Wir zeigen in diesem Artikel an einem Beispiel auf, wie man durch Automation und Einsatz künstlicher Intelligenz (KI) die Arbeit im Providermanagement optimieren und Aufwand reduzieren kann. Verträge bilden die Grundlage für die Beziehung zu externen Dienstleistern – insbesondere im Providermanagement. Die manuelle Verwaltung von Service Level Agreements (SLAs) ist ein Beispiel, das sich durch KI optimieren lässt: SLA-Management ist zeitaufwendig, fehleranfällig und oft wenig skalierbar. Hier kommt die KI ins Spiel. Sie bietet dabei neue Möglichkeiten, repetitive Aufgaben zu automatisieren und damit die Qualität der Vertragsverwaltung zu verbessern.

 

Herausforderungen im SLA-Management

Die Herausforderung liegt vor allem in der manuellen Erfassung und Auswertung von SLA-Daten in Verträgen. Typische Kennzahlen, wie Vertragsbeginn, Vertragsende, Reaktionszeiten oder Verfügbarkeitsgarantien müssen überprüft und dokumentiert werden. KI kann hier als unterstützendes Werkzeug agieren, das nicht nur Daten aus Verträgen extrahiert, sondern auch Prozesse intelligent steuert.

Dadurch verändert sich auch die Rolle der Mitarbeitenden: Weg von operativer Verwaltung, hin zu strategischer Steuerung. KI übernimmt repetitive Aufgaben, während Menschen sich auf kreative Problemlösung, Kommunikation und strategische Entscheidungen konzentrieren können.

Doch wie genau unterstützt KI im SLA-Management? Und welche konkreten Einsatzszenarien sind bereits heute realisierbar?

 

Wobei KI im SLA-Management unterstützt

Die Einsatzbereiche von KI im Vertragsmanagement sind vielfältig und reichen weit über die reine Texterkennung hinaus. Moderne KI-Systeme können nicht nur Inhalte analysieren, sondern auch strukturieren und Inhalte in bestehende Systeme integriert werden.

• Automatisierte Erkennung und Extraktion von SLA-relevanten Daten:
  KI kann Verträge analysieren und gezielt Kennzahlen wie Reaktionszeit, Verfügbarkeitsgarantie, Vertragsbeginn und -ende extrahieren.
• Datenaufbereitung:
  Extrahierte Informationen werden strukturiert und für weitere Verarbeitung vorbereitet.
• Monitoring und Analyse:
  SLA-Kennzahlen können kontinuierlich überwacht und analysiert werden – etwa zur Erkennung von SLA-Verletzungen.
• Integration in bestehende Tools:
  Über Power Automate lassen sich KI-gestützte Prozesse nahtlos in SharePoint, Teams oder Power BI integrieren.

Dadurch können Einsparpotenziale erschlossen werden: die Automatisierung reduziert den manuellen Aufwand und spart Zeit und Kosten.

Jedoch hängt die Qualität der Ergebnisse stark davon ab, wie Verträge strukturiert sind und von der Qualität der KI-Prompts. Nicht jeder Vertrag ist gleich aufgebaut – und nicht jede KI erkennt komplexe Formulierungen zuverlässig.

Trotz der Herausforderungen bei der Qualität bietet der Einsatz von KI im SLA-Management klare Vorteile: Er ermöglicht eine effizientere und skalierbare Verwaltung von Verträgen. Repetitive Aufgaben wie die Datenerfassung und -pflege werden automatisiert, wodurch Mitarbeitende entlastet werden. Sie gewinnen Zeit für kreative, kommunikative und strategische Tätigkeiten. Ein zentraler Mehrwert liegt dabei in der deutlichen Zeitersparnis.

 

Zeitersparnis durch KI

Ein zentraler Vorteil von KI im Vertragsmanagement ist die deutliche Zeitersparnis – insbesondere bei wiederkehrenden Aufgaben, die bislang manuell durchgeführt wurden.

• Automatisierter SLA-Abgleich:
  Repetitive Aufgaben wie der manuelle Vergleich von tatsächlichen Service-Level-Werten mit den im Vertrag definierten Zielwerten entfallen.
• Schnellere Reaktion auf SLA-Verletzungen:
  Durch automatisiertes Monitoring können Verstöße frühzeitig erkannt und Maßnahmen eingeleitet werden.
• Reduktion typischer Fehlerquellen:

KI kann bei klar strukturierten Daten konsistent arbeiten und typische menschliche Fehler bei der manuellen Datenerfassung vermeiden. Bei komplexen oder unstrukturierten Vertragsinhalten sind manuelle Nachkontrollen weiterhin sinnvoll.

Hieraus ergibt es sich eine deutliche Zeitersparnis und Produktivitätssteigerung – vorausgesetzt die Prozesse sind sauber aufgesetzt und die Datenqualität passt. Die Effizienzgewinne entstehen durch die Integration von KI in automatisierte Workflows, die beispielsweise mit Power Automate umgesetzt werden. So lässt sich der gesamte Ablauf – vom Hochladen eines Vertrags bis zur automatisierten Auswertung – nachvollziehbar und skalierbar gestalten.

 

Prozessskizze: KI-gestützter SLA-Prüfungs-Workflow

Ein beispielhafter KI-gestützter Workflow im SLA-Management mit Power Automate könnte wie folgt aussehen:

1. Vertragsablage:
   Ein neuer Vertrag wird in SharePoint abgelegt.
2. KI-Analyse:
   Über Power Automate wird ein Prompt an ein Large Language Model (LLM) gesendet
3. Datenerkennung:
   Die SLA-relevanten Kennzahlen werden aus dem Vertrag extrahiert.
4. Datenablage:
   Die extrahierten SLA-Daten werden automatisch in einer SharePoint-Liste gespeichert.
5. Anschließend folgt die Weiterverarbeitung, wie z.B.:
   • Benachrichtigung: Bei SLA-Verletzungen erfolgt eine automatische Benachrichtigung via Teams oder E-Mail.
   • Analyse & Reporting: SLA-Daten können in Power BI visualisiert und in Form von Dashboards oder automatisierten Berichten aufbereitet und verteilt werden.

