DORA für KMU-Finanz­dienstleister: 5 Säulen, 4 Pflichten

Einordnung

Abschnitt 01

DORA-Scope: weiter als gedacht

DORA betrifft 21 Kategorien von Finanz-Unternehmen, darunter alle Banken (auch Sparkassen), alle Versicherer (auch kleine Versicherungsvereine auf Gegenseitigkeit), Wertpapierfirmen, Asset-Manager, Krypto-Service-Provider, Zahlungsdienstleister, Versicherungs-Vermittler ab bestimmten Schwellen, Hauptverwaltungs-Dienstleister, IT-Service-Provider für Finanzdienstleister (Critical-ICT-Third-Party-Provider). Die Größen-Schwellen sind teilweise sehr niedrig: ein 30-MA-FinTech mit Zahlungsdienstleister-Lizenz fällt vollständig unter DORA. Auch IT-Dienstleister, die "kritisch" für Finanz-Unternehmen sind (z.B. Hauptanbieter eines Cloud-Service), können direkt von DORA-Vorgaben getroffen sein.

Abschnitt 02

Die 5 Säulen erklärt

DORA hat 5 strukturelle Säulen. (1) IKT-Risikomanagement-Rahmen: dokumentiertes Risiko-Framework, governance auf Vorstands-Ebene, jährliches Risk-Assessment. (2) IKT-Vorfalls-Meldung: einheitliches Meldewesen an die zuständige Aufsichtsbehörde mit klaren Fristen. (3) Tests der digitalen operationalen Resilienz: regelmäßige Belastungstests, alle 3 Jahre verpflichtende Threat-Led-Penetration-Tests (TLPT) für signifikante Institute. (4) Management des IKT-Drittparteienrisikos: Lieferanten-Verträge mit Standard-Klauseln, Konzentrations-Risiko-Limits, Multi-Vendor-Strategie. (5) Informations-Austausch: freiwillige Teilnahme an Cyber-Threat-Intelligence-Sharing-Initiativen.

Abschnitt 03

Threat-Led-Penetration-Tests im Detail

TLPT ist die anspruchsvollste DORA-Pflicht. Für "signifikante" Institute (Banken über 5 Mrd € Bilanz, große Versicherer, kritische Marktinfrastrukturen) sind TLPTs alle 3 Jahre verpflichtend. Der Test simuliert eine echte Angreifer-Kampagne über 12-15 Wochen, mit Threat-Intelligence aus aktuellen APT-Gruppen-Mustern und einem dedizierten Red Team. Die Kosten liegen bei 150.000-450.000 € pro Test. Für KMU-Finanzdienstleister (unter den Schwellen) gilt eine vereinfachte Test-Pflicht: jährliche Pentests + alle 2 Jahre einen umfassenderen "Threat-aware" Pentest. Kosten dafür: 18.000-60.000 €.

Abschnitt 04

Lieferanten-Konzentrations-Risiko: das harte Detail

Art. 28 DORA fordert ein dokumentiertes Konzentrations-Risiko-Management für ICT-Dienstleister. Konkret: kein einzelner ICT-Dienstleister darf eine kritische Funktion ohne Backup bereitstellen. Wenn Sie 100% Ihrer Cloud bei AWS haben, ist das nicht DORA-konform — Sie brauchen entweder eine Multi-Cloud-Strategie oder einen dokumentierten Migrations-Plan zu einem alternativen Anbieter, der binnen 6 Monaten umsetzbar ist. Das hat massiven Praxis-Effekt: viele KMU-FinTechs müssen ihre Cloud-Architektur grundlegend überarbeiten. Empfohlene Lösung: Multi-Cloud mit Hetzner DE als Primary für Customer-Daten und AWS EU als Backup für analytics/non-critical workloads.

Abschnitt 05

Vorfalls-Meldung-Fristen

DORA folgt einer 3-Stufen-Meldelogik: (1) Erste Meldung an die Aufsichtsbehörde binnen 24 Stunden nach Erkennung eines "schwerwiegenden Vorfalls". (2) Zwischenmeldung binnen 72 Stunden mit Detail-Analyse. (3) Abschlussbericht binnen 1 Monat nach Behebung. "Schwerwiegend" ist definiert über 7 Kriterien (betroffene Kunden, Daten-Verluste, finanzielle Auswirkungen, geographische Auswirkungen, etc.) mit Schwellwerten. Wichtig: die BaFin akzeptiert keine Meldungen außerhalb des MaRisk-konformen IRS-Meldetools. Wer das Tool nicht im Vorfeld konfiguriert hat, kann die 24h-Frist nicht einhalten.

