Kaum eine Branche ist so regelmäßig Ziel professionell organisierter Cyberangriffe wie der Finanzsektor. Hohe Vermögenswerte, sensible Kundendaten, komplexe IT-Ökosysteme und eine starke Abhängigkeit von externen Dienstleistern machen Banken und Versicherungen für Angreifer besonders attraktiv. Ransomware, Datendiebstahl und Angriffe über die digitale Lieferkette gehören längst zum realistischen Risikoszenario.
Mit dem Digital Operational Resilience Act (DORA) hat die Europäische Union darauf reagiert: IKT-Risikomanagement (Informations- und Kommunikationstechnologie), technische Schutzmaßnahmen, strukturierte Vorfallbewältigung und eine strengere Steuerung von Drittdienstleistern sind nun regulatorische Pflicht für alle beaufsichtigten Finanzunternehmen. Viele Institute haben entsprechende Governance-Strukturen geschärft, Richtlinien dokumentiert und Meldeprozesse definiert. Ein wichtiger Schritt, aber noch nicht ausreichend. Was unterschätzt wird:
Formale Compliance kann ein trügerisches Sicherheitsgefühl erzeugen. Digitale Resilienz entsteht nicht durch erfüllte Checklisten, sondern durch technisch beherrschbare Sicherheitsarchitekturen.
Resilienz zeigt sich im operativen Betrieb
DORA definiert Anforderungen, prüft Strukturen und Prozesse. Ob daraus echte Resilienz entsteht, entscheidet sich nicht im Dokumentationsordner, sondern im laufenden IT-Betrieb, wo Angreifer technische Schwachstellen und operative Bruchstellen ins Visier nehmen.
Sicherheit muss deswegen technisch durchgängig implementiert, zentral steuerbar und dauerhaft auditierbar sein. Während Governance und Reporting-Strukturen klar definiert sind, behindern in der Praxis häufig historisch gewachsene Strukturen die technische Umsetzung: Kryptografische Schlüssel werden dezentral verwaltet, Zertifikate über verschiedene Systeme verteilt, Berechtigungskonzepte sind nicht harmonisiert.
Solche Konstellationen sind nicht per se regelwidrig – sie erhöhen jedoch die Komplexität und damit das Risiko. Resilienz bedeutet eben nicht nur, Maßnahmen implementiert zu haben, sondern sie im Ernstfall kontrollieren zu können.
Identität als Steuerungselement moderner Infrastrukturen
In modernen, hybriden Infrastrukturen kommunizieren Systeme, Mitarbeitende, Dienstleister und Maschinen über Organisations- und Infrastrukturgrenzen hinweg. Ein identitätszentrierter Sicherheitsansatz wie im Kontext von Zero Trust stellt sicher, dass jede Entität eindeutig authentifiziert und autorisiert wird. Zugriff wird nicht aufgrund eines Netzwerkstandorts gewährt, sondern auf Basis klar definierter Identitäts- und Berechtigungsregeln. Wer Identitäten nicht durchgängig kontrolliert, verliert die operative Kontrolle über seine gesamte Sicherheitsarchitektur.
Kryptografie muss beherrschbar sein
Verschlüsselung schützt Daten. Doch sie entfaltet ihre Wirkung nur dann vollständig, wenn die zugrunde liegenden Schlüssel und Zertifikate zuverlässig verwaltet werden. Manuelle Erneuerungsprozesse, dezentrale Schlüsselverwaltung und fehlende Transparenz über Ablaufdaten sind operative Risiken. Eine belastbare Sicherheitsarchitektur erfordert eine konsistente Public-Key-Infrastruktur, automatisiertes Certificate Lifecycle Management und klar definierte Prozesse für Generierung, Nutzung und Widerruf kryptografischer Schlüssel.
Eine neue Dimension: Schutz während der Verarbeitung
Mit der Auslagerung kritischer Funktionen in Cloud-Umgebungen verschiebt sich ein Teil der Wertschöpfung in externe Infrastrukturen. Klassische Sicherheitskonzepte schützen Daten im Ruhezustand und bei der Übertragung. In cloudbasierten Szenarien gewinnt jedoch eine weitere Dimension an Bedeutung: der Schutz von Daten während der aktiven Verarbeitung. Ansätze wie Confidential Computing schaffen durch hardwarebasierte, isolierte Ausführungsumgebungen eine zusätzliche Schutzebene – auch gegenüber privilegierten Zugriffen auf Infrastrukturebene.
DORA als Modernisierungstreiber
Richtig verstanden ist DORA kein reines Compliance-Projekt, sondern ein Impulsgeber für die strukturelle Modernisierung sicherheitskritischer Infrastrukturen. Institute, die digitale Resilienz strategisch angehen, stellen sich vier zentrale Fragen:
Digitale Resilienz ist kein Projekt mit Enddatum, sondern ein kontinuierlicher Reifeprozess. Wer ihn strategisch nutzt, stärkt nicht nur die regulatorische Position, sondern auch die operative Stabilität in einer zunehmend vernetzten Finanzwelt.
