{"id":14538,"date":"2021-07-26T08:47:59","date_gmt":"2021-07-26T06:47:59","guid":{"rendered":"https:\/\/hub.hslu.ch\/retailbanking\/?p=14538"},"modified":"2026-02-11T14:52:57","modified_gmt":"2026-02-11T13:52:57","slug":"ist-die-nutzung-von-public-cloud-diensten-fuer-banken-moeglich","status":"publish","type":"post","link":"https:\/\/hub.hslu.ch\/retailbanking\/ist-die-nutzung-von-public-cloud-diensten-fuer-banken-moeglich\/","title":{"rendered":"Ist die Nutzung von Public Cloud-Diensten f\u00fcr Banken m\u00f6glich?"},"content":{"rendered":"\n\n\n

Am 28. Februar 2020 hat der Bundesrat gest\u00fctzt auf das Epidemiegesetz die besondere Lage ausgerufen. Zwei Wochen sp\u00e4ter wurde die ausserordentliche Lage verordnet. Dies hat f\u00fcr Banken bedeutet, dass von einem Tag auf den anderen ein grosser Teil der Mitarbeitenden von zu Hause aus gearbeitet haben. Wie schnell und reibungslos der Zugriff auf die Banksysteme erm\u00f6glicht wurde, hat wohl nicht nur manchen Mitarbeitenden \u00fcberrascht. M\u00f6glich war dieser \u00dcbergang vom B\u00fcro zum Home Office dank der vielerorts bereits vorhandenen M\u00f6glichkeit mittels VPN (V<\/strong>irtual P<\/strong>rivate N<\/strong>etwork), oder \u00e4hnlichen Technologien sicher, auch ausserhalb des Bankgeb\u00e4udes, auf Kernbanken- und Arbeitsplatzsysteme zuzugreifen. W\u00e4hrend mit diesen technischen L\u00f6sungen der Bankbetrieb ungest\u00f6rt weitergef\u00fchrt werden konnte, hat sich bald herausgestellt, dass die Arbeit aus dem Home Office auch M\u00f6glichkeiten der digitalen Kommunikation und Zusammenarbeit, wie Videokonferenzen, das Teilen des Bildschirms oder digitale Whiteboards verlangt. Auf der Suche nach passenden Produkten haben die Banken schnell gemerkt, dass die meisten dieser L\u00f6sungen als Dienst in einer Public Cloud angeboten werden. Public Cloud-Dienste sind Angebote eines Providers, der diese offen \u00fcber das Internet f\u00fcr jedermann zug\u00e4nglich macht. Public Cloud Provider (PCP) sind beispielsweise Amazon, Google, Microsoft oder Alibaba. W\u00e4hrend der ortsunabh\u00e4ngige Zugriff auf die Banksysteme noch \u00fcber sichere Internetverbindungen ins eigene Rechenzentrum sichergestellt werden konnte, stellte sich mit den neuen Arbeitsformen f\u00fcr die IT-Verantwortlichen auf einmal die Frage: K\u00f6nnen wir als Bank \u00fcberhaupt Public Cloud-Dienste nutzen?<\/p>\n\n\n\n

Zur\u00fcckhaltender Einsatz von Public Cloud-Diensten bei Banken<\/strong><\/p>\n\n\n\n

Gem\u00e4ss einer weltweiten Studie des Marktforschungsinstituts IDC vom Mai 2020 nutzen 57% der Banken in der einen oder anderen Form Public Cloud-Dienste. Interessanter als die schiere Anzahl von Banken, die Public Cloud nutzen, ist die Frage, wieviel Workload mittlerweile in die Cloud verlagert wird. Gem\u00e4ss einer Sch\u00e4tzung der Boston Consulting Group vom Mai 2021 verlagern Banken h\u00f6chstens 15% des Workloads in die Public Cloud. Es darf vermutet werden, dass die Zahlen f\u00fcr Schweizer Banken nochmals tiefer ausfallen. Dies, obwohl in einer Expertenumfrage der SBVg zusammen mit Accenture vom Juni 2021 84% der Interviewpartner Cloud Computing als Schl\u00fcssel-Technologie f\u00fcr die zuk\u00fcnftige Orchestrierung der Wertsch\u00f6pfung sehen. Der zur\u00fcckhaltende Einsatz von Cloud-Diensten kann unter anderem damit erkl\u00e4rt werden, dass viele Schweizer Banken Standard-Kernbankensysteme einsetzen. Da diese in den meisten F\u00e4llen (noch) nicht cloud-f\u00e4hig sind, k\u00f6nnen die Banken ihren Workload von Gesch\u00e4ftstransaktionen nicht in eine Public Cloud verlagern. In der Folge haben auch Banken in der Schweiz angefangen in beschr\u00e4nkt kritischen Bereichen Public Cloud-Dienste auszuprobieren. Mal ist dies eine neue digitale L\u00f6sung an der Kundenschnittstelle, mal ist dies die Webseite und mal sind dies Data Analytics Berechnungen.<\/p>\n\n\n

\n
\"\"<\/a>
Abbildung 1: Einsatz von Public Cloud-Diensten durch Banken, weltweit<\/em><\/figcaption><\/figure>\n<\/div>\n\n\n

