Inhalt in Kürze
- Ein junger Finanzdienstleister mit weniger als 20 Personen bereitet einen Erlaubnisantrag bei der BaFin vor. Der Geschäftsplan braucht Aussagen zur IT und zum IT-Dienstleister nach DORA. Wir betreuen die IT des Kunden bereits.
- Die IT läuft ohne eigene Server, im Wesentlichen in der Microsoft-Cloud. Datensicherung, Notfallplan und Dokumentation sind vorhanden. Wiederherstellungstests gab es, sie standen aber nur in Tickets.
- Wir haben fünf Dinge zugesagt: die Mindestvertragsinhalte prüfen, eine Anwendungsübersicht erstellen, die Betriebs- und Netzwerkdokumentation teilen, eine Vorlage für Testprotokolle liefern und Standorte und Redundanz beim Hosting-Partner klären. Dieser Bericht gibt den Stand nach dem Gespräch wieder.
- Offen sind das Berechtigungsmanagement und ein Penetrationstest, der bisher verschoben wurde. Ob der Antrag Erfolg hat, ist nicht bekannt.
Ein Erlaubnisantrag bei der BaFin ist Sache des Unternehmens und seiner Berater. Der IT-Dienstleister schreibt ihn nicht. Er liefert aber Unterlagen, ohne die ein Teil des Geschäftsplans leer bliebe.
Diese Fallstudie zeigt, welche Unterlagen das bei einem kleinen Finanzdienstleister waren, wer was beiträgt und was noch fehlt. Bei jedem Punkt steht dabei, ob er vorhanden, zugesagt oder offen ist. Eine rechtliche Bewertung ist dieser Text nicht. Die Einordnung nach DORA und Aufsichtsrecht übernehmen die Berater des Kunden und die Aufsicht.
| Steckbrief | Der Fall auf einen Blick |
|---|---|
| Branche | Junger Finanzdienstleister im Investmentbereich, eine neue Gesellschaft soll eine Erlaubnis bekommen |
| Größe | Weniger als 20 Personen |
| Standort | Norddeutschland, keine eigenen Server, IT im Wesentlichen in der Microsoft-Cloud |
| Ausgangslage | Erlaubnisantrag bei der BaFin in Vorbereitung, der Geschäftsplan braucht Aussagen zum IT-Dienstleister nach DORA |
| Leistung | Laufende IT-Betreuung, dazu Unterlagen und Prüfungen für den Antrag |
| Zeitraum | Abstimmung im Sommer, Zusagen aus dem Gespräch |
DORA und der IT-Dienstleister: worum es im Antrag ging
Der Kunde ist ein junger Finanzdienstleister im Investmentbereich. Eine neue Gesellschaft soll entstehen und voll reguliert arbeiten. Dafür bereitet das Unternehmen einen Erlaubnisantrag bei der BaFin vor. Der Geschäftsplan, der zum Antrag gehört, braucht Aussagen zur IT und zum IT-Dienstleister nach DORA.
DORA ist die Verordnung (EU) 2022/2554 über die digitale operationale Resilienz im Finanzsektor. Sie gilt nach ihrem Artikel 64 seit dem 17. Januar 2025. Was DORA allgemein von IT-Dienstleistern verlangt, steht in unserem Beitrag zu DORA-Pflichten für IT-Dienstleister. Hier geht es um einen einzelnen Fall und um die Frage, was ein kleines Unternehmen dafür konkret zusammentragen muss.
Ein Satz aus Art. 28 Abs. 1 DORA ordnet die Rollen: Finanzunternehmen, die IKT-Dienstleistungen von Dritten nutzen, bleiben jederzeit in vollem Umfang für die Einhaltung ihrer Pflichten verantwortlich. Der IT-Dienstleister nimmt dem Unternehmen also keine Pflicht ab. Er liefert Leistungen, Unterlagen und Auskünfte.
Ob DORA für ein bestimmtes Unternehmen voll gilt, ordnen die Berater und die Aufsicht ein. DORA verlangt in Art. 4, die Vorschriften im Verhältnis zu Größe, Risikoprofil und Art der Geschäfte anzuwenden. Für bestimmte kleine Unternehmen sieht Art. 16 einen vereinfachten Rahmen vor. Wir haben in diesem Fall keine Einordnung vorgenommen, sondern die Unterlagen geliefert, nach denen gefragt wurde.
