Kritische Dienste: Großbritannien nimmt Tech-Riesen an die Leine

Großbritannien nimmt erstmals vier große Cloud-Anbieter unmittelbar ins Visier der Finanzaufsicht. Seit dem 13. Juli 2026 werden AWS, Microsoft, Google und Oracle als kritische Drittanbieter überwacht, weil Ausfälle ihrer Dienste Banken, Versicherer und Finanzmärkte zugleich treffen könnten.

Vier Konzerne gelten als systemrelevant

Die britische Regierung hat AWS, Google Cloud, Microsoft und Oracle als sogenannte Critical Third Parties (kurz CTP; zu Deutsch: kritische Drittanbieter) eingestuft. Gemeint sind externe Technologieanbieter, deren Dienste für das Funktionieren des britischen Finanzsystems eine so große Bedeutung haben, dass ein längerer Ausfall mehrere Unternehmen oder Märkte gleichzeitig beeinträchtigen könnte.

Die Einstufung betrifft dabei nicht pauschal alle Geschäftsbereiche der vier Konzerne. Die Aufsicht konzentriert sich auf jene Cloud- und Technologiedienste, die Banken, Versicherer und andere Finanzunternehmen für kritische Prozesse einsetzen. Weitere Anbieter können später in das Regelwerk aufgenommen werden, falls ihre Bedeutung für die Stabilität des Finanzsystems entsprechend wächst.

Aufseher dürfen Informationen und Tests verlangen

Mit dem neuen Status erhalten die Bank of England, die Prudential Regulation Authority und die Financial Conduct Authority (vergleichbar mit der deutschen Bundesanstalt für Finanzdienstleistungsaufsicht und der Bundesbank) direkte Aufsichtsmöglichkeiten gegenüber den Technologieunternehmen. Bislang richteten sich Vorgaben vor allem an Banken und andere regulierte Finanzunternehmen, die ihre Dienstleister selbst kontrollieren mussten.

Die drei Behörden dürfen künftig Informationen anfordern, die Widerstandsfähigkeit kritischer Dienste bewerten und gemeinsam mit den Anbietern Maßnahmen gegen erkennbare Risiken entwickeln. Falls nötig, können sie zudem spezifische Regeln erlassen und durchsetzen. Die Unternehmen sollen Störungen nicht nur möglichst verhindern, sondern kritische Dienste nach einem Vorfall auch schnell wiederherstellen können.

Oligopol als Sicherheitsrisiko

Damit reagieren die britischen Behörden auf die zunehmende Konzentration im Cloud-Markt auf einige wenige Anbieter (Oligopol). Wenn viele Banken denselben Anbieter verwenden, könnte ein einzelner technischer Fehler oder Cyberangriff im ungünstigsten Fall gleichzeitig Zahlungsverkehr, Online-Banking oder andere zentrale Finanzdienste beeinträchtigen.

Mit AWS, Microsoft, Google und Oracle stehen nun erstmals konkrete Anbieter unter dieser direkten Kontrolle. Großbritannien geht damit einen Schritt über klassische Vorgaben für Banken hinaus: Nicht mehr nur die Kunden müssen nachweisen, dass ihre Systeme sicher sind. Auch die Betreiber der zugrunde liegenden Cloud-Infrastruktur müssen sich künftig unmittelbar gegenüber den Finanzaufsehern verantworten.