Cloud-Konzentrationsrisiko bei Systembanken: DORA & Basel III

Einleitung: Das neue Klumpenrisiko im Rechenzentrum

Wenn global systemrelevante Banken (G-SIBs) ihre Kernbankensysteme, Zahlungsverkehrs-Infrastrukturen und Risiko-Analytics in die Public Cloud migrieren, entsteht ein strukturelles Konzentrationsrisiko. Wenige Hyperscaler – primär Amazon Web Services (AWS), Microsoft Azure und Google Cloud Platform (GCP) – dominieren die IT-Infrastruktur des europäischen Bankensektors. Für Treasurer und Risikochefs bedeutet dies: Das operationelle Risiko wandert von internen Servern zu externen Dritten, deren Ausfall systemische Kettenreaktionen auslösen kann.

Regulatorischer Rahmen: DORA und die BaFin-Erwartungen

Seit dem Inkrafttreten des Digital Operational Resilience Act (DORA) Anfang 2025 müssen Banken in der EU ihre IKT-Drittparteienrisiken (ICT Third-Party Risk Management, TP_RGM) offenerlegen und strenger überwachen. Europäische Regulierungsbehörden wie die EZB und die BaFin fordern belastbare Exit-Strategien und Notfallpläne für den Fall, dass ein primärer Cloud-Provider ausfällt.

• Kritische Funktionen: Auslagerungen von Zahlungsverkehr (TARGET2, SWIFT-Gateways) und Risikomodellierung (VaR, Stresstesting) gelten als primäre Schwachstellen.
• Überwachungsdichte: Kritische IKT-Drittanbieter werden direkt von den europäischen Aufsichtsbehörden (ESAs) beaufsichtigt.

„Ein Cloud-Ausfall bei einem führenden Hyperscaler ist kein reines IT-Problem mehr, sondern ein Liquiditätsrisiko, das innerhalb von Stunden die Refinanzierung einer Bank gefährden kann.“

Mechanismen der Transmission: Wie IT-Ausfälle die Bilanz treffen

Die Konzentration auf wenige Anbieter erzeugt kaskadierende Effekte auf die Finanzstabilität:

| Übertragungskanal | Betroffener Bereich | Regulatorische Kennzahl | | Transaktionsstopp | Zahlungsverkehr & Clearing | Liquidity Coverage Ratio (LCR) | | Daten- blackout | Risikoberechnung (EAD/LGD) | Eigenkapitalquote (CET1) | | Reputationsverlust | Refinanzierung am Interbankenmarkt | Net Stable Funding Ratio (NSFR) |

Wenn beispielsweise ein Microsoft-Azure-Rechenzentrumszentrum für Westeuropa ausfällt und Transaktionsdaten temporär nicht verfügbar sind, kann dies zu Verzögerungen im Settlement führen. Dies wiederum bindet unerwartet Liquidität und kann die Intraday-Liquiditätslinien einer Bank belasten.

Was Treasurer und Risikodesks jetzt beobachten

Institutionelle Marktteilnehmer analysieren die Cloud-Strategie von Banken zunehmend im Rahmen ihrer Kredit- und Counterparty-Analysen:

• Multi-Cloud-Strategien versus Vendor Lock-in: Banken, die rein auf einen Hyperscaler setzen, zeigen höhere operationelle Risikoprofile als solche mit flexiblen Multi-Cloud- oder Hybrid-Architekturen.
• Testberichte und Notfallübungen: Die Qualität und Häufigkeit von Wiederanlauftests (Disaster Recovery Tests) fließen vermehrt in die ESG- und Governance-Bewertungen von Ratingagenturen ein.
• SLA-Kompensationen: Die vertragliche Durchsetzbarkeit von Schadensersatzansprüchen bei Cloud-Ausfällen ist oft unzureichend, da Standard-SLAs der Hyperscaler nicht die vollen regulatorischen Kosten abbilden.

Hinweis: Diese Analyse dient ausschließlich Informationszwecken und stellt keine Anlageberatung dar.