DORA verschärft Security-Anforderungen in der Finanzwelt Geschäftskommunikation im Finanzsektor wirksam absichern

Anbieter zum Thema

Retarus GmbH

Fsas Technologies GmbH

SEPPmail - Deutschland GmbH

FTAPI Software GmbH

In kaum einer Branche ist zuverlässige und sichere E-Mail-Kommunikation so wichtig wie in der Finanzwelt. Insbesondere aufgrund der stetig steigenden Bedrohungslage und der verschärften Anforderungen durch den Gesetzgeber (DORA) braucht es geeignete Lösungen, die eine bessere Kontrolle, höhere Sicherheit und Compliance garantieren.

Ein stabiler Finanzsektor bildet das Fundament der wirtschaftlichen Entwicklung und einer zukunftsfähigen Gesellschaft. Umso bedrohlicher ist der Anstieg von Cyberangriffen gegen Unternehmen der Branche zu bewerten – gerade in Hinblick auf sich zuspitzende internationale Konflikte. Der Gesetzgeber hat den Handlungsbedarf erkannt und möchte mit der neuen DORA-Verordnung (Digital Operational Resilience Act) die Cyberresilienz der Finanzbranche in Europa sicherstellen. Das setzt Unternehmen und Institute unter Druck, ihre Sicherheitsstrategie zu überarbeiten, ihre E-Mail-Kommunikationsinfrastruktur nach neuestem Standard abzusichern und dabei zahlreiche branchenspezifische Herausforderungen zu meistern.

Interview zu DORA und modellbasierten SIEM Use Cases

Wie DORA die Cyberabwehr von Finanzunternehmen revolutioniert

Wo liegen die Herausforderungen?

Im Finanzsektor ist eine zuverlässige E-Mail-Kommunikation essenziell, da häufig sensible und zeitkritische Informationen übermittelt werden müssen. Wenn der Informationsfluss unterbrochen wird, kann dies nicht nur den Geschäftsbetrieb empfindlich stören, sondern auch die Erfüllung gesetzlicher Anforderungen verhindern, was mit hohen Strafen belegt ist. Die Absicherung dieser Prozesse ist jedoch keine triviale Aufgabe.

Bei Finanzunternehmen trifft man häufig auf historisch gewachsene, komplexe und heterogene Systemlandschaften. Nimmt man die E-Mail-Infrastruktur als Beispiel, so ist hier oft über Jahrzehnte ein kompliziertes Geflecht aus Domänen und Endpunkten entstanden, das zahlreiche Applikationen, Arbeitsplätze und Geräte umfasst und nicht selten zu DNS-Konnektivitäts­problemen aufgrund privater IPs führt. Der On-Premises-Betrieb bringt zudem hohe Wartungskosten mit sich und kämpft mit Skalierbarkeits- und Leistungsproblemen. Die Verwaltung von Clustern, Servern und MTAs bleibt ebenfalls mühsam, während Lücken in Reporting, Überwachung und Compliance keine Seltenheit sind. Gleichzeitig bieten SaaS-E-Mail-Lösungen oft nur unzureichende Sicherheit und Kontrolle. So fehlen etwa einheitliche Richtlinien, SLAs und Support E-Mails werden häufig von der eigenen Sicherheitsinfrastruktur blockiert, das Volumen wird gedrosselt und die interne Kommunikation läuft über das öffentliche Internet. Der Gesetzgeber hat diese Herausforderungen erkannt und greift nun mit neuen Verordnungen wie DORA lenkend ein, um den Finanzsektor resilienter gegen Angriffe aufzustellen.

Wie sich DORA auf die Unternehmen auswirkt

Mit der allgemeingültigen und unmittelbar wirksamen DORA-Verordnung hat die EU eine für den gesamten Finanzsektor geltende Regulierung zu den Themen Cybersicherheit, IKT-Risiken und digitale operationale Resilienz geschaffen. Die Verordnung zielt darauf ab, den europäischen Finanzmarkt gegenüber Cyberrisiken und Vorfällen in der Informations- und Kommunikationstechnologie (IKT) zu stärken. Grundsätzlich basiert DORA auf bereits bestehenden Richtlinien und erweitert diese, was teilweise tiefgreifende Anpassungen in der IT-Infrastruktur und Sicherheitsstrategie erfordert. Das führt sowohl zu erhöhten personellen, technologischen als auch prozessualen beziehungsweise organisatorischen Aufwänden – und zwar unter hohem zeitlichem Druck. Insbesondere decken die Anforderungen von DORA folgende Bereiche ab:

• IKT-Risikomanagement: Hier geht es vor allem um die Implementierung robuster IKT-Systeme. Unternehmen werden angehalten, umfassende Maßnahmen zur Prävention, Erkennung, Reaktion und Wiederherstellung IKT-bezogener Vorfälle umzusetzen. Regelmäßige Resilienz-Tests und die Überwachung vertraglicher Vereinbarungen mit IKT-Drittdienstleistern sind verpflichtend.

• Meldung IKT-bezogener Vorfälle: Finanzunternehmen müssen ein strukturiertes Meldeverfahren für IKT-bezogene Vorfälle einrichten. Schwerwiegende Vorfälle müssen innerhalb von 24 Stunden nach Entdeckung gemeldet werden.

