DORA & privilegierte Zugriffe

Der Digital Operational Resilience Act (DORA) gilt seit dem 17. Januar 2025 verbindlich für Finanzunternehmen in der EU. Für IKT-Drittdienstleister wirken die Anforderungen mittelbar – über die von DORA vorgeschriebenen Vertragsinhalte; als kritisch eingestufte Drittdienstleister unterliegen zusätzlich einer direkten EU-Aufsicht. Privilegierte Zugriffe (Administratoren, Wartungszugänge, externe Dienstleister auf kritische IKT-Systeme) stehen dabei im Zentrum: Sie sind der wirksamste Hebel eines Angreifers und damit ein direktes Ziel des DORA-IKT-Risikomanagements.

Artikel 9 (Schutz und Prävention) verlangt, dass Finanzunternehmen den Zugang zu IKT-Systemen auf das notwendige Maß beschränken (Least Privilege, Art. 9 Abs. 4 lit. c) und mit starken Authentifizierungsmechanismen absichern (Art. 9 Abs. 4 lit. d). Die zugehörigen Regulatory Technical Standards (Delegierte Verordnung (EU) 2024/1774) konkretisieren das für das Identitäts- und Zugriffsmanagement: privilegierte Zugänge nur bedarfsweise (need-to-use/ad-hoc), jede Aktion einer identifizierbaren Person zuordenbar, Einschränkung von Sammel- und Dienstkonten sowie Protokollierung sicherheitsrelevanter Ereignisse (RTS Art. 12 und Art. 21).

Für privilegierte Zugriffe bedeutet das in der Praxis vier Dinge: kein dauerhaft offener Standard-Zugang, sondern bedarfsweise und befristet; starke Authentifizierung (MFA) vor jedem Zugriff; eine Aufzeichnung dessen, was in der Sitzung tatsächlich geschieht; und ein fälschungssicherer Nachweis, wer wann was getan hat – prüffähig für BaFin und Wirtschaftsprüfer.

DORA verpflichtet Finanzunternehmen ausdrücklich, das Risiko aus IKT-Drittdienstleistern aktiv zu steuern (Artikel 28) und alle IKT-Dienstleistungsverträge in einem Informationsregister zu führen. Der wohl kritischste Berührungspunkt ist der technische Zugang, den externe Dienstleister zu produktiven, kritischen IKT-Systemen erhalten – für Wartung, Support oder Betrieb.

Genau dieser Fernzugriff muss kontrolliert, überwachbar und jederzeit unterbrechbar sein. Ein Dienstleister, der über einen dauerhaft offenen VPN-Tunnel oder geteilte administrative Zugangsdaten auf ein Kernbankensystem zugreift, steht im Konflikt mit den DORA-/RTS-Anforderungen: Es fehlt die eindeutige Zuordnung zur handelnden Person (die RTS verlangen Identifizierbarkeit und die Einschränkung von Sammelkonten), die Nachvollziehbarkeit der Sitzung und die Fähigkeit, im Verdachtsfall sofort einzugreifen.

Auch als IKT-Dienstleister sind Sie betroffen – über die vertraglichen DORA-Anforderungen Ihrer Finanzkunden und, sofern als kritisch eingestuft, über die direkte EU-Aufsicht. Sie müssen nachweisen können, dass Ihre Zugriffe auf Kundensysteme kontrolliert, nachvollziehbar und unterbrechbar sind. Eine kontrollierte, aufgezeichnete Zugriffsebene ist damit für beide Seiten des Vertragsverhältnisses relevant.

DORA und die RTS verlangen, dass privilegierte Aktivitäten protokolliert und für Aufsicht und Audit auswertbar sind. Ein reines Netzwerk- oder Anmelde-Log reicht dafür nicht: Es zeigt, dass ein Zugang stattfand, aber nicht, was in der Sitzung geschah. Session Recording schließt diese Lücke, indem es die privilegierte Sitzung selbst nachvollziehbar macht.

Entscheidend für die Prüffähigkeit ist die Akteur-Genauigkeit: Jede sicherheitsrelevante Aktion muss dem tatsächlichen Menschen zugeordnet sein – nicht einem technischen Sammel- oder Dienstkonto, hinter dem mehrere Personen verschwinden. Die Zuordnung erfolgt deshalb zentral am Gateway, fälschungssicher und mit Zeitstempel.

Diese Aufzeichnungen sind kein Selbstzweck: Bei einer Aufsichtsprüfung oder nach einem Sicherheitsvorfall liefern sie den Nachweis der wirksamen Kontrolle – für DORA ebenso wie für NIS2, ISO 27001 und (bei OT-Systemen) IEC 62443. Die Nachweise stammen aus dem System, nicht aus nachträglich verfassten Richtliniendokumenten.

Die Blackfort Privileged Access Bridge (PAB) ist die Kontrollebene, die genau diese DORA-Anforderungen strukturell im Zugriffsprozess verankert – statt sie nachträglich zu dokumentieren. Sie vermittelt privilegierten Zugriff auf IT-, OT- und Cloud-Systeme als agentenloser, gehärteter Sprungserver: Der Nutzer arbeitet in einer aufgezeichneten Remote-Sitzung, ohne dass auf dem Zielsystem oder dem Endpunkt etwas installiert werden muss.

Damit sind die DORA-relevanten Kontrollen keine Zusatzarbeit, sondern Teil des Zugriffs selbst: befristete, bedarfsweise Zugänge statt dauerhaft offener Tunnel; starke Authentifizierung vor der Sitzung; Session Recording; eine Live-Aufsicht, aus der eine kritische Sitzung sofort beendet werden kann; und ein fälschungssicherer, akteur-genauer Audit-Trail als prüffähiger Nachweis.

Betrieben wird die PAB EU-souverän, wahlweise On-Premises beim Finanzunternehmen oder als Managed Service durch Blackfort – auch mit einem Break-Glass-Modell, bei dem der Betreiber keinen stehenden administrativen Zugriff behält. Das passt zur DORA-Logik: kontrollierter, nachweisbarer Zugriff, ohne neue unkontrollierte Abhängigkeit zu schaffen.