Einhaltung der DORA-Vorgaben: Ein praktischer Leitfaden

In einer Umfrage vom Juli 2025 gaben 96 % der Finanzdienstleistungsunternehmen in der EMEA-Region an, dass sie ihre Resilienz verbessern müssen, um die DORA-Anforderungen zu erfüllen ^[1]. Die Verordnung ist seit Januar 2025 durchsetzbar – jede Lücke ist damit jetzt ein akutes Compliance-Risiko, das die nächste Prüfung oder der nächste Angriff offenlegen wird.

Dieser Leitfaden zur DORA-Compliance erläutert, was DORA verlangt, für wen es gilt, welche Kosten bei Nichteinhaltung entstehen und welches schwächste Glied in der Compliance-Kette die meisten Organisationen unterschätzen: Wiederherstellbarkeit – die Fähigkeit, Daten nach einem Angriff wiederherzustellen.

Wichtigste Erkenntnisse

• DORA ist die EU-Verordnung 2022/2554. Sie gilt seit dem 17. Januar 2025 für mehr als 22.000 Finanzunternehmen und deren IKT-Dienstleister.

• DORA-Compliance bedeutet, fünf Anforderungen umzusetzen: IKT-Risikomanagement, Incident-Reporting, Resilienztests, Drittparteien-Risikomanagement und Informationsaustausch.

• Sanktionen werden von den einzelnen EU-Mitgliedstaaten festgelegt. Obergrenzen reichen bis zu 20 Mio. € oder einem festen Anteil des Umsatzes – zusätzlich zu öffentlicher Rüge und Managementverboten.

• Artikel 12 ist der backup-spezifische Artikel. Er verlangt getestete, getrennte und manipulationsgeschützte Wiederherstellungssysteme.

Was ist DORA-Compliance?

DORA steht für den Digital Operational Resilience Act. Es handelt sich um eine von der Europäischen Union eingeführte Verordnung zur Stärkung der digitalen Resilienz von Finanzunternehmen.

Sie trat am 17. Januar 2025 in Kraft und stellt sicher, dass Banken, Versicherungen, Wertpapierfirmen und andere Finanzunternehmen IKT-Störungen (Informations- und Kommunikationstechnologie) – etwa Cyberangriffe oder Systemausfälle – überstehen, darauf reagieren und sich davon erholen können ^[2].

DORA-Compliance bedeutet, die in der Verordnung festgelegten Pflichten zu erfüllen, offiziell bekannt als Verordnung (EU) 2022/2554.

Der Grund dafür ist einfach: Finanzunternehmen sind zunehmend auf digitale Systeme angewiesen, um Dienstleistungen zu erbringen, den Betrieb zu steuern und Transaktionen zu verarbeiten. Diese wachsende Abhängigkeit hat neue operative Risiken und Cybersecurity-Risiken geschaffen. Ransomware-Angriffe auf den Finanzsektor haben stark zugenommen, und ein schwerwiegender Ausfall bei einem Unternehmen kann sich heute auf andere ausbreiten und die Stabilität des gesamten Marktes gefährden.

DORA behandelt einen IKT-Ausfall als Risiko für die Finanzstabilität – ähnlich wie Aufsichtsbehörden Risiken wie Kapitalengpässe traditionell bewertet haben. Damit wird der Aufbau echter Cyberresilienz zu einer regulatorischen Pflicht, nicht zu einer Best Practice.

Wer muss DORA einhalten?

DORA gilt für mehr als 22.000 Finanzunternehmen in der EU sowie für die Drittanbieter von IKT-Dienstleistungen, die diese bedienen ^[3].

Die Verordnung nennt 20 verschiedene Arten von Finanzunternehmen ^[2], die in fünf große Gruppen fallen:

• Bankwesen und Zahlungsverkehr: Kreditinstitute, Zahlungsinstitute, E-Geld-Institute und Anbieter von Kontoinformationsdiensten.

• Kapitalmärkte: Handelsplätze, Wertpapierfirmen, Transaktionsregister, zentrale Gegenparteien (CCPs) und Zentralverwahrer.

