Das EU-Gesetz für den Fall, dass die IT deiner Bank ausfällt

3.383. So viele schwerwiegende IT-Vorfälle haben Banken, Versicherer, Zahlungsdienstleister und der Rest des EU-Finanzsektors 2025 an ihre Aufsicht gemeldet. Nach meiner Rechnung sind das etwa neun am Tag, deutlich mehr, als ich geschätzt hätte, wohl weil ich nur von denen höre, die es in die Nachrichten schaffen.

Die Zahl stammt aus einem Bericht, den die drei Finanzaufsichtsbehörden der EU, die Europäischen Aufsichtsbehörden (ESA), im Juni dieses Jahres veröffentlicht haben. Er ist der erste seiner Art nach einem Gesetz namens DORA, dem Digital Operational Resilience Act, amtlich der Verordnung über die digitale operationale Resilienz im Finanzsektor. Seit dem 17. Januar 2025 gibt sie der ganzen Branche ein gemeinsames Regelwerk dafür, wie gemeldet wird, wenn die Technik versagt.

Ich habe mich durch die Verordnung gelesen und durch das, was die ESA dazu veröffentlichen, und das hier sind meine Notizen. Die erste behandelt, was DORA ist und warum überhaupt jemand fand, dass es so etwas braucht.

Zwei schlechte Tage im Jahr 2025

Der Bericht hebt zwei Ereignisse aus dem vergangenen Jahr hervor, und die erklären das Thema besser als jede Definition, die ich finden konnte.

Am 27. Februar stand T2 rund zehn Stunden still. T2 ist das System, über das die Zentralbanken des Euroraums Zahlungen abwickeln, darunter die zwischen Banken, es ging also um Leitungen, an die die meisten Menschen nie einen Gedanken verschwenden. Ursache war laut Bericht ein Fehler in einer Kernkomponente eines Speichersystems, „eine äußerst seltene Hardwarestörung, die weltweit in vergleichbaren Systemen bisher nicht beobachtet worden war“. Manche Gehalts- und Rentenzahlungen kamen dadurch verspätet an.

Zwei Monate später, am 28. April, brach das spanische Stromnetz vollständig zusammen, ein Blackout, der auch Portugal traf und rund zehn Stunden dauerte. Große Banken und Versicherer hielten ihre Rechenzentren mit Notstromaggregaten am Laufen, wie man es sich erhofft. Wer gerade etwas bezahlen wollte, hatte davon wenig. Internetausfälle schnitten die Leute von Banking-Apps ab, die eigentlich noch funktionierten, viele Filialen hatten weder Strom noch Verbindung, und Kartenterminals hatten entweder keinen Akku mehr oder fielen aus dem Netz.

Dieser zweite Fall hat verändert, wie ich das Wort „Resilienz“ lese. Die Rechenzentren der großen Banken liefen einwandfrei, und viele Kunden kamen trotzdem nicht an sie heran.

Weniger Hacker, als ich dachte

Ich bin davon ausgegangen, dass die 3.383 überwiegend Cyberangriffe sind, und lag falsch. Cybersicherheitsvorfälle machten 10 % der Gesamtzahl aus. Systemausfälle wurden in 51 % der Fälle genannt und externe Ereignisse in 27 %, wobei der Bericht warnt, dass man diese Anteile wegen der Art, wie die Unternehmen die Formulare ausfüllen, vorsichtig lesen muss. Fast ein Drittel der Vorfälle begann mit einem Ausfall bei jemand anderem, ob bei einem IT-Dienstleister, einem anderen Finanzunternehmen oder einem Infrastrukturanbieter.

Auch meine neun am Tag brauchen einen Warnhinweis, und die Autoren liefern ihn selbst: „die Zahl der Vorfälle an sich ist kein Risikoindikator“. Trifft ein Ereignis mehrere Unternehmen, muss jedes von ihnen es melden, neun Meldungen bedeuten also nicht neun getrennte Katastrophen. Mehr als 60 % kamen aus dem Kreditsektor, also von Banken, und eine der angebotenen Erklärungen lautet, dass Banken und Zahlungsdienstleister schon seit 2018 schwerwiegende Vorfälle melden müssen. In fast 60 % der Fälle waren Kunden gar nicht betroffen oder es merkten weniger als 1.000 von ihnen etwas, einige Vorfälle erreichten allerdings mehr als eine Million Kunden. Außerdem musste die Auswertung rund 15 % der gemeldeten Vorfälle auslassen, weil deren Abschlussmeldungen nicht rechtzeitig eingegangen waren.

Die ESA schreiben, der geringe Anteil an Angriffen „könnte darauf hindeuten, dass die bestehenden Sicherheitsvorkehrungen und Erkennungsmechanismen wirksam waren“. Achte auf das „könnte“. Ich würde mindestens ein zweites Jahr an Zahlen sehen wollen, bevor ich das glaube.

Brandschutz für Computer

Die Verordnung (EU) 2022/2554 ist lang und sehr trocken, und geholfen hat mir das Bild von Brandschutzvorschriften, angewendet auf die Technik eines Finanzunternehmens. Dein Gebäude brennt vielleicht nie, und trotzdem musst du für den Fall, dass es doch brennt, bestimmte Dinge vorhalten. (Das Gesetz sagt IKT, für Informations- und Kommunikationstechnologie. Ich bleibe meistens bei IT.)

