Die Nutzung von Identity Federation bei der Raiffeisen Bank International.

Die Zielsetzung

Die Raiffeisen Bank International (RBI) mit Sitz in Wien gehört mit ihren zwölf Netzwerkbanken (NWB) in Zentral- und Osteuropa zu den führenden Banken- gruppen des Kontinents. Als die NWBs in den frühen neunziger Jahren gegründet bzw. übernommen wurden, galt es, eine Reihe wichtiger Weichenstellungen vor- zunehmen: darunter auch, ob die Verantwortung über die IT-Infrastrukturen auf nationaler Ebene verbleiben oder zentralisiert werden sollte. Die Verantwort- lichen wählten mit Blick auf den hohen Integrationsaufwand und die heterogenen Landschaften die erste Option – und waren mit diesem Modell drei Jahrzehnte lang überaus erfolgreich. Doch in der digitalisierten Welt von heute zeigen sich immer mehr die Schattenseiten der nationalen IT-Lösungen: Gruppenweite In- novationsprojekte erfordern ein hohes Maß an Agilität, das durch die dezentrale Organisation oft nur schwer zu gewährleisten ist – und auch auf der Kostenseite macht sich die fehlende Standardisierung innerhalb der Gruppe bemerkbar, weil attraktive Einsparpotenziale nicht erschlossen werden können.

Die Herausforderung

Um die Weichen auf Zukunft zu stellen, treibt die RBI deshalb aktuell mit Nachdruck die Digitalisierung, Standardisierung und Konsolidierung ihrer IT voran, wie Yaron Zehavi, Customer IAM Product Owner bei der RBI, erklärt: „Unser strategisches Ziel ist es, für unsere Netzwerkbanken standardisierte Banking-Anwendungen zu entwickeln und zentralisiert als Service über alle Kanäle bereitzustellen. Die dafür erforderlichen, ebenfalls standardisierten APIs und Event-Streaming-Lösungen haben wir inzwischen gemeinsam implemen- tiert. Was uns aber lange Zeit fehlte, war eine durchgängige Identity- und Access- Management-Lösung, mit der sich Kunden sicher an den zentral bereitgestellten Anwendungen authentisieren und autorisieren können. Ohne eine solche Lösung musste jeder Dienst die IAM-Prozesse separat mit den NWBs aushandeln – was zu problematischen Identity-Silos und aufwändigen Integrationsprojekten führte.“

Die Lösung

Ping Identity, mit iC Consult implementiert

Die Suche nach einem geeigneten, unternehmensweiten Customer-IAM gestaltete sich alles andere als einfach: Immerhin galt es, die fragmentierte IT-Landschaft der zwölf NWBs mit ihren multiplen IDP-Lösungen – von OpenAM über GAAS bis hin zu Azure AAD – und ihrem bunten Mix an On-Prem- und Cloud-Topologien in einer einheitlichen Lösung zusammenzuführen. Diese sollte dabei nicht nur den strengen regulatorischen Vorgaben des europäischen Bankwesens genügen, sondern auch die von den Kunden geforderte Sicherheit und Usability bieten – und bei all dem als Cloud-basierter Service in der finalen Ausbaustufe auf bis zu 17 Millionen Benutzer skalierbar sein. Entsprechend umfangreich und detailliert war der Anforderungskatalog, mit dem Yaron Zehavi in die Marktevaluierung ging:

• Die neue unternehmensweite IAM-Lösung sollte für alle Anwendungen einen bequemen Single-Sign-on mit hochsicherer Multifaktor-Authentisierung ermöglichen und dabei höchsten Sicherheitsstandards und allen regulatori- schen Vorgaben des europäischen Bankwesens genügen, am besten, ohne die vorhandenen Zugangsdaten der Kunden ablösen zu müssen.

• Eines der Hauptziele des Projekts war es, den Integrationsaufwand beim Deployment neuer Banking-Anwendungen für die NWBs so weit wie mög- lich zu reduzieren. Dafür musste die Lösung mit den Infrastrukturen aller Netzwerkbanken uneingeschränkt kompatibel sein.

• Die Lösung musste herausragende Ausfallsicherheit, Stabilität, Resilienz und Performance bei nahezu unbegrenzter Skalierbarkeit garantieren – immerhin würde ein Ausfall der IAM-Infrastruktur auch den Ausfall aller RBI-Dienste in sämtlichen Ländern bedeuten.

• Die Autorisierung sollte über sichere, einheitliche Access Token in einem standardisierten Format erfolgen, um die Validierung der Token auf API-Ebene über die gesamte Gruppe hinweg zu vereinfachen.

• Und schließlich, auf technischer Ebene: Das zentralisierte IAM sollte für agile Entwicklungsumgebungen ausgelegt sein und zeitgemäße CI-/CD-Verfahren unterstützen, um neue Funktionalitäten kontinuierlich testen und validieren zu können. 

Der breite Anforderungskatalog war aber nicht die einzige Herausforderung – auch der Zeitplan des ambitionierten Integrationsprojekts war eng gesteckt. Yaron Zehavi erinnert sich: „Der Startschuss für das Customer-IAM fiel bei uns im Mai 2021, und unser Ziel war es, mit der neuen Lösung vier Monate später in den Live-Betrieb zu gehen. Daher entwickelten wir eine pragmatische und agile Roadmap: Wir entschieden uns, im ersten Schritt nur das kritische Thema Login-Security einschließlich der Authentisierung, der Identities und der Autorisierung anzugehen, und erst dann nach und nach die komplexeren Autorisierungsmetadaten einzubinden. In der dritten Phase gilt es dann, das Berechtigungshandling für Bankgeschäfte zu integrieren.“