• Vermögensverwaltung: Verwalter alternativer Investmentfonds und Verwaltungsgesellschaften von OGAW.

• Versicherung und Altersvorsorge: Versicherungsvermittler, Versicherungs- und Rückversicherungsunternehmen sowie Einrichtungen der betrieblichen Altersversorgung.

• Weitere regulierte Unternehmen: Ratingagenturen, Verbriefungsregister, Benchmark-Administratoren, Krypto-Asset-Dienstleister, Crowdfunding-Dienstleister und Datenmeldedienstleister.

DORA erstreckt sich außerdem auf die Technologieanbieter hinter diesen Unternehmen. Jeder Drittanbieter von IKT-Dienstleistungen, der ein erfasstes Finanzunternehmen bedient, unterliegt der Verordnung – einschließlich Anbieter mit Sitz außerhalb der EU.

Das bedeutet beispielsweise, dass eine Cloud-Plattform, ein Managed Service Provider oder ein Softwareanbieter DORA nicht einfach umgehen kann, nur weil sich der Hauptsitz anderswo befindet.

Die fünf DORA-Compliance-Anforderungen

Wie DORA einzuhalten ist, läuft auf fünf Anforderungen hinaus: Risikomanagement, Incident-Reporting, Resilienztests, Drittparteien-Überwachung und Informationsaustausch.

Wenn auch nur eine davon nicht erfüllt wird, ist eine Organisation nicht compliant.

1. IKT-Risikomanagement

Das ist das Fundament. Finanzunternehmen benötigen ein dokumentiertes IKT-Risikomanagement-Framework, das den gesamten Risikolebenszyklus abdeckt: Identifikation, Schutz, Erkennung, Reaktion und Wiederherstellung. Die Verantwortung muss auf Ebene des Senior Managements liegen; das Leitungsorgan ist dafür verantwortlich, es zu genehmigen und zu überwachen.

Das Framework muss außerdem eine klare Risikotoleranz festlegen – also die maximale Störung, die eine kritische Funktion verkraften kann, bevor der Schaden inakzeptabel wird. Diese DORA-Cybersecurity-Anforderungen machen Risikomanagement zu einer Aufgabe auf Vorstandsebene.

2. IKT-Incident-Reporting

Wenn ein schwerwiegender Vorfall eintritt, wollen Aufsichtsbehörden schnell informiert werden. DORA verlangt von Organisationen, ein System zur Schweregradklassifizierung sowie einen Meldeprozess zu implementieren, der einen erheblichen Vorfall ohne unangemessene Verzögerung an die zuständige Behörde eskaliert.

In der Praxis bedeutet das drei Schritte: eine Erstmeldung innerhalb von 24 Stunden nach der Klassifizierung des Vorfalls, ein Status-Update innerhalb von 72 Stunden und einen abschließenden Root-Cause-Report etwa einen Monat nach Behebung des Vorfalls ^[5]. Ziel ist eine klare, konsistente Darstellung dessen, was passiert ist – und warum.

3. Tests der digitalen operativen Resilienz

Jede erfasste Organisation muss ihre Resilienz regelmäßig testen. Die größten und kritischsten Unternehmen müssen darüber hinaus Threat-Led Penetration Testing (TLPT) durchführen: reale, simulierte Angriffe, die von unabhängigen, zertifizierten Testern in einem Dreijahreszyklus durchgeführt werden.

Ein Business-Continuity-Plan kann sich gut lesen und beim ersten Einsatz dennoch scheitern. Tests sind der einzige Weg, um zu wissen, ob er tatsächlich trägt – bevor Angreifer die Antwort erzwingen.

4. Drittparteien-IKT-Risikomanagement

Ein Finanzunternehmen ist nur so resilient wie die Anbieter, von denen es abhängt. DORA verlangt, dass Unternehmen jeden IKT-Dienstleister prüfen, überwachen und vertraglich wirksam steuern – und ein aktuelles Informationsregister (Register of Information) über alle Anbieter führen.

IKT-Dienstleister, deren Services im Finanzsektor breit genutzt werden und die sich nur schwer ersetzen lassen, können als kritisch eingestuft werden. Diese Anbieter unterstehen dann direkt den EU-Aufsichtsbehörden – im Rahmen eines eigenen Oversight-Frameworks mit eigenen Sanktionen.

