanzdienstleister – schaut dem Treiben bisher eher skeptisch von der Seitenlinie zu. Dabei liegen auch für sie die Vorteile klar auf der Hand. Gleichzeitig scheinen die damit verbundenen Herausforderungen beherrschbar. Diese Einschätzung teilt nun auch die Deutsche Börse AG, die als einer der ersten großen europäischen Finanzkonzerne die Cloud-Spielwiese betreten hat.

1.000.000.000.000 USD. Diese Marktkapitalisierung – zumindest vorübergehend – zu erreichen, ist bisher drei Unternehmen gelungen. Bei zwei der drei Unternehmen, Amazon und Microsoft, wird diese Bewertung maßgeblich durch das zukunftsträchtige Geschäft mit Cloud-Services begründet. Einer Einschätzung des IT-Beratungs- und Marktforschungsunternehmens Gartner zufolge wurden im Jahr 2018 allein 182,4 Mrd. USD mit Public Cloud-Services umgesetzt. Gartners Prognosen gehen davon aus, dass sich diese Zahl bis 2022 mit 331,2 Mrd. USD fast verdoppeln wird. Ein Sektor, der für den Anstieg des Marktvolumens nicht verantwortlich gemacht werden kann, ist die (europäische) Finanzbranche. In einer global angelegten Studie vom März 2018 kommt die GFT Technologies SE zu dem Ergebnis, dass weltweit durchschnittlich lediglich 6 Prozent der Bankanwendungen auf Public Clouds laufen, wobei europäische Banken hier deutlich hinter der Konkurrenz aus Nordamerika zurückliegen. Auch die Deutschlandchefin von Microsoft, Sabine Bendiek, zählte vor Kurzem im Handelsblatt die Finanzbranche „nicht zu den stärksten Nutzern von Cloud-Lösungen“.

Eine diesbezüglich längst überfällige Zeitenwende hat nun die Deutsche Börse AG eingeleitet, die Anfang Mai 2019 eine umfassende Kooperation mit Microsoft in Sachen Public Cloud-Services verkündet hat und damit als ein Vorreiter in der europäischen Finanzbranche gelten kann. Dabei liegen die Vorteile der Cloud für Banken und Finanzdienstleister auf der Hand:

• Vorhandene Effizienzpotenziale bei der IT-Infrastruktur heben
• Kundenbedürfnisse besser verstehen und schneller bedienen

Demgegenüber gibt es zentrale Herausforderungen, die mit der Implementierung einer Cloud-Lösung verbunden sind:

• Regulatorischen Anforderungen gerecht werden
• Einhaltung des Datenschutzes sicherstellen

Vorhandene Effizienzpotenziale bei der IT-Infrastruktur heben

Die Wahrnehmung, dass Unternehmen der Finanzbranche in erster Linie IT-Unternehmen sind, die nebenbei auch noch Finanzdienstleistungen erbringen, kommt nicht von ungefähr. Immerhin handelt es sich hierbei um die Branche, die gemessen am Umsatz die höchsten Ausgaben für IT aufweist. Eine Untersuchung von Gartner aus dem Jahr 2015 beziffert den Anteil des IT-Budgets am Umsatz für die Finanzbranche auf 7,9 Prozent. Erst mit deutlichem Abstand folgen der öffentliche Sektor (6,1 Prozent) und die High-Tech-Branche (5,9 Prozent) auf den Plätzen zwei und drei. Insofern ist es nicht überraschend, dass Cloud-Lösungen insbesondere für Banken und Finanzdienstleister hohes Einsparpotenzial bieten.

Dieses Einsparpotenzial manifestiert sich in verschiedenen Dimensionen. Mit Blick auf den typischen Lebenszyklus der IT stehen zu Beginn hohe Anfangsinvestitionen in Hard- und Software. Mit Cloud-Lösungen werden diese Investitionen bzw. die korrespondierenden jährlichen Abschreibungen erheblich reduziert, da die entsprechende Infrastruktur vom Cloud-Anbieter zur Verfügung gestellt wird. Kurzum werden also Zahlungen für Anfangsinvestitionen in Zahlungen für laufende IT-Betriebskosten umgemünzt. Als Beispiel sei hier Capital One genannt, die gern als Cloud-Pionier der amerikanischen Finanzbranche bezeichnet werden. Ziel von Capital One ist es, mit dem Umzug in die Cloud die Anzahl eigener Rechenzentren von 8 auf 3 zu reduzieren. Ein Nebeneffekt ist, dass – anders als bisher – bei einer Cloud-Lösung keine hohe Rechenleistung oder Speicherkapazität für Spitzenlasten (z. B. Anzahl von Kreditkartentransaktionen am Black Friday) vorgehalten werden muss. Stattdessen wird zu diesen Spitzenzeiten die zusätzlich benötigte Rechenleistung oder Speicherkapazität automatisch hinzugebucht.

