Joerg Wechsler über Informatik im Finanzwesen

Joerg Wechsler begann seine Berufskarriere im Software-Entwicklungs-Bereich der IBM in Böblingen. Nach rund 20 Jahren in verschiedensten Bereichen, zuletzt als Leiter des IS Zentrums Informationssysteme, wechselte er Mitte der neunziger Jahre als Leiter des weltweiten Service Delivery zur Deutschen Bank. Im Jahr 1998 begann Wechsler dann als Geschäftsführer bei der damaligen dvg, einem Vorgängerunternehmen der heutigen Finanz Informatik. Er behielt diese Position nach einer Fusion von vier Sparkassen-IT-Dienstleistern im Jahr 2003 zur damaligen FinanzIT und nach der weiteren Fusion im Jahr 2008 zur Finanz Informatik. Zum Jahresende 2010 trat er in den Ruhestand. Wechsler hatte in Stuttgart Mathematik studiert.

Bertal Dresen (BD): Sie haben die Hälfte Ihres Berufslebens in der Finanzbranche verbracht. Worin sehen sie die größten Veränderungen in der Rolle der Informatik zwischen den 1990er Jahren und heute?

Joerg Wechsler (JW): Die Wichtigkeit der IT hat sich noch verstärkt: Vor 15 Jahren konnte man bei Ausfällen der Systeme im Kundenverkehr und auch im Zwischen­bankenverkehr ‚improvisieren‘. Da gab es noch Bargeld in allen Filialen, da wurden Überweisungen noch per Beleg am Schalter angenommen, da konnten Unter­schriften noch per Unterschriftenkarte geprüft werden, da konnte per Telex mit der Bundesbank oder zwischen Häusern ‚gecleared‘ werden, usw. Heute sind SB-Geräte, Online Banking, Online Vertrieb dominierend, und die funktionieren halt nicht ohne funktionierende IT. Außerdem hat sich die Rolle der IT auch etwas verändert: Wenn es früher lediglich um die Automatisierung ansonsten händischer Vorgänge ging, wird heute bereits Beratung, z.B. in der Akquise von Privatkundengeschäft, per System gemacht, und noch einschneidender, die Beurteilung von Kreditwürdigkeit, die Bewertung von Sicherheiten, und ähnliches, wird ebenfalls verstärkt durch IT-Systeme  durchgeführt – manchmal sogar ohne menschliche Interaktion.

BD: Wie alle Unternehmen, so waren auch die Banken von widerstrebenden organisatorischen Tendenzen geprägt. Mal stand Dezentralisierung hoch im Kurs, dann wurde wieder zentralisiert. Gibt es ein Optimum oder eine Faustregel, was vor Ort und was am besten zentral gemacht werden sollte?

JW: Ja, es wurde in den letzten Jahren massiv zentralisiert, und zwar nicht, weil es mal wieder ‚Mode‘ war, sondern aus dringender Notwendigkeit. Dazu gibt es drei Sichten:

(1) Aus fachlicher Sicht: Das Chaos ist vorprogrammmiert, wenn sie Kunden- und Kontendaten nicht an einer Stelle halten und verarbeiten, und eine Konsolidierung in eine konsistente Meldung an die Aufsichtsbehörden ist kaum möglich. 

(2) Aus betriebswirtschaftlicher Sicht: Durch den Verfall der Mainframe- und High-End-Storage-Preise, durch die zunehmende Reife von Virtualisierungsprodukten wie Citrix oder VMWare, durch die komplette Virtualisierung von Speicher, durch eine erhebliche Reduzierung des Personalaufwandes für den Betrieb, sind die Kosten dramatisch geringer geworden (genaue Zahlen habe ich da nicht, das hängt extrem von der jeweiligen Ausgangsituation ab, ob z.B. dezentrale Personalkosten gegen die zentrale IT gerechnet werden oder nicht, wie gut die Microsoft-Verträge verhandelt sind, u.ä.). 

(3) Aus IT-Sicht: 24h x 7 Tage Verfügbarkeit ist auch in einem zentralen Environment eine Herausforderung, und in einem dezentralen Environment noch viel schwieriger. Das Trauma für jeden IT-Betreib, die Software-Verteilung auf viele Tausend Endgeräte, war über viele Jahre die Ausfallursache #1. Und nicht zu vergessen das Thema Sicherheit: Eine Verteilung von Security Patches auf zentrale Server-Instanzen dauert Minuten, bei hunderttausend Endgeräten dauert es mehrere Wochen. Solche Risiken kann sich heute kein Finanzinstitut leisten.

Natürlich heißt ‚zentral‘ nicht notwendigerweise ‚nur an einer Stelle‘ oder ‚nur eine Instanz‘. Aus Sicherheitsgründen werden Rechner- und Speicherkapazitäten auf sehr wenige Lokationen verteilt. Aus Gründen der Ausfallmengen-Reduzierung wird auf mehrere identische Instanzen verteilt. Ich denke, in der Finanzbranche ist Zentralisierung gesetzt, keine Intelligenz vor Ort (außer natürlich die Intelligenz von SB-Geräten), maximal ‚Thin Clients‘ in der Fläche.

