IT für Banken und Finanzinstitute.
In einem beaufsichtigten Haus genügt es nicht, dass die IT funktioniert. Sie müssen belegen können, dass sie funktioniert, und wer darauf zugreift, wo die Daten liegen und was passiert, wenn der Standort ausfällt. Genau an dieser Stelle arbeiten wir.
Was ein beaufsichtigtes Haus von anderen Kunden unterscheidet
Technisch sind die Bausteine dieselben wie überall: Arbeitsplätze, Netz, Microsoft 365, Telefonie, Datensicherung. Was sich unterscheidet, ist der Maßstab, an dem sie gemessen werden.
Vier Regelwerke, eine Pflicht
Die Anforderungen überlappen sich stärker, als die Zahl der Dokumente vermuten lässt. Im Kern verlangen alle vier dasselbe: nachweisbare Betriebskontinuität und ein dokumentiertes IKT-Risikomanagement.
DORA
Verordnung (EU) 2022/2554, anwendbar seit dem 17. Januar 2025. Verlangt IKT-Risikomanagement, Wiederherstellungspläne, Krisenkommunikation und regelmäßige Tests.
KWG § 25a
Ordnungsgemäße Geschäftsorganisation mit angemessenem Risikomanagement: die nationale Grundlage, auf der MaRisk und BAIT aufsetzen.
MaRisk
Mindestanforderungen an das Risikomanagement. Fordert Notfallkonzepte und Kontinuitätsmanagement ausdrücklich auch für ausgelagerte Leistungen.
BAIT
Bankaufsichtliche Anforderungen an die IT, mit eigenem Kapitel zum IT-Notfallmanagement: Wiederanlaufpläne, Wiederherstellungsziele und Tests.
Die ausführliche Einordnung mit Quellenangaben finden Sie im Abschnitt Business Continuity Service. Diese Übersicht dient der allgemeinen Orientierung und ersetzt keine Rechts- oder Aufsichtsberatung.
Ausweicharbeitsplätze, die einer Prüfung standhalten
Bei Systemen ist die Vorsorge meist gelöst: gespiegelte Rechenzentren, Backups, Wiederanlaufpläne. Bei den Menschen, die damit arbeiten, seltener. Wenn Ihr Wiederanlaufplan vorsieht, dass ein kritischer Prozess in einer bestimmten Zeit wieder läuft, muss geklärt sein, wer ihn ausführt, und von wo.
Homeoffice trägt dabei nur einen Teil. Wertpapierhandel mit Aufzeichnungspflicht, Prozesse mit Vier-Augen-Prinzip und Tätigkeiten mit besonderen Zugriffsbeschränkungen lassen sich am Küchentisch nicht abbilden. Dafür betreiben wir vorbereitete Ausweicharbeitsplätze an drei geografisch getrennten Standorten in Deutschland: Frankfurt am Main, München und Düsseldorf. Die geografische Trennung ist keine Marketingentscheidung, sondern folgt den Auslagerungsvorgaben der BAIT.
Vorbereitet heißt: Netzanbindung, Telefonie mit Ihren gewohnten Rufnummern, Zugriff auf die Fachanwendungen, und der dokumentierte Beleg, dass all das funktioniert. Die jährlichen Tests nach DORA Art. 11 begleiten wir und liefern das Protokoll in einer Form, die Ihre Innenrevision verwenden kann.
Aufzeichnung im Wertpapiergeschäft
Wer Kundenaufträge annimmt, übermittelt oder ausführt, muss die zugehörige telefonische und elektronische Kommunikation aufzeichnen: auch dann, wenn am Ende kein Geschäft zustande kommt. Grundlage ist Art. 16 Abs. 7 MiFID II, in Deutschland umgesetzt in § 83 WpHG.
In der Praxis scheitert das selten an der Technik, sondern an der Abgrenzung: Welche Rollen sind betroffen, was gilt für mobile Geräte, wie wird mit Chat umgegangen, und wer darf Aufzeichnungen später einsehen. Diese Fragen beantwortet Ihre Compliance-Funktion. Unsere Aufgabe ist es, die Entscheidung sauber abzubilden: regelbasiert je Nutzer, manipulationsgeschützt abgelegt und mit nachvollziehbaren Zugriffsprotokollen.
Eine Aufzeichnung, die nur Telefonate erfasst, lässt genau die Lücke offen, nach der geprüft wird. Deshalb decken wir alle Kanäle ab, über die tatsächlich gesprochen wird: einschließlich Besprechungen, Bildschirmfreigaben und Chat.
Microsoft 365 unter Auslagerungsregeln
Cloud-Dienste sind für beaufsichtigte Institute nicht verboten. Sie sind eine Auslagerung, und damit eine Frage der Vorarbeit, nicht der Zulässigkeit.