Im weiteren Lebenszyklus fallen Kosten für die Wartung von Hardware und Weiterentwicklung von Software an. Diese Aufgaben obliegen bei einer Cloud-Nutzung dem entsprechenden Cloud-Anbieter, wodurch IT-Kosten reduziert werden können. In letzter Konsequenz bedeutet dies auch, dass weniger IT-Personal benötigt wird. Neben einem geringeren Headcount bedarf es außerdem einem veränderten Skillprofil, das den Anforderungen an die Administration der Cloud-Infrastruktur Rechnung trägt. Bezüglich des regulären Betriebs der IT-Systeme verringert sich durch die Cloud zudem der Energiebedarf des Unternehmens. Hier besteht also nicht nur ein Kostensenkungspotenzial, sondern auch die Chance, die eigene CO2-Bilanz etwas aufzubessern – ein Umstand, der mithin als „Green IT“ bezeichnet wird.

Am Ende des Lebenszyklus steht das Abschalten von Systemen und Anwendungen. Was sich vermeintlich einfach anhört, ist bei vielen Instituten in Wirklichkeit eine diffizile Angelegenheit, die gern mit „Legacy System“ umschrieben wird. Im Prinzip ist „Legacy System“ nichts anderes als ein Flickenteppich. Die bestehende IT-Infrastruktur wurde über Jahre hinweg immer wieder verändert, sei es aufgrund von Fusionen, Integrationen, Modifikationen, neuen Sicherheitsanforderungen oder punktuellen Funktionserweiterungen. Im Ergebnis entstehen komplexe Abhängigkeiten, die das Abschalten von Altsystemen erschweren können. In der Cloud werden Systeme und Anwendungen zentral durch den Cloud-Anbieter orchestriert. Dank Software as a Service (SaaS), Platform as a Service (PaaS) und Infrastructure as a Service (IaaS) besteht hier für ein Institut zu jeder Zeit volle Transparenz und Handlungsfähigkeit.

Wie hoch die Einsparung bei den IT-Kosten durch die Cloud-Nutzung tatsächlich ist, hängt stark von den individuellen Gegebenheiten ab. Eine Reduzierung um bis zu 40 Prozent erscheint aber durchaus möglich. Für alle, die es genauer wissen wollen, stellt Amazon Web Services (AWS) einen Rechner zur Verfügung, der die „Total Cost of Ownership“ (TCO) mit und ohne Cloud vergleichend gegenüberstellt.

Kundenbedürfnisse besser verstehen und schneller bedienen

Mithilfe der Cloud ist es Banken und Finanzdienstleistern möglich, die Bedürfnisse ihrer Kunden besser zu verstehen. So erwartet sich die Deutsche Börse von der Cloud-Nutzung wesentliche Impulse für die Weiterentwicklung ihrer Kerntechnologien Big Data, Data Analytics, Künstliche Intelligenz und Blockchain. All dies dient dazu, den Kunden einerseits gezielt auf für ihn relevante Produkte anzusprechen und andererseits die Customer Experience zu verbessern. Darüber hinaus setzt beispielsweise HSBC die Cloud ein, um Betrugsfälle durch Maschinelles Lernen schneller und mit höherer Genauigkeit zu identifizieren. Der Cloud-Anbieter stellt hierbei nicht nur die erforderliche skalierbare Rechenleistung und Speicherkapazität zur Verfügung, sondern bietet zudem die entsprechenden Tools an.

Nachdem die Kundenbedürfnisse bekannt sind, kann die Time to Market für neue Bankprodukte oder Kundenanwendungen durch den Einsatz der Cloud deutlich reduziert werden. Möglich wird dies durch eine bedarfsorientierte Testumgebung, die vollständig von der Produktionsumgebung entkoppelt ist. Damit können Innovationen basierend auf verschiedenen Hardware-Konfigurationen simuliert und getestet werden – und das binnen Stunden und Tagen anstatt der bisher erforderlichen Wochen und Monate. Zweifellos hat dies auch Auswirkungen auf die Zusammenarbeit in Unternehmen: Agilität und DevOps sind hier die Begriffe der Stunde. Und wenn wir über diese Begriffe sprechen, schließt sich unmittelbar die Frage an, welchen Veränderungen es in der Unternehmenskultur und -organisation bedarf.

