Basel II bringt neues Risiko-Tableau für Banken (Fortsetzung)

Geschäftsführer in der Pflicht
In Deutschland versuchen rechtliche Regelungen wie § 91, Absatz 2, Aktiengesetz, einschlägige Regelungen im Handelsgesetzbuch und im Kreditwirtschaftsgesetz sowie das »Gesetz zur Kontrolle und Transparenz in Unternehmensbereichen« (KonTraG) entsprechende Fehlentwicklungen zu verhindern. Alle genannten gesetzlichen Regelungen legen der Unternehmensleitung die Pflicht auf, ein Risikomanagementsystem zu etablieren, das alle betrieblichen Risiken erfasst. Mögen die Regelungen auf den ersten Blick auch recht allgemein klingen, die Gerichte leiten daraus eine weit reichende Verantwortung ab. Das betrifft nicht nur organisatorische Fehlkonstruktionen wie seinerzeit bei Barings (dort war es die mangelhafte Trennung von Front- und Back-Office in »Risikoeinheit« mit einem kriminell gewordenen Wertpapierhandels-Chef), sondern auch Risiken im engeren Bereich der IT-Systeme. Das zeigt beispielsweise das Urteil gegen die Direktbank Cortal Consors. Der Finanzdienstleister musste dafür gerade stehen, dass ein Kunde wegen des Ausfalls des Handelssystems eine gewinnträchtige Aktientransaktion nicht durchführen konnte.  

Risiko-Management-­Optionen
Die Kreditinstitute sind also nicht erst seit Basel II in der Pflicht, die betrieblichen Risiken genauso ernst zu nehmen wie Adressausfall- und Marktrisiken. Die Diskussionen bei den Instituten gehen deshalb dahin, einerseits geeignete Risiko-Indikatoren für die verschiedenen Geschäftsfelder zu finden und andererseits eine möglichst kostengünstige Regelung, wie die Risiken durch Eigenkapital abgedeckt werden können. Hier lassen die Basel-II-Vereinbarungen durchaus mehrere Möglichkeiten zu, zum einen verschiedene (meist wenig flexible) Standardverfahren, zum anderen unternehmensspezifisch festgelegte Verfahren. Letztere sind natürlich in der Regel flexibler und damit kostengünstiger für die Kreditinstitute, erfordern indes besonders viel Sorgfalt und IT-Aufwand, bevor sie  dann zu geringeren Eigenkapital-Anforderungen führen. Unter anderem kommt ein diesbezügliches Risiko-Management nicht um den Aufbau einer eigenen Schadensdatenbank herum Dadurch lässt sich zumindest Klarheit über konkrete Schadensfälle gewinnen. Die Frage potenzieller Schadensfälle und die Gewichtung von deren Eintrittswahrscheinlichkeit ist damit freilich nicht gelöst. Da die gleichberechtigte Einbeziehung betrieblicher ­Risiken neben den traditionellen Bank-Risiken bei den meisten Kreditinstituten erst neueren Datums ist, liegen auch keine langen Zeitreihen vor, die für eine verlässliche Wahrscheinlichkeitsverteilung taugen.

Nachholbedarf bei der IT-Infrastruktur
Natürlich wird kein Kreditinstitut bei den Sicherheits-Investitionen warten bis hier lange Schadensfall-Zeitreihen vorliegen. Präventives  Handeln ist unabdingbar. Dies bedeutet zum einen die Etablierung sicherer baulicher Umgebungen für die IT-Infrastruktur und zum anderen Absicherungen nach dem neuesten Stand der Technik. Im Gesamtzusammenhang des Risiko-Managements bei Kreditinstituten sollte dabei der Faktor »sichere Rechenzentrums- und Server-Infrastruktur« derzeit fast mehr Gewicht erhalten als Passwort-Klau und sonstige Betrügereien, die durch geeignete Software-Maßnahmen und vor allem durch regelmäßige Aufklärung der Kunden eigentlich sicher verhindert werden können.
Bei der Rechner-Infrastruktur werden die Sicherheitsgefährdungen dagegen gern unterschätzt. Dabei zeigt nicht nur das oben erwähnte Urteil gegen die Direktbank Cortal Consors, welch ein Betriebs- und damit Geschäftsrisiko nicht funktionsfähige Netzwerke oder Anwendungen darstellen. In der Branche kursieren Zahlen, dass nur eine Stunde Systemausfall im Geschäftsfeld Kreditvergabe oder Geldautomaten mehrere Millionen Euro kosten kann, nicht zu ­reden vom Geschäftsfeld Wertpapier­handel, wo noch einmal deutlich höhere Verlustbeträge zusammenkommen.
Wenn keine Vorkehrungen auf dem neuesten Stand der Technik getroffen werden, sind solche Ausfälle heute mehr denn je vorprogrammiert. Die immer höhere Packungsdichte, die durch »Pizza-Rechner-Konzepte« entsteht, stellt nämlich hohe Anforderungen an die Rechner-Infrastruktur und die Sicherheit, angefangen von der Stromversorgung und Klimatisierung bis hin zu Brandfrüherkennung und Zutrittskontrolle.  

»Geräuschlose« ­Nachrüstung
Viele Server-Räume von Banken sind gemessen an diesen Anforderungen nicht mehr auf dem neuesten Stand. Nachrüstmaßnahmen sind vielerorts angesagt. Solche Maßnahmen sind vor allem deshalb eine delikate ­Sache, weil sich kein Kreditinstitut leisten kann, dass der IT-Betrieb dadurch beeinträchtigt wird. Beispiele wie die Serverraum-Nachrüstung bei der Sparkasse Eckernförde (siehe InformationWeek Special vom 16. Juni 2005, Seite 28ff) zeigen indes, dass solche Umbaumaßnahmen heute durchgeführt werden können, ohne dass der Geschäftsbetrieb auch nur eine Minute unterbrochen werden muss.