BLOG

BLOG

Testen, testen, testen – DORA’s Anspruch an Resilience-Übungen

Testen, testen, testen – DORA’s Anspruch an Resilience-Übungen

Resilienz ist kein Zufallsprodukt. Sie entsteht nicht allein durch technische Schutzmaßnahmen oder durch das Verfassen von Notfallplänen. Wirkliche Widerstandsfähigkeit zeigt sich erst im Ernstfall – und dafür müssen Unternehmen vorbereitet sein. DORA macht deshalb unmissverständlich klar: Digitale Resilienz ist nicht nur zu planen, sondern regelmäßig und systematisch zu testen. Der Grundgedanke ist einfach: Ein Unternehmen kann nur dann sicherstellen, dass es auf IKT-Störungen, Cyberangriffe oder sonstige digitale Notlagen wirksam reagiert, wenn es diese Szenarien vorher geübt hat. Dabei geht es nicht um symbolische Trockenübungen, sondern um realistische, teilweise sehr anspruchsvolle Tests, die technische Systeme, organisatorische Abläufe und menschliches Handeln gleichermaßen prüfen.

Kritische Funktionen kennen: Ohne Zielbild keine sinnvollen Übungen

Die Grundlage solcher Resilienztests ist eine klare Definition der kritischen Funktionen und Prozesse. Nur wenn bekannt ist, welche Systeme, Daten, Anwendungen und Kommunikationswege für den Geschäftsbetrieb unverzichtbar sind, lassen sich sinnvolle Übungsszenarien entwickeln. DORA verlangt, dass Unternehmen ihre kritischen Assets genau kennen und für diese gezielt Testpläne entwickeln. Das muss nicht immer die gesamte Organisation betreffen – oft sind fokussierte Tests auf einzelne, hochkritische Prozesse effektiver. Entscheidend ist, dass die Auswahl der Tests risikobasiert erfolgt: Je kritischer eine Funktion, desto intensiver und häufiger wird getestet. Dazu gehört auch eine Business-Impact-Analyse (BIA) mit RTO/RPO-Zielen sowie Schutzbedarfen entlang von Vertraulichkeit, Integrität und Verfügbarkeit – ergänzt um Resilienz, Nachvollziehbarkeit und Portabilität.


Continue reading
5
25173 Hits

Lieferanten unter der Lupe – Third-Party-Risiken smart managen

Lieferanten unter der Lupe – Third-Party-Risiken smart managen

Die Digitalisierung der Finanzwelt hat in den letzten Jahren einen klaren Trend hervorgebracht: Immer mehr Leistungen werden an externe Partner ausgelagert. Cloud-Computing, spezialisierte IT-Dienstleister, externe Rechenzentren, Software-as-a-Service-Lösungen oder Managed Security Services – kaum ein Finanzunternehmen betreibt heute noch seine gesamte IT selbst. Diese Entwicklung hat enorme Vorteile: schnellere Innovation, flexiblere Skalierung, Zugang zu Spezialwissen und oft auch Kostenvorteile. Doch sie hat eine Schattenseite, die spätestens mit dem Inkrafttreten von DORA in den Mittelpunkt rückt: Die Abhängigkeit von Drittanbietern kann zur Achillesferse werden, wenn Risiken nicht konsequent gemanagt werden. DORA macht deshalb das Management von IKT-Drittparteien zu einer eigenen Säule der digitalen Resilienz – mit klaren Vorgaben, die deutlich über das hinausgehen, was bisher viele Unternehmen praktiziert haben.

Der Grundsatz: Auslagerung hebt Verantwortung nicht auf

Der Kern der DORA-Vorgaben ist einfach: Unternehmen bleiben auch dann vollständig verantwortlich, wenn sie kritische Funktionen an externe Partner auslagern. Es gibt kein „Das macht unser Dienstleister, darum kümmern wir uns nicht“ mehr. Vielmehr muss jedes Unternehmen sicherstellen, dass auch ausgelagerte Services den gleichen Resilienz- und Sicherheitsstandards entsprechen wie interne Leistungen. Das bedeutet, dass die Auswahl, Überwachung und vertragliche Absicherung von Drittanbietern einen zentralen Platz im Risikomanagement bekommt. Schon vor Vertragsabschluss muss geprüft werden, ob ein Anbieter die technischen, organisatorischen und finanziellen Voraussetzungen erfüllt, um die ausgelagerten Leistungen sicher und stabil zu erbringen. Diese Prüfung ist keine reine Formalität, sondern muss dokumentiert, nachvollziehbar und auf die kritischen Funktionen des Unternehmens zugeschnitten sein.