Die Abbildung zeigt den strukturierten Ablauf dieses KI-gestützten Prozesses innerhalb der Microsoft-Cloud-Umgebung (Microsoft 365). Als Basis dienen integrierte Microsoft-Werkzeuge wie das Workflow- und Automatisierungstool Power Automate, das Collaboration-Tool SharePoint, sowie die Kommunikationslösung Microsoft Teams. Die Abfragen (Prompts), die im 2. Schritt an die KI bzw. das Large Language Model (LLM) gestellt werden, sind strukturiert aufgebaut. KI-Chats hingegen sind dialogorientiert und in natürlicher Sprache verfasst.

Doch wie unterschneidet sich dieser Workflow-Ansatz im Vergleich zu alternativen Prozessansätzen?

 

Alternative Prozess-Lösungen im Vergleich

Natürlich gibt es auch andere Ansätze für das SLA-Management – mit jeweils eigenen Vor- und Nachteilen:

• Manuelle Prozesse: Sie sind flexibel, aber zeitintensiv und fehleranfällig.
• Klassische Workflows: Sie bieten gewisse Automatisierung, stoßen aber bei komplexen Vertragsstrukturen schnell an ihre Grenzen.
• KI-Einzelabfragen: Sie zeichnen sich durch folgende Eigenschaften aus:
  • Dialogorientierte Prompt-Abfragen in natürlicher Sprache
  • Keine technische Formatierung notwendig
  • Kontextsensitive Antworten, die sich flexibel an unterschiedliche Vertragsstrukturen anpassen

Diese Einzelabfragen sind besonders hilfreich für ad-hoc-Analysen, während KI-gestützte Workflow, wie oben aufgezeigt, ideal für skalierbare Prozesse sind.

Die Wahl der richtigen Lösung hängt stark vom Anwendungsfall ab – und davon, wie viel Automatisierung tatsächlich gewünscht oder möglich ist.

 

Fazit

Ein vollautomatisierter, intelligenter SLA-Management-Prozess ist heute keine Zukunftsvision mehr. Dank KI müssen SLA-Kennzahlen nicht mehr an festen Stellen im Dokument stehen – die KI erkennt sie kontextbasiert. Damit entfällt die Notwendigkeit statischer Masken oder einheitlicher Dokumentenformate.

KI steht für Effizienz: Sie ermöglicht nicht nur Automatisierung, sondern auch Prognosen, Empfehlungen und kontinuierliche Verbesserung. Im Providermanagement bedeutet das eine Transformation – weg von operativer Verwaltung, hin zu direkter Dienstleistersteuerung und Beziehungsmanagement. Lesen Sie hierzu auch unseren Blogartikel KI-Unterstützung im Providermanagement nutzen.

Der Einsatz von Copilot und Power Automate im oben dargestellten Beispiel zeigt: KI kann mehr als nur unterstützen – sie kann Prozesse grundlegend verändern.

Die EU-Verordnung DORA (Digital Operational Resilience Act) ist ein gemeinsamer Rahmen für den europäischen Finanzsektor, um den Umgang mit Cybersicherheit und IKT-Risiken zu regeln. Ziel von DORA ist die Stärkung des EU-Finanzmarktes durch die Harmonisierung von Anforderungen und Standards in den Bereichen Cybersicherheit und IKT-Risiken, um die Widerstandsfähigkeit und Anpassungsfähigkeit – die operationale Resilienz – bei Finanzunternehmen bei und nach Störungsfällen aufrechtzuerhalten. Bis 2025 muss die Umsetzung erfolgt sein, aber wie erreicht man dies mit überschaubarem Aufwand? Wir geben in diesem Blogbeitrag einen Überblick zu DORA. Zudem geben wir grundlegende Tipps, wie man die Vorgaben umsetzen kann.

 

Der Digital Operational Resilience Act betrifft den Finanzsektor und umfasst grundsätzlich nahezu alle beaufsichtigten Institute und Unternehmen des europäischen Finanzsektors. Neben Banken sind dies unter anderem auch Versicherungs- und Rückversicherungsunternehmen. Unternehmen müssen schon aktiv werden: Die EU-Verordnung ist bereits im Januar 2023 in Kraft getreten und findet nach 2-jähriger Umsetzungsfrist ab dem 17. Januar 2025 Anwendung.

Im Januar 2024 wurden von den ESAs* (European Supervisory Authorities) nun die ersten finalen Entwürfe der technischen Regulierungs- und Implementierungsstandards veröffentlicht, ein Set an Standards, um einheitliche Regulierung im Bereich der Betriebsabläufe sicherzustellen.

 

*= Die Europäischen Aufsichtsbehörden / European Supervisory Authorities (ESAs) sind:
EBA: Europäische Bankenaufsichtsbehörde
ESMA: Europäische Wertpapier- und Marktaufsichtsbehörde
EIOPA: Europäische Aufsichtsbehörde für das Versicherungswesen und die betriebliche Altersversorgung

 

Was regelt DORA

Die EU-Verordnung DORA hat das Ziel, die Widerstandsfähigkeit gegen Cyberangriffe und die digitale Sicherheit zu stärken. Sie legt Anforderungen an Cybersicherheit, Betriebskontinuität und Krisenmanagement fest, um damit sicherzustellen, dass Prozesse unter Bedingungen wie Cyberangriffen und bei technischen Ausfällen weiter verfügbar bleiben. DORA legt den Schwerpunkt auf das IKT-Risikomanagement und orientiert sie sich an nationalen und internationalen Best Practices und Standards.

