DORA als Modernisierungstreiber für Banken und Versicherungen Digitale Resilienz braucht Architektur, nicht nur DORA-Compliance

Anbieter zum Thema

achelos GmbH

FTAPI Software GmbH

Mit DORA hat die EU einen verbindlichen Rahmen für die digitale Resilienz von Banken und Versicherungen geschaffen. Doch regulatorische Kon­for­mi­tät schafft nicht automatisch Sicherheit. Entscheidend ist letztlich, ob Institute Governance, Technologie und Betrieb zu einer konsistenten, beherrschbaren Sicherheitsarchitektur zusammenführen, statt sich auf erfüllte Checklisten zu verlassen.

Die Bedrohungslage für den Finanz- und Versicherungssektor bleibt angespannt. Kaum eine Branche ist so regelmäßig Ziel professionell organisierter Cyberangriffe. Hohe Ver­mö­gens­werte, sensible Kundendaten, komplexe IT-Ökosysteme und eine starke Abhängigkeit von externen Dienstleistern erhöhen die Attraktivität für Angreifer erheblich. Ransomware, Datendiebstahl und Angriffe über die digitale Lieferkette gehören inzwischen zum realistischen Risikoszenario.

Mit dem Digital Operational Resilience Act (DORA) hat die Europäische Union darauf reagiert und einen verbindlichen regulatorischen Rahmen geschaffen. Ziel ist es, die digitale Wi­der­stands­fä­hig­keit von Finanzunternehmen systematisch zu stärken. Risikomanagement von Informations- und Kommunikationstechnologie (IKT), technische Schutzmaßnahmen, strukturierte Vorfallbewältigung sowie eine strengere Steuerung von IKT-Drittdienstleistern sind nun regulatorische Pflicht für alle beaufsichtigten Finanzunternehmen in der Europäischen Union.

Viele Institute haben in den vergangenen Monaten erhebliche Anstrengungen unternommen, um diesen Anforderungen gerecht zu werden. Governance-Strukturen wurden geschärft, Richtlinien dokumentiert, Auslagerungsregister aufgebaut und Meldeprozesse definiert. Aus regulatorischer Sicht ist das ein wichtiger Schritt. Doch genau hier liegt ein oft unterschätzter Punkt:

Formale Compliance kann ein trügerisches Sicherheitsgefühl erzeugen. Digitale Resilienz entsteht nicht durch erfüllte Checklisten, sondern durch technisch beherrschbare Sicherheitsarchitekturen.

Zentrales Zertifikatsregister

Der Dreh- und Angelpunkt re­gu­la­to­ri­scher Resilienz nach DORA

Resilienz entscheidet sich im operativen Betrieb

DORA definiert Anforderungen – ob daraus tatsächlich digitale Resilienz entsteht, entscheidet sich jedoch nicht im Dokumentationsordner, sondern im laufenden IT-Betrieb. Sicherheit muss technisch durchgängig implementiert, zentral steuerbar und dauerhaft auditierbar sein.

DORA prüft Strukturen und Prozesse. Angreifer hingegen testen technische Schwachstellen und operative Bruchstellen. Resilienz entscheidet sich in der Lücke zwischen formaler Struktur und operativer Umsetzung.

In der Praxis zeigt sich häufig ein differenziertes Bild: Während Governance und Reporting-Strukturen klar definiert sind, behindern teilweise historisch gewachsene Strukturen die technische Umsetzung. Kryptografische Schlüssel werden dezentral verwaltet, Zertifikate sind über verschiedene Systeme verteilt, Identitäts- und Berechtigungskonzepte sind nicht harmonisiert. In Cloud- und Drittumgebungen fehlt teilweise die Transparenz über sicherheitsrelevante Prozesse.

Solche Konstellationen sind nicht per se regelwidrig. Sie erhöhen jedoch die Komplexität – und damit das Risiko. Denn Resilienz bedeutet nicht nur, Maßnahmen implementiert zu haben, sondern sie im Ernstfall kontrollieren zu können.

DORA verschiebt damit den Fokus weg von punktuellen Sicherheitsmaßnahmen, hin zu einer architektonisch konsistenten Sicherheitslandschaft.

Interview zu DORA und modellbasierten SIEM Use Cases

Wie DORA die Cyberabwehr von Finanzunternehmen revolutioniert

Identität als zentrales Steuerungselement

Ein wesentlicher Baustein dieser Architektur ist die konsequente Ausrichtung an digitalen Identitäten. In modernen, hybriden Infrastrukturen ist der klassische Perimeterschutz kaum noch ausreichend. Systeme, Mitarbeitende, Dienstleister und Maschinen kommunizieren über Organisations- und Infrastrukturgrenzen hinweg.

Ein identitätszentrierter Sicherheitsansatz – häufig im Kontext von Zero Trust diskutiert – stellt sicher, dass jede Entität eindeutig authentifiziert und autorisiert wird. Zugriff wird nicht aufgrund eines Netzwerkstandorts gewährt, sondern auf Basis klar definierter Identitäts- und Berechtigungsregeln. Für Banken und Versicherungen bedeutet das: Identitätsmanagement ist ein zentrales Steuerungsinstrument für Sicherheit und Governance. Wer Identitäten nicht durchgängig kontrolliert, verliert die operative Kontrolle über seine Sicherheitsarchitektur.

Kryptografie muss beherrschbar sein

Ebenso zentral ist eine strukturierte und kontrollierte Kryptoinfrastruktur. Verschlüsselung schützt Daten vor unbefugtem Zugriff – doch sie entfaltet ihre Wirkung nur dann vollständig, wenn die zugrunde liegenden Schlüssel und Zertifikate zuverlässig verwaltet werden.

