FinTech-Unternehmen sind von Grund auf cloud-nativ konzipiert. Sie führen häufige Bereitstellungen durch, skalieren schnell und stützen sich auf moderne Cloud-Plattformen, um Zahlungsabläufe, digitale Geldbörsen und Finanzdienstleistungen zu unterstützen. Dennoch sind Herausforderungen bei PCI-DSS-Audits in cloud-nativen FinTech-Umgebungen nach wie vor weit verbreitet.
In den meisten Fällen sind Prüfungsfeststellungen nicht auf Nachlässigkeit oder mangelnde Investitionen in die Sicherheit zurückzuführen. Vielmehr resultieren sie aus der Art und Weise, wie Cloud-Umgebungen im Laufe der Zeit aufgebaut, gesteuert und betrieben werden – oft auf eine Weise, die erst bei Beginn einer Prüfung erkennbar wird.
Dieser Artikel befasst sich damit, warum PCI-DSS-Audits in Cloud-nativen FinTech-Unternehmen scheitern, welche Probleme Auditoren am häufigsten feststellen und wie bestimmte architektonische und betriebliche Entscheidungen die Audit-Belastung verringern können, ohne die Entwicklung zu verlangsamen.
Die Verantwortung gemäß PCI DSS endet nicht beim Cloud-Anbieter
In der FinTech-Branche wird häufig angenommen, dass die Ausführung von Workloads auf AWS oder Azure die Einhaltung der PCI-DSS-Vorgaben vereinfacht.
Zwar verfügen die großen Cloud-Anbieter über PCI-DSS-Zertifizierungen für ihre zugrunde liegenden Plattformen, doch liegt die Verantwortung für die Einhaltung der Vorschriften bei beiden Seiten. Die Anbieter sorgen für die Sicherheit der Infrastruktur selbst, während die Kunden weiterhin dafür verantwortlich sind, wie die Umgebungen konfiguriert, genutzt, überwacht und gewartet werden.
Wirtschaftsprüfer konzentrieren sich in der Regel auf:
- Datenfluss und Systemgrenzen
- Entwurf und Überprüfung von Zugangskontrollsystemen
- Protokollierung, Überwachung und Aufbewahrung
- Veränderungsmanagement und operative Konsistenz
Daher sind viele Prüfungsfeststellungen eher auf grundlegende Konfigurations- und Governance-Entscheidungen zurückzuführen als auf fehlende Sicherheitstools.
1. Unvollständiges Verständnis des Modells der geteilten Verantwortung
Eine der häufigsten Ursachen für Verstöße gegen den PCI DSS ist ein unvollständiges Verständnis davon, wo die Verantwortung des Cloud-Anbieters endet und die des Kunden beginnt.
Cloud-Plattformen bieten leistungsstarke native Sicherheitsdienste, doch ihre Wirksamkeit hängt davon ab, wie sie konfiguriert und verwaltet werden.
Prüfer sehen häufig:
- Sicherheitsdienste sind aktiviert, werden jedoch nicht zentral verwaltet
- Verschlüsselung ist vorhanden, ohne dass die Zuständigkeit für die Schlüssel eindeutig festgelegt ist
- Identitätsberechtigungen, die schrittweise und ohne Überprüfung erweitert wurden
- Überwachungstools sind zwar vorhanden, werden aber im operativen Einsatz selten genutzt
In der Praxis lassen sich diese Probleme leichter bewältigen, wenn die Anforderungen an Sicherheit und Governance frühzeitig festgelegt und in allen Umgebungen einheitlich umgesetzt werden.
2. Cloud-native Architekturen ermöglichen eine schrittweise Erweiterung des PCI-Anwendungsbereichs
Mikroservices, APIs, Managed Services und ereignisgesteuerte Workloads sind das Herzstück moderner FinTech-Plattformen. Im Laufe der Zeit können sie jedoch zu einer Ausweitung des PCI-Anwendungsbereichs führen, die nicht sofort erkennbar ist.
Beispiele hierfür sind:
- In Protokollen oder Nachrichten enthaltene sensible Daten
- Gemeinsame Dienste zur Unterstützung sowohl regulierter als auch nicht regulierter Workloads
- Interne Verkehrswege, die nie unter Berücksichtigung einer Segmentierung geplant wurden
Prüfer bewerten die tatsächliche Datenoffenlegung und nicht die architektonische Absicht. Wenn die Grenzen des Prüfungsumfangs unklar sind, werden die Prüfungen länger und komplexer.
Eine klare Trennung der Umgebungen und ein einheitliches Netzwerkdesign tragen dazu bei, den Umfang zu begrenzen und Audits zu vereinfachen – insbesondere bei wachsenden Plattformen.
3. Die Geschwindigkeit der Cloud-Umstellung übertrifft die Transparenz bei der Compliance
Im Gegensatz zu statischen lokalen Umgebungen verändert sich die Cloud-Infrastruktur ständig.
Es werden neue Dienste bereitgestellt, Berechtigungen angepasst, Regionen hinzugefügt und vorübergehende Korrekturen angehäuft. Ohne umfassende Transparenz und Governance können Compliance-Lücken entstehen, ohne dass dies zu operativen Warnmeldungen führt.
