DORA trifft auf 40 Jahre Core Banking

Schwerpunkt: Security-by-Design & Zero Trust

Dr. Andreas Kosche, Practice Leader für Core Enterprise & zCloud bei Kyndryl, thematisiert DORA und die Anpassung von Core-Banking-Systemen an moderne Sicherheitsstandards. Der Fokus liegt auf der Implementierung des Principle of Least Privilege im Rahmen von Zero Trust. — Dr. Andreas Kosche, Practice Leader für Core Enterprise & zCloud, Kyndryl Kyndryl

Finanzinstitute stehen vor der Herausforderung, ihre jahrzehntelang gewachsenen Core-Banking-Systeme an moderne Sicherheitsstandards und regulatorische Vorgaben anzupassen. Obwohl die DORA-Verordnung keine Zero-Trust-Architektur explizit vorschreibt, fordert sie eine nachweisbare digitale operationale Resilienz mit starken Authentisierungs- und Überwachungsverfahren. Durch das Prinzip „Defense in Depth“ wird das Vertrauen vom reinen Netzwerkstandort auf Identitäten, Geräte und Anwendungen verlagert. Die Experten von Kyndryl zeigen auf, wie Banken durch verteilte Kontrollen und Micro-Segmentation bis zum z/OS-Endpunkt eine durchgängige Vertrauenskette realisieren können.

von Ralf Mutzke, Kyndryl Consult Partner, Zero Trust & IAM Security, Vinod Ramalingam, Kyndryl Director für Mainframe Security Architecture, Dr. Andreas Kosche, Kyndryl Practice Leader für Core Enterprise & zCloud

Ralf Mutzke über DORA und Core Banking — Ralf Mutzke, Consult Partner, Zero Trust & IAM Security, Kyndryl Kyndryl

DORA und Zero Trust verfolgen ein gemeinsames Ziel: Zugriffe auf kritische Systeme dürfen nicht allein aufgrund des Netzwerkstandorts oder einer früher erteilten Vertrauensstellung erlaubt werden.

DORA schreibt jedoch keine Zero-Trust-Architektur vor. Gefordert wird nachweisbare digitale operationale Resilienz mit eindeutigen Identitäten, Least Privilege, starker Authentisierung, Überwachung sowie belastbaren Reaktions- und Wiederherstellungsverfahren.

Im Core Banking trifft dieser Anspruch auf über Jahrzehnte gewachsene COBOL-, CICS-, IMS- und DB2-Landschaften.

Das Alter des Mainframes ist dabei nicht das eigentliche Risiko.“

Vinod Ramalingam über DORA und Core Banking — Vinod Ramalingam, Director für Mainframe Security Architecture, Kyndryl Kyndryl

Kritisch sind dauerhaft vergebene Rechte, gemeinsam genutzte oder technische Kennungen, komplexe Integrationspfade und isolierte Protokollierung. Finanzinstitute müssen diese Risiken kennen, kontrollieren und die Wirksamkeit ihrer Maßnahmen gegenüber Revision und Aufsicht nachweisen können.

Zero Trust durch Defense in Depth

NIST SP 800-207 verlagert Vertrauen vom Netzwerk auf Identität, Gerät, Anwendung und Ressource. Da Mainframe-Kontrollen innerhalb von RACF dynamische Risiko- und Gerätesignale nur begrenzt einbeziehen, entsteht Zero Trust durch Defense in Depth: Vorgelagerte API-Gateways, ZTNA- oder PAM-Systeme bewerten Identität und Kontext, während Mainframe- und Datenbankkontrollen Zugriffe lokal autorisieren und Telemetriedaten Erkennung und Reaktion ermöglichen.

Eine Voraussetzung ist die durchgängige Identitätskette.“

Viele Integrationen übermitteln dem Mainframe nur die funktionale Kennung eines Gateways, Schedulers oder Middleware-Dienstes. Der ursprüngliche Benutzer bleibt unsichtbar.

