So wird die Finanz-IT resilient DORA sicher implementieren

Anbieter zum Thema

Fsas Technologies GmbH

FTAPI Software GmbH

Die digitale Resilienz der Finanzwelt wird auf die Probe gestellt: Seit dem 17. Januar 2025 müssen in Deutschland mehr als 3.600 Unternehmen die EU-Verordnung DORA anwenden (BaFin). Die neuen Cybersicherheitsstandards fordern effizientes Notfall- und Drittanbieter-Management und die Integration robuster Maßnahmen im laufenden Betrieb. So klappt die Implementierung.

Europäische Finanzinstitute sehen sich auch 2025 mit einer besorgniserregend hohen Zahl an Cyberangriffen konfrontiert. Alleine 2024 berichten 60 Prozent der deutschen Unternehmen, dass ihre geschäftliche Existenz durch Cyberangriffe bedroht wäre. Der Finanzsektor steht besonders unter Druck – die großen Datenmengen in den IT-Systemen von Banken locken immer wieder Kriminelle an, die effektive Strategien entwickelt haben, um Schwachstellen gezielt auszunutzen.

Sicherheitsbollwerk oder Overkill?

DORA – Countdown für Finanzinstitute

Stresstest der EZB zeigt Handlungsbedarf

Um die Auswirkungen dieser Bedrohung besser einschätzen zu können, führt die Europäische Zentralbank seit der Finanz- und Wirtschaftskrise 2008 immer wieder Stresstests durch, um die Reaktion von Banken im Krisenfall zu testen (EZB). Am letzten Cyber-Stresstest im Jahr 2024 waren 109 Banken beteiligt (EZB). Das Ergebnis: Banken verfügen zwar über einen Rahmen zur Reaktion und Wiederherstellung der Sicherheit, in einigen Bereichen herrscht jedoch weiterhin Verbesserungsbedarf. Dazu zählen vor allem die Sicherstellung der Geschäftskontinuität nach einem Angriff und die Verstärkung von Backup-Maßnahmen. Auch bei der Überprüfung externer Dienstleister herrscht Handlungsbedarf. Die Ergebnisse des Tests flossen in den Supervisory Review and Evaluation Process (SREP) der EZB ein, der eine einheitliche Überprüfung der Risikoprofile von Banken ermöglichen und der Aufsicht als Grundlage bei der Entscheidung über eventuell erforderliche Aufsichtsmaßnahmen dienen soll. Die Ergebnisse ermöglichen Banken wichtige Einblicke in die Robustheit ihrer Cybersecurity-Strategie und bieten wertvolle Handlungsansätze.

Komplex aber notwendig

Auswirkungen von DORA auf euro­päische Finanzinstitute

DORA stärkt den Sektor – bleibt in der Umsetzung aber herausfordernd

Mit dem Digital Operations Resilience Act (DORA) der Europäischen Union wird die Cybersicherheit klar geregelt (eiopa). Seit Anfang des Jahres ist die Verordnung in Kraft und soll die operative Resilienz des europäischen Finanzsektors sicherstellen und stärken. Für Banken, Versicherungs­gesellschaften, Zahlungsdienstleister, Investmentgesellschaften und kritische Drittanbieter gelten nun spezifische Regeln, die die digitale Widerstandsfähigkeit gegen Angriffe und IT-Störungen gewährleisten sollen. Die Bestandteile von DORA reichen von der Schaffung eines einheitlichen EU-weiten Aufsichts- und Rechtsrahmens, der Verpflichtung zur Schaffung robuster Strategien zur Identifizierung und Bewältigung von Sicherheitsrisiken: IT-Systeme müssen künftig auch bei Störungen und Cyberangriffen stabil und geschützt bleiben – von der Datenverfügbarkeit bis zur -integrität. Außerdem ist eine detaillierte Prüfung und Integration externer Dienstleister in die Sicherheitsstruktur Pflicht. Unternehmen müssen funktionierende Notfallpläne nicht nur entwickeln, sondern auch regelmäßig testen und anpassen – jede Sicherheitsmaßnahme muss dokumentiert und auf Anfrage vorgelegt werden können.

Datensicherheit im Unternehmen

Mit einer GAP-Analyse Sicherheits­risiken in der IT aufdecken

Schwachstellen identifizieren, Standards implementieren

Die erhöhten Sicherheitsstandards sollen die Sicherheit und Operabilität von IT-Systemen auch im Störungs- oder Angriffsfall gewährleisten. Dazu ist es zunächst notwendig, die individuelle Sicherheitslage zu bewerten und Schwachstellen zu identifizieren. Eine detaillierte GAP-Analyse (KPMG) hilft bei der Bewertung und Priorisierung, wobei kritische Systeme wie Zahlungsplattformen und Kundendatenbanken immer priorisiert werden sollten. Die anschließende Implementierung der neuen Standards ist aber gerade deshalb so herausfordernd, weil Änderungen im laufenden Betrieb vorgenommen werden müssen – besonders für Unternehmen mit gewachsenen IT-Infrastrukturen.