BD: Worin bestanden die größten technischen Probleme für Sie als technischen Leiter? War es der Anwendungsentwurf, Entwicklung und Test, das Roll-out neuer Anwendungen oder System-Versionen, oder die Einführung neuer Systeme vor Ort? Sind Standardisierung und Integration ein Problem? Wie weit half dabei die Automatisierung von Abläufen oder die Virtualisierung von Systemen? Welche Erwartungen haben Sie an Clouds?

JW: Das sind zu viele Fragen auf einmal, und sie lassen sich auch nicht klar beantworten, ‚it depends….‘ Alle Anwendungen brauchen heute alle Plattformen: Mainframe für Datenbanken und Transaktionsverarbeitung, Midrange für die Anwendungslogik, x86 für die Präsentation, und natürlich Netze. Anwendungsentwurf in Bezug auf Betreibbarkeit ist dann ein Thema, wenn man als Provider keine – oder nur eine grobe – Vorstellung einer Zielarchitektur des Gesamtsystems hat. Dann resultiert Wildwuchs in der Service Delivery und zwangsläufig schlechte Verfügbarkeit und schlechte Wirtschaftlichkeit. Gute Zusammenarbeit mit der Entwicklung und jeweiliges Verständnis für die Rahmenbedingungen des anderen sind hier unabdingbar. Keiner operiert auf der grünen Wiese.

Entwicklung und Test sind normalerweise ‚im Griff‘, es wird mit echten Daten und unter ernsten Lastbedingungen getestet. Aber es kann trotzdem zu einem Riesenproblem werden, wenn z.B. die Zeit knapp wird wegen fixer Termine (gesetzliche oder aufsichtsrechtliche Anforderungen). Dann kann die Testerei schon mal zu kurz kommen. Roll-out neuer System-Versionen oder neuer Plattformen nur nach intensiven Tests, speziell auch Lasttests, und dann nie mit einem ‚Big Bang‘ für die ganze Kundschaft, sondern schrittweise. Roll-out von Anwendungen nur nach mehrwöchiger Pilotierung durch verschiedene Kunden, und dann nicht für die gesamte Republik auf einen Schlag. Das klingt, als wäre alles in Butter, und im Normalfall ist es das auch. Aber wann ist schon mal etwas normal?

Standardisierung in Bezug auf Systemplattformen ist unabdingbar und auch weitgehend unstrittig. Lediglich um das Thema RISC/SPARC vs. x86 gibt es manchmal noch Glaubenskriege. Automatisierung von Abläufen: Ich bin kein Spezialist für System Management Tools und weiß mehr von herben Enttäuschungen auf diesem Gebiet als von Riesen-Erfolgs-Stories. Extrem hilfreich sind der Wegfall der Software-Verteilung und die Deployment-Fähigkeiten der Virtualisierungs-Software. Heute behauptet jeder, er macht ja schon Cloud-Computing. Wir natürlich auch. Aber mit unserer eigenen Cloud! Und das wird auch so bleiben. Und ich kann mir für die gesamte Branche nur schwer vorstellen, dass das einmal grundsätzlich anders wird.

BD: Ist die Zuverlässigkeit moderner IT-Systeme zufriedenstellend, um einen Dauerbetrieb (7 Tage 24 Stunden) zu gewährleisten? Wo gibt es die häufigsten Probleme, bei Hardware, Software oder bei den Übertragungsnetzen? 

JW: Wenn man all den Aussagen der verschiedenen Hersteller glauben könnte, dann wäre 24x7 kein Problem. In der Praxis muss man aber jede Menge Zusatzaufwände treiben. Nehmen Sie die Zusage, dass alle Hardware-, Microcode- und Systemsoftware-Komponenten unterbrechungsfrei gewartet oder aufgerüstet werden können. Das mag ja ab und zu funktionieren, aber genauso oft geht es schief mit fatalen Folgen für den Betrieb. Also existiert auch weiterhin das altbekannte Wartungsfenster, wo Systeme für die Dauer der Wartung aus der Produktion genommen werden. Um 24x7 zu halten, müssen dann eben Ersatzsysteme vorgehalten werden.

