Raiffeisen Bank International erreicht eine sichere Bereitstellung von standardisierten Bankanwendungen für ihre zwölf Netzwerkbanken

Das Ziel

Die Raiffeisen Bank International (RBI) mit Sitz in Wien ist eine der führenden Bankengruppen Europas mit zwölf Netzwerkbanken (NWB) in Mittel- und Osteuropa. Als die NWBs ab Anfang der 1990er Jahre gegründet oder aufgekauft wurden, mussten wichtige Entscheidungen getroffen werden – unter anderem, ob die Verantwortung für die IT-Infrastrukturen auf nationaler Ebene verbleiben oder zentralisiert werden sollte. Da die Integration der heterogenen Landschaften mit hohen Kosten verbunden gewesen wäre, entschied sich das Management für die erste Option und führte dieses Modell drei Jahrzehnte lang sehr erfolgreich fort. Doch in der heutigen digitalen Welt werden die Nachteile von mehreren nationalen IT-Lösungen immer deutlicher: Konzernweite Innovationsprojekte erfordern ein hohes Maß an Agilität, das in einer dezentralen Organisation oft schwer zu gewährleisten ist, und die fehlende Standardisierung innerhalb des Konzerns macht sich auch auf der Kostenseite bemerkbar, weil attraktive Einsparpotenziale nicht erschlossen werden können.

Die Herausforderung

Um den Weg in die Zukunft zu ebnen, konzentriert sich die RBI derzeit auf eine nachhaltige Digitalisierung, Standardisierung und Konsolidierung ihrer IT, wie Yaron Zehavi, Customer IAM Product Owner bei der RBI, erklärt: „Unser strategisches Ziel ist es, standardisierte Bankanwendungen für unsere Netzwerkbanken zu entwickeln und diese als zentralisierte Omnichannel-Services anzubieten. Wir haben die erforderlichen standardisierten APIs und Event-Streaming-Lösungen implementiert. Was jedoch lange Zeit fehlte, war eine durchgängige Lösung für das Identitäts- und Zugriffsmanagement, die es den Kunden ermöglicht, sich bei den zentral bereitgestellten Anwendungen sicher zu authentifizieren und zu autorisieren. Ohne eine solche Lösung musste jeder Dienst die IAM-Prozesse separat mit den NWBs aushandeln, was zu problematischen eigenständigen Identitäten und komplexen Integrationsprojekten führte.“

Die Lösung

Ping Identity, implementiert mit iC Consult

Die Suche nach einem geeigneten, unternehmensweiten Kunden-IAM war alles andere als einfach: Die größte Herausforderung bestand darin, die fragmentierte IT-Landschaft der zwölf NWBs mit ihren vielfältigen IDP-Lösungen – von OpenAM über GAAS bis Azure AAD – und ihrem bunten Mix aus On-Prem- und Cloud-Topologien in einer einzigen, umfassenden Lösung zu vereinen. Diese Lösung musste nicht nur die strengen regulatorischen Anforderungen des europäischen Bankensektors erfüllen, sondern auch die von den Kunden erwartete Sicherheit und Benutzerfreundlichkeit bieten – und skalierbar sein, um die gesamte Benutzerbasis von 17 Millionen Kunden zu bedienen. Daher war die Liste der Anforderungen, mit denen Yaron Zehavi in die Marktbewertung eintrat, recht umfangreich und detailliert:

• Die neue unternehmensweite IAM-Lösung musste die höchsten Sicherheitsstandards und alle europäischen Bankaufsichtsanforderungen erfüllen, einschließlich Single Sign-On mit Multi-Faktor-Authentifizierung.

• Eines der Hauptziele des Projekts war es, die Integration neuer, zentral bereitgestellter Bankanwendungen für die NWBs so einfach wie möglich zu gestalten. Um dies zu erreichen, musste die neue Lösung vollständig mit den vielfältigen Infrastrukturen der Netzwerkbanken kompatibel sein.

• Die Lösung sollte eine herausragende Ausfallsicherheit, Stabilität und Performance bei nahezu unbegrenzter Skalierbarkeit bieten – angesichts der Tatsache, dass jeder Ausfall der IAM-Infrastruktur auch zu Ausfallzeiten aller RBI-Dienste in allen Ländern führen würde.

• Die Autorisierung sollte auf sicheren, einheitlichen Zugriffstoken in einem standardisierten Format basieren, um die Validierung von Zugriffstoken auf API-Ebene in der gesamten Gruppe zu vereinfachen.

• Und auf technischer Ebene sollte das zentralisierte IAM für agile Entwicklungsumgebungen ausgelegt sein und zeitgemäße CI/CD-Prozesse unterstützen, um neue Funktionalitäten kontinuierlich testen und validieren zu können. 

Dieser detaillierte Anforderungskatalog war allerdings nicht die einzige Herausforderung – auch der Zeitplan für das ambitionierte Integrationsprojekt war eng. Yaron Zehavi erinnert sich: „Der Startschuss für das Kunden-IAM-Projekt fand im Mai 2021 statt, und unser Ziel war es, die neue Lösung vier Monate später in Betrieb zu nehmen. Daher entwickelten wir eine pragmatische und agile Roadmap: Wir beschlossen, uns im ersten Schritt auf die kritische Anmeldesicherheit – einschließlich Authentifizierung, Identitäten und Autorisierung – zu konzentrieren und dann schrittweise komplexere Autorisierungsmetadaten zu integrieren. In der dritten Phase werden wir die Autorisierungsabwicklung für Bankgeschäfte integrieren."