• Tests der digitalen operationalen Resilienz: Es gilt ein risikobasiertes, proportionales Testprogramm von IKT-Systemen zu etablieren und als Bestandteil des IKT-Risikomanagements in das Finanzunternehmen zu integrieren.

• IKT-Drittparteienrisiko: Die kontinuierliche Überwachung der vertraglichen Vereinbarungen mit IKT-Drittdienstleistern ist notwendig, um potenzielle Risiken frühzeitig zu erkennen.

Komplex aber notwendig

Auswirkungen von DORA auf euro­päische Finanzinstitute

Sichere Geschäftskommunikation ist möglich – darauf müssen Unternehmen achten

Um die Compliance mit DORA zu garantieren und sich gegen wachsende Bedrohungen durch Cyberangriffe abzuhärten, sollten Finanzunternehmen vor allem ihre Geschäftskommunikation und die dazugehörigen Prozesse auf den Prüfstand stellen. Bei der Auswahl der richtigen Lösung und des Partners gilt es jedoch einiges zu beachten.

So sind aufgrund des Datenschutzes Anbieter im europäischen Raum gegenüber nicht-europäischen Partnern vorzuziehen. Diese stellen die Compliance mit der DSGVO und DORA sicher, indem sie auf den Einsatz von internationalen Hyperscalern wie AWS, Google und Microsoft verzichten. Der Anbieter sollte zudem über eigene lokale Rechenzentren in Europa verfügen, die ausschließlich von internen Mitarbeitern betrieben werden. Ein weiteres wichtiges Thema ist die Redundanz der Rechenzentren, die über eine Multi-Datacenter-Connection gewährleistet sein sollte. Wenn in einer so ausgelegten Infrastruktur eine Verbindung ausfällt, lassen sich Kommunikationskanäle und Services nahtlos weiter nutzen.

Um eine sichere und zuverlässige E-Mail-Kommunikation in Echtzeit zu garantieren, braucht es über Spam- und Phishing-Filter hinaus eine vollumfängliche Lösung. Diese sollte aufgrund der wandelnden Bedrohungslage umfassende Abwehrmechanismen beinhalten, die stets auf dem aktuellen Stand sind. Schutz vor fortschrittlichen Cyberangriffen und Bedrohungen wie Ransomware und Social Engineering bieten beispielsweise Technologien zur Advanced Threat Protection wie KI-basiertes Sandboxing und Post Delivery Protection. Moderne Encryption-Methoden sowie E-Mail-Management erleichtern Unternehmen zudem die Kontrolle und Übersicht über alle E-Mail-Ströme. E-Mail-Encryption mit gängigen Verschlüsselungsmöglichkeiten wie S/MIME, PGP, Open PGP schützt zusätzlich die Vertraulichkeit und Integrität der Kommunikation. Das gewährleistet die Einhaltung gesetzlicher Sicherheitsstandards und minimiert Einfallstore für Hacker.

Bei der Auswahl einer Kommunikationslösung sollten Unternehmen also auf vier Säulen achten:

• Sicherheit: Die Lösung sollte einen starken Fokus auf Daten- und IT-Sicherheit, Datenverarbeitung, Datenhaltung und Verschlüsselung legen. Redundante Datacenter, Security by Design, technische und organisatorische Maßnahmen und weiter Aspekte zahlen darauf ein.

• Zuverlässigkeit: Support und Service Management, SLAs, hohe Verfügbarkeit, Disaster Recovery und Business Continuity Management sollten fortlaufend gewährleistet sein.

• Compliance: Ein ISMS (Information Security Management System) sollte auf Industry-Best-Practices basieren und zertifiziert nach relevanten (ISO27001, SOC1/2) und branchenspezifischen Standards (FSQS-NL) sein.

• Datenschutz: Die Bereitstellung von auditierbaren Services sollte mindestens aus dem europäischen Raum erfolgen und die regionale Datenverarbeitung gewährleisten.

Sicherheitsbollwerk oder Overkill?

DORA – Countdown für Finanzinstitute

Vertraulichkeit, Verfügbarkeit und Integrität spätestens jetzt sicherstellen

Die Zunahme von Cyber- und Ransomware-Angriffen, die auch von der rasanten Entwicklung im Bereich KI angetrieben werden, sowie regelmäßige Ausfälle von IT-Systemen und internationale Pannen wie Crowdstrike sind nur wenige Gründe, die aufzeigen, warum der Gesetzgeber die Stabilität und die Resilienz des Finanzsektors erhöhen will. Die DORA-Richtline trat 2023 in Kraft und gilt seit dem 17. Januar 2025 für alle 27 EU-Länder. Für Unternehmen gilt es daher, ihre Netzwerke besser abzusichern und ihre Sicherheitsstrategie auf die neuen Anforderungen anzupassen. Denn erhebliche Bußgelder können die Folge sein. Insbesondere sollte der Fokus auf resiliente Kommunikationsprozesse gelenkt werden, die Authentizität, Integrität und Transparenz sicherstellen.

Über die Autoren

Romana Staringer ist Senior Account Manager E-Mail Security bei Retarus.
Eberhard Rohe ist Account Director und Finanzexperte bei Retarus

(ID:50410808)