Fachliche Leitung eines DevSecOps-Teams für eine BaFin-beaufsichtigte Automobilbank

Ausgangslage

Eine deutsche Automobilbank unterliegt der Aufsicht der BaFin und den Anforderungen aus BAIT (Bankaufsichtliche Anforderungen an die IT), ISO 27001 und ISO 22301. BAIT verlangt unter anderem einen nachvollziehbar dokumentierten IT-Betrieb. Im Rahmen eines Application-Management-Mandats brauchte sie ein DevSecOps-Team, dessen Betrieb nachvollziehbar dokumentiert ist und Prüfungen durch die Aufsicht standhält. Bastian Wenske, heute Geschäftsführer von WCS, leitete dieses siebenköpfige Team 26 Monate lang fachlich.

Vorgehen

• Auditrelevante Betriebsdokumentation aufgebaut und Prüfungen durch die Aufsicht begleitet.
• Incident Management nach ITIL eingeführt, mit festen Abläufen von der Meldung bis zum Abschluss eines Vorfalls.
• Wiederkehrende Aufgaben mit Python, Bash, Ansible und GitLab CI/CD automatisiert, Funktionstrennung umgesetzt und Systeme gehärtet.
• Eine Middleware entwickelt, die ITSM-System und Kanban-Board synchronisiert, damit der Bearbeitungsstand in beiden Systemen übereinstimmt.
• Das Team über Reviews und Pairing befähigt, Verfahren und Werkzeuge selbst weiterzuführen.

Bereits zuvor hatte Bastian Wenske beim selben Kunden Betrieb und Migration der Kernbankenplattform verantwortet: Intra-Day- und End-of-Day-Verarbeitung, SEPA- und SWIFT-Anbindung, die Migration von RHEL 7 auf RHEL 8 und die Härtung der Scheduling-Plattform.

Ergebnis

Das Team arbeitete nach dokumentierten, prüfbaren Verfahren. Vorfälle liefen über einen einheitlichen Incident-Prozess, Funktionstrennung war technisch umgesetzt, und Routineaufgaben liefen automatisiert statt manuell. Die Dokumentation stand für die Prüfungen der Aufsicht bereit.

Auf der Kernbankenplattform senkte das neu aufgebaute Monitoring die mittlere Wiederherstellungszeit (MTTR) um 40 %.

Diese Erfahrung aus dem Betrieb unter Bankenaufsicht fließt heute in die Mandate von WCS ein.