5. Informationsaustausch

Dies ist die einzige freiwillige Anforderung. DORA ermutigt Finanzunternehmen, Cyber-Threat-Intelligence in vertrauenswürdigen Communities auszutauschen, damit der Sektor aus jedem Angriff gemeinsam lernt – statt Opfer für Opfer.

DORA-Sanktionen bei Nichteinhaltung

DORA legt keine einheitliche Geldbuße für die gesamte EU fest. Jeder Mitgliedstaat definiert nach Artikel 50 eigene Höchststrafen – die potenzielle Geldbuße hängt also davon ab, wo ein Unternehmen tätig ist ^[4].

Die Sanktionen richten sich gegen zwei Gruppen: Finanzunternehmen und deren kritischste IKT-Drittanbieter. In beiden Fällen gehen die Folgen über Geldbußen hinaus und können erhebliche regulatorische und Reputationsfolgen umfassen.

• Finanzunternehmen: Nationale Aufsichtsbehörden setzen Obergrenzen, die stark variieren. Absolute Höchstbeträge reichen bis zu 20 Mio. € in Italien, während umsatzbasierte Obergrenzen von 5 % in Spanien bis 10 % in Schweden reichen ^[4].

• Kritische IKT-Drittanbieter: Der federführende EU-Überwacher kann periodische Zwangsgelder von bis zu 1 % des durchschnittlichen weltweiten Tagesumsatzes des Anbieters verhängen – für jeden Tag der Nichteinhaltung, bis zu sechs Monate lang ^[5].

• Über Geldbußen hinaus: Aufsichtsbehörden können öffentliche Bekanntmachungen mit Nennung der verantwortlichen Partei veröffentlichen, einem Unternehmen bestimmte Handlungen untersagen, Personen von Leitungsfunktionen ausschließen oder eine Lizenz aussetzen.

Die Durchsetzung erfolgt auf zwei Ebenen. Nationale zuständige Behörden wie die BaFin in Deutschland oder die Central Bank of Ireland beaufsichtigen Finanzunternehmen.

Eine der drei Europäischen Aufsichtsbehörden (EBA, ESMA oder EIOPA) fungiert für jeden kritischen IKT-Drittanbieter als federführender Überwacher.

Resilienz durch Backup und Recovery nachweisen

Eine Prüfung auf dem Papier zu bestehen ist nicht dasselbe wie nachweislich in der Lage zu sein, Daten nach einem Angriff wiederherzustellen.

Cyberkriminelle nehmen in der Regel zuerst Backup-Systeme ins Visier – gerade weil sie wissen, dass Organisationen für die Wiederherstellung davon abhängen. Backups zu beschädigen oder zu löschen verschafft Angreifern daher mehr Hebelwirkung bei Erpressungsversuchen. Wenig überraschend berichteten unter den von Ransomware betroffenen Organisationen 94 % von Versuchen, ihre Backup-Daten zu kompromittieren, und 57 % sagten, dass diese Versuche erfolgreich waren ^[6].

Der Einsatz von nachweislich unveränderliches Backup-Storage und schneller Wiederherstellung stellt sicher, dass eine Organisation Aufsichtsbehörden Resilienz belegen kann – und nicht nur ein Richtliniendokument vorzeigt.

Dieser Ansatz zum Schutz von Backup-Daten ist vollständig auf die Intention von DORA sowie auf die konkreten Anforderungen ausgerichtet: getestete Restores, die Recovery Time und Recovery Point Objectives (RTO und RPO) unter realen Bedingungen einhalten, und eine Nachweiskette, der ein Auditor folgen kann.

Dieser Nachweis zahlt auf zwei der fünf Hauptanforderungen von DORA ein: IKT-Risikomanagement, das eine geplante Wiederherstellungsfähigkeit verlangt, und Resilienztests, die verlangen, dass Sie belegen, dass sie funktioniert.

