Der Legacy-Falle entkommen: Das Handbuch einer Bank für Cloud-Verschlüsselung

Verschlüsselungsfunktionen   Zugriff & Authentifizierung    | 17. März 2026

Wir haben kürzlich eine Migration für eine kanadische Finanzinstitution abgeschlossen. Wie viele Organisationen in regulierten, hochsensiblen Umgebungen nutzten sie eine starre und reaktive Legacy-Zix-Lösung. Sie hatten Schwierigkeiten, neue Compliance-Vorgaben zu erfüllen, und ihr System konnte mit ihrer sich wandelnden Architektur nicht Schritt halten.

Wenn Sie ähnliche regulatorische Veränderungen durchlaufen oder versuchen, Ihre eigenen Verschlüsselungsengpässe zu entwirren, möchten wir einige praktische Erkenntnisse teilen, wie diese Bank ihre Sicherheitsstruktur transformiert hat.

Der S/MIME-Albtraum und die Legacy-Mauer

Früher dachten wir, sichere Gateways wären ausreichend. Man richtet sie ein, legt ein paar Regeln fest und hakt die Verschlüsselung ab. Die Realität sieht heutzutage jedoch ganz anders aus.

Diese Bank erreichte einen bekannten Punkt. Ihr Altsystem schuf große blinde Flecken und anhaltende Reibungen. Das größte Hindernis? Sie mussten Zwei-Faktor-Authentifizierung (2FA) für alle externen Kontakte vorschreiben, um Compliance-Anforderungen zu erfüllen, und ihr altes System konnte dies einfach nicht leisten.

Dazu kam der klassische „S/MIME-Albtraum“. Das Management von S/MIME-Zertifikaten im Unternehmensmaßstab ist mühsam, stark manuell und anfällig für Ablaufunterbrechungen. Wenn man die Komplexität gemeinsam genutzter Postfächer hinzufügt – auf die ihre Kundenbasis stark angewiesen war – verursachte das alte System routinemäßig betriebliche Blockaden. Sie brauchten Sicherheit, Einfachheit und Souveränität. Sie brauchten eine Überholung.

Die „Big Bang“-Migration

Migration wird in diesen Gesprächen oft als großes Hindernis angesehen. Jeder hat die Geschichten über Ausfallzeiten, komplexe phasenweise Rollouts und Benutzerverwirrung gehört. Aber ehrlich gesagt, ist das Verharren auf einer Plattform der ersten Generation ein weit größeres Risiko.

Um das langsame Ausbluten eines phasenweisen Übergangs zu vermeiden, führten wir eine vollständige „Big Bang“-Migration zu unserer cloud-nativen AWS-Plattform durch. Alles wurde sofort umgestellt.

Um es den Benutzern einfach zu machen, behielten wir das ursprüngliche Schlüsselwort der Bank bei, um die Verschlüsselung in Outlook auszulösen. Am Tag der Umstellung setzten die Mitarbeiter ihren gewohnten Prozess fort – sie tippten dasselbe Schlüsselwort wie zuvor – während ihre Nachrichten nun durch eine aktualisierte Sicherheitsinfrastruktur geleitet wurden. Es gab keine Lernkurve oder Unterbrechung des täglichen Betriebs.

Vertrauen durch 2FA erzwingen

Dieses Gespräch über überprüfbares Vertrauen taucht im Finanzsektor ständig auf. Passwörter allein reichen einfach nicht mehr aus. Regulierungsbehörden verlangen Identitätsnachweise, und diese Bank wollte jede einzelne sensible Nachricht absichern.

Durch den Wechsel zu Echoworx konnte die Bank konsequent eine obligatorische Zwei-Faktor-Authentifizierung (2FA) für alle externen Empfänger durchsetzen. Um die Sicherheit flexibel zu halten, integrierten wir ihre bestehende Sinch-Subscription, um SMS-basierte Verifizierungscodes bereitzustellen. Für Benutzer, die ihre persönlichen Telefonnummern nicht teilen wollten, aktivierten wir außerdem die Unterstützung für TOTP-Authentifikator-Apps.

Sie erzwangen das Vertrauen, gaben den Benutzern jedoch die Wahl. Der Sicherheitsgewinn war absolut, aber es verlangsamte niemanden.

Kompatibilität mit dem Ökosystem: Proofpoint und Splunk

Sicherheit existiert nicht im Vakuum. Ihre Tools müssen miteinander kommunizieren. Eine der absoluten Anforderungen der Bank war, eine Lösung zu finden, die nahtlos mit zwei großen laufenden IT-Initiativen integriert werden konnte: einer unternehmensweiten Proofpoint-Migration und einem Mandat für Echtzeit-SIEM-Überwachung.

