Was Schweizer Banken auf ihrem Weg in die Cloud beachten müssen

Autor: Gerald Dürr am 9 März 2020 Gerald Dürr's Blog

Als die Schweizerische Bankiervereinigung (SBVg) vor einem knappen Jahr den «Cloud-Leitfaden – Wegweiser für sicheres Cloud Banking» veröffentlichte, hatte das einen nachvollziehbaren Grund: Während andere Branchen mit Cloud-Services das Deployment ihrer Enterprise-Applikationen grundlegend verändern, verhielten sich Schweizer Finanzinstitute und Finanzdienstleister zum Teil noch zögerlich bei der Migration ihrer Applikationen in die Cloud. Zwar betreiben Banken und Finanzdienstleister vereinzelt heute bereits ausgewählte Applikationen in der Cloud und nutzen sie auch für Development-Umgebungen, doch die Adaption läuft deutlich langsamer als in anderen Branchen.

Die Gründe dafür waren weniger der fehlende Wille oder das mangelnde Bewusstsein für die grundlegenden Veränderungen, sondern es bestanden viele offene Fragen zu gewissen rechtlichen und regulatorischen Rahmenbedingungen.

Wie wählt man einen Cloud-Anbieter korrekt aus? Wie bewertet man die Qualität der Services und die zugrunde liegende Infrastruktur? Und nicht zuletzt: Was bedeutet die Datenverarbeitung auf der Infrastruktur anderer Anbieter für das Bankkundengeheimnis?

Der «Cloud Leitfaden» beantwortet diese Fragen und identifiziert vier Bereiche, die für Banken bei der Migration in die Cloud zentral sind.

1. Empfehlungen, die bei der Auswahl der Cloud-Anbieter und ihrer Zulieferer beachtet werden sollten
2. Hilfe bei der Auslegung des Bankkundengeheimnisses
3. Die Zusammenarbeit und Transparenz von Banken und Cloud-Anbietern mit Behörden
4. Vorgehen bei Audits zur Prüfung der Institute im Bereich der Cloud-Dienstleistungen und der Cloud-Infrastruktur

Wichtig zu erwähnen ist allerdings, dass es sich beim Leitfaden um juristisch unverbindliche Empfehlungen handelt. Deutlich tiefer gehen in diesem Zusammenhang die Gutachten zum Thema Bankengeheimnis und Cloud der Kanzleien Laux Lawyers AG («Nutzung von Cloud-Angeboten durch Banken: Zur Zulässigkeit nach Art. 47 BankG») und Walder Wyss («Zulässigkeit der Bekanntgabe von Bankkundendaten durch schweizerische Banken an Beauftragte im Ausland unter Art. 47 BankG»).

Beide kommen zum Schluss: Es steht Schweizer Banken grundsätzlich frei, Clouds einzusetzen – auch Clouds von Anbietern im Ausland. Wie im Gutachten von Laux Lawyers formuliert ist dabei die Voraussetzung: «Die Bank muss sich mit dem technisch-organisatorischen Reifegrad des Cloud-Anbieters auseinandersetzen und verstehen, wie der Cloud-Anbieter mit Daten umgeht, welche die Bank in dessen IT-Infrastrukturen migriert.»

Aus Anbietersicht sind der Cloud-Leitfaden und die Gutachten eine gute Unterstützung. Sie zeigen, dass auch Banken von den Vorteilen der Cloud profitieren können, sie erleichtern die Entscheidung und die Auswahl eines Cloud-Dienstleisters – und sie sind für uns bei der Safe Swiss Cloud auch eine Bestätigung für den Weg, den wir schon vor langer Zeit eingeschlagen haben: Höchste Sicherheit und die Erfüllung aller Compliance-Anforderungen wie jene der FINMA in Kombination mit einer leistungsfähigen und georedundanten Cloud-Infrastruktur mit 100% Schweizer Standort anzubieten.