Eine unveränderliches Backup-Storage-Lösung mit schneller Wiederherstellung sollte das Rückgrat des Wiederherstellungsplans einer Organisation bilden. Das ist Datenresilienz in der Praxis.

 Was verlangt DORA Artikel 12 für Backups?

Artikel 12 überführt DORAs Resilienzprinzipien in konkrete Anforderungen an Backup und Wiederherstellung. 

Er legt vier konkrete Pflichten fest: 

• Eine dokumentierte Backup-Richtlinie, die festlegt, welche Daten gesichert werden und wie häufig – basierend darauf, wie kritisch oder vertraulich diese Daten sind. 

• Dokumentierte Wiederherstellungs- und Recovery-Verfahren. 

• Regelmäßige Tests dieser Backup- und Recovery-Verfahren. Das Aktivieren eines Backups darf niemals die Sicherheit, Verfügbarkeit, Authentizität, Integrität oder Vertraulichkeit von Daten beeinträchtigen. 

• Bei der Wiederherstellung müssen die verwendeten Systeme physisch und logisch vom Quellsystem getrennt sein und vor unbefugtem Zugriff oder Manipulation geschützt werden. 

Die Formulierung der Verordnung selbst ist lesenswert: 

"Finanzunternehmen richten Backup-Systeme ein, die gemäß den Backup-Richtlinien und -Verfahren aktiviert werden können ... Die Tests der Backup-Verfahren sowie der Wiederherstellungs- und Recovery-Verfahren und -Methoden sind regelmäßig durchzuführen ... Bei der Wiederherstellung von Backup-Daten unter Verwendung eigener Systeme nutzen Finanzunternehmen IKT-Systeme, die physisch und logisch vom Quell-IKT-System getrennt sind." ^[5] 

Compliance lässt sich erreichen, indem unveränderliche Backups vorgehalten werden – das heißt, dass ein Backup innerhalb eines vordefinierten Zeitfensters nicht verändert oder gelöscht werden kann. Hier ist jedoch Vorsicht geboten, denn viele Systeme, die unveränderliche Backups versprechen, haben versteckte Ausnahmen und Schlupflöcher. 

Eine Lösung dafür ist Absolute Immutability, was bedeutet, dass selbst der am höchsten privilegierte Admin oder ein Angreifer mit Zugriff auf Backup-Speicher Daten nicht verändern oder löschen kann. Dieses Schutzniveau lässt sich nur mit einem Backup-Speichersystem erreichen, das Sicher-by-Design ist, mit Zero Access für destruktive Aktionen – und dieser Zero Access muss durch Tests unabhängiger Dritter verifizierbar sein. 

Das Zero-Access-Modell wird durch die 3-2-1-1-0-Backup-Regel ergänzt: mindestens drei Kopien der Daten auf zwei unterschiedlichen Medientypen, wobei eine Kopie extern gespeichert wird und mindestens eine offline oder unveränderlich aufbewahrt wird, um Manipulation zu verhindern. Die abschließende Null steht für null Wiederherstellungsfehler, verifiziert durch die regelmäßigen Tests, die DORA verlangt, um sicherzustellen, dass RTO- und RPO-Ziele selbst in Extremszenarien eingehalten werden. 

DORA-konformer Backup-Speicher: wie Object First hilft 

Um die Anforderungen nach Artikel 12 von DORA vollständig zu erfüllen, muss Backup-Speicher manipulationssicher sein, getestet werden und eine schnelle Wiederherstellung ermöglichen. Genau hier kommt Object First ins Spiel. 

Object First liefert sicheren, einfachen und leistungsstarken Backup-Speicher, der speziell für Veeam entwickelt wurde. Er bietet Absolute Immutability, durchgesetzt über Zero Access für destruktive Aktionen: Das bedeutet, dass selbst der am höchsten privilegierte Admin oder ein Angreifer mit Zugriff auf Backup-Speicher Daten nicht verändern oder löschen kann. Dies wurde durch unabhängige Tests Dritter verifiziert. 

Das Ergebnis ist eine getestete, manipulationssichere Recovery-Kopie, aus der ein Finanzunternehmen schnell wiederherstellen kann – und ein Resilienz-Nachweis, der Aufsichtsbehörden vorgelegt werden kann. 

