Notfallarbeitsplätze, die einer Prüfung standhalten.
Wenn Ihr Standort ausfällt, muss Ihr Geschäftsbetrieb weiterlaufen, und Sie müssen belegen können, dass er es tut. CentricCom betreibt vorbereitete Ausweicharbeitsplätze an drei geografisch getrennten Standorten in Deutschland, konzipiert entlang DORA, KWG §25a, MaRisk und BAIT.
Der blinde Fleck in fast jedem Notfallkonzept.
Bei den Systemen sind die meisten Institute gut aufgestellt: gespiegelte Rechenzentren, geprüfte Backups, dokumentierte Wiederanlaufpläne. Bei den Menschen, die mit diesen Systemen arbeiten, wird es dünner.
Ein Wiederanlaufplan, der vorsieht, dass ein kritischer Prozess innerhalb von vier Stunden wieder läuft, muss auch beantworten, wer ihn ausführt, und von wo. Genau an dieser Stelle endet in der Praxis häufig die Dokumentation.
Warum Homeoffice nicht überall trägt
- Wertpapiergeschäft mit Aufzeichnungspflicht nach WpHG
- Prozesse mit Vier-Augen-Prinzip und Funktionstrennung
- Zugriffe, die an definierte Netzwerke gebunden sind
- Bargeldnahe Abläufe und physische Belegbearbeitung
- Arbeitsplätze mit besonderen Anforderungen an Vertraulichkeit
Für diese Tätigkeiten braucht es einen Ort, der die technischen und organisatorischen Anforderungen erfüllt, und bei dem sich das nachweisen lässt.
Vorbereitete Arbeitsplätze an einem unserer drei geografisch getrennten Standorte: Netzanbindung, Telefonie und Zugriff stehen bereit, bevor sie gebraucht werden.
Drei Lagen, ein vorbereiteter Weg.
Der entscheidende Punkt liegt in Lage 1: Ausweichplätze, die nie getestet wurden, sind im Ernstfall eine Annahme, kein Konzept.
Drei Standorte, geografisch getrennt.
Die geografische Trennung vom Hauptstandort ist keine Bequemlichkeit, sondern ergibt sich aus den Auslagerungsanforderungen der BAIT. Ein Ausweichstandort im selben Gebäude oder im selben Stadtteil erfüllt den Zweck nicht.
Frankfurt am Main
Im deutschen Finanzzentrum, für die meisten Institute im Rhein-Main-Gebiet in kurzer Zeit erreichbar.
München
Süddeutscher Ausweichstandort, geografisch klar getrennt vom Rhein-Main-Gebiet.
Düsseldorf
Westdeutscher Standort für Institute im Rhein-Ruhr-Gebiet: dritter, unabhängiger Ausweichpunkt.
Vorbereitet heißt: sofort arbeitsfähig.
Ein Raum mit Tischen ist kein Notfallarbeitsplatz. Entscheidend ist, dass Ihre Leute sich hinsetzen und weiterarbeiten können, ohne dass jemand erst etwas einrichten muss.
Netzanbindung
Redundante Anbindung, vorbereitete Kopplung an Ihre Umgebung, definierte Zugriffswege. Die Verbindung wird nicht im Ernstfall erstmalig aufgebaut, sondern ist Teil des Konzepts.
Telefonie mit Ihren Rufnummern
Die Durchwahlen Ihrer Fachbereiche ziehen mit um. Kunden erreichen dieselben Nummern wie zuvor, der in Tests am häufigsten übersehene Punkt.
Arbeitsplätze und Peripherie
Eingerichtete Clients, Drucker und Scanner, dazu die Peripherie, die Ihre Prozesse tatsächlich brauchen, abgestimmt in der Bestandsaufnahme.
Zugriff auf Ihre Fachanwendungen
Kernbanksystem, Archiv, Fachverfahren: Der Zugriff wird im Vorfeld geklärt und im Test überprüft, nicht im Ernstfall improvisiert.
Compliance Recording
Wo Gespräche aufzeichnungspflichtig sind, läuft die Aufzeichnung auch am Ausweichplatz weiter, umgesetzt mit ASC.
Zutritt und Vertraulichkeit
Geregelter Zutritt, abgetrennte Bereiche und dokumentierte Zuständigkeiten. Damit die Anforderungen an Vertraulichkeit auch außerhalb Ihres Hauses gelten.
Vier Regelwerke, eine Pflicht: nachweisbare Betriebskontinuität.
DORA, Verordnung (EU) 2022/2554
Gilt seit dem 17. Januar 2025 unmittelbar. Artikel 11 und 12 verlangen eine Leitlinie zur Fortführung des Geschäftsbetriebs, Reaktions- und Wiederherstellungspläne sowie deren regelmäßige Erprobung. Artikel 28 regelt die Steuerung von IKT-Drittdienstleistern; Artikel 28 Absatz 3 verlangt ein Informationsregister über alle vertraglichen Vereinbarungen zur Nutzung von IKT-Dienstleistungen.