Wir betreuen die IT des Kunden schon länger. Auch frühere Dokumentationsarbeiten für DORA hatte es bereits gegeben. Neu war, dass der Antrag die Unterlagen in eine feste Form bringen sollte. Dazu kam eine Veränderung: Das Unternehmen wird gerade in eine größere Gruppe eingebunden. Das betrifft Microsoft 365 und die Cloud-Dienste.
Die Ausgangslage: eine IT ohne eigene Server
Der Kunde betreibt keine eigenen Server. Die Umgebung läuft im Wesentlichen in der Microsoft-Cloud: E-Mail über Exchange, Dateien in OneDrive und SharePoint, Zusammenarbeit in Teams. Dazu kommen zwei weitere Systeme:
- ein System zur Datenauswertung (Data Warehouse), ebenfalls in der Microsoft-Cloud,
- die Buchhaltungssoftware, die ein externer Hosting-Partner betreibt.
Dass es keine eigenen Server gibt, vereinfacht die Darstellung für den Antrag.
Die Datensicherung für die Microsoft-365-Dienste läuft als Online-Backup, mehrmals täglich. Auf den Endgeräten gibt es keine lokalen Backups, weil dort keine geschäftskritischen Daten liegen. Ein Notfallplan und Unterlagen zur Geschäftsfortführung waren vorhanden und sind in die DORA-Anpassungen eingeflossen. Für den Verlust von Daten oder Zugängen gibt es dokumentierte Abläufe: Der Dienstleister wird informiert und sperrt den Zugang, die weiteren Schritte laufen intern beim Kunden.
Vorhanden waren auch die Betriebsdokumentation, eine Netzwerk- und Infrastrukturdokumentation und ein Netzwerkdiagramm. Was fehlte, war ein vollständiges grafisches Bild aller Anwendungen.
Wer liefert was für den Antrag
An einem Erlaubnisantrag arbeiten mehrere Seiten. Das Schaubild zeigt, wer in diesem Fall welchen Teil beiträgt.
Zwei Punkte im Schaubild brauchen eine Erklärung.
Die Liste der Mindestvertragsinhalte kam vom Berater der Kundenseite. Sie lehnt sich an die Anforderungen der BaFin an: Prüfrechte, Einsichtnahme, Kündigungsrechte und weitere Punkte. Wir prüfen sie gegen unseren Vertrag und unsere Leistung.
Auch externe Partner liefern zu. Der Hosting-Partner der Buchhaltung und ein Drittanbieter für Penetrationstests gehören nicht zu unserer eigenen Leistung. Ihre Angaben gehören trotzdem in den Antrag, soweit sie dort gebraucht werden.
Was zugesagt ist: DORA-Anforderung und unser Beitrag
Aus dem Gespräch sind fünf Aufgaben entstanden. Alle fünf liegen bei uns, eine davon klären wir beim Hosting-Partner. Die Tabelle ordnet sie den Artikeln der Verordnung zu, auf die sie sich beziehen. Die Zuordnung ist unsere Lesart als IT-Dienstleister, keine rechtliche Bewertung.
| DORA-Anforderung | Beitrag des IT-Dienstleisters (Stand) |
|---|---|
| Art. 30: Verträge mit IT-Dienstleistern enthalten feste Mindestinhalte | Zugesagt: Liste der Mindestvertragsinhalte prüfen, kurze schriftliche Einschätzung, vor allem zu kritischen oder wichtigen Funktionen |
| Art. 8: Informations- und IKT-Assets ermitteln und in Inventaren erfassen | Zugesagt: Übersicht der mit Microsoft 365 verbundenen Anwendungen und der installierten Programme auf den Verwaltungsgeräten |
| Art. 8 Abs. 4: Konfiguration und Verbindungen zwischen den Assets erfassen | Zugesagt: Betriebs- und Netzwerkdokumentation samt Netzwerkdiagramm teilen |
| Art. 11 Abs. 6 und Art. 12 Abs. 2: Notfall- und Wiederherstellungspläne sowie Datensicherung testen | Zugesagt: Vorlage für Testprotokolle, Vorschlag für Ablageort und Rhythmus |
| Art. 30 Abs. 2 b: Standorte der Datenverarbeitung im Vertrag festhalten | Vereinbart: Standorte und Redundanz der extern gehosteten Systeme beim jeweiligen Partner klären |
| Art. 25: Testprogramm, unter anderem mit Penetrationstests | Offen: über einen Drittanbieter, bisher verschoben |
Dieser Bericht gibt den Stand nach dem Gespräch wieder: Die Punkte waren dort zugesagt, nicht erledigt. Wir schreiben das so deutlich, weil eine Fallstudie mit lauter Haken bequemer zu lesen wäre.
