Hybride Cloud-Plattform mit mTLS und Workload-Identitäten für eine Geschäftsbank unter DORA

Ausgangslage

Eine Geschäftsbank, reguliert nach DORA (Digital Operational Resilience Act) und BAIT (Bankaufsichtliche Anforderungen an die IT), hatte ein FinTech übernommen und wollte dessen containerisierte Kernanwendungen in die eigene Azure-Umgebung überführen. Zugleich sollte die Enterprise Architecture eine Plattform schaffen, auf der Anwendungen über Plattformgrenzen hinweg sicher kommunizieren und Geheimnisse zentral verwaltet werden. Bastian Wenske, heute Geschäftsführer von WCS, verantwortete in zwei aufeinanderfolgenden Projekten von Dezember 2022 bis Juni 2025 die Plattform- und Security-Architektur.

Vorgehen

Im ersten Projekt stand die Integration des FinTechs im Mittelpunkt:

• Neuausrichtung der Cloud-Security- und Governance-Architektur und Aufbau eines Cloud Center of Excellence.
• Migration der containerisierten Kernanwendungen in Landing Zones auf Azure, mit Security-Reporting-Pipelines und Shift-Left über SAST (statische Codeanalyse) und Threat Modeling.
• 24/7-Betrieb auf AKS mit Observability und Incident Response.

Im zweiten Projekt folgte die Plattformarchitektur in der Enterprise Architecture: Azure API Management mit mTLS über Plattformgrenzen hinweg (AKS, Ingress, Key Vault), ein Workload-Identitätsmodell auf Basis von Entra ID für Anwendungen in AKS und ein Secret-Management mit Managed Identities und mehreren Key Vaults.

Ergebnis

Die Kernanwendungen des übernommenen FinTechs wurden in Landing Zones auf Azure migriert und auf AKS rund um die Uhr betrieben. Dienste authentifizierten sich über Plattformgrenzen hinweg per mTLS und erhielten Zugriff über eigene Identitäten in Entra ID, Geheimnisse lagen getrennt in mehreren Key Vaults. Für die Bestandsanwendungen legten eine Cloud-Placement-Strategie und eine Refactoring-Roadmap fest, welche Anwendung wohin und in welcher Reihenfolge wechselt.

Diese Erfahrung aus regulierten Cloud-Plattformen fließt heute in die Mandate von WCS ein.