IT-Sicherheit für Finanzdienstleister und Versicherungen

Kaum eine Branche ist so durchreguliert wie die Finanzwirtschaft – und kaum eine so abhängig von einer Handvoll IKT-Dienstleister. Seit DORA gilt beides zusammen: Sie müssen nicht nur die eigene IT im Griff haben, sondern auch die Ihrer Anbieter, nachvollziehbar dokumentiert und gegenüber der Aufsicht darstellbar.

Vom Dienstleister bis zum Aufsichtsgespräch

Das Risiko sitzt in der Kette hinter Ihnen. Deshalb stellt DORA das Drittparteirisiko in den Mittelpunkt, und hier setzen wir an.

Der Vorfall beim IKT-Dienstleister

Ein Rechenzentrum, ein Kernbankanbieter, ein Kommunikationsdienst: Der Ausgangspunkt liegt außerhalb Ihres Unternehmens.

Viele sind gleichzeitig betroffen

Fällt ein Anbieter aus, fällt er für viele gleichzeitig. Das trifft auch Ihre Anbindungen an Kernsysteme und Portale.

Die Aufsicht fragt nach

Die Abhängigkeit muss nachvollziehbar dokumentiert und gegenüber der Aufsicht darstellbar sein.

Prüffest vorbereitet

IKT-Dienstleister erfassen, Ausstiegsszenarien festlegen, Anbindungen prüfen und die Behebung mit Retest belegen.

Was in dieser Branche bereits passiert ist

Beide Fälle betreffen nicht das Finanzunternehmen selbst, sondern seinen IT-Dienstleister. Genau deshalb stellt DORA das Drittparteirisiko in den Mittelpunkt.

Juli 2023: Majorel / Deutsche Bank, Postbank, ING, Comdirect (Datenabfluss beim Dienstleister)

Der Kontowechsel-Dienstleister Majorel bestätigte einen Angriff über eine Lücke in der Software MOVEit. Die eigenen Systeme seien nicht betroffen gewesen, erklärte die Deutsche Bank. Personenbezogene Daten von Kunden flossen ab, das Ausmaß unterschied sich je Institut. Die Deutsche Bank verlängerte wegen möglicher unberechtigter Lastschriften die Rückgabefrist auf 13 Monate. Beitrag lesen: BleepingComputer

Juni 2026: V-Bank (Angriff über einen IT-Dienstleister)

Über einen externen IT-Dienstleister griffen Unbefugte auf Bankdaten zu. Nach Angaben der Bank können Namen, Kontaktdaten und kontobezogene Angaben betroffen sein. Laut Bank bestand kein Zugriff auf Konten und Zugangsdaten, Geld floss nicht ab. Der Fall zeigt das Drittparteirisiko, das DORA adressiert. Beitrag lesen: IT Finanzmagazin

Vorgaben, an denen Sie gemessen werden

DORA

Die Verordnung (EU) 2022/2554 über die digitale operationale Resilienz gilt seit dem 17. Januar 2025 unmittelbar. Sie verlangt ein IKT-Risikomanagement, ein Informationsregister über alle IKT-Dienstleister, geregelte Vorfallmeldungen und ein Programm für Resilienztests.

BAIT und VAIT

Für beaufsichtigte Unternehmen hat DORA die Anforderungen aus BAIT und VAIT weitgehend abgelöst. Wer seine Nachweise noch daran ausrichtet, arbeitet mit einem überholten Maßstab.

Bedrohungsgeleitete Tests

Bedrohungsgeleitete Penetrationstests nach Artikel 26 DORA folgen dem TIBER-EU-Rahmen und betreffen die von der Aufsicht benannten Unternehmen. Sie kommen zum regulären Testbetrieb hinzu und ersetzen ihn nicht.

NIS2 und DSGVO

Der Finanzsektor ist auch in NIS2 genannt; für beaufsichtigte Unternehmen geht DORA als spezielleres Recht vor. Unabhängig davon bleibt die DSGVO mit ihrer 72-Stunden-Frist maßgeblich.

Das Risiko sitzt bei Ihren Dienstleistern

Der aufsichtsrechtliche Schwerpunkt hat sich verschoben: Nicht mehr nur die eigene Infrastruktur zählt, sondern die Kette dahinter – Rechenzentrum, Kernbankanbieter, Zahlungsdienstleister, Kommunikationsplattform. DORA verlangt, dass Sie diese Abhängigkeiten kennen, vertraglich absichern und im Ausfall beherrschen.

Testen, wie es die Aufsicht erwartet

Ein Prüfbericht, der nur Werkzeugausgaben aneinanderreiht, hilft im Aufsichtsgespräch nicht. Gefragt ist ein nachvollziehbares Vorgehen mit begründeter Bewertung, dokumentierter Behebung und einem Beleg, dass die Lücke tatsächlich geschlossen ist.

So kommt jemand in dieser Branche herein

Zahlungsanweisung von oben

Eine Mail im Namen der Geschäftsführung: dringend, vertraulich, mit Bezug auf eine laufende Transaktion. Die Schwachstelle ist hier der Prozess, nicht die Technik.