Mit dem Digital Operational Resilience Act (DORA) hat die Europäische Union darauf reagiert: IKT-Risikomanagement (Informations- und Kommunikationstechnologie), technische Schutzmaßnahmen, strukturierte Vorfallbewältigung und eine strengere Steuerung von Drittdienstleistern sind nun regulatorische Pflicht für alle beaufsichtigten Finanzunternehmen. Viele Institute haben entsprechende Governance-Strukturen geschärft, Richtlinien dokumentiert und Meldeprozesse definiert. Ein wichtiger Schritt, aber noch nicht ausreichend. Was unterschätzt wird:
Formale Compliance kann ein trügerisches Sicherheitsgefühl erzeugen. Digitale Resilienz entsteht nicht durch erfüllte Checklisten, sondern durch technisch beherrschbare Sicherheitsarchitekturen.
Resilienz zeigt sich im operativen Betrieb
DORA definiert Anforderungen, prüft Strukturen und Prozesse. Ob daraus echte Resilienz entsteht, entscheidet sich nicht im Dokumentationsordner, sondern im laufenden IT-Betrieb, wo Angreifer technische Schwachstellen und operative Bruchstellen ins Visier nehmen.
Sicherheit muss deswegen technisch durchgängig implementiert, zentral steuerbar und dauerhaft auditierbar sein. Während Governance und Reporting-Strukturen klar definiert sind, behindern in der Praxis häufig historisch gewachsene Strukturen die technische Umsetzung: Kryptografische Schlüssel werden dezentral verwaltet, Zertifikate über verschiedene Systeme verteilt, Berechtigungskonzepte sind nicht harmonisiert.
Solche Konstellationen sind nicht per se regelwidrig – sie erhöhen jedoch die Komplexität und damit das Risiko. Resilienz bedeutet eben nicht nur, Maßnahmen implementiert zu haben, sondern sie im Ernstfall kontrollieren zu können.
Identität als Steuerungselement moderner Infrastrukturen
In modernen, hybriden Infrastrukturen kommunizieren Systeme, Mitarbeitende, Dienstleister und Maschinen über Organisations- und Infrastrukturgrenzen hinweg. Ein identitätszentrierter Sicherheitsansatz wie im Kontext von Zero Trust stellt sicher, dass jede Entität eindeutig authentifiziert und autorisiert wird. Zugriff wird nicht aufgrund eines Netzwerkstandorts gewährt, sondern auf Basis klar definierter Identitäts- und Berechtigungsregeln. Wer Identitäten nicht durchgängig kontrolliert, verliert die operative Kontrolle über seine gesamte Sicherheitsarchitektur.
Kryptografie muss beherrschbar sein
Verschlüsselung schützt Daten. Doch sie entfaltet ihre Wirkung nur dann vollständig, wenn die zugrunde liegenden Schlüssel und Zertifikate zuverlässig verwaltet werden. Manuelle Erneuerungsprozesse, dezentrale Schlüsselverwaltung und fehlende Transparenz über Ablaufdaten sind operative Risiken. Eine belastbare Sicherheitsarchitektur erfordert eine konsistente Public-Key-Infrastruktur, automatisiertes Certificate Lifecycle Management und klar definierte Prozesse für Generierung, Nutzung und Widerruf kryptografischer Schlüssel.
Eine neue Dimension: Schutz während der Verarbeitung
Mit der Auslagerung kritischer Funktionen in Cloud-Umgebungen verschiebt sich ein Teil der Wertschöpfung in externe Infrastrukturen. Klassische Sicherheitskonzepte schützen Daten im Ruhezustand und bei der Übertragung. In cloudbasierten Szenarien gewinnt jedoch eine weitere Dimension an Bedeutung: der Schutz von Daten während der aktiven Verarbeitung. Ansätze wie Confidential Computing schaffen durch hardwarebasierte, isolierte Ausführungsumgebungen eine zusätzliche Schutzebene – auch gegenüber privilegierten Zugriffen auf Infrastrukturebene.
DORA als Modernisierungstreiber
Richtig verstanden ist DORA kein reines Compliance-Projekt, sondern ein Impulsgeber für die strukturelle Modernisierung sicherheitskritischer Infrastrukturen. Institute, die digitale Resilienz strategisch angehen, stellen sich vier zentrale Fragen:
- Sind Identitäten organisationsweit konsistent steuerbar?
- Ist Kryptografie zentral kontrollierbar und auditierbar?
- Besteht vollständige Transparenz über Zertifikate, Schlüssel und Abhängigkeiten?
- Sind Cloud- und Drittverarbeitungen technisch nachvollziehbar abgesichert?
Digitale Resilienz ist kein Projekt mit Enddatum, sondern ein kontinuierlicher Reifeprozess. Wer ihn strategisch nutzt, stärkt nicht nur die regulatorische Position, sondern auch die operative Stabilität in einer zunehmend vernetzten Finanzwelt.