Wir haben die Echoworx-Plattform so konzipiert, dass sie perfekt parallel zu ihrer aktiven Proofpoint-Bereitstellung funktioniert. Es gab keine komplexe Neugestaltung. Es gab keine konkurrierenden Richtlinien. Nur eine einheitliche, optimierte Verteidigungsperimeter.

Für die Sichtbarkeit haben wir uns direkt mit ihrer Splunk-Umgebung verbunden. Mithilfe unserer Web-APIs zieht die Bank nun detaillierte, Echtzeit-Auditdaten direkt in ihr SIEM. Dies ermöglicht es ihnen, Ereignisse in Echtzeit zu überwachen, eine schnelle Ereigniskorrelation und Bedrohungsanalyse durchzuführen. Es hat ihre Sicherheitsstruktur von begrenzter Einsicht zu praktischer, datengetriebener Bewusstheit weiterentwickelt.

Totale Kontrolle: Cloud-native Souveränität

Wenn Sie in der Cloud arbeiten, lautet die ultimative Frage immer: „Wer hat die Schlüssel?“

Da diese Lösung auf unserer AWS-nativen Plattform aufgebaut wurde, haben wir uns direkt mit AWS CloudHSM für den Key Management Service (KMS) integriert. Dies bot der Bank hardwaregestützte, FIPS 140-3-validierte Schlüsselgenerierung.

Sie behielten klare, überprüfbare Kontrolle über ihre Verschlüsselungsschlüssel. Mit der Flexibilität und Skalierbarkeit der Cloud konnten sie Anforderungen an Datenresidenz und -eigentum ohne Kompromisse erfüllen. Dieser Ansatz setzt praktische digitale Souveränität in die Tat um.

Den Endbenutzer befähigen

Das sicherste System der Welt ist nutzlos, wenn Menschen es umgehen, weil es zu schwer zu bedienen ist. Wir haben uns stark auf die Benutzerfreundlichkeit konzentriert, um sicherzustellen, dass die sichere Methode zur Standardmethode wird.

• Das M365-Add-In: Wir haben ein webbasiertes Microsoft 365 Outlook-Add-In eingeführt. Keine Softwareinstallation auf Endgeräten, vollständig plattformübergreifend (Windows, Mac, Web) und mühelos zu verwalten.
• Lösung für das gemeinsame Postfach: Wir haben den Benutzern die Möglichkeit gegeben, ihre Lieferpräferenz zu wählen. Sie konnten unser sicheres Webportal für temporäre Speicherung nutzen oder sich für direkt in den Posteingang gesendete PDF-/Office-Dokumente entscheiden, die nativ mit einem Passwort verschlüsselt sind. Dies löste das Dilemma des gemeinsamen Postfachs vollständig, da die Nutzlast direkt in das gemeinsame Postfach in einem Format geht, das jeder versteht.
• Der Rückruf-Button, der tatsächlich funktioniert: Wir gaben Absendern tiefgehende Einblicke in ihre Nachrichten. Sie können Lesebestätigungen sehen, heruntergeladene Anhänge nachverfolgen und vor allem haben sie Zugriff auf eine sofortige Nachrichtenrückruffunktion, die tatsächlich funktioniert. Wenn ein Mitarbeiter einen Fehler macht, kann er die Nachricht sofort zurückziehen, ohne jemals den Helpdesk anrufen zu müssen.

Abschließende Gedanken

Wenn Ihre Umgebung mit ähnlichen Herausforderungen konfrontiert ist – sei es durch starre Legacy-Tools, steigenden Compliance-Druck oder Benutzerfrustration – gibt es hier einige äußerst praktische Erkenntnisse. Die Migration von einem Legacy-Verschlüsselungsanbieter muss kein risikoreiches, mehrjähriges Unterfangen sein.

Kundenbericht herunterladen

Durch den Wechsel zu einer cloud-nativen Architektur hat diese Bank ihre Sicherheitsherausforderungen bewältigt, die betriebliche Einfachheit verbessert und sichere Kommunikation für Benutzer besser handhabbar gemacht.

Wenn das Entkommen aus der Legacy-Falle dieses Jahr auf der Agenda Ihres Teams steht, lohnt sich dieser Ansatz definitiv einen genaueren Blick. Lassen Sie uns wissen, ob Sie besprechen möchten, wie dies auf Ihre eigene Infrastruktur angewendet werden könnte.