Cybersecurity für Finanzunternehmen

Finanzinstitute sind aus zwei Gründen besonders herausfordernde Kunden: Sie sind erstens hochattraktive Angriffsziele – direkte finanzielle Beute, hochsensible Kundendaten, systemische Bedeutung für die Wirtschaft – und zweitens unterliegen sie dem dichtesten regulatorischen Rahmen im Bereich Cybersicherheit. Wer in der Finanzbranche tätig ist, hat keine Wahl zwischen Compliance und Sicherheit: beides ist gesetzlich vorgeschrieben.

Die Angreiferseite ist entsprechend professionell. Organisierte Cyberkriminalität, staatlich gesteuerte Akteure und interne Bedrohungen sind im Finanzsektor alle überdurchschnittlich aktiv. Business Email Compromise (BEC), SWIFT-Angriffe, Ransomware gegen Verwaltungssysteme und gezielte Spionage gegen Handelsinfrastrukturen sind keine theoretischen Szenarien, sondern bekannte Angriffsmuster mit realen Schadensfällen in Milliardenhöhe.

Hinzu kommt die Komplexität moderner Finanzarchitekturen: Legacy-Core-Banking-Systeme, moderne Microservice-Architekturen, externe Cloud-Dienste und ein dichtes Netz von IKT-Drittanbietern – Rechenzentren, Zahlungsabwickler, Datenprovider, Analytics-Plattformen. Jeder dieser Anbieter ist ein potenzieller Angriffspfad. Das Drittanbieter-Management ist nicht umsonst ein Kernstück von DORA.

DORA (Digital Operational Resilience Act, Verordnung (EU) 2022/2554) gilt seit dem 17. Januar 2025 für Banken, Versicherungen, Wertpapierfirmen, Zahlungsdienstleister und Investmentfonds in der EU. Die Verordnung regelt fünf Bereiche: IKT-Risikomanagement, Meldung von Vorfällen, Resilienztests, Drittparteienrisiko und Informationsaustausch.

Für bedeutende Institute kommt das Threat-Led Penetration Testing (TLPT) nach TIBER-EU hinzu, mindestens alle drei Jahre und auf Grundlage konkreter Threat Intelligence. Betroffenheit, Anforderungen und Umsetzung beschreiben wir ausführlich auf unserer DORA-Seite.

DORA-Readiness: Beratung und Umsetzung →

Für CRR-Kreditinstitute gelten die BAIT seit dem 17. Januar 2025 nicht mehr, für die übrigen Institute nach § 1a Abs. 2a KWG noch bis zu ihrer vollständigen Aufhebung mit Ablauf des 31. Dezember 2026. Welcher Weg von der BAIT zu DORA für Ihr Institut gilt, zeigt unser Kapitel-für-Kapitel-Mapping.

MaRisk (Mindestanforderungen an das Risikomanagement) adressiert das Risikomanagement übergreifend und enthält in den Abschnitten AT 7.2 und BT 3 konkrete IT-Anforderungen. Die Prüfung durch die BaFin im Rahmen regulärer Bankenaufsicht bezieht sich explizit auf die Einhaltung dieser Vorgaben. Mängel in der IT-Sicherheitsorganisation, der Testpraxis oder im Drittanbieter-Management führen zu Beanstandungen und können aufsichtliche Maßnahmen nach sich ziehen.

Wir begleiten Finanzinstitute von der DORA-Gap-Analyse über den Umbau vorhandener Unterlagen bis zur Vorbereitung auf Aufsichtsgespräche und externe Audits. Mit unserem Hintergrund aus langjähriger Tätigkeit als externe ISB und CISO in der Versicherungswirtschaft kennen wir die praktischen Herausforderungen dieser Projekte aus eigener Erfahrung.

BAIT und DORA: Übergang und Mapping →