Pexon Consulting | 10 Min. Lesezeit | 25.03.2026
TL;DR
Seit Januar 2025 gilt DORA als verbindliches Regelwerk für die digitale Resilienz im Finanzsektor — und überlagert teilweise die bisherigen MaRisk-Anforderungen. Bis 30. März 2026 müssen alle Finanzunternehmen ihr ICT-Drittanbieter-Register bei der BaFin einreichen. Dieser Artikel zeigt, welche Vorgaben konkret gelten, wie sie zusammenspielen und wie Sie Cloud-Infrastruktur regulierungskonform aufsetzen.
Die Ausgangslage: Warum Cloud im Finanzsektor anders funktioniert
68 Prozent der deutschen Finanzdienstleister investieren bereits die Hälfte ihres IT-Budgets in Cloud-Dienste. Nur noch sechs Prozent der Banken und Versicherungen betreiben Analytics-Lösungen ausschließlich im eigenen Rechenzentrum — 2024 waren es noch 28 Prozent. Die Migration ist keine Frage des Ob mehr, sondern des Wie.
Das regulatorische Rahmenwerk hat sich 2025 und 2026 grundlegend verändert. Drei Regelwerke greifen ineinander:
- DORA (EU-Verordnung 2022/2554) — seit 17. Januar 2025 verbindlich für über 22.000 Finanzunternehmen in der EU
- MaRisk (AT 9) — nationale BaFin-Regelung für Auslagerungen, ergänzt durch BAIT und VAIT
- EBA Guidelines 2025 — erweiterte Anforderungen an Drittparteien-Risikomanagement (ICT und Nicht-ICT)
Der häufigste Fehler in der Praxis: Unternehmen versuchen, alle drei Regelwerke gleichzeitig umzusetzen und verlieren den Überblick. Unsere Empfehlung: Starten Sie mit DORA, nicht mit MaRisk. DORA ist das übergeordnete EU-Recht, und MaRisk wird sukzessive angepasst.
DORA: Die fünf Säulen der digitalen Resilienz
DORA strukturiert die Anforderungen in fünf Bereiche. Für Cloud-Nutzung sind vor allem die Säulen 1, 4 und 3 relevant:
1. ICT-Risikomanagement — Finanzunternehmen brauchen ein dokumentiertes Rahmenwerk für die Identifikation, Bewertung und Steuerung aller ICT-Risiken. Das umfasst Cloud-Infrastruktur, SaaS-Dienste und jede extern bezogene IT-Leistung.
2. Vorfallmeldewesen — Schwerwiegende ICT-Vorfälle müssen innerhalb von vier Stunden an die BaFin gemeldet werden. Wenn Ihr Cloud-Provider ausfällt und das Ihre kritischen Dienste betrifft, zählt die Uhr ab Erkennung.
3. Resilienztests — DORA verlangt regelmäßige Tests der digitalen Resilienz. Für systemrelevante Institute (G-SIBs und D-SIBs) gilt ab 2025 die Pflicht zu Threat-Led Penetration Testing (TLPT) nach TIBER-EU.
4. ICT-Drittparteienrisiko — Der Kern für Cloud-Nutzer: Alle Verträge mit ICT-Dienstleistern müssen Mindestanforderungen erfüllen. Dazu gehören Exit-Strategien, Audit-Rechte, Datenstandorte und Sub-Dienstleister-Transparenz.
5. Informationsaustausch — Finanzunternehmen sollen Bedrohungsinformationen untereinander teilen (freiwillig).
Die Meldefrist 30. März 2026
Der konkreteste Handlungsdruck liegt beim ICT-Drittanbieter-Register. Bis zum 30. März 2026 müssen Finanzunternehmen erstmals ein vollständiges Register aller ICT-Dienstleister bei der BaFin einreichen. Für jeden Anbieter sind unter anderem erforderlich:
- Legal Entity Identifier (LEI)
- Art der erbrachten Dienstleistung
- Datenstandorte (Verarbeitung und Speicherung)
- Subunternehmer und deren Standorte
- Vertragslaufzeit und Exit-Strategie
Ein mittelgroßes Finanzinstitut nutzt typischerweise 40 bis 80 ICT-Drittanbieter. Das Register manuell zu pflegen, ist nicht praktikabel. Automatisierung ist hier kein Nice-to-have, sondern Voraussetzung.
Laut aktuellen Erhebungen hatten bis Ende 2025 nur 50 Prozent der europäischen Finanzinstitute die DORA-Anforderungen vollständig umgesetzt. 38 Prozent haben ihre Compliance-Ziele auf 2026 verschoben.
