Ob Volksbanken, Sparkassen oder Privatbanken: Die Unternehmen des Finanzsektors lagern immer mehr IT-Dienstleistungen an spezialisierte Anbieter aus, warnen die Bankenaufseher von der Europäischen Zentralbank (EZB) und der Bundesanstalt für Finanzdienstleistungsaufsicht (Bafin). Die Bankenkontrolleure befürchten, dass diese Praxis den Finanzsektor störungsanfälliger machen könnte: „Das gilt insbesondere dann, wenn eine geringe Anzahl spezialisierter IT-Dienstleister ihr Angebot für eine Vielzahl von Unternehmen zur Verfügung stellt“, formuliert die Bafin. Kettenreaktionen drohen, wenn diese wenigen Dienstleister ihrerseits Aufgaben an Dritte weiterreichen.

Donnerstag

Wirtschaft in Berlin

Abonnieren Sie kostenlos den Wirtschafts-Newsletter der Berliner Morgenpost

Mit meiner Anmeldung zum Newsletter stimme ich der Werbevereinbarung zu.

„Bereits einzelne Störungen können gravierende Auswirkungen auf den Finanzsektor haben“, warnt die Bafin. „Fällt ein externer Anbieter aus – zum Beispiel durch Cyberangriffe, technische Störungen oder Compliance-Verstöße – kann das systemrelevante Auswirkungen haben“, sagt Anne Kleppe, Partnerin bei Boston Consulting. Für Bankkunden bedeute das im schlimmsten Fall: kein Zugriff aufs Onlinebanking, Verzögerungen bei Transaktionen oder der Verlust persönlicher Daten.

„Die wenigen großen Dienstleister stellen ein attraktives Ziel für Cyber-Kriminelle dar“, warnt Matthias Oßmann, Partner bei BDO-Financial Services.

Mehr zum Thema Cyber-Sicherheit

Deutsche Aufsichtsbehörde: Abhängigkeit von IT-Dienstleistern bereitet Sorge

Was die deutsche Aufsichtsbehörde außerdem beunruhigt: Viele Banken könnten die beauftragten Zuarbeiter gar nicht mehr kurzfristig wechseln. Zig Unternehmen seien faktisch an ihre IT-Dienstleister gebunden, insbesondere, wenn sie deren Software nutzen.

Vor allem die dezentral arbeitenden Genossenschaftsbanken und Sparkassen lagern vor Ort ihre IT aus. Beide Verbünde beschäftigen einen zentralen Dienstleister, der für alle arbeitet. Nach Angaben des Bundesverbands BVR arbeitet das Frankfurter Unternehmen Atruvia für alle Volks- und Raiffeisenbanken, nicht aber für den Fondsanbieter Union Investment oder das Spitzeninstitut DZ-Bank. Nach eigenen Angaben betreut Atruvia bundesweit rund 700 VR-Banken, dazu Privatbanken und andere Unternehmen wie den ADAC, kümmert sich um mehr als rund 150.000 Bankarbeitsplätze und verwaltet 89 Millionen Kundenkonten.

Data center server racks. IT modern hardware server room, data storage center, database information system. Hosting, it data backup, computing technology service, network security, supercomputers, 3D
Server-Racks in einem Rechenzentrum. © Getty Images | quantic69

Bei den Sparkassen heißt der zentrale Dienstleister „Finanz Informatik“. Kunden sind Sparkassen, Landesbausparkassen, Landesbanken und die DekaBank. Mit 114 Millionen betreuter Konten, 205 Milliarden technischen Transaktionen und 312.919 unterstützten Endgeräten wirbt der Anbieter.

Zentralisierung der Bank-IT: Vorteil oder Achillesferse?

Anders als private Großbanken könnten sich einzelne Sparkassen oder Volksbanken keine großen IT-Abteilungen leisten, betonen deren Vertreter. „Volksbanken und Raiffeisenbanken haben kaum eigene IT-Abteilungen“, sagt ein BVR-Sprecher. Weil Atruvia den Mitgliedsinstituten gehöre, könnten diese auch hohe Sicherheitsstandards durchsetzen.

Die Finanz Informatik (FI) bündele die wesentliche IT der Sparkassen, bestätigt eine Sprecherin des Deutschen Sparkassen- und Giroverbandes (DSGV). „Damit konzentrieren sich hier auch Risiken“. Ein Cybervorfall könne mehrere Systeme und oder Institute betreffen. Doch sei der zentrale Anbieter in der Lage, IT-Systeme auf einem Sicherheitsniveau zu betreiben, das für kleinere Institute allein nicht darstellbar wäre: „Störungen und Schwachstellen lassen sich schneller identifizieren und beheben“.

Das private Bankenlager gibt sich auf die Frage nach extern erbrachter IT zugeknöpfter. Auch hier existiert ein zentraler Dienstleister, wenngleich offenbar weniger bedeutsam. Vor allem die Großbanken beschäftigen noch große Stäbe im eigenen Haus. Nach Angaben des Bundesverbands Deutscher Banken betreut der Kölner Bank-Verlag – eine hundertprozentige Tochter – rund 150 Kreditinstitute.

DORA: Neue Regeln für digitale Stabilität im Finanzsektor

Um das Auslagerungsgeschehen im Blick zu behalten, unterhält die Bafin eine Datenbank. Danach haben seit Ende 2022 rund 2.200 beaufsichtigte Unternehmen aus Finanz- und Versicherungswirtschaft etwa 24.000 wesentliche Auslagerungen angezeigt.

Gerade bei IT-Auslagerungen werde der Finanzmarkt von wenigen Anbietern beherrscht, die teils im außereuropäischen Ausland sitzen, kritisiert Kleppe. „Wenn kritische Bankprozesse langfristig auf Cloud-Plattformen und KI ausländischer Anbieter angewiesen sind, stellt sich nicht nur ein operationelles, sondern auch ein geopolitisches Risiko“, warnt sie. Zur besseren Überwachung auf europäischer Ebene gibt es seit Ende 2022 die ‚Verordnung zur digitalen operationellen Resilienz im Finanzsektor‘ (DORA).

Auch interessant

DORA erweitere das Risikomanagement über die Grenzen einzelner Institute hinaus auf deren gesamte digitale Lieferkette – einschließlich externer IT-Dienstleister, sagt Kleppe. Sie verlange von Banken eine systematischere Steuerung ihrer ausgelagerten IT-Dienstleistungen einschließlich Verträgen, Exit-Strategien, Risikoanalysen oder Notfallplänen. Das könne auch höheren Gebühren für Bankdienstleistungen führen, sagt BDO-Experte Oßmann.

Überdies bleibe die strukturelle Abhängigkeit von wenigen globalen Tech-Konzernen, insbesondere im Cloud- und KI-Bereich, bestehen, mahnt Kleppe: „DORA schreibt keine Diversifikation vor und setzt keine konkreten Anreize für europäische Alternativen“.