FI-Magazin: Cyber-Resilienz wird häufig mit steigenden Angriffsszenarien und -zahlen begründet. Sie haben auf dem FI-TS Management Forum im Frühjahr jedoch betont, dass sie eng mit digitaler Souveränität und Regulatorik verknüpft ist. Wie greifen diese drei Ebenen im operativen Betrieb konkret ineinander?

Dr. Christian Thiel: Cyber-Resilienz entsteht nicht allein durch zusätzliche Sicherheitsmaßnahmen. Entscheidend ist, dass Institute auch unter Stress handlungsfähig bleiben – technisch, organisatorisch und regulatorisch. Dafür braucht es souveräne IT-Strukturen, klare Verantwortlichkeiten und Betriebsmodelle, die regulatorische Anforderungen von Anfang an berücksichtigen.

Für FI-TS heißt das: Wir übersetzen Anforderungen aus DORA, MaRisk und weiteren Vorgaben in stabile Architekturen, belastbare Prozesse, wirksame Kontrollen und prüffähige Nachweise. Sicherheit und Resilienz sind damit kein Zusatz zum Betrieb, sondern Grundprinzipien unserer Architektur – von eigenen Rechenzentren über Failover-Konzepte und Black-Building-Tests bis hin zum Cyber Defence Center und regelmäßigen Angriffssimulationen.

FI-Magazin: Welche Rolle spielen regulatorische Anforderungen wie DORA in der praktischen Umsetzung – und wo verändern sie Architektur und Betrieb tatsächlich?

Dr. Christian Thiel: DORA hat eine transformative Kraft, weil die Verordnung weiter geht als bisherige aufsichtsrechtliche Anforderungen und konkreter als diese ist. Dadurch verändert sie Architektur und Betrieb – etwa durch spezifischere Anforderungen an die IKT-Sicherheitsarchitektur.

Konkret verlangt DORA regelmäßige Resilienztests. Für besonders kritische Funktionen gehören dazu auch verpflichtende Penetrationstests, die reale Angriffsszenarien nachstellen – sogenannte Threat-Led Penetration Tests. Ergänzt wird das durch ein umfassendes Risikomanagement für die Informations- und Kommunikationstechnologie – kurz IKT: IT-Risiken sind dauerhaft zu überwachen. Hinzu kommen Melde- und Klassifizierungspflichten für IKT-Vorfälle.

Auch das Drittparteien-Management wird deutlich konkreter: durch vollständige Informationsregister, Anzeigepflichten bei Aus- und Weiterverlagerungen sowie ein kontinuierliches Monitoring von IKT-Drittanbietern und deren Konzentrationsrisiken. Ergänzend wirken Vereinbarungen zum Austausch von Cyber-Bedrohungs- und Kriseninformationen, Szenarioanalysen sowie verpflichtende Krisen- und Notfallübungen. All dies jeweils mit höheren Anforderungen bei so genannten kritischen oder wichtigen Funktionen (kwF).

FI-Magazin: Was unterscheidet eine „resiliente“ IT-Architektur konkret von klassischen Sicherheitsansätzen?

Dr. Christian Thiel: Klassische Sicherheitsansätze setzen vor allem auf Prävention und Abwehr. Ein resilienter Ansatz geht darüber hinaus und fragt auch: Wie bleiben Systeme unter Stress handlungsfähig, und wie schnell können kritische Services wiederhergestellt werden? Gerade leistungsstarke Frontier-Modelle wie Mythos haben in den letzten Monaten gezeigt, dass dies unerlässlich ist. Für FI-TS bedeutet das konkret für die vier oben genannten Dimensionen der Souveränität: Zur rechtlichen und organisatorischen Souveränität gehören der deutsche Rechtsraum und eigene, deutsche Rechenzentrums-Standorte.

Bei der operativen Souveränität ist – neben den bereits beschriebenen Maßnahmen – ein wichtiges Prinzip Zero Trust. Das heißt für uns: nichts ungeprüft vertrauen, alles konsequent überprüfen – etwa durch klare Segmentierung, kontinuierliche Erkennung und Überwachung sowie regelmäßige Patches und Tests. So wird Sicherheit nicht als zusätzlicher Schutzwall verstanden, sondern als Grundprinzip für Architektur und Betrieb. Auch Energie-Resilienz spielt hier eine Rolle, etwa durch unsere Beteiligung an Solarparks, um auch gegen Energiepreisschocks gewappnet zu sein.