MaRisk und EBA: Was bleibt, was ändert sich
MaRisk AT 9 regelt das Auslagerungsmanagement für deutsche Institute seit Jahren. Mit DORA entsteht ein Zwei-Welten-Modell:
Die EBA Guidelines 2025 erweitern den Fokus über ICT hinaus: Für alle kritischen oder wichtigen Funktionen — auch wenn sie nicht IT-bezogen sind — gelten nun Governance-Anforderungen, Due-Diligence-Pflichten und laufende Risikoüberwachung.
Praxis-Empfehlung: Führen Sie ein einheitliches Drittanbieter-Register, das sowohl DORA als auch MaRisk abdeckt. Trennen Sie ICT- und Nicht-ICT-Anbieter in der Klassifikation, aber nutzen Sie ein Tool und einen Prozess.
Cloud-Architektur: So setzen Sie die Vorgaben technisch um
Die regulatorischen Anforderungen lassen sich in konkrete technische Maßnahmen übersetzen. Wir zeigen das am Beispiel Azure — die Prinzipien gelten aber auch für AWS und GCP.
Datenresidenz und Netzwerk-Isolation
DORA verlangt Transparenz über Datenstandorte. In Azure erzwingen Sie das über Azure Policy:
{
"displayName": "DORA: Nur EU-Regionen erlauben",
"policyRule": {
"if": {
"not": {
"field": "location",
"in": [
"germanywestcentral",
"germanynorth",
"westeurope",
"northeurope",
"swedencentral"
]
}
},
"then": {
"effect": "deny"
}
}
}Diese Policy verhindert, dass Ressourcen außerhalb der genehmigten EU-Regionen bereitgestellt werden. Für die BaFin-Meldung können Sie damit nachweisen, wo Ihre Daten verarbeitet werden.
Exit-Strategie als Code
DORA fordert explizit Exit-Strategien für kritische ICT-Dienstleister. Mit Terraform definieren Sie die Infrastruktur anbieterunabhängig — ein Wechsel wird planbar statt Notfall:
# DORA Exit-Strategie: Multi-Cloud-fähige Infrastruktur
# Backup-Region und -Provider als Terraform-Modul
module "primary_cluster" {
source = "./modules/kubernetes"
provider = "azurerm"
region = "germanywestcentral"
# DORA: Audit-Logging aktivieren
diagnostic_settings = {
log_analytics_workspace_id = azurerm_log_analytics_workspace.dora.id
retention_days = 365 # MaRisk: 10 Jahre Aufbewahrung
}
# DORA: Verschlüsselung mit kundeneigenen Schlüsseln
encryption = {
key_vault_key_id = azurerm_key_vault_key.cmk.id
enabled = true
}
}
# Exit-Szenario: Failover-Konfiguration dokumentiert
module "failover_cluster" {
source = "./modules/kubernetes"
provider = "azurerm"
region = "swedencentral"
enabled = false # Aktivierung im Exit-Fall
}Incident-Meldekette automatisieren
Die Vier-Stunden-Meldefrist für schwerwiegende ICT-Vorfälle erfordert automatisierte Erkennung. Microsoft Sentinel in Kombination mit Azure Monitor liefert die Grundlage:
- Azure Monitor Alerts für Verfügbarkeit und Latenz kritischer Dienste
- Microsoft Sentinel für Bedrohungserkennung und Korrelation
- Azure Logic Apps für automatische Eskalation an die interne Meldekette
- Audit-Logs mit mindestens 365 Tagen Aufbewahrung (MaRisk verlangt bis zu 10 Jahre)
Checkliste: Cloud-Compliance für Finanzdienstleister
Nutzen Sie diese Checkliste als Ausgangspunkt für Ihr DORA-Cloud-Projekt:
ICT-Register (Frist: 30.03.2026)
- [ ] Vollständiges Inventar aller Cloud-Dienste (IaaS, PaaS, SaaS)
- [ ] LEI, Vertragsdetails und Datenstandorte pro Anbieter dokumentiert
- [ ] Subunternehmer-Ketten identifiziert und bewertet
- [ ] Exit-Strategie je kritischem Anbieter definiert
Technische Resilienz
- [ ] Azure Policy / AWS SCP für Datenresidenz (nur EU-Regionen)
- [ ] Customer Managed Keys für Verschlüsselung at rest
- [ ] Private Endpoints für alle kritischen Dienste
- [ ] Backup-Konzept mit RTO/RPO gemäß Risikoklassifikation
Meldewesen und Monitoring
- [ ] Automatische Incident-Erkennung (< 4 Stunden Meldefrist)
- [ ] SIEM/SOAR-Integration (Sentinel, Splunk, o.Ä.)
