Identität ist der Angriffsvektor Nummer eins DORA zwingt Finanzinstitute zu echten Identitäten

Anbieter zum Thema

PwC (PricewaterhouseCoopers GmbH)

cidaas by Widas ID GmbH

Fujitsu Technology Solutions GmbH

FTAPI Software GmbH

Die digitale Identität wird zu einer immer größeren Angriffsfläche und bietet Unternehmen den geringsten Spielraum für Fehler. Der Digital Operational Resilience Act (DORA) reagiert darauf und macht Identitätsschutz für Finanzinstitute erstmals zur regulatorischen Pflicht.

Die heutige Bedrohungslandschaft ist identitätsgetrieben. Nicht Schadsoftware, nicht Zero-Day-Exploits, sondern gestohlene oder manipulierte Zugangsdaten sind der Angriffsvektor Nummer eins, so der zentrale Befund eines aktuellen PwC-Berichts. Die Analyse basiert auf Tausenden von Vorfällen, die PwC im Jahr 2025 weltweit ausgewertet hat, direkt aus eigenen Incident-Response-Einsätzen sowie aus dem Betrieb globaler Managed Security Services.

Die Angriffsmuster sind dabei konsistent: Credential Harvesting, Phishing, Social Engineering, Missbrauch von Single-Sign-On- und OAuth-Mechanismen, Token-Diebstahl und Session Hijacking. Generative KI beschleunigt diese Entwicklung zusätzlich. Täuschend echte Phishing-Mails, KI-gestützte Impersonation und automatisierte Angriffe auf Authentifizierungsprozesse senken die Hürde für Angreifer weiter. Eine einzige kompromittierte Identität, ob menschlich oder technisch, reicht aus, um sich tief in ein Unternehmensnetzwerk vorzuarbeiten.

Die Zahlen sprechen für sich: 89 Prozent der deutschen Unternehmen erlitten in den vergangenen drei Jahren Schäden durch Datendiebstahl oder Datenmissbrauch. Trotzdem behandeln viele Unternehmen das Thema Identity and Access Management wie eine nachgelagerte IT-Disziplin, ohne dedizierte Strategie, ohne ausreichende Investitionsbudgets. Ein teurer Irrtum.

Regulatorik trifft Realität

DORA als strukturelles Rückgrat der Unternehmensresilienz

Unterschätztes Risiko: Der Generalschlüssel für Fremde

Wer die Angriffsfläche seines Unternehmens kennen will, sollte nicht nur auf die eigene IT schauen, sondern auf alle, die Zugang zu ihr haben. Gerade in der Finanzbranche ist das eine oft unterschätzte Gruppe: externe Dienstleister. Systemhäuser, Softwareanbieter, Outsourcing-Partner – sie alle benötigen regelmäßig Zugriff auf kritische Systeme. Und allzu oft erhalten sie ihn in Form eines Generalschlüssels: ein generischer Admin-Account, eine Sammelrolle, ein dauerhaft offener VPN-Tunnel. Einmal eingerichtet, selten hinterfragt.

Das Problem dabei ist strukturell: Wo kein personengebundener Zugang existiert, gibt es keine Nachvollziehbarkeit. Wer zu welcher Zeit auf welches System zugreift, kann im Ernstfall – und erst recht im Audit – niemand mehr genau sagen. Kompromittierte Dienstleister-Credentials sind damit nicht nur ein Sicherheitsrisiko, sondern ein Kontrollverlust auf ganzer Linie. Der PwC-Bericht zeigt, dass Angreifer gezielt diese Schwachstelle nutzen: Vertrauensbeziehungen zu Drittanbietern gelten als besonders attraktive Einstiegspunkte, weil sie oft weniger überwacht werden als interne Zugänge, bei gleichem oder höherem Zugriffsniveau. Die Konsequenz ist klar: Das wahre Risiko liegt in der Illusion, dass ein einmal vergebener Zugang unter Kontrolle ist, solange niemand Alarm schlägt.

NIS2 und DORA als Treiber für Security Operations

IT-Sicherheit scheitert ohne Struktur

DORA macht Ernst: Aus Beiwerk wird Pflicht

Genau an dieser Stelle setzt der Digital Operational Resilience Act an und er tut es mit einer Konsequenz, die viele Finanzinstitute noch unterschätzen. DORA macht den sensibelsten Angriffsvektor der heutigen Bedrohungslandschaft zum zentralen Compliance-Thema: den Missbrauch von Identitäten und zwar ausdrücklich auch die von externen Dienstleistern.