Laden Sie unseren Leitfaden zum Digital Operational Resilience Act (DORA) herunter und erfahren Sie, wie absolut unveränderliche Backups die operative Resilienz und damit die regulatorische Compliance sicherstellen können.

FAQ 

DORA vs. NIS2: was ist der Unterschied? 

NIS2 definiert breit angelegte Cybersicherheitsregeln für viele Sektoren. DORA ist spezifisch für den Finanzsektor und hat für Finanzunternehmen überall dort Vorrang, wo sich beide überschneiden – ein Rechtsprinzip, das als lex specialis bekannt ist. 

Eine Organisation, die unter DORA fällt, muss für dieselben Pflichten in Bezug auf Cybersicherheit und Incident-Reporting nicht zusätzlich NIS2 erfüllen. Für die umfassendere Richtlinie nutzen Sie unsere NIS2-Compliance-Checkliste. 

Welche Cybersicherheitsanforderungen gelten für die DORA-Compliance?

DORAs Cybersicherheitsanforderungen sind in sein IKT-Risikomanagement-Framework eingebettet. Drei Artikel tragen den Großteil der technischen Anforderungen: 

• Artikel 9 (Schutz und Prävention): dies umfasst Netzwerksicherheit, Verschlüsselung, Zugriffsmanagement und Patch-Management. 

• Artikel 10 (Erkennung): verlangt kontinuierliches Monitoring, um anomale Aktivitäten und potenzielle Vorfälle schnell zu erkennen. 

• Artikel 12 (Backup, Wiederherstellung und Recovery): definiert DORAs detaillierteste Anforderungen an die Backup-Resilienz, einschließlich Recovery-Tests, Trennung von Wiederherstellungsumgebungen und Schutz vor Manipulation.. 

Zusammen definieren sie, wie DORA-Compliance in der Cybersicherheit in der Praxis aussieht. 

Bis wann muss DORA-Compliance erreicht sein?

DORA ist seit dem 17. Januar 2025 in Kraft, die Frist ist also bereits abgelaufen. Der Fokus lag 2025 weitgehend auf der Umsetzung. 2026 prüfen Aufsichtsbehörden zunehmend, ob Unternehmen die von DORA geforderten Resilienzfähigkeiten nachweisen können.  

Welche Institutionen überwachen DORA?

Die National Competent Authorities (NCAs) in jedem Mitgliedstaat beaufsichtigen einzelne Finanzunternehmen im Tagesgeschäft. 

Darüber hinaus haben die drei Europäischen Aufsichtsbehörden (EBA, ESMA und EIOPA) die technischen Standards von DORA entwickelt und beaufsichtigen kritische IKT-Drittdienstleister direkt über das Oversight Framework, wobei für jeden Anbieter eine Behörde als Lead Overseer fungiert.

Literaturverzeichnis

[1] Veeam Software / Censuswide. "96% of EMEA Financial Services Organizations Believe They Need to Improve Their Resilience to Meet DORA Requirements." 2025. https://www.veeam.com/company/press-release/96-percent-of-emea-financial-services-organizations-believe-they-need-to-improve-their-resilience-to-meet-dora-requirements.html 

[2] EIOPA. "Digital Operational Resilience Act (DORA)." https://www.eiopa.europa.eu/digital-operational-resilience-act-dora_en 

[3] LRQA. "DORA Compliance." https://www.lrqa.com/en-gb/dora-compliance/ 

[4] DLA Piper. "Divergence in administrative penalties under DORA." 2025. https://www.dlapiper.com/en-us/insights/publications/2025/10/divergence-in-administrative-penalties-under-dora 

[5] Regulation (EU) 2022/2554 (Digital Operational Resilience Act), EUR-Lex. https://eur-lex.europa.eu/legal-content/EN/TXT/?uri=CELEX:32022R2554 

[6] Sophos. "The State of Ransomware 2025." 2025. https://www.sophos.com/en-us/blog/the-state-of-ransomware-2025 

[7] Veeam. "2025 Ransomware Trends Report." 2025. https://www.veeam.com/blog/ransomware-trends.html