Die Regelungen umfassen folgende 6 Bereiche und Inhalte:

Bereich	Merkmale
IKT-Risikomanagement:	Kontrollfunktion ist zuständig für Überwachung der Risiken technische Risiken identifizieren und angemessen reagieren Mechanismen Prävention bis Bewältigung
Meldewesen zu IKT-Vorfällen und wesentlichen Cyberbedrohungen:	Klassifizierung von Vorfällen / Incidents Strukturierter Vorgang von Meldungen / Meldepflichten
Testen der digitalen operationellen Resilienz und Threat-led Penetration Testing (TLPT):	Belastbarkeitstests Tests Robustheit / Schwachstellen Prüfung von Sicherheitsstandards
IKT-Drittpartei-Risikomanagement:	Vertragsbestandteile, z.B. notwendige Bestandteile, wie Unterstützung des Dienstleisters bei Vorfällen
Europäisches Überwachungsrahmenwerk für kritische IKT-Drittdienstleister:	Überwachung von kritischen IT-Dienstleistern (kritisch z.B. hinsichtlich Auswirkung von Betriebsstörungen auf den gesamten Finanzmarkt / Anzahl der Kunden oder viele systemrelevante Finanzunternehmen als Kunden)
„Information Sharing“ sowie Cyberkrisen- und Notfallübungen:	Informationsaustausch (auf EU-Ebene) => Maßnahmen ableiten => kontinuierliche Verbesserung

 

Regelung des Meldewesens

In Bezug auf die Umsetzung von DORA sind einheitlich geregelte Meldeprozesse für Vorfälle in europäischen Finanzunternehmen ein wichtiger Aspekt. Parallelen zur Melde-/Berichtspflicht finden sich auch z.B. bei der NIS2-Richtlinie. Vorfälle werden zunächst an die zuständige nationale Behörde gemeldet und unter Einbezug der europäischen Aufsichtsbehörden bewertet. Anschließend werden sie bei entsprechender Relevanz an andere Mitgliedsstaaten und weitere Instanzen weitergeleitet. Abbildung 2 zeigt einen Vorfall im DORA-Meldeprozess mit der BaFin als zentrales Element im Zusammenspiel mit BSI und europäischen Aufsichtsbehörden:

 

Regulierungs- und Implementierungsstandards von DORA

Abgrenzung zu anderen Regulierungsvorgaben

DORA grenzt thematisch an aktuelle andere Vorgaben und Richtlinien an, wie beispielsweise an die NIS2-Richtlinie, die das Gesamtniveau der Cybersicherheit der EU stärken soll und an TIBER (Threat Intelligence-based Ethical Red Teaming), welche die Widerstandsfähigkeit gegen Cyberangriffe durch präventive Tests fördern soll. Wenn ein Unternehmen auch in die NIS2-Richtlinie fällt, gilt: Sofern die DORA-Anforderung spezifischer ist, ist diese vorrangig.

Für den Bankensektor hat die European Banking Authority EBA 2019 die EBA-Leitlinien zu Auslagerungen sowie Leitlinien zu Management von IKT- und Sicherheitsrisiken veröffentlicht und darin Maßnahmen für das Risikomanagement definiert, welche die Anforderungen an Informationssicherheit und Auslagerungen betreffen. Hierbei handelt es sich jedoch um Empfehlungen bzw. Leitlinien, die nur für den Bankensektor gelten.

Die DORA-Verordnung schließt dabei grundsätzlich die Inhalte dieser Vorgaben und Richtlinien ein. DORA stellt dabei die konsistente Vereinheitlichung bekannter Verordnungen und Anforderungen im Kontext von Betriebsstabilität und Geschäftskontinuität in den Fokus. Sie betrifft dabei – anders als die EBA-Leitlinien – nicht nur den EU-Bankensektor, sondern den gesamten EU-Finanzsektor.

 

Wie integriert sich DORA in die deutschen Finanzregulierungsvorgaben

Es gibt eine Reihe von Verordnungen der deutschen Regulierungsbehörde BaFin, wie zum Beispiel die BAIT – (Bankaufsichtliche Anforderungen an die IT). Die BaFin ist auch für die Umsetzung von DORA auf nationaler Ebene zuständig, einschließlich Überwachung und Kontrolle. Zudem hat sie eine weitere wesentliche Rolle: Sie ist die zentrale Meldestelle für IKT-Vorfälle und das Bindeglied in Zusammenarbeit mit anderen nationalen Aufsichtsbehörden und der EBA. Dabei arbeitet sie mit den europäischen Aufsichtsbehörden zusammen, damit eine konsistente Durchsetzung in der EU stattfindet.

Auch die BaFin hat schon in der Vergangenheit Anforderungen und Praktiken im deutschen Finanzsektor etabliert, die sich jetzt bei DORA widerspiegeln:

• • harmonisierte Anforderungen an das IKT-Risikomanagement
    z.B. Mindestanforderungen an das Risikomanagement (MaRisk), Anforderungen an die IT in der BAIT, ZAIT,VAIT, KAIT
  • vereinheitlichte Anzeigen von Auslagerungen
    d.h. einheitliche Standards und Verfahren für die Meldung von Auslagerungen an die BaFin
  • Überwachung von IT-Dienstleistern mit mehreren Mandanten
  • vereinheitlichte Strukturen für das Meldewesen von IKT-bezogenen Vorfällen

Wesentliche Elemente finden sich bei DORA wieder. Daher stellen auch die bereits erfolgten Umsetzungen der BaFin-Anforderungen eine gute Grundlage für die Implementierung der DORA-Verordnung in Unternehmen dar.