Bei Prüfungen zeigt sich dies häufig wie folgt:
- Kontrollen, die dokumentiert waren, aber nicht mehr existieren
- Fehlende Belege für Änderungen zur Jahresmitte
- Konfigurationsunterschiede zwischen den Umgebungen
Viele FinTech-Teams begegnen diesem Problem, indem sie Compliance-Aspekte in ihre Entwicklungsprozesse einbeziehen, anstatt sie erst bei der Vorbereitung auf Audits zu berücksichtigen.
Hier kommt DevSecOps-Praktiken häufig eingesetzt werden, um Sicherheitsvorkehrungen, Überwachung und die Durchsetzung von Richtlinien direkt in CI/CD-Workflows zu integrieren.
4. Protokollierung und Überwachung sind häufige Schwachstellen bei Audits
Aus Sicht eines Wirtschaftsprüfers liefern Protokollierung und Überwachung den Nachweis für die Wirksamkeit der Kontrollen im Zeitverlauf.
Selbst gut gesicherte Systeme können Fehlermeldungen ausgeben, wenn:
- Protokolle werden kürzer als vorgeschrieben aufbewahrt
- Die Daten sind auf verschiedene Tools verteilt
- Warnmeldungen sind nicht klar definiert oder werden nicht überprüft
- Die Zuständigkeiten für die Überwachung sind unklar
Cloud-native Umgebungen profitieren von standardisierten Protokollierungs- und Überwachungskonzepten, die einheitlich über Konten, Abonnements und Regionen hinweg angewendet werden.
Dies lässt sich oft leichter erreichen, wenn Umgebungen einer wiederholbaren Basiskonfiguration folgen, insbesondere in regulierten Bereichen.
5. Dienste von Drittanbietern erfordern weiterhin eine architektonische Überwachung
FinTech-Plattformen sind in hohem Maße auf externe Zahlungsabwickler, Dienste zur Betrugserkennung, Analysetools und SaaS-Integrationen angewiesen. Auch wenn diese Anbieter möglicherweise über eigene Zertifizierungen verfügen, konzentrieren sich die Prüfer darauf, wie die Integrationen umgesetzt und kontrolliert werden.
Häufige Befunde betreffen:
- Umfassender Zugriff auf externe Systeme
- Unvollständige Herstellerunterlagen
- Unklare Abbildung des Datenflusses
Das Management von Risiken durch Dritte erfordert sowohl vertragliche als auch technische Kontrollmaßnahmen, insbesondere in verteilten Cloud-Umgebungen.
6. Verschlüsselung ist notwendig, aber nicht ausreichend
Die Verschlüsselung ist eine grundlegende Anforderung des PCI DSS, doch bei Audits werden häufig Schwachstellen in der Schlüsselverwaltung und in den betrieblichen Abläufen aufgedeckt.
Zu den Befunden gehören häufig:
- Begrenzte Praktiken zur Schlüsselrotation
- Übermäßiger Zugriff auf Verschlüsselungsschlüssel
- Fehlende Aufgabentrennung
- Unzureichende Dokumentation
In Cloud-Umgebungen sind Verschlüsselungsmaßnahmen am wirksamsten, wenn sie mit klar definierten Prozessen für Identitätsmanagement, Überwachung und Governance einhergehen.
Verringerung von Reibungsverlusten bei PCI-Audits durch Cloud-Design
FinTech-Unternehmen, bei denen PCI-Audits reibungsloser verlaufen, verfolgen oft ein gemeinsames Ziel: Sie wollen die Schwankungen bei der Einrichtung und dem Betrieb von Cloud-Umgebungen verringern.
Dazu gehören in der Regel:
- Einheitliche Muster für die Identitäts- und Zugriffsverwaltung
- Eindeutige Netzwerksegmentierung
- Zentrale Protokollierung und Überwachung
- Einheitliche Konfiguration der Umgebung über Regionen und Konten hinweg
Standardisierte Cloud-Grundlagen – wie strukturierte Basiskonfigurationen für AWS- oder Azure-Umgebungen – helfen Teams dabei, die Konsistenz zu wahren, während sich die Plattformen weiterentwickeln:
Diese Ansätze ersetzen zwar keine internen Sicherheitsteams oder Prüfer, können jedoch den Betriebsaufwand verringern und den Nachweis der Einhaltung von Vorschriften erleichtern.
Mehr Vorhersehbarkeit bei PCI DSS in Cloud-nativen FinTech-Unternehmen
Für Cloud-native FinTech-Unternehmen muss PCI DSS keine ständige Störquelle sein. Wenn Compliance-Aspekte bereits in die Cloud-Architektur und den täglichen Betrieb integriert sind, werden Audits vorhersehbarer und weniger ressourcenintensiv.
Die Aufgabe von Cloud-Spezialisten wie ITGix besteht darin, Teams dabei zu unterstützen, AWS- und Azure-Umgebungen so zu konzipieren und zu betreiben, dass sie den Anforderungen des PCI DSS entsprechen und gleichzeitig Wachstum, Wandel und eine kontinuierliche Bereitstellung fördern.
Erfahren Sie mehr über die Cloud-Sicherheits- und Compliance-Dienstleistungen von ITGix.
