Digital Operational Resilience Act (DORA): Ein risikobasierter Ansatz

Ralf Kluge, Senior IT-Auditor/-Consultant, AWADO GmbH Wirtschaftsprüfungsgesellschaft Steuerberatungsgesellschaft

I. Einführung

Das Zeitalter der Digitalisierung hat durch die andauernde COVID-Pandemie einen kräftigen Impetus erhalten. Die Nutzung neuer Technologien eröffnet große Chancen im Bereich innovativer Finanz-dienstleistungen, begründet aber auch große Herausforderungen. Die Cybersicherheit ist eine davon, und so ist das Ziel der Europäischen Kommission richtig gesetzt, alle Teilnehmer des Finanzsystems zu notwendigen Sicherheitsvorkehrungen zu verpflichten, um Cyberangriffe und andere IKT-Risiken einzudämmen.

Der Handlungsdruck ist hoch, da sich das Umfeld immer wieder mit großer Geschwindigkeit neu sortiert. So präsentieren sich neue Marktakteure, wie Fintechs, Neobanken und Bigtechs den Kunden als einfache Helfer im Alltag. Nicht nur junge Generationen erwarten dabei, dass die gesamte Palette von Dienstleistungen im Netz auf dem Smartphone und dem Smart Speaker zur Verfügung stehen. 

Daher digitalisieren nicht nur Wirtschaftsakteure ihre Geschäftsprozesse, sondern auch Wirtschafts-kriminelle. In der Schattenwelt des Darknets werden die für Angriffe erforderlichen Prozesse oder Instrumente, wie Module zur Nutzung gegen Entgelt angeboten. 

Cyberangriffe sind sehr effizient möglich und stellen eine enorme Bedrohung dar. Zuletzt hatte das Bundesamt für Sicherheit in der Informationstechnik (BSI) gewarnt, dass die IT-Sicherheitslage gespannt bis kritisch ist. 

Die Finanzindustrie steht seit jeher im Fokus von Kriminellen. Früher stürmten maskierte Verbrecher mit vorgehaltener Waffe in die Bank, um Gold und Bargeld zu stehlen. Heute haben es Cyberkriminelle auf wertvolle digitale Assets abgesehen. Laut Boston Consulting Group[1] sind Banken und Finanz-dienstleister 300-mal häufiger das Ziel von Cyberangriffen als andere Unternehmen. Die Allianz listet Cybervorfälle in ihrem Risk Barometer 2021 sogar als größten Risikofaktor für die Finanzbranche[2].

Die jüngeren Cyberangriffe haben insbesondere die zunehmende Verbreitung von Ransomware und Cyberspionage sowie die davon ausgehenden, wachsenden Gefahren für alle Wirtschaftszweige und die Gesellschaft insgesamt deutlich gemacht. Das Ausmaß der Sicherheitsvorfälle war außer-gewöhnlich hoch: So waren von den Angriffen auf Microsoft Exchange hunderttausende Server be-troffen; von der Solarwinds-Orion-Kampagne waren potenziell 18.000 Organisationen betroffen; beim Ransomware-Angriff auf den irischen Gesundheitsdienst wurden sensible Daten hunderter Patienten erbeutet und medizinische Dienstleistungen gestört; der Cyberangriff auf das Abrechnungssystem von Colonial Pipeline führte zu einem Kraftstoffnotstand und massivem Datendiebstahl; und beim weltweit größten Rindfleischlieferanten wurde eine Betriebsunterbrechung verursacht[3].

Besonders die Rolle der Finanzinstitute als Intermediär in allen Zahlungsprozessen birgt ein großes Schadenspotenzial, denn gerade ihre Geschäftsmodelle bauen in besonderem Maße auf deren Verlässlichkeit und dem Vertrauen der Kunden auf. Daher hat die gesamte Finanzindustrie ein ureigenes Interesse daran, alles Notwendige zu tun, um Cyberrisiken zu erkennen und mögliche Attacken abzuwehren. Erfolgreiche Angriffe sind entsprechend selten und können fast immer ohne anhaltenden Schaden neutralisiert werden. 

Im Folgenden werden in einem ersten Teil die grundlegenden Themen „Zweckbestimmung, Überblick der Kernziele, Rechtsgrundlage und Risikomanagement“ zu DORA erläutert.  [...]
Beitragsnummer: 21713