 

Handlungsempfehlungen und Tipps für die Umsetzung

1. 1. Bereits umgesetzte bzw. etablierte Anforderungen / Prozesse / Methoden, z.B. aus den EBA-Leitlinien sind für Finanzunternehmen eine gute Umsetzungsbasis.
   2. Anforderungen an Dokumentations- und Meldepflichten sollten geprüft und Prozesse angepasst werden.
   3. Bestehende Dienstleister-Verträge sind zu überprüfen und ggfs. anzupassen, etwa vom Dienstleister zu leistende Unterstützung bei Vorfällen. (Anpassungen können äußerst zeitaufwendig sein!)
   4. Vorhandene Tools für Risikomanagement / Dokumentation / Reporting können unterstützend genutzt werden, z.B. Tools zur automatischen Erkennung und Alarmierung von Auffälligkeiten oder Tools für Verschlüsselung und Verwaltung kryptografischer Schlüssel beziehungsweise für die Implementierung von Lebenszyklen für Firewallregeln zur Stärkung der Netzwerksicherheit.
   5. neue Tools zur Dokumentation von Dienstleister-Verträgen und für Berichtspflichten erforderliche Informationsregister zu Dienstleistern sind zu etablieren.
   6. Auch Erkenntnisse oder Maßnahmen aus dem Lieferkettengesetz-Umsetzung können für die Risikobewertung von Dienstleistern hilfreich sein (trotz primären Fokus auf soziale und ökologische Standards).
   7. Insgesamt sind konkrete Vorgaben mit den schon im Unternehmen existierenden (technischen und organisatorischen) Standards abzugleichen und Prozesse entsprechend anzupassen und nachzusteuern.

 

Fazit

Die DORA-Verordnung ist ein guter Schritt in Richtung harmonisierter Anforderungen und Prozesse im europäischen Finanzsektor. Die zunehmenden Cyber-Bedrohungen der letzten Jahre haben gezeigt, dass für Unternehmen – nicht nur im Finanzsektor – verbesserte Maßnahmen erforderlich geworden sind. Angemessene Maßnahmen und Prozesse sind für die Betriebssicherheit entscheidend, um auf gegenwärtige und zukünftige Bedrohungen und Risiken auf IT-Ebene zu reagieren. Um Sicherheit und Geschäftskontinuität bei wachsenden Risiken sicherstellen zu können, sind konkrete Standard-Vorgaben wie bei DORA hilfreich und (für eine EU-weit einheitliche Resilienz und Sicherheit) notwendig.

Wenn Unternehmen Cloud-Services nutzen wollen, müssen sie sicherstellen, dass sie die für sie geltenden internen und externen Richtlinien einhalten. Insbesondere für regulierte Branchen wie Banken, Versicherungen und Betreiber kritischer Infrastrukturen (KRITIS) gibt es detaillierte Vorschriften, deren Einhaltung durch ein angemessenes Compliance-Management sichergestellt werden muss. Wir prüfen, welche Aspekte bei der Sicherstellung von Cloud Compliance für jedes Unternehmen relevant sind. Zudem zeigen wir in diesem Blogbeitrag beispielhaft für die Bankenbranche auf, was gemäß der EBA-Leitlinie zu Auslagerungen zu berücksichtigen ist.

Cloud Compliance-Aspekte für jedes Unternehmen

Cloud-Services stellen beim IT-Outsourcing zusätzliche Risiken und Herausforderungen für das Compliance-Management dar. Compliance-Vorgaben stellen dabei sicher, dass Risiken ermittelt, überwacht und gesteuert werden und angemessene Maßnahmen vorgesehen werden, um diese langfristig im Griff zu behalten.

Folgende fünf Aspekte, die beim IT-Outsourcing Berücksichtigung finden sollten, sind grundsätzlich für die Sicherstellung von Cloud Compliance für jedes Unternehmen relevant:

1. IT-Strategievorgabe: wann Nutzung von Cloud-Services
2. Bewertung der Service-Kritikalität (Risikoanalyse)
3. Vertragliche Regelungen
4. Bewertung und Auswahl des Auftragnehmers
5. Überwachung und Kontrolle von Leistungen und Vereinbarungen

Diese relevanten Aspekte werden nachfolgend genauer betrachtet.

 

Vorgaben der EBA und BaFin

Bei den Banken sind spezielle europäische und nationale Vorgaben maßgeblich. Die Europäische Bankenaufsichtsbehörde (EBA) formuliert mit ihren wegweisenden „Leitlinien zu Auslagerungen“ (EBA/GL/2019/02) Vorgehensweisen für das Outsourcing von Dienstleistungen. Sie strebt auf europäischer Ebene eine Harmonisierung der Auslagerungs-Vereinbarungen mit Providern und Aufsichtspraktiken an.  Das Outsourcing von Cloud-Services ist Teil des Betrachtungsrahmens dieser Leitlinien und geht aus den aufgehobenen „Empfehlungen zur Auslagerung an Cloud-Anbieter“ der EBA hervor.

Die Bundesanstalt für Finanzdienstleistungsaufsicht (BaFin) beaufsichtigt die Banken und Finanzdienstleister. Behörden und Finanzinstitute sollen alle erforderlichen Anstrengungen unternehmen, den Leitlinien der EBA nachzukommen. Die BaFin übernimmt grundsätzlich diese Leitlinien der EBA in ihre Aufsichtspraktik und veröffentlicht Vorschriften, wie z.B. die Mindestanforderungen an das Risiko-Management (MaRisk). In diesen Mindestanforderungen spiegeln sich dann auch die EBA-Leitlinien wider. Relevant in diesem Zusammenhang ist auch die Bankaufsichtliche Anforderungen an die IT (BAIT) als Rahmen für die technisch-organisatorische Ausstattung der Institute.