Autor Dr. Andreas Kosche, Kyndryl

Dr. Andreas Kosche, Director Core Enterprise & zCloud bei Kyndryl Deutschland, verfügt über mehr als 25 Jahre Erfahrung in der Leitung von Mainframe- und Digitalisierungsinitiativen. Er thematisiert die Relevanz von DORA im Kontext von Core Banking.

Dr. Andreas Kosche ist Director Core Enterprise & zCloud bei Kyndrl Deutschland (Webseite). Er hat mehr als 25 Jahren Erfahrung in der Leitung von Mainframe-, Infrastruktur- und Digitalisierungsinitiativen.

Identity Propagation erlaubt dagegen, externe Identitäten auf RACF-IDs abzubilden und beide Identitäten im Audit Trail zu erfassen. Dies muss über APIs, Webservices, Terminals, Batch-Prozesse und Dienstleisterzugänge konsistent umgesetzt werden.

Für DORA Netzwerksicherheit ausbauen

Auch die Netzwerksicherheit lässt sich bis zur Micro-Segmentation am z/OS-Endpunkt ausbauen. Der z/OS Communications Server beschränkt Datenverkehr mithilfe von IP-Filtern und Policy-based Routing granular nach Anwendung, Quelle, Ziel, Protokoll, Port und Verkehrsweg; IPsec und AT-TLS schützen Verbindungen, lokale IDS-Funktionen ergänzen vorgelagerte Firewalls auch bei Ende-zu-Ende-Verschlüsselung.

Autor Vinodkumar Ramalingam, Kyndryl

Vinodkumar Ramalingam, Director und Principal Architect bei Kyndryl, thematisiert die Integration von DORA in Core Banking-Systeme. Der Fokus liegt auf Identität und dem Prinzip der minimalen Berechtigung im Kontext von Zero Trust.

Vinodkumar Ramalingam (Vinod) ist Director und Principal Architect und arbeitet für den globalen CTO des Geschäftsbereichs „Core Enterprise & zCloud“ bei Kyndryl (Webseite).

Zusammen mit Identity Propagation und ressourcenbezogener Autorisierung entsteht eine mehrschichtige Kontrolle, die Kommunikationsmöglichkeiten und laterale Bewegungen begrenzt.

Besondere Priorität haben privilegierte und technische Identitäten. Administrative Rechte sollten genehmigt, zeitlich begrenzt und überwacht vergeben werden.

Erforderlich sind MFA, Just-in-Time-Zugriff, Session Recording, automatische Rücknahme und getestete Break-Glass-Verfahren. z/OS-, RACF-, CICS-, DB2-, IDS- und Netzwerkereignisse müssen im SIEM korreliert und durch definierte SOC-Use-Cases überwacht werden.

Verteilte Architektur verringert Abhängigkeit

Autor Ralf Mutzke, Kyndryl

Ralf Mutzke, Associated Partner bei Kyndryl, leitet das Zero-Trust-Beratungsgeschäft in Deutschland. Seine Expertise umfasst Cyber Security und IAM, insbesondere im Kontext der DORA-Vorgaben für Core Banking.

Ralf Mutzke ist Associated Partner, und leitet bei Kyndryl Consult (Webseite) Deutschland das Zero-Trust-Beratungsgeschäft. Er verfügt über langjährige Erfahrung in Cyber Security, IAM und regulatorischen Anforderungen.

Zero Trust darf auch keinen neuen Ausfallpunkt schaffen. Die verteilte Architektur reduziert die Abhängigkeit von einer zentralen Policy Engine, sofern Kontrollschichten, Fallbacks und Ausfallverfahren bewusst entworfen werden.

Kritische lokale Autorisierungen können deterministisch im Mainframe verbleiben, während dynamische Kontextentscheidungen an vorgelagerten Punkten erfolgen.

Die Arbeitshypothese lautet deshalb: Zero Trust um und im Mainframe bedeutet verteilte Policy-Durchsetzung, Micro-Segmentation bis zum z/OS-Endpunkt und starke lokale Kontrollen im Kern. Diese Kombination schafft Defense in Depth und eine durchgängige Vertrauenskette bis zur kritischen Transaktion. Ralf Mutzke, Vinodkumar Ramalingam, Dr. Andreas Kosche/dk