- [ ] Audit-Trail mit 365+ Tagen Aufbewahrung
- [ ] Regelmäßige Resilienztests (TLPT für systemrelevante Institute)
Governance
- [ ] DORA-Verantwortlicher im Vorstand benannt
- [ ] Einheitliches Drittanbieter-Register (ICT + Nicht-ICT)
- [ ] Vertragsanpassungen mit bestehenden Cloud-Anbietern
- [ ] Schulung der Fachbereiche zu Meldepflichten
FAQ: Cloud-Regulierung für Finanzdienstleister
Gilt DORA auch für kleinere Finanzinstitute wie Zahlungsdienstleister?
Ja. DORA gilt für über 22.000 Finanzunternehmen in der EU — darunter Banken, Versicherungen, Zahlungsinstitute, Wertpapierfirmen und Krypto-Dienstleister. Die BaFin wendet das Proportionalitätsprinzip an: Kleinere Institute müssen dieselben Bereiche abdecken, aber mit geringerer Dokumentationstiefe.
Was passiert, wenn wir die Meldefrist am 30. März 2026 nicht einhalten?
Die BaFin kann aufsichtsrechtliche Maßnahmen ergreifen. DORA sieht Bußgelder von bis zu zwei Prozent des weltweiten Jahresumsatzes vor. In der Praxis wird die BaFin bei der ersten Melderunde voraussichtlich auf Nachbesserung drängen, aber die Frist bewusst zu ignorieren wäre ein klares Compliance-Versagen.
Brauchen wir einen eigenen DORA-Beauftragten?
DORA verlangt, dass ein Mitglied des Leitungsorgans die Verantwortung für das ICT-Risikomanagement trägt. Einen separaten „DORA-Beauftragten“ schreibt die Verordnung nicht vor — aber jemand im Vorstand muss nachweisbar verantwortlich sein.
Ist Azure für regulierte Finanzdienstleister zugelassen?
Microsoft Azure ist einer der 19 von den europäischen Aufsichtsbehörden als kritisch eingestuften ICT-Dienstleister. Das bedeutet nicht, dass Azure verboten ist — im Gegenteil: Azure bietet mit über 90 Compliance-Zertifizierungen (ISO 27001, SOC 2, BSI C5) und EU-Datenresidenz die technische Grundlage für DORA-konforme Cloud-Nutzung. Die Verantwortung für die Konfiguration liegt beim Finanzunternehmen.
Wie unterscheidet sich DORA von MaRisk bei Cloud-Auslagerungen?
MaRisk AT 9 regelt Auslagerungen national und kennt die Unterscheidung „wesentlich“ vs. „nicht wesentlich“. DORA geht weiter: Es gilt EU-weit, unterscheidet ICT- von Nicht-ICT-Dienstleistern und verlangt ein vollständiges Register aller Anbieter — nicht nur der wesentlichen. DORA ist als EU-Verordnung direkt anwendbar und hat Vorrang vor nationalen Regelungen, wo es Überschneidungen gibt.
Nächste Schritte
Die regulatorischen Anforderungen sind komplex, aber umsetzbar. Der wichtigste Schritt ist, nicht abzuwarten: Bis Ende 2025 hatten nur 50 Prozent der europäischen Finanzinstitute DORA vollständig implementiert. Die anderen kämpfen jetzt mit Fristen.
Drei konkrete Startpunkte:
- ICT-Register aufbauen — Beginnen Sie mit einem vollständigen Inventar Ihrer Cloud-Dienste. Das ist die Grundlage für die BaFin-Meldung und alle weiteren Maßnahmen.
- Cloud-Architektur prüfen — Datenresidenz, Verschlüsselung und Netzwerk-Isolation sind die technischen Mindestanforderungen. Ein AI Readiness Assessment deckt die Lücken auf.
- Exit-Strategien definieren — DORA verlangt nachweisbare Ausstiegsszenarien für kritische Anbieter. Infrastructure as Code (Terraform, Bicep) macht das planbar.
Pexon Consulting unterstützt Banken und Versicherungen bei der DORA-konformen Cloud-Migration — von der Gap-Analyse bis zur Azure-Implementierung. Als Microsoft Partner mit Azure-Expertise kennen wir die Anforderungen regulierter Branchen aus über 50 Projekten im Banking– und Versicherungsumfeld.
→ Kostenlosen DORA-Cloud-Check vereinbaren
Dieser Artikel dient der allgemeinen Information und ersetzt keine Rechtsberatung. Für eine individuelle Bewertung Ihrer regulatorischen Anforderungen empfehlen wir ein Workshop-Format mit Ihren Compliance- und IT-Teams.
