Auf einen Blick
Compliance IT-Infrastruktur im Finanzsektor bedeutet: Deine IT-Systeme müssen nicht nur funktionieren – sie müssen nachweislich sicher, ausfallresistent und regulatorisch konform sein. Die wichtigsten Regelwerke sind DORA (ab Januar 2025 verpflichtend), BAIT, MaRisk und die EBA-Guidelines. Wer jetzt nicht handelt, riskiert Bußgelder bis zu 10 Millionen Euro oder 5 % des Jahresumsatzes. Die gute Nachricht: Mit einem strukturierten Ansatz lässt sich Compliance effizient und ohne Betriebsunterbrechung umsetzen.
Warum Compliance IT-Infrastruktur im Finanzsektor jetzt kritisch ist
Stell dir vor, deine Bank verliert für 48 Stunden den Zugang zu ihren Kernsystemen. Kein Online-Banking, keine Zahlungsabwicklung, keine Kundenkommunikation. Was vor zehn Jahren als theoretisches Szenario galt, ist heute Realität – und genau deshalb hat die EU mit DORA (Digital Operational Resilience Act) einen Rahmen geschaffen, der Finanzinstitute zwingt, ihre IT-Infrastruktur auf ein neues Niveau zu heben.
Compliance IT-Infrastruktur bezeichnet die Gesamtheit aller technischen, organisatorischen und prozessualen Maßnahmen, die sicherstellen, dass IT-Systeme eines Finanzunternehmens den geltenden gesetzlichen und regulatorischen Anforderungen entsprechen. Das klingt trocken – ist aber der Unterschied zwischen einem stabilen Geschäftsbetrieb und einem Aufsichtsverfahren.
Die Regulierungsdichte im Finanzsektor hat in den letzten fünf Jahren dramatisch zugenommen. Allein in Deutschland müssen Banken und Finanzdienstleister heute mindestens sieben verschiedene Regelwerke im Blick behalten. Und die BaFin schaut genauer hin als je zuvor.
Die wichtigsten regulatorischen Frameworks im Überblick
Bevor wir in die Umsetzung gehen: Welche Regelwerke betreffen deine IT-Infrastruktur überhaupt? Hier ist die ehrliche Antwort – es sind mehr, als die meisten IT-Verantwortlichen auf dem Schirm haben.
DORA – Der neue Goldstandard für digitale Resilienz
DORA ist das umfassendste Regelwerk für operative IT-Resilienz im Finanzsektor. Es umfasst fünf Kernbereiche: ICT-Risikomanagement, Incident-Reporting, Resilienztests, Management von Drittanbieterrisiken und Informationsaustausch. Besonders der letzte Punkt überrascht viele: Finanzinstitute sollen künftig aktiv Bedrohungsinformationen untereinander teilen.
BAIT – Die deutsche Konkretisierung
Die Bankaufsichtlichen Anforderungen an die IT (BAIT) der BaFin sind quasi die nationale Übersetzung europäischer Vorgaben in konkretes Verwaltungshandeln. Sie regeln unter anderem IT-Strategie, IT-Governance, Informationssicherheit und das Auslagerungsmanagement. Wer BAIT ignoriert, bekommt Post von der BaFin – und die ist selten erfreulich.
MaRisk – Mindestanforderungen mit IT-Relevanz
Die Mindestanforderungen an das Risikomanagement (MaRisk) sind zwar primär ein bankaufsichtliches Dokument, haben aber erhebliche IT-Implikationen. Datenverfügbarkeit, Notfallkonzepte und die Absicherung kritischer Prozesse sind explizit adressiert.