Die Anforderungen sind konkret. Generische Admin-Accounts und Sammelrollen haben unter DORA keine Zukunft: Die Verordnung fordert eindeutige, personengebundene Identitäten für alle Zugriffe auf kritische Systeme. Hinzu kommt eine deutlich verschärfte Re­zer­ti­fi­zie­rungs­pflicht: Berechtigungen, die kritische oder wichtige Funktionen unterstützen, müssen mindestens alle sechs Monate überprüft und bestätigt werden, unabhängig davon, ob sie als privilegiert eingestuft sind oder nicht. Wer das bisher jährlich oder gar dreijährlich gehandhabt hat, muss seine Prozesse grundlegend neu aufsetzen.

Auch bei der Authentifizierung zieht DORA eine klare Linie: Multi-Faktor-Authentifizierung ist für privilegierte Zugriffe und externe Dienstleister verpflichtend. Wichtig dabei: SMS und Sprachanrufe gelten aufgrund ihrer Anfälligkeit für Phishing- und Man-in-the-Middle-Angriffe ausdrücklich nicht mehr als sichere MFA-Methoden. Und wer glaubt, diese Anforderungen betreffen nur die IT-Abteilung, irrt: DORA verankert die persönliche Haftung des Vorstands für Verstöße. Bei Nichteinhaltung drohen Geldbußen, Sonderprüfungen und aufsichtsrechtliche Einschränkungen (vgl. Art. 50–52 DORA).

Cloud-Sicherheit im Finanzsektor

DORA-Compliance in der Cloud: Was Finanzunternehmen beachten müssen

Zwei Fliegen, eine Klappe: Sicherheit und Compliance in einem Zug

Die gute Nachricht: Wer die DORA-Anforderungen konsequent umsetzt, löst nicht nur ein Compliance-Problem, er schließt gleichzeitig eine der gefährlichsten Sicherheitslücken im Unternehmen. Sicherheit und regulatorische Pflicht weisen hier klar in dieselbe Richtung. Der Schlüssel liegt in einem strukturierten, risikobasierten Ansatz, der drei Handlungsfelder adressiert.

• Erstens: Privileged Access Management. Ein PAM-System stellt sicher, dass administrative Zugriffe, auch die externer Dienstleister, personengebunden, protokolliert und zeitlich begrenzt vergeben werden. Just-in-Time-Berechtigungen nach dem Need-to-Use-Prinzip ersetzen den Zugriff durch einen temporären, anlassbezogenen Zugang. Was nicht dauerhaft existiert, kann auch nicht dauerhaft missbraucht werden.

• Zweitens: Starke Authentifizierung. MFA ist Pflicht, aber nicht jede MFA ist gleich. Phishing-resistente Verfahren wie FIDO2 oder hardware-basierte Token setzen den von DORA geforderten Standard. SMS-basierte Verfahren scheiden aus.

• Drittens: Automatisierte Zugriffskontrolle. Manuelle Rezertifizierungsprozesse sind fehleranfällig und skalieren nicht. Automatisierte Workflows, die Berechtigungen regelmäßig zur Überprüfung vorlegen, Anomalien im Zugriffsverhalten erkennen und Nachweise revisionssicher dokumentieren, sind die Grundlage für nachhaltige DORA-Konformität und für ein IAM-System, das im Ernstfall hält, was es verspricht.

Ein SOC steht in keinem Regulierungstext

Compliance braucht Detection und Response, kein SOC

Diese drei Hebel greifen nur dann nachhaltig, wenn sie nicht als isoliertes IT-Projekt behandelt werden, sondern als Teil einer kohärenten Strategie. IAM ist ein kontinuierlicher Prozess, der Governance, Technologie und Organisation zusammenbringt. Finanzinstitute, die das ver­ste­hen, werden DORA nicht als Bürde erleben, sondern als Katalysator: für eine Sicherheits­archi­tek­tur, die dem Stand der Bedrohung tatsächlich entspricht. Der Generalschlüssel hat aus­ge­dient. Was ihn ersetzt, ist kein bürokratischer Mehraufwand, sondern kontrollierte, nach­voll­zieh­bare und im Ernstfall belastbare Zugriffssicherheit.

Über den Autor: Sven Schreyer ist Experte für Digitale Identitäten und Identity- und Access Management bei PwC Deutschland. Er verfügt über mehr als 25 Jahre Erfahrung in verschiedenen Funktionen in der IT- und Informationssicherheit als Programm- und Projektmanager sowie Führungskraft für internationale Softwarehersteller und Beratungsunternehmen.

(ID:50920453)