 

Relevante Cloud Compliance Aspekte – Vergleich

Die folgende Tabelle stellt die abzudeckenden Aspekte beim Outsourcing dar und stellt die empfohlenen Richtlinien für jedes Unternehmen den Anforderungen der EBA-Leitlinien gegenüber:

 

Tabelle: Empfohlene Richtlinien für jedes Unternehmen / Vorgabe der EBA-Leitlinien

	Relevanter Aspekt	Empfohlene Richtlinie für jedes Unternehmen Vorgaben der EBA-Leitlinien
1.	IT-Strategievorgabe	Ganzheitliche und zielgerichtete IT-Strategie gem. Unternehmensstrategie Sourcing-Strategie (ggfs. als Teil der IT-Strategie) Auslagerungsstrategie Exit-Strategie/Ausstiegs-Strategie
2.	Bewertung der Service-Kritikalität (Risikoanalyse)	Risikoanalyse und Bewertung der Service-Kritikalität je auszulagernder Service Risikoanalyse und Bewertung der Services Kritische Auslagerung/Funktionen sind definiert
3.	Vertragliche Regelungen	Mindestumfang Vertrag: Grundsätzliche Anforderungen: Leistungsgegenstand und Qualität spezifizieren Leistungsspezifikationen / KPIs sind festzuhalten Informations- und Prüfungsrechte des AG Informations- und Prüfungsrechte des AG / uneingeschränktes Untersuchungs-/ Prüfungsrecht, vollständiges Zugangsrecht (krit. Auslagerungen) Weisungsrechte Datenschutz /-sicherheit Datenschutz /-sicherheit Kündigung / Exit-Regelung Angemessene Kündigungsrechte /-fristen / Exit-Regelung Informations-Pflichten des AN Informations-Pflichten des AN Weiterverlagerung (an andere Provider) / Vorbehalt AG Anwendbares Recht Anwendbares Recht (Teil der Risikobewertung der Auslagerungsvereinbarung)
4.	Bewertung und Auswahl des AN	Anforderungen und Kriterien gemäß individueller Geschäftsanforderungen im Unternehmen, z.B. anhand von: Angemessene Prüfung Eignung- und Leistungsfähigkeit des Providers, Due-Diligence-Prüfung Standort, Standort EU, Drittstaat (unter best. Voraussetzungen) Zertifizierungen Zertifizierungen / Prüfberichte
5.	Überwachung und Kontrolle von Leistungen	Reporting und fortlaufende Prüfung entsprechend festgelegter KPIs, Auditierung Angemessenes Reporting und Prüfung gem. vertraglicher Leistung Fortlaufende Überprüfung von Leistungs- und Qualitätsstandards

 

Empfehlungen für jedes Unternehmen

Es sollte eine ganzheitliche und zielgerichtete IT-Strategie, die einen Sourcing Strategie-Teil enthält, gemäß Unternehmens-Strategie und -Zielen entwickelt werden. Es muss zudem eine detaillierte Risikoanalyse und Bewertung der auszulagernden Services vorgenommen werden.

Bei den vertraglichen Regelungen mit einem Provider sollte ein Mindestmaß an Punkten berücksichtigt und der Leistungsgegenstand und die Leistungsqualität sollten eindeutig spezifiziert werden. Der Auftragnehmer ist dazu verpflichtet, dass er dem Auftraggeber erforderliche Informations- und Prüfungsrechte und Weisungsrechte einräumt und die Informationspflichten  des Auftragnehmers müssen im Vertrag klar geregelt sein. Angemessene Kündigungsregelungen im Vertrag sollen unter anderem die Möglichkeit bieten, auf schlecht erbrachte Leistung reagieren und Vorbereitungen für einen Providerwechsel oder ein Insourcing durchführen zu können. Letztlich müssen zu Datenschutz und -sicherheit, wie z.B. der Vertraulichkeit von Daten, angemessene vertragliche Regelungen vereinbart werden, die den Gesetzesvorgaben entsprechen. Außerdem muss das anwendbare Recht des Vertrags geregelt sein, bzw. ob der Vertrag dem deutschen Recht unterliegt.

 

Anforderungen an Banken (EBA-Leitlinie)

Die EBA-Leitlinie betrachtet den gesamten Auslagerungsprozess und gibt konkrete Anforderungen an das Risiko-Management vor. Es wird unterschieden zwischen der Auslagerung von kritischen oder bedeutenden Funktionen und sonstigen Auslagerungen. Die Leitlinien enthalten feste Bewertungskriterien für auszulagernde Services und die Service-Kritikalität, somit bilden ausgelagerte kritische/bedeutende Funktionen den Schwerpunkt für höhere einzuhaltende Vorgaben. Bei kritischen Auslagerungen gelten zudem umfangreiche Dokumentations- und Informationspflichten gegenüber der zuständigen Aufsichtsbehörde (i.d.R. die BaFin).

Ein Service Provider muss nicht zwangsläufig den ausgelagerten Service selbst erbringen, sondern kann hierfür Subunternehmer einsetzen. Generell dürfen getroffene Vertragsvereinbarungen dabei nicht mit aufsichtsbehördlicher Ausübung des Prüfungsrechts in Konflikt stehen.

Für die Bewertung und Auswahl des Providers wird, insbesondere bei der Auslagerung kritischer Funktionen, ein hohes Maß an Prüfung und Dokumentation der Provider und seiner Eignung gefordert (Due-Diligence-Prüfung). Eine umfangreiche Überwachung und Kontrollmöglichkeit des Providers müssen sichergestellt werden. Diese Regelungen gelten auch für potenziell eingesetzte Subunternehmer bei Weiterverlagerung. Um die vertragliche Leistung prüfen zu können, muss hierfür eine interne Organisation mit ausreichenden Ressourcen und Leistungsfähigkeit für die Steuerung und Überwachung des, bzw. der Service Provider vorhanden sein.

 

Fazit

Die fünf Aspekte und die empfohlenen Richtlinien können für jedes Unternehmen angewendet werden, um Cloud Compliance im Unternehmen sicherzustellen. In Abhängigkeit von Risikoschwerpunkten der jeweiligen Branche oder des Unternehmens kann auf den empfohlenen Richtlinien aufgesetzt und unterschiedliche Aspekte verschärft werden. Dabei ist ein für das eigene Unternehmen angemessene Regelwerk zu schaffen.