| Regelwerk | Geltungsbereich | Fokus | Max. Sanktion | Seit / Ab |
|---|---|---|---|---|
| DORA (EU) | Alle EU-Finanzinstitute + IT-Drittanbieter | Digitale Resilienz, Incident-Reporting | 10 Mio. € oder 5 % Jahresumsatz | Januar 2025 |
| BAIT (DE) | Banken, Sparkassen (BaFin-reguliert) | IT-Governance, Informationssicherheit | Aufsichtsmaßnahmen bis Lizenzentzug | 2017, Update 2021 |
| MaRisk (DE) | Kreditinstitute, Finanzdienstleister | Risikomanagement, Notfallplanung | Aufsichtsmaßnahmen | 2005, laufend aktualisiert |
| EBA-Guidelines ICT | EU-weit, alle Kreditinstitute | ICT-Risikomanagement | Länderspezifisch | 2019, Update 2023 |
| ISO 27001 | Freiwillig, branchenübergreifend | Informationssicherheits-Management | Keine direkte Sanktion | 2005, Update 2022 |
Die Tabelle zeigt: DORA hat mit Abstand das schärfste Sanktionsregime. Aber auch die nationalen Regelwerke sollte niemand unterschätzen – ein BaFin-Aufsichtsverfahren kann ein Institut monatelang lähmen.
Technische Anforderungen an eine compliant IT-Infrastruktur
Jetzt wird es konkret. Was muss deine IT-Infrastruktur technisch leisten, um regulatorisch sauber aufgestellt zu sein? Die Antwort lässt sich in vier Kernbereiche gliedern.
Verfügbarkeit und Resilienz
DORA fordert explizit, dass kritische Systeme eine definierte Wiederherstellungszeit (RTO) und einen maximalen Datenverlust (RPO) nicht überschreiten. Für Kernbankensysteme gilt in der Praxis: RTO unter vier Stunden, RPO unter einer Stunde. Das bedeutet: Redundante Rechenzentren, automatisiertes Failover und regelmäßige Resilienztests sind keine Kür mehr – sie sind Pflicht.
Mehr dazu, wie Banken ihr digitales Rückgrat aufbauen, erfährst du in unserem Artikel zur Netzwerk-Infrastruktur in Banken.
Datenschutz und Datensicherheit
Verschlüsselung, Zugriffskontrolle, Datensegmentierung – das sind keine Buzzwords, sondern konkrete technische Maßnahmen, die Auditoren prüfen. Besonders kritisch: die Absicherung von Schnittstellen zu Drittanbietern. Viele Sicherheitsvorfälle entstehen nicht im Kernbankensystem selbst, sondern an den Rändern – bei APIs, Datenübertragungen oder Cloud-Diensten.
Audit-Trails und Nachvollziehbarkeit
Regulatoren wollen Beweise sehen. Lückenlose Log-Dateien, unveränderliche Audit-Trails und eine klare Dokumentation aller Systemzugriffe sind Grundvoraussetzung. Wer hier spart, bereut es spätestens beim nächsten Audit.
DORA-Umsetzung: Schritt für Schritt zur Compliance
DORA ist seit Januar 2025 verpflichtend – und viele Institute haben noch erheblichen Nachholbedarf. Hier ist ein praxiserprobter Fahrplan, der sich in der Realität bewährt hat:
- Gap-Analyse durchführen: Vergleiche deinen aktuellen IT-Betrieb systematisch mit den DORA-Anforderungen. Nutze die offiziellen RTS (Regulatory Technical Standards) der ESAs als Checkliste. Dokumentiere jeden identifizierten Handlungsbedarf mit Priorität und Verantwortlichkeit.
- ICT-Risikoinventar erstellen: Erfasse alle kritischen IT-Systeme, Prozesse und Abhängigkeiten. Welche Systeme sind geschäftskritisch? Welche Drittanbieter haben Zugriff auf kritische Daten? Ohne dieses Inventar ist jede weitere Compliance-Arbeit Stückwerk.
- Incident-Response-Prozesse definieren: DORA schreibt konkrete Meldefristen vor: Schwerwiegende Vorfälle müssen innerhalb von 4 Stunden (erste Meldung) und 72 Stunden (Zwischenbericht) an die zuständige Behörde gemeldet werden. Stelle sicher, dass diese Prozesse dokumentiert, getestet und allen Beteiligten bekannt sind.