Statt große Teile der IT-Struktur zu ersetzen, sollten gezielte modulare Erweiterungen implementiert werden, die bestehende Systeme erweitern – beispielsweise Tools zur Echtzeit-Überwachung oder zur Automatisierung von Compliance-Prozessen. Technologiepartner bieten Lösungen, die verdächtige Aktivitäten sofort erkennen und Schritte einleiten, ohne den laufenden Betrieb zu gefährden. Compliance-Aufgaben können hingegen effektiv mittels Regtech-Lösungen automatisiert werden. Das spart Zeit, ermöglicht eine effizientere Risikobewertung und vermeidet menschliche Fehler.

Cybersicherheits-Gesetze

Schritt für Schritt DORA-konform

Drittanbieter-Sicherheit prüfen und effektiv managen

Die Zusammenarbeit mit Drittanbietern ist gerade im modernen Finanzsektor zentral. DORA legt strenge Anforderungen an das Management dieser Drittanbieter sowie an die Sicherheit digitaler Identitäten fest. Während solche Partner für den modernen Finanzsektor essenziell sind, stellen unzureichende Kontrolle, Konzentrationsrisiken und IT-Sicherheitslücken bedeutende Schwachstellen dar – zumal Sicherheitsmaßnahmen und Resilienzstrategien von Dienstleistern für Finanzinstitute häufig nur schwer nachvollziehbar sind.

Dabei kann ein Ausfall oder Sicherheitsvorfall auf Anbieterseite gravierende Folgen für den gesamten Finanzsektor nach sich ziehen und bestehende Schwachstellen als potenzielle Angriffspunkte für Cyberkriminelle öffnen. Deshalb sollten Finanzunternehmen regelmäßige Audits einplanen, in denen die Sicherheitsstandards und Resilienzpläne der Partner bewertet werden – besonders bei kritischen Dienstleistern. Know Your Customer (KYC) ist dabei mehr als nur regulatorische Pflicht, sondern hilft auch, das Vertrauen von Kunden und Partnern zu sichern. Präzise Identitätsprüfungen werden dabei zur essenziellen Voraussetzung, um Betrug zu minimieren.

Interview zu DORA und modellbasierten SIEM Use Cases

Wie DORA die Cyberabwehr von Finanzunternehmen revolutioniert

Notfallpläne entwickeln, regelmäßig testen und anpassen

Wie der Stresstest zeigt, verfügen Banken bereits über einen Rahmen, um im Störungs- oder Angriffsfall zu reagieren und die Sicherheit wiederherzustellen. Diese müssen spätestens mit DORA in funktionierende Notfallpläne umgesetzt werden, die wiederum regelmäßig getestet und angepasst werden müssen. Notfallsimulationen und Penetrationstest sind wichtige Instrumente, um die Wirksamkeit bereits implementierter Maßnahmen auf den Prüfstand zu stellen und eventuell bestehende Handlungsanforderungen oder Anpassungen zu identifizieren. Anschließend müssen Maßnahmen neu bewertet werden, um die Sicherheit der Systeme auch im Ernstfall gewährleisten zu können.

DORA ist Herausforderung und Chance

Die Gewährleistung der DORA-Standards bleibt für Finanzunternehmen nicht ohne Herausforderung. Sie bietet gleichzeitig aber auch den Rahmen, um ihre Sicherheitsstandards auf ein neues Niveau zu heben und ihre Resilienz zu stärken, im Notfall auf robuste Prozesse zurückgreifen und die Operabilität schnell wiederherstellen zu können. Ein modularer Ansatz im laufenden Betrieb, die Einführung und Prüfung von Notfallplänen sowie die Optimierung des Drittanbieter-Managements und die Integration von Echtzeit-Überwachung und Compliance ermöglichen es den Instituten, die Anforderungen zu erfüllen. Das minimiert sowohl Kosten als auch Risiken und stärkt gleichzeitig das Vertrauen bei Kunden und Partnern.

Über den Autor: Peter Grausgruber ist Chief Financial Officer beim RegTech-Spezialisten Fourthline. Vor seinem Wechsel zu Fourthline war der Experte CFO der Krypto-Börse Bitpanda und bringt langjährige Expertise in der Implementierung regulatorischer Compliance-Strategien ein.

DORA verschärft Security-Anforderungen in der Finanzwelt

Geschäftskommunikation im Finanzsektor wirksam absichern

(ID:50434443)