Die Auswirkungen von DORA Wege zu einer resilienten Daten­bank­architektur

Anbieter zum Thema

Redgate Software

FAST LTA GmbH

FTAPI Software GmbH

DORA verändert die regulatorischen Rahmenbedingungen für digitale Infrastrukturen im Finanzsektor erheblich. Auch im Bereich der Daten­banken ergeben sich weitreichende Anforderungen, die nicht nur die IT-Sicherheit und Verfügbarkeit, sondern auch die Architektur und den operativen Betrieb betreffen. Ohne eine umfassende und vor allem intelligente Automatisierung sind diese Vorgaben nur schwer umzusetzen.

Der Schutz von Kundengeldern und sensiblen Finanzinformationen hat sich grundlegend gewandelt. Während früher physische Sicherheitsvorkehrungen wie Tresore und persönliche Transaktionen am Schalter ausreichten, erfordert die heutige digitale Bereitstellung von Finanzprodukten durch Banken und Versicherungen ganz andere Maßnahmen. Dies gilt umso mehr, als die Akteure des Sektors mit immer raffinierteren Cyber-Bedrohungen konfrontiert sind und gleichzeitig die Datenmengen durch neue Anwendungen, die auf künstlicher Intelligenz und maschinellem Lernen basieren, ständig wachsen. Ein einziger Ausfall oder eine Sicherheitslücke kann hier schnell weitreichende Folgen haben. Vor diesem Hintergrund zielt die EU-Verordnung DORA (Digital Operational Resilience Act) als Regelwerk darauf ab, die digitale Resilienz von IT-Systemen zu erhöhen und damit die Stabilität kritischer Infrastrukturen in Europa nachhaltig zu sichern.

Digital Operational Resilience Act

DORA: Mehr Resilienz für den Finanzmarkt

Unter Druck: DORA erfordert weitreichende Maßnahmen

Seit dem 17. Januar 2025 müssen Finanzunternehmen nun die DORA-Vorgaben erfüllen und nachweisen können. Die Verordnung verpflichtet Banken und Versicherungen einerseits, ihre Systeme durch robuste Maßnahmen gegen Störungen und Cyberangriffe zu schützen. Zum anderen schreibt die EU-weit geltende Regelung die Durchführung von Audits, eine struk­tu­rierte Meldung von Vorfällen und den Nachweis funktionierender Risiko­manage­ment­systeme vor. Die Durchschlagskraft von DORA ist nicht zu unterschätzen: Setzen die Institute die Vorschriften nicht um, drohen je nach Schwere des Verstoßes empfindliche Bußgelder und Sanktionen. Diese werden nicht nur gegen Unternehmen, sondern auch gegen Einzelpersonen verhängt.

Was bedeutet das nun genau? Im Bereich des Risikomanagements müssen Finanzunternehmen ein umfassendes Maßnahmenpaket zur Identifizierung, Bewertung und Minderung verschiedenster Bedrohungen und Gefahren etablieren. Darunter fällt zum Beispiel die automatische Netzwerkisolierung im Falle eines Cyber-Angriffs, um so das Risiko von Systemausfällen oder Datenverlusten zu reduzieren und die Wiederherstellung des Betriebs zu erleichtern. Größere Angriffe und Vorfälle müssen darüber hinaus den Behörden gemeldet werden. Gleichzeitig ist eine regelmäßige Überprüfung der eigenen Systeme und Prozesse vorgeschrieben. Mit Hilfe von Penetrationstests an Live-Produktionssystemen muss beispielsweise gezielt nach Schwachstellen gesucht werden, um potenzielle Angriffsvektoren zu identifizieren und geeignete Gegenmaßnahmen ergreifen zu können. Die DORA-Compliance von externen Dienstleistern wiederum umfasst unter anderem Due-Diligence-Prüfungen und Performance-Monitoring. Dies ist besonders wichtig, da immer mehr Finanzinstitute für ihre IT-Systeme und -Prozesse auf Dienstleistungen von Drittanbietern angewiesen sind. Schließlich sind die Banken und Versicherungen verpflichtet, klar definierte Rollen und Ver­ant­wort­lich­kei­ten für das Risikomanagement und die Compliance-Einhaltung zu etablieren. Dazu gehört auch eine lückenlose Dokumentation von der ersten Entdeckung eines Vorfalls bis zu seiner Behebung.