- Drittanbieter-Risikomanagement aufbauen: Erstelle ein Register aller ICT-Drittanbieter. Klassifiziere sie nach Kritikalität. Für kritische Anbieter sind vertragliche Mindestanforderungen, regelmäßige Audits und Exit-Strategien Pflicht.
- Resilienztests planen und durchführen: DORA fordert jährliche Basis-Tests für alle Institute und – für systemrelevante Häuser – alle drei Jahre TLPT (Threat-Led Penetration Testing). Plane diese Tests frühzeitig, denn qualifizierte Tester sind gefragt.
- Governance-Strukturen anpassen: Das Management trägt persönliche Verantwortung für DORA-Compliance. Stelle sicher, dass Vorstand und Aufsichtsrat regelmäßig über den ICT-Risikostatus informiert werden – und das dokumentiert ist.
- Kontinuierliches Monitoring etablieren: Compliance ist kein Projekt mit Enddatum. Richte KPIs und regelmäßige Reviews ein, die sicherstellen, dass deine IT-Infrastruktur dauerhaft compliant bleibt.
Die digitale Transformation der Finanzbranche und regulatorische Compliance sind dabei keine Gegensätze – wer seine IT modernisiert, schafft gleichzeitig die technische Basis für nachhaltige Compliance.
Drittanbieter-Risiken: Der unterschätzte Faktor
Hier liegt einer der größten blinden Flecken in der Praxis: Viele Finanzinstitute haben ihre eigene IT gut im Griff, aber kaum Überblick über die IT-Sicherheit ihrer Dienstleister. Dabei ist die Lieferkette heute ein bevorzugtes Angriffsziel.
DORA adressiert das direkt: Kritische ICT-Drittanbieter – also Cloud-Anbieter, Rechenzentren, Softwarehäuser – können von den europäischen Aufsichtsbehörden direkt überwacht werden. Das ist ein Paradigmenwechsel. Bisher war das Finanzinstitut allein verantwortlich; künftig steht auch der Anbieter in der Pflicht.
Was bedeutet das praktisch? Deine Verträge mit IT-Dienstleistern müssen überarbeitet werden. Mindestens folgende Punkte müssen vertraglich geregelt sein: Sicherheitsstandards, Audit-Rechte, Incident-Meldepflichten, Datenlokalisierung und Exit-Klauseln. Wer das noch nicht getan hat, sollte jetzt damit beginnen – nicht nach dem nächsten Audit.
Cybersecurity als Compliance-Fundament
Compliance und Cybersecurity werden oft als getrennte Themen behandelt. Das ist ein Fehler. Wer seine IT-Infrastruktur gegen Angriffe absichert, erfüllt gleichzeitig einen Großteil der regulatorischen Anforderungen – und umgekehrt.
Konkret: Ein robustes Patch-Management, das Schwachstellen innerhalb definierter Fristen schließt, ist sowohl eine Cybersecurity-Maßnahme als auch eine BAIT-Anforderung. Zero-Trust-Architekturen, die jeden Zugriff verifizieren, entsprechen dem Prinzip der minimalen Rechtevergabe aus MaRisk und DORA gleichermaßen.
Wie Finanzinstitute ihre IT-Infrastruktur gegen Cyberangriffe absichern, haben wir ausführlich im Artikel zu Cybersecurity im Banking beschrieben. Die Schnittmenge mit Compliance-Anforderungen ist dabei größer als viele denken.
Kosten und Nutzen: Compliance als Investition, nicht als Kostenfaktor
Ja, Compliance kostet Geld. Aber die Frage ist nicht, ob man sich Compliance leisten kann – sondern ob man sich Non-Compliance leisten kann.