Die Anforderungen der EBA-Leitlinien sind gegenüber den Empfehlungen für alle Unternehmen vergleichbar, jedoch in einigen Aspekten deutlich weitreichender: Rechenschafts-, Dokumentations- und Melde-Pflichten der Finanzinstitute gegenüber Aufsichtsbehörden und der Analyse potenzieller Risiken, um insbesondere den hohen gesetzlichen und regulatorischen Anforderungen der Finanzbranche gerecht zu werden. Die Leitlinien bieten einen sinnvollen Rahmen der Ausgestaltung von Auslagerungsvereinbarungen.

Häufig hört man die Aussage, Service Level Agreements bzw. SLA-Vereinbarungen von Cloud Services – kurz Cloud-SLAs – seien zu „schwammig“. Konkret ist damit gemeint: aufgrund unklarer Regelungen kann die Erbringung der vom Kunden erwarteten Leistung und Qualität nicht sichergestellt werden. SLAs müssen jedoch eindeutig definiert und ihr Erreichungsgrad via Kennzahlen transparent gemacht werden, so dass Nichterfüllung oder Schlechtleistung nachgewiesen werden und Kundenrechte eingefordert werden können.

Sind diese in der Praxis nun zu unklar definiert, fehlen Kennzahlen oder sind sie nicht aussagekräftig? Werden Leistungen dadurch nicht ausreichend gut erbracht, ohne dass dies Folgen für den Cloud-Provider hat? Wir schauen uns an konkreten Beispielen bei Microsoft und Amazon Web Services (AWS) an, was wirklich in Standard-Verträgen / AGBs der Cloud Provider steht. Wir prüfen, ob Kunden auf dieser Basis in die Lage versetzt werden, Cloud Provider und ihre Services angemessen steuern können.

Regelungen in Standard-Verträgen / AGBs

Die SLA-Vereinbarungen sind Teil des Standard-Vertrags mit dem Cloud Provider. Microsoft Azure und Amazon AWS bieten je Cloud Service separate SLAs für ihre Infrastruktur-Dienste an.
An dieser Stelle werden beispielhaft die SLA für die virtuellen Server-Dienste Microsoft Azure Virtual Machines und Amazon AWS EC2 betrachtet.

In den SLAs für Azure Virtual Machines und AWS EC2 sind ausschließlich Service-Level für Verfügbarkeit spezifiziert. Diese Service-Level werden nach der Art der Server-Bereitstellung unterschieden: Einzelne oder mehrere Serverinstanzen, die in mehreren isolierten Verfügbarkeitszonen einer Region oder innerhalb einer Verfügbarkeitsgruppe in einem Rechenzentrum repliziert werden können.  Auf Basis verschieden hoher Ausfallsicherheit durch die Bereitstellungsart des Cloud Services ergeben sich bezogen auf die Kennzahl Verfügbarkeit folgende Service-Level:

Tabelle 1: Service-Level Verfügbarkeit

	Amazon AWS EC2	MS Azure Virtual Machines
Virtuelle Server in mehreren Verfügbarkeitszonen	99,99%	99,99%
Virtuelle Server in einer Verfügbarkeitsgruppe	–	99,95%
Einzelner virtueller Server	99,5%	99,9% (Premium SSD) 99,5% (SSD) 95,0% (HDD)

Die prozentuale Service-Verfügbarkeit bezieht sich hierbei auf die Service-Nutzung innerhalb eines monatlichen Abrechnungszeitraums, mindestens eine Serverinstanz muss hierfür lauffähig bleiben. Microsoft unterscheidet zudem bei der Verfügbarkeit einzelner virtueller Server nach der Art des genutzten virtualisierten Datenspeichers.

Der technische Support sowie Reaktions- und Antwortzeiten werden Service-unabhängig bei beiden Cloud Providern mit kostenlosen oder zusätzlichen kostenpflichtigen Support-Plänen spezifiziert. Diese unterscheiden sich maßgeblich bei Leistungsumfang, Servicezeiten, Reaktionszeiten. Somit kann der passende Support-Plan gemäß der Unternehmensanforderung an die eingesetzten Cloud Services gewählt werden.

Konsequenzen bei Schlecht- bzw. Nichterfüllung

Werden die in den AGBs spezifizierten Mindestwerte nicht erreicht, sind Servicegutschriften in den Cloud-SLAs als Kompensierung vereinbart. Sie entsprechen Malus-Regelungen in klassischen Outsourcing-Verträgen. Beide Cloud Provider bieten gleichermaßen Servicegutschriften, jedoch in geringfügig unterschiedlicher Höhe an.

Tabelle 2: MS Azure Virtual Machines Verfügbarkeit in Prozent

Virtuelle Server in mehreren Verfügbarkeitszonen	Virtuelle Server in einer Verfügbarkeitsgruppe	Servicegutschrift
< 99,99 %	< 99,95 %	10 %
< 99 %	< 99 %	25 %
< 95 %	< 95 %	100 %

 

Tabelle 3 MS Azure Virtual Machines Verfügbarkeit in Prozent

Einzelne virtuelle Server
Premium-SSD	Standard-SSD	Standard-HDD	Servicegutschrift
< 99,9 %	< 99,5 %	< 95 %	10 %
< 99 %	< 95 %	< 92 %	25 %
< 95 %	< 90 %	< 90 %	100 %

 

Tabelle 4: Amazon AWS EC2 Verfügbarkeit in Prozent

Virtuelle Server in mehreren Verfügbarkeitszonen	Einzelne virtuelle Server	Servicegutschrift
< 99,99%	< 99,5%	10%
< 99%	< 99%	30%
< 95%	< 95%	100%

In einigen Fällen sind die SLAs aufgehoben, wie es auch bei klassischem Outsourcing nicht ungewöhnlich ist: Bei höherer Gewalt, wie beispielsweise Naturkatastrophen, festgelegten Wartungsfenster, die zu geplanten Ausfallzeiten führen oder Nicht-Verfügbarkeit durch eigenes Verschulden auf Kundenseite.