Mindestvertragsinhalte: was Art. 30 verlangt
Den ersten Auftrag haben wir als Prüfung verstanden, nicht als Vertragsentwurf. Die Kundenseite hat eine Liste mit Mindestinhalten aufgestellt. Wir sehen nach, was davon unser Vertrag schon abdeckt und wo etwas fehlt. Dazu geben wir eine kurze schriftliche Einschätzung ab.
Art. 30 Abs. 2 DORA nennt die Punkte, die jeder Vertrag über IKT-Dienstleistungen mindestens enthält. Die wichtigsten davon in Klartext übersetzt:
- Leistungsbeschreibung: Was genau der Dienstleister liefert. Unterstützt die Leistung kritische oder wichtige Funktionen, auch, ob er Teile an Unterauftragnehmer weitergeben darf.
- Dienstleistungsgüte: Beschreibungen der vereinbarten Qualität der Leistung.
- Standorte: In welchen Ländern oder Regionen Leistungen erbracht und Daten verarbeitet und gespeichert werden. Der Dienstleister kündigt Änderungen vorher an.
- Datenschutz und Datenzugang: Regeln zu Verfügbarkeit, Integrität und Vertraulichkeit. Dazu der Zugang zu den eigenen Daten und ihre Rückgabe, falls der Dienstleister ausfällt oder der Vertrag endet.
- Unterstützung bei IKT-Vorfällen: ohne zusätzliche Kosten oder zu vorab festgelegten Kosten.
- Zusammenarbeit mit den Behörden und Kündigungsrechte mit Mindestfristen.
- Schulungen: Bedingungen, unter denen der Dienstleister an Sicherheitsschulungen des Unternehmens teilnimmt.
Für Leistungen, die kritische oder wichtige Funktionen unterstützen, verlangt Art. 30 Abs. 3 mehr. Dazu gehören genaue Leistungsziele, Notfallpläne beim Dienstleister, uneingeschränkte Zugangs-, Inspektions- und Auditrechte und Ausstiegsstrategien mit Übergangszeitraum. Ob eine Funktion in diesem Sinn kritisch oder wichtig ist, legt das Finanzunternehmen fest. Deshalb haben wir die Einschätzung zu diesen Funktionen ausdrücklich zugesagt, die Einstufung selbst aber beim Kunden gelassen.
Ein verwandtes Thema ist der Vertrag zur Auftragsverarbeitung nach DSGVO. Er ersetzt die DORA-Inhalte nicht, sondern steht daneben. Was dort hineingehört, steht in unserem Beitrag zum AVV mit dem IT-Dienstleister.
Anwendungsübersicht: was mit Microsoft 365 verbunden ist
Ein vollständiges grafisches Anwendungsdiagramm gab es nicht. Zugesagt haben wir deshalb eine Übersicht aus zwei Quellen.
- Anwendungen mit Microsoft-365-Anmeldung: ein Export aller Anwendungen, die sich über Microsoft Entra anmelden oder auf SharePoint und Exchange zugreifen. Microsoft beschreibt, wo diese Unternehmensanwendungen im Entra Admin Center stehen.
- Installierte Programme je Gerät: ergänzend ein Export der Software auf den Verwaltungsgeräten. Für Geräte, die in Intune verwaltet werden, führt Microsoft eine Liste der von Intune ermittelten Apps, die als Softwareinventar dient.
Der Zweck ist einfach: Eine Anwendung, die niemand kennt, taucht in keiner Risikobetrachtung und in keinem Vertragsverzeichnis auf. Art. 8 DORA verlangt, Informations- und IKT-Assets zu ermitteln, ihre Abhängigkeiten zu dokumentieren und Inventare zu führen. Das Informationsregister nach Art. 28 Abs. 3 führt das Unternehmen selbst. Eine vollständige Liste der Anwendungen hilft dabei zu sehen, hinter welcher Anwendung ein Vertrag mit einem weiteren Anbieter steht.