In vielen Organisationen sind auch kryptografische Strukturen historisch gewachsen. Un­ter­schied­liche Anwendungen nutzen verschiedene Zertifikatsquellen, Erneuerungsprozesse erfolgen manuell, Transparenz über Ablaufdaten oder Abhängigkeiten ist begrenzt. Die Folgen können Betriebsunterbrechungen, Sicherheitslücken oder erschwerte Auditierungen sein.

Kryptografie, die nicht zentral gesteuert wird, ist ein operatives Risiko. Eine belastbare Sicherheitsarchitektur erfordert daher:

• eine konsistente Public-Key-Infrastruktur als Vertrauensbasis

• automatisiertes Certificate Lifecycle Management

• zentral gesteuertes Key Management

• klare Prozesse für Generierung, Nutzung und Widerruf kryptografischer Schlüssel

So wird die Finanz-IT resilient

DORA sicher implementieren

Drittanbieter, Cloud und die neue Schutzdimension

Mit der Auslagerung kritischer Funktionen in Cloud- und Plattformumgebungen verschiebt sich ein Teil der Wertschöpfung in externe Infrastrukturen. DORA trägt dieser Entwicklung Rechnung, indem es die Steuerung von IKT-Drittdienstleistern in den Mittelpunkt stellt.

Für Institute entsteht daraus eine doppelte Herausforderung: Einerseits müssen Risiken vertraglich und organisatorisch kontrolliert werden. Andererseits muss auch technisch nachvollziehbar bleiben, wie sensible Daten verarbeitet und geschützt werden.

Traditionelle Sicherheitskonzepte adressieren vor allem zwei Zustände: Daten im Ruhezustand („at rest“) und Daten während der Übertragung („in transit“). Moderne Ver­schlüs­se­lungs­tech­no­lo­gien decken diese Bereiche zuverlässig ab. In cloudbasierten Szenarien gewinnt jedoch eine weitere Dimension an Bedeutung: der Schutz von Daten während der Verarbeitung („in use“).

Hier setzen Ansätze wie Confidential Computing an. Durch hardwarebasierte, isolierte Ausführungsumgebungen können Daten auch während ihrer aktiven Verarbeitung abgeschirmt werden – selbst gegenüber privilegierten Zugriffen auf Infrastrukturebene. In hochsensiblen Verarbeitungen – etwa bei kritischen Zahlungsprozessen – kann dies eine zusätzliche Schutzebene schaffen. Damit erweitert sich das klassische Schutzmodell um eine dritte Dimension: Sicherheit während der Nutzung. Für Institute mit hohen Schutz­an­for­de­rungen kann dies einen entscheidenden Unterschied bedeuten.

Confidential Computing baut auf der Sicherheitsarchitektur auf und erweitert sie dort, wo klassische Schutzmechanismen an strukturelle Grenzen stoßen.

Cloud-Sicherheit im Finanzsektor

DORA-Compliance in der Cloud: Was Finanzunternehmen beachten müssen

DORA als Modernisierungstreiber

Richtig verstanden ist DORA daher nicht nur ein Compliance-Projekt. Die Verordnung wirkt vielmehr als Impulsgeber für eine strukturelle Modernisierung sicherheitskritischer Infrastrukturen.

Institute, die digitale Resilienz strategisch angehen, betrachten ihre Sicherheitsarchitektur ganzheitlich:

• Sind Identitäten organisationsweit konsistent steuerbar?

• Ist Kryptografie zentral kontrollierbar und auditierbar?

• Besteht vollständige Transparenz über Zertifikate, Schlüssel und Abhängigkeiten?

• Sind Cloud- und Drittverarbeitungen technisch nachvollziehbar abgesichert?

Erst wenn diese Fragen klar beantwortet werden können, wird aus regulatorischer Konformität eine belastbare Sicherheitsbasis. Wer DORA ausschließlich als regulatorische Pflichtübung versteht, vergibt die Chance zur strategischen Modernisierung der eigenen Sicherheitsarchitektur.

Umsetzung in der Praxis

Die Überführung regulatorischer Anforderungen in technisch konsistente Sicher­heits­ar­chi­tek­turen ist anspruchsvoll. Neben regulatorischem Verständnis erfordert sie tiefgehende Expertise in den Bereichen Identitätsmanagement, Kryptografie und sichere Infrastrukturen. Viele Institute greifen daher auf spezialisierte Partner zurück, die sowohl Architektur- und Reifegradanalysen als auch die Integration und den sicheren Betrieb entsprechender Lösungen begleiten.

Unternehmen wie achelos, die nach ISO 27001 und Common Criteria zertifiziert sind und über langjährige Erfahrung in sicherheitskritischen Infrastrukturen verfügen, unterstützen Banken und Versicherungen dabei, DORA-Anforderungen in auditierbare und operativ beherrschbare Sicherheitsarchitekturen zu überführen.

Sicherheitsbollwerk oder Overkill?

DORA – Countdown für Finanzinstitute

Fazit

DORA definiert klare Anforderungen an die digitale Resilienz des Finanzsektors. Doch Compliance ist nur der Anfang. Das Ziel ist eine IT-Sicherheitsarchitektur, die auch unter Angriffsdruck stabil bleibt. Sicherheit entsteht dort, wo Governance, Technologie und Betrieb architektonisch zusammengeführt werden – konsistent und kontrollierbar. Für Banken und Versicherungen bedeutet das: Digitale Resilienz ist kein Projekt mit Enddatum, sondern ein kontinuierlicher Reifeprozess. Wer ihn strategisch nutzt, stärkt nicht nur die regulatorische Position, sondern auch die operative Stabilität in einer zunehmend vernetzten Finanzwelt.

Über den Autor: Dr. Michael Jahnich ist Director Business Development bei achelos GmbH.

(ID:50875759)