Standard-Reporting

Um die Qualität der erbrachten Leistung prüfen und kontrollieren zu können, ist ein angemessenes Reporting notwendig. Dies muss den Grad der Einhaltung der vereinbarten Service-Level aufzeigen und Behebungszeiten von Störungen darstellen. Hierfür stehen dem Kunden bei beiden Cloud Providern Dashboards zur Verfügung, über die der Service-Status ersichtlich ist und Informationen zu Störungen und ihrer Behebung in sämtlichen Regionen bereitgestellt werden (MS Azure Health Status & Dashboard, Amazon AWS Health Dashboard).

Beurteilung der Cloud SLAs

Die Verträge der beiden Cloud Provider sind hinsichtlich der SLAs vergleichbar und bieten ähnliche Bereitstellungsoptionen für die virtuellen Server-Dienste an. Für diese Dienste wird neben den Festlegungen in den Supportplänen als wesentliche Kennzahl in den SLAs die Verfügbarkeit festgelegt.

Im klassischen Outsourcing werden üblicherweise neben der Service-Verfügbarkeit noch weitere Kennzahlen vereinbart, um die Service-Qualität sicherzustellen, z.B.:

• Bereitstellungszeit/Erstbereitstellungszeit eines Servers / einer virtuellen Maschine
• Maximale Ausfallzeit (in Kombination mit der Verfügbarkeit)
• Maximale Behebungszeit von Störungen

Die Bereitstellungszeit ist durch die vollständige Automatisierung des Bereitstellungsprozesses bei den angeführten Cloud Services im Regelfall sehr kurz. Maximale Ausfallzeit und maximale Störungsbehebungszeit werden durch den Verfügbarkeitszielwert nach oben begrenzt. In vielen Fällen werden die angebotenen Service Level und das Reporting ausreichen.

Bei Schlechtleistung oder Nichterfüllung des Services stellen Servicegutschriften die alleinige Entschädigung dar – der Kunde muss diese jedoch grundsätzlich selbst einfordern: Dies bedeutet zusätzlichen Aufwand für den Cloud Providermanager. Darüber hinaus sind keine weiteren Ansprüche vertraglich geregelt: Schäden aus entgangenem Gewinn, entgangenen Einnahmen, Betriebsunterbrechungen oder Verlust von geschäftlichen Informationen in Folge einer Nicht-Verfügbarkeit sind ausgeklammert.

Die AGB-Regelungen der Cloud Provider sind vom grundsätzlichen Ansatz her ähnlich wie Vertragsregelungen im klassischen Outsourcing.

Fazit

Die hier aufgezeigten, beispielhaft herangezogenen Cloud Services der Cloud Provider Microsoft und Amazon sind so ausgelegt, dass damit verschiedene Kundenanforderungen abgedeckt werden können. Die Cloud-SLAs spiegeln dies in den Verfügbarkeitskennzahlen und Qualitätsstufen der Cloud Services wider. Eine Kontrolle der vertraglich zugesagten und tatsächlich erbrachten Leistungen sind für die Kunden der Cloud Provider über deren Standard-Reporting möglich.

Im Einzelfall muss je nach Anwendungsszenario geprüft werden, welche spezifischen Anforderungen des eigenen Unternehmens mit einem Cloud Service erfüllt werden müssen und ob die AGBs des Cloud Providers und insbesondere die genutzten Kennzahlen und zugesagten Service-Level hierfür ausreichen. Eine höhere Service-Verfügbarkeit ist i.d.R.  auch mit erhöhten Kosten für den Cloud Service verbunden.

Sollten die Regelungen der AGB nicht zu den Anforderungen des eigenen Unternehmens passen, so gilt: Individualisierungsspielraum gibt es bei den Cloud-Standard-Verträgen in der Regel wenig. Deshalb muss bei Nutzung der Cloud Services eine genaue Prüfung der AGBs und der SLAs stattfinden und mögliche Risiken identifiziert und abgewogen werden. Bei nicht tolerablen Vertragsregelungen sollte zumindest eine Nachverhandlung versucht werden, wobei deren Erfolg üblicherweise von der Größe des Kundenunternehmens und seiner Marktmacht abhängig ist.

Auf dem Weg in die Cloud kann für Unternehmen die Einhaltung von Compliance-Vorgaben nicht nur technisch, sondern auch organisatorisch eine Herausforderung sein. Der Einsatz geeigneter Tools und Werkzeuge kann hierbei die Komplexität bei der Sicherstellung von Compliance in der Cloud reduzieren und die Einhaltung gesetzlicher Vorgaben und deren Anforderungen maßgeblich unterstützen. Im Folgenden zeigen wir am Beispiel Microsoft 365 auf, wie insbesondere Tools von Cloud Service Providern beim Compliance Management helfen können.

Cloud Service Provider stellen bereits Bordmittel für die IT-Compliance zur Verfügung. In diesem Artikel betrachten wir beispielhaft Microsofts Lösung, die einen ersten Ansatz zum strukturierten Vorgehen bietet, um den Unternehmensanforderungen hinsichtlich Konformität und Einhaltung von branchenspezifischen und regionalen Standards, Gesetzen und Vorschriften gerecht zu werden.

