IT-Sicherheit für Finanzdienstleister und Versicherungen

Kaum eine Branche ist so durchreguliert wie die Finanzwirtschaft – und kaum eine so abhängig von einer Handvoll IKT-Dienstleister. Seit DORA gilt beides zusammen: Sie müssen nicht nur die eigene IT im Griff haben, sondern auch die Ihrer Anbieter, nachvollziehbar dokumentiert und gegenüber der Aufsicht darstellbar.

Was in dieser Branche bereits passiert ist

Beide dokumentierten Fälle betreffen nicht ein Finanzunternehmen selbst, sondern seinen IT-Dienstleister. Genau dieses Muster ist der Grund, warum DORA das Drittparteirisiko in den Mittelpunkt stellt.

Oktober 2020: Sopra Steria (Ransomware (Ryuk))

Der IT-Dienstleister mit zahlreichen Kunden aus dem Banken- und Versicherungsbereich wurde mit einer bis dahin unbekannten Ryuk-Variante angegriffen. Teile des Netzes wurden verschlüsselt. Das Unternehmen bezifferte die Kosten auf 40 bis 50 Millionen Euro, von denen rund 30 Millionen durch eine Cyberversicherung gedeckt waren. Ein Fall, der zeigt, wie ein Dienstleisterausfall gleichzeitig auf viele beaufsichtigte Unternehmen durchschlägt. Quelle: heise online.

April 2023: BITMARCK (Angriff auf den IT-Dienstleister)

Der IT-Dienstleister gesetzlicher Krankenkassen nahm ein Rechenzentrum vorsorglich vom Netz, nachdem Frühwarnsysteme angeschlagen hatten. Es war der zweite Zugriff binnen vier Monaten. Rund 80 Krankenkassen waren betroffen. Für die Aufsicht ist der Fall exemplarisch: Die Konzentration auf wenige Dienstleister macht den Ausfall eines einzelnen zum Sektorereignis. Quelle: heise online.

Vorgaben, an denen Sie gemessen werden

DORA

Die Verordnung (EU) 2022/2554 über die digitale operationale Resilienz gilt seit dem 17. Januar 2025 unmittelbar. Sie verlangt ein IKT-Risikomanagement, ein Informationsregister über alle IKT-Dienstleister, geregelte Vorfallmeldungen und ein Programm für Resilienztests.

BAIT und VAIT

Für beaufsichtigte Unternehmen hat DORA die Anforderungen aus BAIT und VAIT weitgehend abgelöst. Wer seine Nachweise noch daran ausrichtet, arbeitet mit einem überholten Maßstab.

Bedrohungsgeleitete Tests

Bedrohungsgeleitete Penetrationstests nach Artikel 26 DORA folgen dem TIBER-EU-Rahmen und betreffen die von der Aufsicht benannten Unternehmen. Sie kommen zum regulären Testbetrieb hinzu und ersetzen ihn nicht.

NIS2 und DSGVO

Der Finanzsektor ist auch in NIS2 genannt; für beaufsichtigte Unternehmen geht DORA als spezielleres Recht vor. Unabhängig davon bleibt die DSGVO mit ihrer 72-Stunden-Frist maßgeblich.

Das Risiko sitzt bei Ihren Dienstleistern

Der aufsichtsrechtliche Schwerpunkt hat sich verschoben: Nicht mehr nur die eigene Infrastruktur zählt, sondern die Kette dahinter – Rechenzentrum, Kernbankanbieter, Zahlungsdienstleister, Kommunikationsplattform. DORA verlangt, dass Sie diese Abhängigkeiten kennen, vertraglich absichern und im Ausfall beherrschen.

Testen, wie es die Aufsicht erwartet

Ein Prüfbericht, der nur Werkzeugausgaben aneinanderreiht, hilft im Aufsichtsgespräch nicht. Gefragt ist ein nachvollziehbares Vorgehen mit begründeter Bewertung, dokumentierter Behebung und einem Beleg, dass die Lücke tatsächlich geschlossen ist.

So kommt jemand in dieser Branche herein

Zahlungsanweisung von oben

Eine Mail im Namen der Geschäftsführung: dringend, vertraulich, mit Bezug auf eine laufende Transaktion. Die Schwachstelle ist hier der Prozess, nicht die Technik.