Der unbestrittene Vorteil von Cloud-Diensten liegt zum einen in Einsparungen entlang des gesamten Lebenszyklus von IT-L\u00f6sungen, die sich im Einzelfall auf mehr als 20% summieren k\u00f6nnen. Zum anderen kann die \u00abTime to Market\u00bb von Software-L\u00f6sungen durch Automatisierung deutlich reduziert werden.<\/p>\n\n\n\n

Ort der Datenhoheit als Pi\u00e8ce de Resistance f\u00fcr Banken<\/strong><\/p>\n\n\n\n

Der Sprung in die Cloud erfordert, dass verschiedene H\u00fcrden erfolgreich \u00fcbersprungen werden. So gilt es zwischen einer Single und Multi-Cloud-Strategie zu entscheiden, Fragen der Betriebssicherheit sind zu kl\u00e4ren, und Kosten und Risiken der Migration sind durch eine Migrationsstrategie zu optimieren. In all diesen Aspekten ist die \u00abJourney-to-the-Cloud\u00bb f\u00fcr Unternehmen vergleichbar und kaum bankspezifisch. Anders stellt sich die Situation rund um das Thema der Datenhoheit dar. Vor allem aufgrund der regulatorischen Rahmenbedingungen sind Banken gezwungen, in Fragen der Datenhoheit ihren eigenen Weg einzuschlagen.<\/p>\n\n\n\n

Am 16. Juli 2020 f\u00e4llte der EU-Gerichtshof ein Urteil in dem als Schrems II<\/em> bekannten Fall. Mit seiner Entscheidung erkl\u00e4rte der Gerichtshof die Wirkung des EU-US-Datenschutzschilds (\u00abPrivacy shield\u00bb) f\u00fcr ungen\u00fcgend. Damit wurde die wichtigste rechtliche Grundlage, um personenbezogene Daten aus der EU in die USA zu \u00fcbertragen und dort zu speichern, f\u00fcr ung\u00fcltig erkl\u00e4rt. Ausschlaggebend f\u00fcr den Gerichtsbeschluss war, dass die amerikanischen Beh\u00f6rden nach dem Recht der Vereinigten Staaten, auf Daten zugreifen d\u00fcrfen, die aus einem Drittland \u00fcbermittelt werden. Somit ist es auch f\u00fcr Schweizer Banken im Rahmen einer Cloud-Strategie von grosser Bedeutung festzulegen, in welche L\u00e4nder personenbezogene Daten zwecks Verarbeitung oder Speicherung \u00fcbermittelt werden d\u00fcrfen. Zu beachten ist, dass die \u00dcbermittlung von Daten in ein Drittland nicht nur zur dortigen Speicherung erfolgen kann, sondern dass PCP im Rahmen von Betriebsprozessen allenfalls aus einem Drittland auf Daten zugreifen k\u00f6nnen.<\/p>\n\n\n\n

Einen Schritt weiter in der politischen Auseinandersetzung der Datenhoheit geht der US CLOUD<\/em> Act <\/em>(C<\/strong>larifying L<\/strong>awful O<\/strong>verseas U<\/strong>se of D<\/strong>ata Act), der vom amerikanischen Kongress im Jahre 2018 verabschiedet wurde. Der CLOUD Act besagt, dass US-Firmen den US-Beh\u00f6rden alle Daten auszuh\u00e4ndigen haben, f\u00fcr die ein US-Gerichtsbeschluss vorliegt, und zwar unabh\u00e4ngig davon, wo diese Daten gespeichert sind. In der Praxis k\u00f6nnte dies bedeuten, dass amerikanische Beh\u00f6rden Zugriff auf Daten in einer Cloud erhalten, die ausserhalb der USA, z.B. in der Schweiz gespeichert sind, sofern der PCP ein US-Unternehmen ist. F\u00fcr die Banken hat dies zur Folge, dass sie sich nicht nur mit den Ziell\u00e4ndern der Daten\u00fcbermittlung, sondern auch mit dem Domizil des PCP und allf\u00e4lliger Unterlieferanten befassen m\u00fcssen. Dabei wird es in der Praxis kaum ausreichend sein, sich \u00fcber das Domizil des Vertragspartners und dessen Unterlieferanten Klarheit zu verschaffen. Vielmehr ist auch das Domizil einer allf\u00e4lligen Muttergesellschaft zu kl\u00e4ren, die den PCP kontrolliert.<\/p>\n\n\n

\n
\"\"<\/a>
Abbildung 2: Aspekte der Datenhoheit<\/em><\/figcaption><\/figure>\n<\/div>\n\n\n

Sowohl die Konsequenzen aus Schrems II als auch aus dem US CLOUD Act lassen sich nur beschr\u00e4nkt \u00fcber vertragliche Regelungen mit dem PCP regeln. Vielmehr kommen darin auch unterschiedliche Rechtsauffassungen zum Ausdruck. So gesehen ist es durchaus nachvollziehbar, wenn Banken zum Schluss kommen, dass Public Cloud-Dienste nicht genutzt werden k\u00f6nnen. Um voreilige Schl\u00fcsse zu vermeiden, sind aber folgende Punkte zu bedenken:<\/p>\n\n\n\n