Sicherheitsbollwerk oder Overkill?

DORA – Countdown für Finanzinstitute

Datenbanken gehören in der Regel zu den kritischen IT-Technologien, die gemäß DORA besonders geschützt werden müssen. Das bedeutet, dass Datenbankadministratoren, Sicherheitsteams und CISOs eine Vielzahl von Maßnahmen umsetzen müssen, um die Integrität und Sicherheit der sensiblen Informationen ihrer Organisation zu gewährleisten. Das schließt zunächst einmal den Einsatz moderner Verschlüsselungstechnologien und strikter Zugriffskontrollen sowie die Klassifizierung wichtiger Assets, ein durchdachtes Patch-Management und regelmäßige Sicherheitsüberprüfungen ein. Kritische Datenbanken erfordern darüber hinaus redundant ausgelegte Systeme, automatisierte Failover-Mechanismen sowie Backup- und Recovery-Strategien, um auch unter außergewöhnlichen Belastungen eine kontinuierliche Verfügbarkeit zu gewährleisten.

Ein absolutes Muss: ein automatisiertes Monitoring

Finanzinstitute müssen also einen recht umfangreichen Maßnahmenkatalog erfüllen, was ohne ein intelligentes und vor allem automatisiertes Monitoring schnell zu einer unlösbaren Aufgabe wird. Nicht nur, dass Banken und Versicherungen unterschiedlichste Datenbanken und Plattformen im Einsatz haben – auch das Hosting über verschiedenste Cloud-, Hybrid- und On-Premises-Umgebungen hinweg und damit der Einsatz von Tools wie Kubernetes oder Technologien wie Infrastructure as Code erhöhen die Komplexität spürbar. Doch nur wer sieht, was innerhalb und außerhalb der Datenbankplattformen passiert, kann sicherstellen, dass keine Sicherheitslücken entstehen und alles reibungslos funktioniert. Mit einer modernen Monitoring-Lösung können Datenbankadministratoren nicht nur Ausfälle in Echtzeit erkennen, sondern auch drohende Downtimes antizipieren und entsprechende Gegenmaßnahmen einleiten. Auch im Hinblick auf die Performance der jeweiligen Datenbanken ist ein Monitoring-Workflow wichtig, denn gute Tools erkennen, wenn die Performance von Datenbanken oder deren Servern nachlässt. Künstliche Intelligenz kann die Überwachung und Prüfung erheblich verbessern, indem sie Anomalien in Echtzeit identifiziert, darauf reagiert und so die Erkennung von Bedrohungen automatisiert. Maschinelles Lernen ist wiederum für die prädiktive Analyse relevant, um potenzielle Schwachstellen im System vorherzusagen und präventiv zu beheben. KI-gesteuerte Tools helfen zudem, Testprozesse zur Überprüfung der Resilienz zu automatisieren und zu optimieren.

Komplex aber notwendig

Auswirkungen von DORA auf euro­päische Finanzinstitute

Auch wenn das Monitoring selbst keine DORA-Vorgabe ist – ohne umfassende Daten­bank­über­wachung ist die Einhaltung der Vorgaben faktisch nicht möglich. Daten­bank­ad­mi­ni­stra­to­ren und IT-Entscheider sollten die Regulierung daher als Anstoß verstehen, ihre Daten­bank­land­schaft ganzheitlich zu überdenken und zukunftsorientiert auszurichten. Durch eine schrittweise Modernisierung und den Einsatz automatisierter Prozesse können Finanzinstitute die regulatorischen Anforderungen erfüllen und gleichzeitig ihre operative Ausfallsicherheit erhöhen. Denn eines zeigt die Erfahrung: Ein „zu sicher“ gibt es nicht. Je widerstandsfähiger ein Unternehmen im Vergleich zu seinen Mitbewerbern ist, desto größer sind seine Wettbewerbsvorteile.

Über den Autor: Graham McMillan ist Chief Technology Officer bei Redgate Software.

Cybersicherheits-Gesetze

Schritt für Schritt DORA-konform

(ID:50476269)