Regulatorischen Anforderungen gerecht werden

Für Unternehmen der Finanzbranche besteht die größte Herausforderung darin, Cloud-Lösungen im Rahmen umfassender regulatorischer Anforderungen zu adaptieren. Für deutsche Banken finden sich diese Anforderungen im Kreditwesengesetz (KWG), in den Mindestanforderungen an das Risikomanagement (MaRisk) und den Bankaufsichtlichen Anforderungen an die IT (BAIT) wieder. In Sachen Cloud-Nutzung besonders relevant ist der Auslagerungstatbestand gemäß § 25b KWG in Verbindung mit AT 9 MaRisk. Hier müssen die Institute vor allem bei wesentlichen Auslagerungen umfangreiche Pflichten erfüllen. Ein wesentlicher Aspekt dabei ist, dass sowohl das Institut als auch die Aufsichtsbehörden Zugangs- und Prüfungsrechte gegenüber dem Cloud-Anbieter haben. Zu diesem Zweck hat die Deutsche Börse bereits 2017 die Collaborative Cloud Audit Group gegründet. Dabei handelt es sich um einen Zusammenschluss verschiedener Unternehmen der Finanzbranche, die ihren jeweiligen Cloud-Anbieter gemeinsam prüfen. Eine charmante Lösung, die Zeit und Ressourcen bei allen Beteiligten spart.

Des Weiteren müssen die Institute sicherstellen, dass ihre Anwendungen und Daten jederzeit zur Verfügung stehen. Dies beinhaltet neben Notfallplänen (z. B. Ausfall der IT, Naturkatastrophen) auch die Erstellung regelmäßiger Backups. Gerade bei der Kompensation möglicher Ausfälle weisen Cloud-Anbieter aufgrund der Redundanz ihrer Systeme ein hohes Maß an Resilienz auf. Die Ausführung von Backup-Routinen gehört ohnehin zum Standardrepertoire von Cloud-Anbietern.

Auch wenn vermeintlich noch nicht alle aufsichtsrechtlichen Fragen in Zusammenhang mit der Cloud abschließend beantwortet sind, sind die Aufsichtsbehörden dennoch bemüht, Handlungssicherheit zu erzeugen. In einem ersten Schritt hat die European Banking Authority (EBA) hierfür im Jahr 2018 ihre „Empfehlungen zur Auslagerung an Cloud-Anbieter“ veröffentlicht.

Einhaltung des Datenschutzes sicherstellen

Daten sind das Gold des 21. Jahrhunderts und damals wie heute gilt es, Gold sicher zu lagern. Während beim Edelmetall typischerweise eine intrinsische Motivation für eine sichere Lagerung besteht, soll dies bei Daten durch entsprechende Verordnungen, wie die DSGVO, erreicht werden. Neben der Geheimhaltung der gespeicherten Daten, geht es auch darum, die Integrität der Daten, also den Schutz vor unbefugten Veränderungen oder Löschungen, zu garantieren. Diesbezüglich verfügen Cloud-Anbieter über eine ausgewiesene Expertise. So steht der Datenschutz – sei es die Abwehr von Cyberattacken oder die physische Sicherheit der Rechenzentren – im Zentrum ihres Geschäftsmodells. Bei Banken oder Finanzdienstleistern ist dies lediglich ein Nebenprodukt, das sie verpflichtet sind, zu erbringen. Zudem räumen Cloud-Anbieter die Möglichkeit ein, Daten nur in Rechenzentren einer bestimmten Region (z. B. Europa, Deutschland) verarbeiten zu lassen.

Bereits im Mai 2017 hat die Depository Trust and Clearing Corporation (DTCC) die Leistungsfähigkeit der Cloud wie folgt beschrieben:

Cloud computing has reached the tipping point as the capabilities, resiliency and security of services provided by cloud vendors now exceed those of many on-premises data centers.

Zwar haben gemäß der Studie von GFT Technologies auch die Verantwortlichen der europäischen Finanzinstitute die Zeichen der Zeit erkannt und wollen zukünftig verstärkt auf die Cloud setzen. Halbherzig sollte dieser Schritt jedoch keinesfalls erfolgen, denn bei der Integration der Cloud geht es nicht darum, sich einen Wettbewerbsvorteil zu erarbeiten. Vielmehr geht es darum, die eigene Wettbewerbsfähigkeit sicherzustellen. Und nur wenn dies gelingt, sind die Voraussetzungen für eine positive Entwicklung des eigenen Unternehmenswerts geschaffen – auch wenn Sphären wie bei Amazon oder Microsoft vermutlich nicht erreicht werden.