Continue reading
3
25221 Hits

Incident Reporting wie ein Profi – Keine Panik im Ernstfall

Incident Reporting wie ein Profi – Keine Panik im Ernstfall

Wer in einer Organisation für Informationssicherheit, Compliance oder IT verantwortlich ist, weiß: Sicherheitsvorfälle passieren nicht nur bei anderen. Irgendwann kommt der Tag, an dem ein System ausfällt, Daten abfließen oder ein Cyberangriff den Geschäftsbetrieb stört. Für viele Unternehmen ist das ein Schreckmoment, der Adrenalin freisetzt und schnell in hektisches Handeln münden kann. Genau hier setzt DORA mit klaren Vorgaben für das Incident Reporting an – der strukturierten Meldung von schweren IKT-Vorfällen an die zuständigen Behörden. Die Idee dahinter ist einfach: Wenn Vorfälle einheitlich, zeitnah und vollständig gemeldet werden, können Aufsichtsbehörden die Lage besser einschätzen, koordinierte Gegenmaßnahmen einleiten und vor allem verhindern, dass ähnliche Angriffe unbemerkt andere Unternehmen treffen. Für die betroffenen Organisationen bedeutet das aber auch, dass sie ihre internen Prozesse so aufstellen müssen, dass sie im Ernstfall nicht improvisieren, sondern nach einem klaren Plan vorgehen.

Was unter DORA als schwerwiegender IKT-Vorfall gilt – und warum das nicht nur „große Hacks“ sind

Der erste Schritt ist das Verständnis, was unter DORA überhaupt als „schwerwiegender IKT-Vorfall“ gilt. Hier geht es nicht nur um spektakuläre Hackerangriffe oder großflächige Systemausfälle. Auch lang anhaltende Beeinträchtigungen einzelner kritischer Prozesse, der Verlust sensibler Daten oder sicherheitsrelevante Störungen in der Lieferkette können meldepflichtig sein. DORA definiert Kriterien, die sich an der Auswirkung auf Verfügbarkeit, Integrität, Vertraulichkeit und Authentizität orientieren. Dazu zählen unter anderem die Anzahl betroffener Kunden, die Dauer der Störung, die geographische Reichweite, die potenziellen finanziellen Verluste und mögliche Auswirkungen auf die Stabilität des Finanzsystems. Unternehmen müssen diese Kriterien nicht erst im Ernstfall nachschlagen, sondern schon vorab in ihre eigenen Bewertungsverfahren integrieren. Gute Praxis ist eine interne Schwellwertmatrix, die technische Indikatoren (z. B. Umfang der Beeinträchtigung, Exfiltrationsindikatoren) mit Geschäftsauswirkungen (z. B. SLAs, verpasste Zahlungen, Marktkommunikation) verbindet und so schnell zur Entscheidung „meldepflichtig – ja/nein“ führt.


Continue reading
4
25233 Hits

Schutzziele 2.0 – Was heute noch alles zählt

Schutzziele 2.0 – Was heute noch alles zählt

Wer sich mit Informationssicherheit beschäftigt, kennt sie: die drei klassischen Schutzziele Vertraulichkeit, Integrität und Verfügbarkeit. Sie sind das Fundament der Sicherheitsarchitektur und bilden seit Jahrzehnten den Ausgangspunkt fast jeder Sicherheitsstrategie. Doch so zeitlos diese „magischen drei“ sind – die Welt, in der sie entstanden, war eine andere. Heute sind Unternehmen global vernetzt, Datenströme kennen keine Landesgrenzen mehr, Cloud-Dienste und mobile Geräte sind allgegenwärtig, und Bedrohungen entwickeln sich in rasantem Tempo. Diese neue Realität hat dazu geführt, dass die klassische Triade nicht mehr alle Facetten der Informationssicherheit abdeckt. Aus dieser Lücke entstand eine erweiterte Sichtweise: Schutzziele 2.0. Sie ersetzen die Triade nicht, sondern ergänzen sie – um Dimensionen, die Vertrauen, Nachvollziehbarkeit, Widerstandsfähigkeit und rechtliche Wirksamkeit in der digitalen Gegenwart absichern.

Vom Dreiklang zum Orchester: Das Denkmodell hinter Schutzzielen 2.0

Die CIA-Triade beantwortet drei Kernfragen: Wer darf sehen, ob das Gesehene stimmt, und ob das System funktioniert, wenn es gebraucht wird. In modernen Ökosystemen kommen jedoch weitere Fragen hinzu. Woher stammt die Information wirklich? Darf jemand später bestreiten, etwas getan zu haben? Wer trägt Verantwortung für eine Aktion, wenn Menschen, Bots und KI-Modelle gemeinsam handeln? Wie beweise ich in fünf Jahren, dass ein Datensatz unverändert geblieben ist? Wie schnell kann der Betrieb nach einem Ransomware-Angriff wieder anlaufen? Wie schütze ich Privatsphäre über den gesamten Datenlebenszyklus? Und wie stelle ich sicher, dass Sicherheitsentscheidungen erklärbar und überprüfbar sind? Schutzziele 2.0 geben strukturierte Antworten auf diese Fragen.


