Commerzbank: “Wir setzen Cloud Services für alle neu zu entwickelnden Anwendungen ein”

Die Commerzbank verfolgt eine Cloud-First-Strategie und bindet Ihre IT an Public Clouds an. Doch wer glaubt, dass es nur um Datenspeichung geht – irrt gewaltig. Im Interview mit IT Finanzmagazin erklärt Christian Pfeiffer (Managing Director Cloud Foundation, Commerzbank) Hintergründe und IT-Details.

Herr Pfeiffer, was sind die größten technischen Hürden auf dem Weg in die Public Cloud?

Grundsätzlich ist eine reine technische Anbindung an einen Public-Cloud-Provider aus Sicht der  Commerzbank-IT relativ einfach. Die technischen Herausforderungen beginnen erst anschließend, insbesondere in einer hybriden Multi-Cloud-Umgebung.”

Wir setzen uns mit den angebotenen Funktionen und Technologien der verschiedenen Anbieter auseinander und gleichen diese mit den Anforderungen der einzelnen Anwendungen ab. Sehr schnell wird klar, dass die Public-Cloud-Provider meist unterschiedliche Basis-Technologien (an)bieten, welche wir erst kennenlernen, bewerten und vergleichen müssen. Naturgemäß unterscheiden sich die Techniken in den Bereichen Infrastructure as a Service (IaaS), Platform as a Service (PaaS) und Software as a Service (SaaS). Hinzu kommt, dass kürzere Bereitstellungszeiten, kürzere Lebenszyklen und höhere Agilität auf traditionelle IT und Prozesse treffen, die die Commerzbank an die neuen Gegebenheiten erst noch anpassen muss. Daneben sind die regulatorischen und aufsichtsrechtlichen Anforderungen an eine Nutzung der Public Cloud zu erfüllen und zu dokumentieren, im Gesamtkontext sind das bedeutende Aufwände.

Die größte Herausforderung resultiert aus der neuen Ausrichtung, um IT-Services zu erbringen, die das Cloud Computing mit sich bringt und für die sich die Commerzbank mit ihrer „Cloud First“-Strategie entschieden hat:

Die bisher lineare Wertschöpfungskette für IT-Dienstleistungen wird aufgebrochen. So sind wir in der Lage, Anwendungen ganz oder teilweise durch geeignete PaaS- oder SaaS-Dienstleistungen zu ersetzen.”

Nichtsdestotrotz müssen auch in der neuen „IT-Welt“ die IT-Schutzziele wie Vertraulichkeit, Integrität, Verfügbarkeit und Nachvollziehbarkeit sichergestellt werden. Deshalb müssen wir in der Bank die angebotenen Services nach den entsprechenden Vorgaben evaluieren und damit die technischen und regulatorischen Rahmenbedingungen für eine erfolgreiche Integration schaffen.

Welche Services lagern Sie in aktuell die Public Cloud aus?

Die Commerzbank nutzt bereits heute alle Servicemodelle der Public-Cloud-Provider: IaaS, PaaS und SaaS.

Insbesondere sogenannte Commodity-Anwendungen der Standardsoftware-Anbieter wie etwa SAP, Salesforce oder Microsoft, aber auch Anwendungen von Spezialanbietern werden als Software as a Service aus der Public Cloud bezogen.”

Für die Nutzung von IaaS und PaaS konzentrieren wir uns aktuell auf die beiden Public-Cloud-Anbieter Microsoft (Azure) und Google (GCP = Google Cloud Platform). Besonders für rechenintensive Anwendungen, deren Nutzung stark schwankt, bietet sich Infrastructure as a Service an. Dieses Servicemodell dient auch maßgeblich der Bereitstellung unserer Container-Plattform, die die Commerzbank für ihre Entwickler bereitstellt und auf der hauptsächlich Eigenanwendungen auf Basis von DevOps Praktiken und Pipelines entwickelt und betrieben werden.

PaaS wird in der Commerzbank zur Zeit hauptsächlich für innovative Analytics- und Big Data-Lösungen genutzt.

Wonach wählen Sie den für die Commerzbank passenden optimalen Mix an Services aus?

Die Commerzbank hat sich für eine „Cloud First“-Strategie entschieden. Das bedeutet, dass wir Cloud Services für alle neu zu entwickelnden Anwendungen einsetzen.”

Im Idealfall soll ein Public Cloud Service genutzt werden; präferiert wird dabei das Servicemodell PaaS. Ist dies nicht möglich, muss dies nachvollziehbar begründet werden. Als „zweite Wahl“ käme dann eine Private Cloud infrage – insbesondere im Zusammenspiel mit „traditionellen” IT-Services. Bestehende Anwendungen betrachtet die jeweils dafür verantwortliche Lieferorganisation im Rahmen ihrer regelmäßigen Release-Zyklen und setzt fest, wann diese wirtschaftlich sinnvoll und regulatorisch konform in Richtung Cloud migriert werden kann.