Compliance in der Cloud – typische Fragen

Befindet man sich nun in einer Phase, in der eine Applikation outgesourct werden soll, ergeben sich daraus zwangsläufig Fragen und daraus resultierende Aktivitäten für die IT-Compliance:

• Welche neuen Compliance-Vorgaben ergeben sich im Rahmen des Outsourcings der Applikation?
• Welche technischen Einstellungen sind vorzunehmen, um die eingesetzte Applikation gesetzeskonform und sicher nutzen zu können?
• Stimmen die getroffenen Sicherheitsmaßnahmen sowie das Identitäts- und Berechtigungsmanagement?
• Welche Prozesse und Dokumentationen sind aktuell und welche müssen angepasst werden? Wo muss gegebenenfalls nachgesteuert und aktualisiert werden?

Compliance-Toolbeispiel: Microsoft Cloud

Microsoft bietet im Rahmen von Microsoft 365 und seinem Cloud-Portfolio den sogenannten „Compliance Manager“ an. Dieser Service ist Microsofts Antwort auf die Frage, wie IT-Sicherheit und Compliance für Cloud-basierte Applikationen in Angriff genommen werden können. Er versteht sich als Bordmittel und Hilfestellung zur Einhaltung der IT-Compliance in der Microsoft-365-Umgebung.

Dieses Tool, das sich in das administrative Backend der Microsoft-Umgebung einbettet, biete eine Möglichkeit, die eigenen Compliance-Prozesse und -Einstellungen auf den Prüfstand stellen.
Mit den sogenannten „Bewertungsvorlagen“ bietet Microsoft den Ausgangspunkt für Prüf-Aktivitäten. Diese umfassen separate Bewertungskataloge mit Fokus auf verschiedene Zertifizierungen, (nationale) Vorschriften und Gesetze.

Dabei können einzelne Einstellungen und Maßnahmen vorgenommen werden, um bestimmte Compliance-Anforderungen zu erfüllen. Diese Einzelelemente werden mit verschieden starker Punktegewichtung gruppiert dargestellt. Daraus ergibt sich ein konsolidierter Compliance-Score-Wert.
Microsofts Maßnahmenvorschläge bzw. Handlungsempfehlungen orientieren sich an Best Practices. Es werden zudem erweiterte Sicherheitsfunktionen aufgezeigt, um etwaige Risiken zu minimieren, die durch das Outsourcing entstanden sind.

So ist zum Beispiel der BSI Cloud Computing Compliance Criteria Catalogue (BSI C5) bei den Bewertungskatalogen enthalten. Dieser beschreibt als Kriterienkatalog die Mindestanforderungen an die Informationssicherheit für Cloud-Services. Der BSI C5 ist zudem ein relevanter Bestandteil des Compliance-Nachweises für KRITIS-Unternehmen.

Im Finanzsektor stellt die BaFin mit der Bankaufsichtlichen Anforderungen an die IT (BAIT) die konkretisierten Rahmenbedingungen für eine sichere Informationsverarbeitung und Informationstechnik dar. Die BAIT ist ebenfalls als Bewertungsvorlage vorhanden und kann damit als Grundlage dienen, die Vorgaben der BaFin abzudecken.

Sicherheit und Compliance in der Cloud stellen prinzipiell eine Teilung der Verantwortlichkeiten zwischen Cloud Service Provider und dem Kunden dar. Während hierbei der Cloud Service Provider beispielsweise Vorgaben hinsichtlich physischer Rechenzentrumssicherheit einzuhalten hat, ist der Kunde, der die Cloud-basierten Services in Anspruch nimmt, für Konfiguration und das Sicherstellen geeigneter Zugriffsschutzmaßnahmen und daraus resultierender Dokumentationspflichten verantwortlich. Entsprechend sind bei Microsoft im Compliance-Score-Wert Punkte, für deren Erfüllung der Kunde verantwortlich ist und Punkte, für deren Erfüllung der Provider verantwortlich ist, getrennt dargestellt.

Über den Compliance Manager ist eine Nachverfolgung von Aktionen und die Zuweisung von Aktivitäten an bestimmte Personen möglich. Nach erfolgter Prüfung können einzelne Verbesserungsaktionen mit einem Teststatus und einer Notiz versehen, oder relevante Dokumente angehängt werden, wie etwa Prüfergebnisse oder Nachweise.
Der Compliance Manager zielt zwar grundsätzlich auf die eigenen Services von Microsoft ab, muss aber nicht zwangsläufig nur dafür genutzt werden. Auch für Drittanbieter-Applikationen ist eine Nutzung möglich.

Compliance-Tools anderer Cloud Service Provider

Andere Cloud Service Provider verfolgen einen ähnlichen Ansatz: zum Beispiel unterstützt Amazon in seinen Amazon Web Services (AWS) seine Kunden mit Tools und Werkzeugen für die Sicherstellung von Sicherheit und Compliance in der Cloud: durch Nutzung von verschiedenen AWS-Services und Verwaltungskonsolen wird die (teils automatisierte) Prüfung auf Einhaltung branchenspezifischer Vorgaben durchgeführt, damit Sicherheits- und Compliance-Anforderungen sichergestellt werden können.

Fazit

Vor und während der Nutzung von Cloud Services kann Tool-Unterstützung in Form von – durch den Cloud Service Provider gestellte – Compliance Services den Aufwand im Compliance Management mindern und helfen, die Compliance-Vorgaben des eigenen Unternehmens sicherzustellen. Insbesondere können sie auch dabei helfen, Maßnahmen auf regelmäßiger Basis zu prüfen und erforderliche Aktualisierungen durchzuführen.

Cloud Services nutzende Unternehmen sind allerdings selbst dafür verantwortlich, dass bei ihnen geltende Compliance-Gesetze und Vorschriften eingehalten werden. Das heißt, dass sie selbst ein angemessenes Compliance Management etablieren müssen, in dem die Compliance-Tools der Cloud Service Provider nur ein Baustein sein können, der zudem noch auf die eigenen Anforderungen anzupassen ist. In diesem Sinne ist ein Tool wie der Microsoft Compliance Manager keine absolute „Checkliste“, jedoch ein gutes Basiswerkzeug für den Einstieg und ein strukturelles Vorgehen.