Technologische Souveränität unterstützen wir durch einen Multi-Vendor-Ansatz, die Vermeidung von Vendor Lock-in, Open Source und beispielsweise unseren Finance Cloud Orchestrator für Multi-Cloud, ohne in eine Herstellerabhängigkeit zu gehen. Und zur Datensouveränität gehört, dass Daten in Deutschland bleiben und der technische Datenfluss vollständig unter Kontrolle ist – etwa über dedizierte Leitungen, das deutschlandweite Corporate WAN der FI-Unternehmensgruppe und durch entsprechende Verschlüsselung.

FI-Magazin: Welche Rolle spielt beim Thema Resilienz die Zusammenarbeit zwischen Dienstleister und Institut in der praktischen Umsetzung?

Dr. Christian Thiel: Resilienz setzt eine geteilte Verantwortung und eine enge Zusammenarbeit zwischen Instituten und Dienstleister voraus. Die Kunden definieren ihre Anforderungen auf Basis regulatorischer Vorgaben und der eigenen Risikobewertung. Der IT-Dienstleister trägt durch Architektur, Betrieb und Vertragsgestaltung zur technischen und operativen Umsetzung bei. Diese Verantwortungsteilung fließt entsprechend auch in die vertraglichen Regelungen ein.

Konkret bedeutet das: FI-TS bringt ein tiefes Verständnis der Regulatorik bereits mit. Dadurch ist ein gemeinsames Navigieren durch Anforderungen aus DORA, MaRisk und weiteren Vorgaben möglich. Hinzu kommen gemeinsame Threat Intelligence, Abstimmungen zwischen den Cyber Defence Centern der Institute und FI-TS sowie die Durchführung von Threat-Led Penetration-Tests (TLPT).

Wichtig ist außerdem Transparenz über Architekturen, damit regulatorische Anforderungen sauber umgesetzt werden können. Auch bei Audits unterstützt FI-TS die Institute – etwa durch MaRisk-konforme Revision, Prüfungsbereitschaft bei aufsichtsrechtlichen Prüfungen durch unsere zentrale Koordinationsstelle (ZKS) sowie die Mitgliedschaft in der Collaborative Cloud Audit Group, kurz CCAG, die gebündelte Audits von Cloud-Dienstleistern für Finanzinstitute unterstützt.

FI-Magazin: Welche Rolle spielt die Zusammenarbeit mit der Finanz Informatik für die Umsetzung von Cyber-Resilienz im Verbund – insbesondere mit Blick auf durchgängige Sicherheits- und Betriebsmodelle?

Dr. Christian Thiel: Die Zusammenarbeit zwischen FI und FI-TS ist der Schlüssel für Cyber-Resilienz im Verbund. Es geht dabei nicht nur um technische Schnittstellen, sondern um gemeinsame Sicherheits- und Betriebsmodelle, gegenseitiges Lernen und das Heben von Synergien. Wir haben gemeinsame Vorgaben zur Informationssicherheit, abgestimmte Sicherheitsprinzipien im Betrieb und nutzen die gleichen Architekturen und Technologien. Hinzu kommt eine gemeinsame Multi-Vendor-Strategie, um Abhängigkeiten zu reduzieren und die Unabhängigkeit im Verbund zu stärken.

FI-Magazin: Was ist aus Ihrer Sicht der wichtigste nächste Schritt für Banken und Versicherungen – und welche Rolle wird FI-TS dabei einnehmen? 

Dr. Christian Thiel: Der wichtigste Schritt ist, Cyber-Resilienz als „New Normal“ zu verstehen. Sie ist keine Projektaufgabe, sondern sollte als Daueraufgabe tief in der DNA der Institute verankert sein. Cyber-Resilienz ist auch nicht nur Aufgabe der hauseigenen IT, sondern betrifft das gesamte Institut. Dazu gehören dauerhafte Investitionen in Cyber-Resilienz und eine stärkere Automatisierung der Prozesse. Mit Excel-Listen und vielen manuellen Tätigkeiten lässt sich die Komplexität auf Dauer nicht mehr beherrschen.

FI-TS sieht sich hier als Guide und Partner. Unser Anspruch „Connecting IT & Finance“ beschreibt genau diese Rolle: regulatorische Sicherheit und technologische Innovation miteinander zu verbinden. Als Enabler stellt FI-TS souveräne IT-Infrastruktur in Deutschland bereit – mit maximalem Kontrollanspruch. Gleichzeitig bringen wir Innovationen in den regulierten IT-Betrieb – von Microsegmentierung und EDR bis zu KI-Angeboten wie GPU as a Service oder LLM as a Service auf Basis des S-KIPiloten.

Kurz: Für uns sind Souveränität, Regulatorik und Resilienz untrennbar verbunden. FI-TS positioniert sich als souveräner Partner, der regulatorische Komplexität in Stabilität übersetzt – und Instituten damit Handlungsspielraum für ihr Kerngeschäft gibt.