Kunden- und Vermittlerportale

Was Kunden nutzen, erreichen auch Angreifer. Fehler in Authentifizierung und Rechtetrennung führen dort unmittelbar an fremde Vertrags- und Kontodaten.

Der Ausfall beim Dienstleister

Ein Rechenzentrum, ein Kernbankanbieter, ein Kommunikationsdienst: Fällt einer aus, fällt er für viele gleichzeitig aus. Genau danach fragt DORA.

Passende Leistungen

Penetration Testing

Manuelle Pentests für Web-Apps, Netzwerke, Active Directory & Cloud – inkl. CVSS-Bewertung.

ISO 27001 Beratung

Von der Gap-Analyse bis zur erfolgreichen Zertifizierung – transparent in Kosten, Dauer und Ablauf.

Security Assessments

Systematische Überprüfung Ihrer IT-Umgebung – ohne Betriebsunterbrechung, mit klaren Handlungsempfehlungen.

Managed SOC

24/7 Security Operations Center – SIEM-Integration, MDR, Incident Response, NIS2-konform.

Incident Response

24/7 Reaktion auf Cyberangriffe: Triage, digitale Forensik, Bereinigung und Wiederaufbau.

Häufige Fragen

Führen Sie bedrohungsgeleitete Penetrationstests nach DORA durch?

Bedrohungsgeleitete Tests nach Artikel 26 DORA folgen dem TIBER-EU-Rahmen, werden von der Aufsicht angeordnet und stellen besondere Anforderungen an die beteiligten Anbieter. Unser Schwerpunkt liegt auf dem regulären Testbetrieb, den DORA daneben verlangt: Schwachstellenanalysen, Penetrationstests der Anwendungen und Infrastruktur, Prüfung der Schnittstellen zu Dienstleistern – samt Retest und prüffähiger Dokumentation.

Gelten BAIT und VAIT noch?

Für beaufsichtigte Unternehmen hat DORA die Anforderungen weitgehend abgelöst; die Verordnung gilt seit dem 17. Januar 2025 unmittelbar und geht nationalen Verwaltungsvorgaben vor. Praktisch bedeutet das keinen Bruch: Vieles aus BAIT und VAIT findet sich inhaltlich in DORA wieder, verlangt aber eine andere Dokumentation – insbesondere beim Register der IKT-Dienstleister und bei den Verträgen.

Wir sind ein kleines Institut. Gilt DORA auch für uns?

DORA gilt sektorweit für Finanzunternehmen, sieht aber ein Proportionalitätsprinzip vor: Umfang und Tiefe der Maßnahmen richten sich nach Größe, Risikoprofil und Komplexität. Für kleinere Häuser heißt das nicht Befreiung, sondern ein schlankeres Vorgehen – ein vereinfachtes Risikomanagement, ein sauberes Register, geregelte Meldewege.

Können Sie unsere Dienstleisterverträge prüfen?

Wir prüfen sie fachlich gegen die Anforderungen aus DORA – Prüf- und Zugangsrechte, Meldepflichten, Unterauftragsvergabe, Ausstiegsszenarien – und benennen, wo Nachverhandlung nötig ist. Die rechtliche Würdigung und die Vertragsgestaltung bleiben bei Ihrer Rechtsabteilung oder Ihrem Anwalt; wir liefern die fachliche Grundlage dafür.

Wie sieht der Bericht aus, den wir der Aufsicht vorlegen können?

Zweiteilig: ein technischer Teil mit Vorgehen, Umfang, Befunden, CVSS-Bewertung und konkreten Behebungsempfehlungen sowie ein Management-Report, der die Lage ohne Fachjargon einordnet. Nach der Behebung kommt der Retest hinzu – er belegt, dass die Lücke tatsächlich geschlossen ist, und ist der Teil, auf den Innenrevision und Aufsicht am häufigsten schauen.

Quellen und weiterführende Informationen

Zuletzt aktualisiert am · Inhaltlich verantwortlich: Christian Renkes, Geschäftsführer der Nica Systems GmbH.

Kontakt

Nica Systems GmbH, Reisholzer Bahnstraße 41, 40599 Düsseldorf
Telefon: 0211 17520840
E-Mail: Kontaktformular
Erreichbarkeit: Mo–Fr 09:00–17:00 Uhr, Incident Response rund um die Uhr

Bitte aktivieren Sie JavaScript für die vollständige, interaktive Website.