KWG §25a
Verlangt eine ordnungsgemäße Geschäftsorganisation einschließlich eines angemessenen Notfallkonzepts. Die nationale Grundlage, auf der MaRisk und BAIT aufsetzen.
MaRisk AT 7.3
Konkretisiert das Notfallkonzept: Geschäftsfortführungs- und Wiederanlaufpläne, definierte Wiederanlaufzeiten und jährliche Tests der getroffenen Vorkehrungen.
BAIT
Ergänzt die IT-spezifische Sicht, insbesondere zum Auslagerungscontrolling und zur geografischen Trennung von Ausweichkapazitäten.
Wer MaRisk und BAIT sauber umgesetzt hat, steht bei DORA nicht bei null. Die Lücken liegen erfahrungsgemäß bei der Nachweisführung und bei der Frage, wie die Auslagerung an IT-Dienstleister dokumentiert und überwacht wird. Was DORA konkret verlangt, haben wir hier ausführlich beschrieben.
Vom Ist-Stand zum belastbaren Nachweis.
Business-Impact-Analyse
Welche Prozesse sind kritisch, was passiert bei welcher Ausfalldauer, welche Abhängigkeiten bestehen? Daraus ergeben sich Wiederanlaufzeiten, die begründet sind statt geschätzt, und die Zahl der tatsächlich benötigten Plätze.
Wiederanlaufpläne je Prozess
Wer macht was, in welcher Reihenfolge, mit welchen Systemen, von wo aus. Hier fällt auf, wenn für einen kritischen Prozess kein Arbeitsplatz vorgesehen ist.
Einrichtung und Anbindung
Die Plätze werden auf Ihre Umgebung abgestimmt eingerichtet: Netzanbindung, Telefonie, Zugriff auf Fachanwendungen, gegebenenfalls Aufzeichnung.
Dokumentation für die Aufsicht
Vertragsunterlagen, Angaben für das Informationsregister nach DORA Art. 28 Abs. 3, Beschreibung der Leistung und der Zuständigkeiten: in einer Form, die sich direkt übernehmen lässt.
Tests und Protokoll
Einmal als Planbesprechung, einmal technisch, mit hochgefahrenen Systemen. Beides dokumentiert, mit Feststellungen und deren Behebung. Das ist der Teil, an dem Prüfungen am häufigsten hängen.
Die drei Punkte, an denen Prüfungen scheitern.
Fehlende Testnachweise
Ein Plan existiert, aber der letzte dokumentierte Test liegt Jahre zurück, oder war ein Gespräch am Tisch, ohne dass jemand Technik hochgefahren hat.
Lückenhaftes Informationsregister
Kleinere Dienstleister werden übersehen, Angaben sind unvollständig. Nach DORA Art. 28 Abs. 3 gehören alle vertraglichen Vereinbarungen über IKT-Dienstleistungen hinein.
Wiederanlaufzeiten ohne Begründung
RTO und RPO sind für Systeme definiert, aber nicht für Geschäftsprozesse. Ohne Business-Impact-Analyse fehlt die Herleitung.
Was Institute vor der Entscheidung wissen wollen.
Was ist ein Notfallarbeitsplatz?
Ein Notfallarbeitsplatz, auch Ausweicharbeitsplatz genannt, ist ein vollständig eingerichteter Arbeitsplatz an einem anderen Standort, an dem Mitarbeitende weiterarbeiten können, wenn das eigene Gebäude nicht nutzbar ist. Dazu gehören Netzanbindung, Telefonie mit den gewohnten Rufnummern und Zugriff auf die Fachanwendungen.
Für wen sind Notfallarbeitsplätze Pflicht?
Eine ausdrückliche Pflicht zu Ausweicharbeitsplätzen nennt keine Vorschrift. Die Anforderung ergibt sich indirekt: Wer nach DORA, KWG §25a, MaRisk oder BAIT belastbare Wiederanlaufpläne vorhalten muss, muss auch belegen können, wo kritische Prozesse im Ernstfall ausgeführt werden. Betroffen sind vor allem Banken, Sparkassen, Versicherungen und Finanzdienstleister.
Reicht Homeoffice als Notfalllösung nicht aus?
Für einen Teil der Tätigkeiten ja. Nicht abbilden lassen sich am Küchentisch aber Prozesse mit Aufzeichnungspflicht, mit besonderen Zugriffsbeschränkungen oder mit Vier-Augen-Prinzip. Für diese Fälle braucht es einen Ort, der die technischen und organisatorischen Anforderungen nachweislich erfüllt.
Wie viele Plätze braucht ein Institut?