Und bei 100% Verfügbarkeit ist es ähnlich. Jede Komponente für sich ist sehr gut. Aber betrachtet man die bereits erwähnte Komplexität des Gesamtkonstrukts und die Vielfalt der involvierten Komponenten, dann sind 100% Verfügbarkeit schlicht nicht möglich. Hier ein paar wenige Beispiele gravierender Fehler der letzten Jahre: Massive z10-Probleme, Design-Limitationen IMS und DB/2, Mikrocode-Probleme von HP- und IBM-Platten, nicht identifizierbare Probleme in HP Blade Centers, Softwarefehler in GDPS, technische und organisatorische Probleme bei der Einführung von MPLS bei den Netzanbietern, fehlerhafte Sicherheits-Patches, usw., usw. Ganz zu schweigen von Infrastrukturproblemen in der Fläche (RZ’s sind mehrfach abgesichert) bezüglich Stromversorgung und Netzanbindungen. Also ganz klar, man kann nicht auf den einen oder anderen Themenkomplex deuten. Jeder ist mal dran. Um den 100% trotzdem nahe zu kommen, wird systemseitig  Redundanz gebraucht, um die Ausfallmengen zu reduzieren, was natürlich Geld kostet. Anwendungsseitig werden zusätzliche Programme bereitgestellt, die im Fehlerfall den Endkunden trotzdem noch befriedigen können, z.B. Ersatzautorisierung am Geldautomaten, und das kostet auch wieder zusätzliches Geld.

.

BD: Für Banken ist Sicherheit gegen Manipulationen und Datenklau von elementarer Bedeutung. Wo liegen heute die größten Risiken und Gefahren? Sind es die Bedrohungen von außen oder von innen? Was können und müssen Hersteller, Nutzer und Betreiber tun?

JW: Am meisten Geld ergaunert wird nach wie vor am Geldautomaten durch Manipulationen an den Geräten oder durch Diebstahl/Kopieren von Karten. Das wird nie komplett zu verhindern sein. Beim Online Banking werden die Methoden immer subtiler: Nach den z.T. dumm-dreisten Ansätzen (‚Schick mir mal 3 TANs‘ oder ähnliches) sind im Augenblick die ‚Man in the Middle‘-Angriffe die erfolg­reichsten: Der ‚Gauner‘ infiziert die Online Banking Software auf dem PC des Kunden, und bei einer Transaktion modifiziert er die Zielkonto-Nummer und den Betrag, verwendet die korrekte TAN, und gaukelt dem Kunden vor, dass seine gewünschte Überweisung ausgeführt wurde. In Wirklichkeit geht das Geld auf sein Konto, wo es dann so schnell wie möglich auch wieder verschwindet. Dagegen werden heute unter anderem das Chip-TAN- und das SMS-TAN-Verfahren eingesetzt, wo die TAN nur gültig ist in Zusammenhang mit dem Zielkonto und dem Betrag.

Generell kann man sagen, dass Hersteller und Betreiber sehr alert sind und auf neu auftauchende Bedrohungen sehr rasch reagieren. Es wird gemeinsam konzipiert, entwickelt und getestet. Mit dem Nutzer ist das so eine Sache: Wenn sich jeder Nutzer ernsthaft mit dem Thema Virenschutz befassen würde und eventuell auch ein bisschen Geld dafür ausgeben würde, dann wäre dieses Problem deutlich entschärft. 

Datenklau von außen oder Datenmanipulation von außen kenne ich aus den letzten 10 Jahren nicht, obwohl so etwas eher unter der Decke bliebe. In meiner Zeit gab es öfter Angriffe auf Firewalls, aber nie ein Durch- oder Vorbeikommen. Auch hier sind Hersteller und Betreiber extrem wachsam und schnell.

Die Bedrohung von innen ist eine sehr konkrete, allerdings durch vorhandene Mechanismen der Betriebssysteme und durch interne Kontrollprozesse gut im Griff zu halten. Es werden alle schreibenden oder kopierenden Zugriffe protokolliert, so dass im Verdachtsfall sofort alle diese Vorgänge nachvollziehbar sind. Und das ist die Krux, es ist ‚after the fact‘. Meine persönliche Philosophie war, dass wir unseren Mitarbeitern trauen können, und die Personalabteilung hat schon beim Aufkommen von Gerüchten über finanzielle Schwierigkeiten eines unserer Mitarbeiter reagiert, und sobald die Möglichkeit von Erpressbarkeit bestand, wurden Mitarbeiter aus ‚kritischen‘ Jobs genommen. 

BD: Welche Erfahrungen haben Sie mit Absolventen von Informatik-Studiengängen gemacht? In welchen Aspekten müsste die Ausbildung nachjustiert werden? Ist das Bewusstsein für Professionalität hinreichend ausgeprägt?

JW: Wir haben in den letzten Jahren nur sehr selektiv eingestellt, so dass ich hier nicht viel direkte Erfahrung beisteuern kann. Ich bin auch nicht auf dem Laufenden, was heute im Informatik-Studium gelehrt wird (Compiler-Bau interessiert heute keinen Menschen mehr). Was wir vermisst haben, waren Projekt-Management-Kenntnisse, und zwar für große, komplexe Projekte. Ob man das an der Hochschule lehren kann, weiß ich nicht. Systemprogrammierer kamen gar nicht aus dem Informatikstudium, die haben wir selber in Zusammenarbeit mit einer Berufs­akademie ausgebildet.

BD: Vielen Dank für das Interview und willkommen im Kreis der Ruheständler.