Entscheidend sind vier Punkte, die vor dem Einsatz geklärt sein müssen: eine Risikoanalyse, der Eintrag ins Informationsregister, vertragliche Zugriffs- und Prüfungsrechte sowie eine Ausstiegsstrategie für den Fall, dass die Zusammenarbeit endet. Technisch folgt daraus Konkretes, wo die Daten liegen, wie lange sie aufbewahrt werden, wer auf Postfächer zugreifen darf, welche Vorgänge protokolliert werden und wie administrative Rechte abgesichert sind.
Wir richten diese Punkte nicht nur ein, sondern dokumentieren sie so, dass Sie bei der nächsten Anfrage nicht erst in den Einstellungen nachsehen müssen.
Netz, Zugriffe und laufender Betrieb
Segmentierung statt flachem Netz
Ein Netz, in dem jedes Gerät jedes andere erreicht, ist in einem Institut schwer zu begründen. Wir trennen Bereiche nach Schutzbedarf (Arbeitsplätze, Verwaltung, Gebäudetechnik, Gäste) und machen die Übergänge kontrollierbar. Das begrenzt im Ernstfall den Schaden und ist in der Prüfung gut darstellbar.
Zum Beitrag →Fernzugriff, der nachvollziehbar bleibt
Support für ein beaufsichtigtes Haus läuft anders als anderswo: benannte Zugänge statt Sammelkonten, minimale Rechte, zeitlich begrenzte Freigaben und ein Protokoll über jeden Zugriff. Für besonders geschützte Bereiche lässt sich eine Freigabe durch Ihr Haus vorschalten.
Support und Fernwartung →Eine Abgrenzung, nach der oft gefragt wird: DORA geht für Sie der NIS-2-Richtlinie vor. Wer als Finanzunternehmen unter DORA fällt, erfüllt seine Pflichten dort und arbeitet NIS-2 nicht zusätzlich ab. Relevant bleibt NIS-2 an den Stellen, an denen Dienstleister außerhalb des Finanzsektors beteiligt sind.
Wie eine Zusammenarbeit beginnt
Wir betreiben keine Kernbankverfahren: die liegen bei Ihrer Rechenzentrale, und das ist gut so. Und wir beraten nicht aufsichtsrechtlich: Die rechtliche Einordnung trifft Ihre Compliance-Funktion, Ihre Innenrevision oder Ihr Aufsichtsberater. Unsere Arbeit beginnt danach: bei der technischen Umsetzung und den Nachweisen, die dafür nötig sind.
Was Institute uns fragen.
Gilt DORA auch für kleine Institute?
DORA unterscheidet nicht nach Größe, sondern nach Art des Unternehmens. Banken, Wertpapierfirmen, Zahlungs- und E-Geld-Institute sowie Verwalter alternativer Investmentfonds fallen grundsätzlich darunter. Die Verordnung sieht allerdings ein Verhältnismäßigkeitsprinzip vor: Umfang und Tiefe der Maßnahmen dürfen zur Größe und zum Risikoprofil passen. Für ein kleines Institut heißt das nicht „weniger Pflichten“, sondern „schlankere Umsetzung derselben Pflichten“.
Was ist der Unterschied zwischen DORA und NIS-2?
Beide verlangen IT-Sicherheit und Meldewege, richten sich aber an unterschiedliche Adressaten. NIS-2 ist die allgemeine Richtlinie für wichtige und besonders wichtige Einrichtungen. DORA ist die speziellere Verordnung für den Finanzsektor und geht dort vor. Wer unter DORA fällt, erfüllt seine Pflichten über DORA und muss nicht zusätzlich NIS-2 abarbeiten. Relevant wird NIS-2 für Sie dort, wo Dienstleister außerhalb des Finanzsektors betroffen sind.
Ist die Nutzung eines Ausweicharbeitsplatzes eine Auslagerung?
Ja. Die Bereitstellung von Notfallarbeitsplätzen ist eine Auslagerung von IKT-Dienstleistungen und gehört nach DORA Art. 28 Abs. 3 ins Informationsregister. Dort sind unter anderem der Dienstleister, die Art der Leistung und die Frage zu erfassen, ob eine kritische oder wichtige Funktion unterstützt wird. Wir liefern die Angaben in einer Form, die sich direkt übernehmen lässt.
Wie oft muss der Notfall getestet werden?
DORA Art. 11 verlangt die Erprobung der Reaktions- und Wiederherstellungspläne mindestens jährlich sowie nach wesentlichen Änderungen an der Infrastruktur. Entscheidend ist nicht der Test an sich, sondern das Protokoll: Was wurde geprüft, wer war beteiligt, was hat nicht funktioniert und was wurde daraus abgeleitet. Genau dieser letzte Punkt fehlt in Prüfungen am häufigsten.