Das ergibt sich aus der Business-Impact-Analyse: Welche Prozesse sind kritisch, wie viele Personen führen sie aus, und in welcher Zeit müssen sie wieder laufen? In der Praxis liegt der Bedarf deutlich unter der Gesamtzahl der Mitarbeitenden, weil im Notfall nur die kritischen Prozesse weiterlaufen müssen.
Wie schnell sind die Plätze im Ernstfall verfügbar?
Die Plätze sind vorbereitet und werden nicht erst im Ernstfall eingerichtet. Die vereinbarte Bereitstellungszeit richtet sich nach den Wiederanlaufzeiten, die Sie in Ihrer Business-Impact-Analyse festgelegt haben.
Wo befinden sich Ihre Standorte?
CentricCom betreibt Notfallarbeitsplätze an drei geografisch getrennten Standorten in Deutschland: Frankfurt am Main, München und Düsseldorf. Die geografische Trennung vom Hauptstandort ist eine Anforderung, die sich aus den Auslagerungsvorgaben der BAIT ergibt.
Muss der Notfallarbeitsplatz getestet werden?
Ja. DORA verlangt in Artikel 11 die regelmäßige Erprobung der Reaktions- und Wiederherstellungspläne, mindestens jährlich und nach wesentlichen Änderungen. Ein Konzept, das nie durchgespielt wurde, erfüllt die Anforderung nicht. Wir begleiten die Tests und liefern das Protokoll.
Wie wird die Auslagerung dokumentiert?
Die Nutzung von Notfallarbeitsplätzen ist eine Auslagerung von IKT-Dienstleistungen. Sie gehört nach DORA Art. 28 Abs. 3 ins Informationsregister, mit definierten Angaben zum Dienstleister und zur Leistung. Wir stellen die Unterlagen so bereit, dass sie sich direkt übernehmen lassen.
Zum Weiterlesen
Alle Beiträge finden Sie im Blog IT für Banken und Finanzinstitute Der Überblick für beaufsichtigte Häuser: Ausweicharbeitsplätze, Aufzeichnung, Microsoft 365 und Support. .
Dieselbe Vorbereitung an einem geografisch getrennten Standort. Welcher davon einspringt, hängt davon ab, wo der Ausfall eintritt.
Jürg Raess
Sales & Business Development / Project Coordinator, spezialisiert auf Notfallarbeitsplätze für Banken und Finanzinstitute.
Woher die Angaben stammen.
Die auf dieser Seite genannten Anforderungen ergeben sich aus den folgenden Rechtsgrundlagen. Wir verlinken direkt auf die amtlichen Fassungen, damit Sie selbst nachlesen können.
Europäische Ebene
- Verordnung (EU) 2022/2554 (DORA), amtlicher Text auf EUR-Lex
Artikel 11 und 12 zu Geschäftsfortführung und Wiederherstellung, Artikel 28 zum Management des IKT-Drittparteienrisikos. - BaFin, Informationen zu DORA
Erläuterungen der Aufsicht zu den einzelnen Kapiteln, einschließlich Informationsregister und Anzeigepflichten.
Nationale Ebene
- KWG §25a, Besondere organisatorische Pflichten
Grundlage für die ordnungsgemäße Geschäftsorganisation einschließlich Notfallkonzept. - BaFin, MaRisk und weitere Rundschreiben
Die jeweils gültige Fassung der MaRisk und ergänzender Rundschreiben finden Sie über die Suche auf bafin.de.
Hinweis: Die Angaben auf dieser Seite geben den Stand vom September 2026 wieder und dienen der allgemeinen Information. Sie stellen keine Rechtsberatung dar und begründen keine Rechtssicherheit. Ob, in welchem Umfang und in welcher Form die genannten Anforderungen für Ihr Institut gelten, hängt von Ihrem Geschäftsmodell, Ihrer Größe und Ihrer Aufsichtspraxis ab.
Das aufsichtsrechtliche Umfeld verändert sich fortlaufend, mit der Anwendbarkeit von DORA seit dem 17. Januar 2025 haben sich die Zuständigkeiten zwischen europäischen und nationalen Vorgaben verschoben. Welches Regelwerk in welcher Fassung für Sie einschlägig ist, klären Sie bitte mit Ihrer Compliance-Funktion, Ihrer Innenrevision und gegebenenfalls anwaltlich. Maßgeblich sind ausschließlich die amtlichen Fassungen der Rechtstexte und die Auslegung durch die zuständige Aufsichtsbehörde.
Wir unterstützen Sie bei der technischen und organisatorischen Umsetzung. Die rechtliche Bewertung nehmen wir nicht vor und dürfen sie nicht vornehmen.
Wo steht Ihr Notfallkonzept?
Nehmen Sie Ihren letzten Notfalltest zur Hand: Wann fand er statt, wurde Technik tatsächlich hochgefahren, und steht im Protokoll, welche Feststellungen es gab? Wenn eine dieser Fragen offen bleibt, sprechen wir darüber.