Ein konkretes Beispiel: Der IT-Ausfall einer mittelgroßen deutschen Bank kostet laut Branchenschätzungen zwischen 50.000 und 500.000 Euro pro Stunde – je nach Systemkritikalität. Ein DORA-Bußgeld von 10 Millionen Euro kommt noch obendrauf. Dagegen wirkt eine Investition in resiliente IT-Infrastruktur und Compliance-Management wie eine günstige Versicherung.
Hinzu kommt der Wettbewerbsvorteil: Institute, die Compliance als strategisches Asset begreifen, gewinnen das Vertrauen von Geschäftspartnern, Investoren und Kunden. In einer Branche, in der Vertrauen die härteste Währung ist, ist das kein kleiner Vorteil.
| Szenario | Kosten (geschätzt) | Zeitaufwand | Reputationsrisiko |
|---|---|---|---|
| Proaktive DORA-Compliance (mittleres Institut) | 500.000 – 2 Mio. € (einmalig) | 12–18 Monate | Gering |
| DORA-Bußgeld (schwerwiegender Verstoß) | Bis 10 Mio. € oder 5 % Umsatz | Aufsichtsverfahren: 6–24 Monate | Sehr hoch |
| IT-Ausfall (48 Stunden, mittlere Bank) | 2,4 – 24 Mio. € direkte Kosten | Wochen bis Monate Nacharbeit | Hoch bis existenziell |
| Datenpanne mit Meldepflicht | DSGVO: bis 4 % Jahresumsatz | Monatelange Aufarbeitung | Sehr hoch |
FAQ: Compliance IT-Infrastruktur im Finanzsektor
Was versteht man unter Compliance IT-Infrastruktur im Finanzsektor?
Compliance IT-Infrastruktur bezeichnet alle technischen und organisatorischen Maßnahmen, die sicherstellen, dass IT-Systeme eines Finanzunternehmens den gesetzlichen und regulatorischen Anforderungen wie DORA, BAIT und MaRisk entsprechen.
Was ist DORA und wen betrifft es?
DORA (Digital Operational Resilience Act) ist eine EU-Verordnung, die seit Januar 2025 für alle Finanzinstitute in der EU gilt – darunter Banken, Versicherungen, Wertpapierfirmen und kritische IT-Drittanbieter. Sie regelt digitale Resilienz und Incident-Reporting.
Welche Strafen drohen bei Verstößen gegen DORA?
Bei schwerwiegenden DORA-Verstößen drohen Bußgelder von bis zu 10 Millionen Euro oder 5 % des gesamten Jahresumsatzes. Für kritische IT-Drittanbieter können die Sanktionen bis zu 5 Millionen Euro oder 1 % des täglichen Umsatzes betragen.
Wie unterscheiden sich BAIT und DORA?
BAIT ist ein nationales BaFin-Regelwerk für deutsche Banken mit Fokus auf IT-Governance und Informationssicherheit. DORA ist eine EU-Verordnung mit breiterem Geltungsbereich und schärferen Sanktionen, die BAIT in weiten Teilen ergänzt oder überlagert.
Wie oft müssen Resilienztests nach DORA durchgeführt werden?
DORA schreibt jährliche Basis-Resilienztests für alle betroffenen Institute vor. Systemrelevante Finanzinstitute müssen zusätzlich alle drei Jahre ein Threat-Led Penetration Testing (TLPT) durch zertifizierte externe Tester durchführen lassen.
Müssen auch Cloud-Anbieter DORA-konform sein?
Ja. DORA erfasst explizit kritische ICT-Drittanbieter, also auch Cloud-Anbieter und Rechenzentren. Diese können direkt von europäischen Aufsichtsbehörden überwacht werden. Finanzinstitute müssen ihre Verträge mit Drittanbietern entsprechend anpassen.
Was ist der erste Schritt zur DORA-Compliance?
Der erste Schritt ist eine strukturierte Gap-Analyse: Vergleiche deinen aktuellen IT-Betrieb mit den DORA-Anforderungen, identifiziere Lücken und priorisiere Maßnahmen. Ohne diesen Überblick ist jede weitere Compliance-Arbeit ineffizient.