Abschnitt 06

ICT-Drittparteien-Vertrags-Klauseln

Art. 30 DORA listet 14 Pflicht-Klauseln für jeden ICT-Drittparteien-Vertrag auf. Beispiele: Recht auf Audit-Vor-Ort, klare Beschreibung der Sub-Outsourcing-Vereinbarungen, Definition von Service-Level-Targets mit Konsequenzen bei Verstoß, Sicherheits-Standards, Exit-Strategie mit Übergangs-Plan, Verfügbarkeits-Garantien. Standardkleinverträge der großen Cloud-Anbieter erfüllen diese Anforderungen NICHT — sie müssen mit Custom-Addendum erweitert werden. AWS hat ein "DORA-Compliance-Addendum" verfügbar, Azure ebenfalls. Bei kleineren Anbietern muss man individuell verhandeln.

Abschnitt 07

Aufwand für 30-MA-FinTech

Konkrete DORA-Umsetzungs-Kosten für ein typisches 30-MA-FinTech (z.B. Zahlungsdienstleister mit BaFin-Lizenz): Risk-Framework-Setup 25.000 €, Cloud-Architektur-Anpassung (Multi-Vendor) 35.000 €, MaRisk-konforme Tools (Schwachstellen-Scanner, SIEM, IRS-Meldetool) 18.000 € einmalig + 28.000 €/Jahr Lizenzen, Pen-Tests jährlich 18.000-30.000 €, Schulungen 6.000 €. Gesamt-Aufwand erstes Jahr: 130.000-180.000 €, ab Jahr 2 jährlich rund 65.000 €.

Abschnitt 08

Erste BaFin-Prüfungs-Erfahrungen 2025

Die ersten BaFin-DORA-Prüfungen sind seit Q3 2025 angelaufen. Bevorzugt geprüft werden: (a) Tatsächliche Vorfalls-Meldung-Praxis (nicht nur Dokumentation). (b) Dokumentierte TLPT-Ergebnisse + Behebung der gefundenen Schwachstellen. (c) Lieferanten-Konzentrations-Analyse mit konkreten Migrations-Plänen. (d) Vorstands-Beteiligung am Risiko-Management (durch Protokolle nachweisbar). In den ersten 8 Monaten wurden 12 förmliche Beanstandungen ausgesprochen, in 3 Fällen Bußgelder im Bereich 80.000-340.000 €. Häufigste Mängel: fehlende Vorstands-Beteiligungs-Protokolle und mangelnde Lieferanten-Konzentrations-Analyse.

Abschnitt 09

Externer DORA-Beauftragter: ja oder nein

Anders als DSGVO schreibt DORA keinen "DORA-Beauftragten" vor. Aber die Praxis zeigt, dass mittelständische FinTechs ohne dedizierten IT-Risk-Manager schnell überfordert sind. Empfehlung für KMU unter 50 MA: externer DORA-Beratungs-Vertrag mit 2-3 Tagen pro Quartal Anwesenheit, dazu monatliches Status-Meeting. Tagessatz typisch 1.200-1.800 €. Bei 50-150 MA: interner IT-Risk-Manager mit Lehrstelle plus externer Beratung als Sparring-Partner. Bei 150+ MA: vollständige interne DORA-Funktion mit 2-3 dedizierten Stellen.

Abschnitt 10

Was sich 2026/27 ändern wird

Die DORA-Regulatorischen Standards (RTS) und Technischen Standards (ITS) werden iterativ erweitert. Wichtige offene Punkte für 2026: (a) Detail-Vorgaben für TLPT-Test-Methodologien mit klarem TIBER-EU-Bezug. (b) Konkretisierung der "kritischen ICT-Dienstleister"-Liste (welche Anbieter sind systemrelevant). (c) Cross-Border-Vorfalls-Koordination zwischen nationalen Aufsichtsbehörden. (d) Sektor-spezifische Vertiefungen für Krypto-Service-Provider unter MiCAR. KMU-Finanzdienstleister sollten die ESMA-Veröffentlichungen vierteljährlich überprüfen.