• Einen Plan haben. Unternehmen brauchen einen Rahmen für das Management von IT-Risiken, und die Leute an der Spitze können das nicht einfach abtun: Das Leitungsorgan „trägt die letztendliche Verantwortung für das Management der IKT-Risiken des Finanzunternehmens“.
• Den Notruf wählen. Eine Erstmeldung ist innerhalb von vier Stunden fällig, nachdem ein Vorfall als schwerwiegend eingestuft wurde, und spätestens 24 Stunden, nachdem das Unternehmen davon Kenntnis erlangt hat. Eine Zwischenmeldung folgt innerhalb von 72 Stunden nach dieser Erstmeldung, dann eine Abschlussmeldung spätestens einen Monat nach der letzten Zwischenmeldung.
• Übungen abhalten. Alle außer den allerkleinsten Unternehmen brauchen ein Programm, mit dem sie ihre Systeme testen.
• Die Fremdfirmen prüfen. IT-Dienstleister zählen zum Risiko eines Unternehmens, und das Gesetz stellt Anforderungen an die Verträge mit ihnen.
• Die Nachbarn warnen. Unternehmen dürfen untereinander Informationen über Cyberbedrohungen austauschen. Hier erteilt das Gesetz eine Erlaubnis und belässt es dabei.

Artikel 2 reicht weit. Er nennt zwanzig Arten von Finanzunternehmen, von Banken und Versicherern bis zu Anbietern von Krypto-Dienstleistungen und Schwarmfinanzierungsdienstleistern, und nimmt dann noch die IT-Dienstleister dazu, die für sie arbeiten. Als Verordnung gilt DORA unmittelbar in jedem Mitgliedstaat, und eine Übergangsfrist, hinter der man sich verstecken könnte, gab es nicht, wie die ESA im Dezember 2024 allen in Erinnerung riefen. Die Größe zählt trotzdem etwas, denn die Regeln zum Risikomanagement werden danach angewendet, wie groß und wie riskant ein Unternehmen ist.

Warum überhaupt ein neues Gesetz? Die Verordnung erklärt es selbst: IT-Risiken seien bisher „auf Unionsebene nur auf unvollständige Art und Weise angegangen“ worden, was in Bereichen wie der Meldung von Vorfällen und dem Testen „Lücken oder Überschneidungen“ hinterlassen habe, während die nationalen Regeln auseinanderliefen. Fairerweise haben die ESA den Unternehmen auch gesagt, dass die Anforderungen „nicht völlig neu sind“, weil viele von ihnen schon seit Jahren mit ähnlichen Leitlinien leben. Wie viel DORA über das Aufräumen hinaus hinzufügt, darauf will ich noch zurückkommen.

Amazon untersteht jetzt einer Finanzaufsicht

Das hier hatte ich nicht kommen sehen. Eine Bank kann ihre Rechenleistung bei einem Cloud-Anbieter mieten, die Schuld aber nicht auslagern: Finanzunternehmen „bleiben jederzeit in vollem Umfang“ für die Erfüllung ihrer Pflichten verantwortlich. Wenn fast ein Drittel der Vorfälle bei einer externen Partei beginnt, liegt die Frage nahe, wer eigentlich die Anbieter im Blick behält.

DORA antwortet darauf, indem es über die Banken hinausgreift. Am 18. November 2025 veröffentlichten die ESA eine Liste von 19 Anbietern, die als kritisch eingestuft wurden. Die europäischen Gesellschaften von Amazon Web Services, Google Cloud und Microsoft stehen darauf, wie zu erwarten, aber auch Deutsche Telekom und Orange, dazu SAP und Bloomberg. Die ESA überwachen diese Unternehmen jetzt direkt und prüfen, ob ihr Risikomanagement und ihre Governance genügen. Ein Anbieter, der sich weigert, Informationen herauszugeben oder Prüfer hereinzulassen, kann mit einem Zwangsgeld von bis zu 1 % seines durchschnittlichen weltweiten Tagesumsatzes belegt werden, jeden Tag, bis zu sechs Monate lang. Die Liste muss jedes Jahr aktualisiert werden.

Und wenn du nur ein Girokonto hast?

Dann gibt es nicht viel, worauf du zeigen kannst. Die klarste Regel für Kunden, die ich gefunden habe, steht in Artikel 19: Wenn ein schwerwiegender Vorfall „Auswirkungen auf die finanziellen Interessen von Kunden hat“, muss das Unternehmen sie unverzüglich informieren und sagen, was es dagegen getan hat. Alles andere erreicht dich, wenn überhaupt, auf Umwegen, in Form einer Karte, die öfter funktioniert.

Funktioniert sie denn öfter? Ein Jahr Daten kann das nicht beantworten. Die Kommission muss das Gesetz bis zum 17. Januar 2028 überprüfen, und bis dahin sollte jemand genug Zahlen haben, um es nachzurechnen.

Wie es weitergeht

Als Nächstes verfolge ich einen einzelnen Vorfall durch diese Fristen, denn vier Stunden sehen auf dem Papier ordentlich aus, und ich wüsste gern, was man nach vier Stunden tatsächlich sagen kann. Die Cloud-Anbieter bekommen später einen eigenen Beitrag.

Quellen

Alle im November 2026 geprüft:

• EUR-Lex: Verordnung (EU) 2022/2554 über die digitale operationale Resilienz im Finanzsektor (DORA) (14. Dezember 2022)
• EUR-Lex: Delegierte Verordnung (EU) 2025/301 der Kommission zu Inhalt und Fristen der Erst-, Zwischen- und Abschlussmeldung schwerwiegender IKT-bezogener Vorfälle (ABl. vom 20. Februar 2025)
• Europäische Aufsichtsbehörden: 2025 Report on major ICT-related incidents, JC 2026 16 (3. Juni 2026)
• Europäische Bankenaufsichtsbehörde: European Supervisory Authorities designate critical ICT third-party providers (18. November 2025)
• Europäische Aufsichtsbehörden: List of designated critical ICT third-party service providers (18. November 2025)
• Europäische Aufsichtsbehörden: Public statement on the application of DORA, JC 2024 99 (4. Dezember 2024)
• Europäische Zentralbank: T2