Wie managen Sie effektiv Ihre hybride Multi-Cloud-Umgebung?

Die Commerzbank setzt auf ein internes Self-Service-Portal, um die verschiedenen Cloud-Umgebungen effizient zu nutzen und von der Innovationskraft von mehr als einem Cloud-Anbieter zu profitieren.

An dieses Portal angebunden sind derzeit Microsoft Azure, die Google Cloud Plattform sowie die Commerzbank-eigene Private Cloud. Ziel ist es, jederzeit eine optimale Performance und den am besten geeigneten Mix an Serviceleistungen und -funktionen für die Bank und ihre Entwickler sicherzustellen.”

Das gelingt uns, indem wir uns nicht nur auf einen Cloud-Partner festlegen, sondern das ganze Spektrum mehrerer Provider betrachten und individuell für uns nutzen und je nach Bedarf verändern und/oder erweitern. Damit profitiert die Commerzbank von den Stärken der unterschiedlichen Anbieter und nutzt die Möglichkeit, über mehrere Clouds zu skalieren:

Eine hybride Multi-Cloud-Nutzung ermöglicht zum Beispiel die Verbindung unterschiedlicher Infrastrukturen, Plattformen und Software als Serviceleistung in verschiedenen Ausprägungen (Iaas, PaaS oder SaaS). Unsere Anwendungen und Prozesse werden dadurch deutlich stabiler, skalierbarer und flexibler.”

Damit die Entwickler im „Dschungel der Cloud-Möglichkeiten“ den Überblick über die Vielzahl der Services und das eigene Budget behalten, kommt eine übergeordnete Plattform zum Einsatz. Diese dient als Governance-Framework und unterstützt bei der Kostenoptimierung und beim Ermitteln des Forecasts beispielsweise durch eine transparente Aufstellung der genutzten Services und ihrer Kosten. Die Vision: Das Portal ermöglicht einen intuitiven und minimalen administrativen Aufwand bei nahezu uneingeschränkter Auswahl an (IT-) Services und Werkzeugen für die Entwickler.

Wie verhindern Sie unerlaubte Zugriffe auf Ihre Daten?

Datensicherheit im Kontext von Public-Cloud-Lösungen ist ein sehr wichtiges und sensibles Thema. Eine der Herausforderungen ist das zentrale Identitätsmanagement, welches die Zugangsdaten der Mitarbeiter verwaltet und somit regelt, wer und wie auf welche Cloud-Ressourcen zugreifen darf. Insbesondere in einer Multi-Cloud-Umgebung spielt die Zugangskontrolle durch eine zentrale Benutzerverwaltung eine entscheidende Rolle, um Mitarbeitern nur soweit Rechte einzuräumen, die sie für ihre jeweiligen Bedürfnisse und Aufgaben benötigen (Need-to-know-Prinzip).

Unsere reglementierende Benutzerverwaltung ist einer von mehreren Schritten auf dem Weg zur Datensicherheit. Aber auch die Daten selbst müssen sicher in eine Public-Cloud-Umgebung transportiert und dort geschützt aufbewahrt werden. Die Commerzbank verschlüsselt ihre Glasfaser-Verbindungen von ihrem Rechenzentrum hin zum Rechenzentrum der Provider und sichert somit den Transportweg ab. Aber nicht nur die Bank, sondern auch die Public Cloud Provider kommen ihrer Verantwortung für mehr Datensicherheit nach und stellen entsprechende Verschlüsselungsmechanismen für ihre Clouds zur Verfügung. So könnten die Daten aber theoretisch immer noch von privilegierten Mitarbeitern der Cloud Provider ausgelesen werden.

Um dieses Restrisiko zu  beseitigen, setzt die Bank eine eigene Verschlüsselung für jeden Cloud Service ein. Nur mit diesem passenden „Schlüssel“ können die Daten ausgelesen und genutzt werden.”

Wie nutzen Sie Anwendungen für neue Technologie wie Künstliche Intelligenz oder Big Data Analytics?

Mit Artifical Intelligence (AI oder auch künstliche Intelligenz) wird versucht, menschliche Intelligenz nachzubilden und diese zu automatisieren. Im umfassenden Sinne ist sie derzeit visionär, bei Teilaufgaben gängige Praxis.”

Für uns ist die Cloud eine Umgebung, die Serverfarmen, Datenbanken, Programmiersprachen, Machine-Learning-Bibliotheken, vorkonfigurierte Schnittstellen und Standard-Services zur Verfügung stellt und stetig aktualisiert. Das unterstützt uns dabei, Lösungen für Machine Learning und Big Data Analytics schneller zu entwickeln, zu skalieren und technologisch immer auf dem neusten Stand zu bleiben.

Herr Pfeiffer, vielen herzlichen Dank für die Einblicke!aj