Welche Kommunikation muss im Wertpapiergeschäft aufgezeichnet werden?
Aufzeichnungspflichtig ist telefonische und elektronische Kommunikation, die sich auf die Annahme, Übermittlung oder Ausführung von Kundenaufträgen bezieht: auch dann, wenn am Ende kein Geschäft zustande kommt. Die rechtliche Grundlage bildet Art. 16 Abs. 7 MiFID II, in Deutschland umgesetzt in § 83 WpHG. Welche Rollen in Ihrem Haus konkret betroffen sind, legt Ihre Compliance-Funktion fest; wir bilden die Entscheidung technisch ab.
Reicht die Aufzeichnungsfunktion von Microsoft Teams dafür aus?
Die eingebaute Besprechungsaufzeichnung von Teams ist für Dokumentationszwecke gedacht, nicht für Aufsichtsrecht. Es fehlen regelbasierte Erfassung je Nutzer, Manipulationsschutz, revisionssichere Ablage und nachvollziehbare Zugriffsprotokolle. Für aufzeichnungspflichtige Bereiche setzen wir deshalb eine dafür gebaute Lösung ein und binden sie an Ihre Telefonie und Ihre Berechtigungsstruktur an.
Darf ein beaufsichtigtes Institut Microsoft 365 nutzen?
Ja, der Einsatz von Cloud-Diensten ist nicht verboten. Er ist eine Auslagerung und muss entsprechend behandelt werden: Risikoanalyse vor dem Einsatz, Eintrag ins Informationsregister, vertragliche Regelungen zu Zugriffs-, Prüfungs- und Kündigungsrechten sowie eine Ausstiegsstrategie. Die technische Seite (Datenhaltung, Aufbewahrung, Protokollierung, Berechtigungen) richten wir so ein, dass diese Punkte belegbar sind.
Wie läuft Fernwartung bei einem Institut ab?
Anders als bei anderen Kunden. Fernzugriffe sind benannt, zeitlich begrenzt und protokolliert, Berechtigungen folgen dem Prinzip der minimalen Rechte, und für besonders geschützte Bereiche lässt sich eine Freigabe durch Ihr Haus vorschalten. Jeder Zugriff ist im Nachhinein nachvollziehbar. Das ist bei einer Prüfung der Punkt, an dem gefragt wird.
Übernehmen Sie auch die Betreuung des Kernbanksystems?
Nein. Kernbankverfahren werden in aller Regel von spezialisierten Rechenzentralen betrieben, und das soll auch so bleiben. Wir kümmern uns um die Umgebung darum herum: Arbeitsplätze, Netz, Microsoft 365, Telefonie, Aufzeichnung, Ausweicharbeitsplätze und Support. An den Schnittstellen arbeiten wir mit Ihrem Rechenzentralen-Dienstleister zusammen.
Beraten Sie auch aufsichtsrechtlich?
Nein, und das sollten Sie von einem IT-Dienstleister auch nicht erwarten. Die rechtliche Einordnung trifft Ihre Compliance-Funktion, Ihre Innenrevision oder Ihr Aufsichtsberater. Unsere Aufgabe beginnt danach: Wir setzen das abgeleitete Konzept technisch um und liefern die Nachweise, die Sie dafür brauchen.
Wie weit reicht Ihr Einsatzgebiet?
Unser Sitz ist Bad Vilbel bei Frankfurt. Im Umkreis sind wir innerhalb von 30 bis 45 Minuten vor Ort, alles Weitere läuft remote. Die Ausweicharbeitsplätze stehen an drei geografisch getrennten Standorten in Deutschland (Frankfurt am Main, München und Düsseldorf) und sind damit unabhängig von unserem Sitz nutzbar.
Womit fängt man an, wenn noch nichts davon existiert?
Mit der Bestandsaufnahme, nicht mit dem Einkauf. Wir sehen uns an, welche Prozesse kritisch sind, welche Systeme sie tragen, welche Dienstleister beteiligt sind und was davon bereits dokumentiert ist. Daraus ergibt sich fast immer eine kürzere Liste als befürchtet, und eine klare Reihenfolge, in der sie abgearbeitet werden kann.
Zum Weiterlesen
Alle Beiträge finden Sie im Blog. Der Notfalltest, der die Prüfung besteht Umfang, Beteiligte, Protokoll, und woran die anderen scheitern. Was im Auslagerungsvertrag stehen muss Zugriffs- und Prüfungsrechte, Unterauftragnehmer, Ausstieg.
Jürg Raess
Sales & Business Development / Project Coordinator: Schwerpunkt Business Continuity, Notfallarbeitsplätze und Banken.
Erst zuhören, dann vorschlagen.
Ein Gespräch über Ihren aktuellen Stand, ohne Verkaufsunterlagen und ohne Verpflichtung.