Kunden- und Vermittlerportale

Was Kunden nutzen, erreichen auch Angreifer. Fehler in Authentifizierung und Rechtetrennung führen dort unmittelbar an fremde Vertrags- und Kontodaten.

Der Ausfall beim Dienstleister

Ein Rechenzentrum, ein Kernbankanbieter, ein Kommunikationsdienst: Fällt einer aus, fällt er für viele gleichzeitig aus. Genau danach fragt DORA.

Passende Leistungen

Penetration Testing

Manuelle Pentests für Web-Apps, Netzwerke, Active Directory & Cloud – inkl. CVSS-Bewertung.

ISO 27001 Beratung

Von der Gap-Analyse bis zur erfolgreichen Zertifizierung – transparent in Kosten, Dauer und Ablauf.

Security Assessments

Systematische Überprüfung Ihrer IT-Umgebung – ohne Betriebsunterbrechung, mit klaren Handlungsempfehlungen.

Managed SOC

24/7 Security Operations Center – SIEM-Integration, MDR, Incident Response, NIS2-konform.

Managed XDR / MDR

Managed XDR und MDR für korrelierte Erkennung, Untersuchung und Reaktion über mehrere Sicherheitsbereiche.

Managed Endpoint Protection

Managed Endpoint Security mit EDR, Richtlinienmanagement, 24/7 Alarmbewertung und abgestimmter Reaktion.

Managed Cloud Security

Managed Cloud Security für Azure, AWS und Microsoft 365 mit CSPM, Identity Security, Workload Protection und 24/7 Alarmbewertung.

Managed Threat Intelligence

Cyber Threat Intelligence, Digital Risk Protection, Credential Leak Monitoring und Attack Surface Intelligence.

Managed Security Services

Managed Security Services und MSSP-Betrieb für SOC, SIEM, XDR, Endpoint, Cloud, Vulnerability Management und Threat Intelligence.

Häufige Fragen

Führen Sie bedrohungsgeleitete Penetrationstests nach DORA durch?

Bedrohungsgeleitete Tests nach Artikel 26 DORA folgen dem TIBER-EU-Rahmen, werden von der Aufsicht angeordnet und stellen besondere Anforderungen an die beteiligten Anbieter. Unser Schwerpunkt liegt auf dem regulären Testbetrieb, den DORA daneben verlangt: Schwachstellenanalysen, Penetrationstests der Anwendungen und Infrastruktur, Prüfung der Schnittstellen zu Dienstleistern – samt Retest und prüffähiger Dokumentation.

Gelten BAIT und VAIT noch?

Für beaufsichtigte Unternehmen hat DORA die Anforderungen weitgehend abgelöst; die Verordnung gilt seit dem 17. Januar 2025 unmittelbar und geht nationalen Verwaltungsvorgaben vor. Praktisch bedeutet das keinen Bruch: Vieles aus BAIT und VAIT findet sich inhaltlich in DORA wieder, verlangt aber eine andere Dokumentation – insbesondere beim Register der IKT-Dienstleister und bei den Verträgen.

Wir sind ein kleines Institut. Gilt DORA auch für uns?

DORA gilt sektorweit für Finanzunternehmen, sieht aber ein Proportionalitätsprinzip vor: Umfang und Tiefe der Maßnahmen richten sich nach Größe, Risikoprofil und Komplexität. Für kleinere Häuser heißt das nicht Befreiung, sondern ein schlankeres Vorgehen – ein vereinfachtes Risikomanagement, ein sauberes Register, geregelte Meldewege.

Können Sie unsere Dienstleisterverträge prüfen?

Wir prüfen sie fachlich gegen die Anforderungen aus DORA – Prüf- und Zugangsrechte, Meldepflichten, Unterauftragsvergabe, Ausstiegsszenarien – und benennen, wo Nachverhandlung nötig ist. Die rechtliche Würdigung und die Vertragsgestaltung bleiben bei Ihrer Rechtsabteilung oder Ihrem Anwalt; wir liefern die fachliche Grundlage dafür.

Wie sieht der Bericht aus, den wir der Aufsicht vorlegen können?

Zweiteilig: ein technischer Teil mit Vorgehen, Umfang, Befunden, CVSS-Bewertung und konkreten Behebungsempfehlungen sowie ein Management-Report, der die Lage ohne Fachjargon einordnet. Nach der Behebung kommt der Retest hinzu – er belegt, dass die Lücke tatsächlich geschlossen ist, und ist der Teil, auf den Innenrevision und Aufsicht am häufigsten schauen.

Kontakt

Nica Systems GmbH, Reisholzer Bahnstraße 41, 40599 Düsseldorf
Telefon: 0211 17520840
E-Mail: Kontaktformular
Erreichbarkeit: Mo–Fr 09:00–17:00 Uhr, Incident Response rund um die Uhr

Bitte aktivieren Sie JavaScript für die vollständige, interaktive Website.