Continue reading
3
24622 Hits

Die drei magischen Worte: Vertraulichkeit, Integrität, Verfügbarkeit

Die drei magischen Worte: Vertraulichkeit, Integrität, Verfügbarkeit

In der Welt der Informationssicherheit gibt es ein Prinzip, das so grundlegend ist, dass es in fast jedem Lehrbuch, in jeder Norm und in jeder Schulung vorkommt. Es besteht aus drei scheinbar einfachen Begriffen: Vertraulichkeit, Integrität und Verfügbarkeit. Diese „drei magischen Worte“ sind mehr als nur Fachvokabular – sie sind das Fundament, auf dem jede Sicherheitsstrategie aufbaut. Wer sie versteht, begreift, was Informationssicherheit im Kern bedeutet. Und wer sie ignoriert, riskiert, dass alle technischen Maßnahmen und organisatorischen Regeln am Ende wirkungslos bleiben. Diese drei Prinzipien – oft als CIA-Triade (Confidentiality, Integrity, Availability) bezeichnet – tauchen in verschiedenen Kontexten auf: in der ISO-27001-Norm, im BSI-IT-Grundschutz, in NIST-Publikationen, in Unternehmensrichtlinien und sogar in Gesetzen (etwa in der DSGVO, die ausdrücklich Vertraulichkeit, Integrität und Verfügbarkeit personenbezogener Daten verlangt). Sie sind universell anwendbar, unabhängig davon, ob es um den Schutz von Kundendaten in einer Bank, den Quellcode einer Softwarefirma, die Rezeptur eines Pharmaunternehmens, den Einsatzplan einer Feuerwehr oder die Steuerungsdaten einer Produktionsanlage geht. Dennoch werden sie in der Praxis häufig nur oberflächlich behandelt – als Theorieblock, den man schnell abhakt, bevor es zu „spannenden“ Themen wie Firewalls, Cloud-Security oder Penetrationstests kommt. Genau hier verschenken Organisationen Potenzial: Die Triade ist kein Aufsatzthema, sondern ein scharfes Werkzeug, das Prioritäten schafft, Architekturentscheidungen lenkt, Messgrößen definiert und Krisenentscheidungen vereinfacht.

Vertraulichkeit: Kontrolle darüber, wer was wann sehen darf

Vertraulichkeit bedeutet, dass nur diejenigen auf eine Information zugreifen können, die dazu berechtigt sind – nicht mehr und nicht weniger. Klingt banal, ist aber in einer vernetzten Welt eine immense Herausforderung. Früher genügte ein verschlossener Aktenschrank und eine Zugangsliste. Heute leben Daten verteilt über Rechenzentren, SaaS-Dienste, Clouds und mobile Endgeräte, oft über Ländergrenzen hinweg und eingebettet in komplexe Lieferketten. Ein einziger ungesicherter Zugang – sei es ein schwaches Passwort, eine offene API, eine falsch konfigurierte Cloud-Bucket, ein ausgeleiteter Zugriffstoken oder ein kompromittiertes Nutzerkonto – kann dazu führen, dass sensible Informationen in falsche Hände geraten. In regulierten Branchen ist der Verlust der Vertraulichkeit nicht nur peinlich, sondern teuer und potenziell existenzbedrohend: Bußgelder, Schadensersatz, Vertragsstrafen, Auflagen, Marktvertrauensverlust. Vertraulichkeit entsteht aus einer Kette von Bausteinen: Identitäts- und Zugriffsmanagement (MFA, rollen- und attributbasierte Berechtigungen, „least privilege“, Just-in-Time-Privilegien), sauberes On- und Offboarding, starke Authentisierungsverfahren (phishing-resistente Methoden wie FIDO2), durchgängige Verschlüsselung (in Ruhe, in Bewegung, bei Verarbeitung – z. B. über Hardware-Sicherheitsmodule oder vertrauliches Rechnen), Geheimnisverwaltung (Schlüssel, Tokens, Zertifikate), Protokollierung und Alarme auf untypische Zugriffe, Data-Loss-Prevention und Data-Governance (Klassifizierung, Labeling, Richtlinien), sowie physische Maßnahmen (Zutritt, Begleitpflicht, Sichtschutz, sichere Entsorgung). Entscheidend ist, dass Vertraulichkeit nicht nur „technisch“ gedacht wird: Auch Prozesse (z. B. Maker-Checker-Freigaben), Verträge (z. B. mit Dienstleistern) und Kultur (z. B. „Clean Desk“, „Need-to-know“, Meldekultur) gehören dazu.


Continue reading
3
24769 Hits
Image
We use cookies

We use cookies on our website. Some of them are essential for the operation of the site, while others help us to improve this site and the user experience (tracking cookies). You can decide for yourself whether you want to allow cookies or not. Please note that if you reject them, you may not be able to use all the functionalities of the site.