Was zum Informationsregister gehört, beschreibt die BaFin auf ihrer Seite zu Informationsregister und Anzeigepflichten. Dort steht: Beaufsichtigte Unternehmen, die DORA umsetzen müssen, stellen das vollständige Register jährlich zur Verfügung. Es gibt den Stand zum 31. Dezember des Vorjahres wieder und muss bis spätestens 31. März über die Meldeplattform der BaFin eingereicht sein.
Die Betriebs- und Netzwerkdokumentation war schon vorhanden. Sie wird geteilt, nicht neu geschrieben. Warum wir Dokumentation für das wichtigste Werkzeug eines IT-Dienstleisters halten, steht in unserem Beitrag zur IT-Dokumentation im Mittelstand.
Wiederherstellungstests: vom Ticket zum Protokoll
Bei den Tests lag ein Unterschied zwischen dem, was passiert, und dem, was sich belegen lässt. Wiederherstellungstests haben wir gelegentlich bei Einsätzen vor Ort gemacht. Ein Ordner wird testweise aus dem Backup zurückgeholt. Dokumentiert war das aber nur in Tickets.
Die Kundenseite wollte mehr: ein strukturiertes Protokoll, regelmäßige Tests, zum Beispiel jährlich, und eine zentrale Ablage. Das passt zur Verordnung. Für Unternehmen im vollen DORA-Rahmen verlangt Art. 11 Abs. 6, die Pläne zur Geschäftsfortführung sowie zur Reaktion und Wiederherstellung mindestens jährlich zu testen. Art. 12 Abs. 2 verlangt, Datensicherung und Wiederherstellung regelmäßig zu testen.
Zugesagt haben wir eine Vorlage für Notfall- und Wiederherstellungstests. Dazu schlagen wir einen Ablageort und einen Rhythmus vor. Diese Felder soll die Vorlage enthalten:
| Feld im Protokoll | Was hineingehört |
|---|---|
| Datum | Wann der Test stattfand |
| Verantwortliche | Wer getestet hat und wer dabei war |
| Umfang | Welche Daten oder Dienste zurückgeholt wurden |
| Schritte | Was in welcher Reihenfolge getan wurde |
| Dauer | Wie lange die Wiederherstellung gedauert hat |
| Ergebnis | Ob alles vollständig und lesbar zurückkam |
| Mängel | Was nicht funktioniert hat |
| Maßnahmen | Was daraufhin geändert wird, von wem |
Ein Protokoll mit diesen Feldern belegt zwei Dinge: dass getestet wurde, und dass die Wiederherstellung funktioniert hat. Wie ein Notfallplan aufgebaut ist, in dem solche Tests ihren Platz haben, zeigt unser Beitrag zum IT-Notfallplan für den Mittelstand.
Offene Baustellen: Berechtigungen und Penetrationstest
Zwei Themen sind nicht abgeschlossen. Wir führen sie hier auf, weil sie zum Bild gehören.
Berechtigungsmanagement. Wir haben es im Gespräch als wesentliche Baustelle beschrieben. Vorhanden sind eine Liste der SharePoint-Bereiche, eine Liste der Benutzergruppen und eine begonnene Berechtigungsmatrix. Die Matrix ist ein guter Anfang, reicht aber noch nicht. Es gibt viele alte SharePoint-Bereiche. Ein Werkzeug zur Berechtigungsprüfung in Microsoft 365 liest die Berechtigungen aus und korrigiert einen Teil automatisch: Freigaben für „alle“ werden nach einer Benachrichtigung zurückgesetzt, wenn innerhalb von 24 Stunden niemand reagiert. Neue und ausscheidende Mitarbeitende werden über Meldungen aus der Personalabteilung angestoßen. Als nächste Schritte stehen an: die Organisationsstruktur festlegen und die Matrix bereinigen.
Penetrationstest. Penetrationstests machen wir nicht selbst. Sie laufen über einen Drittanbieter. Beim Kunden ist bisher keiner erfolgt, er wurde aus Kostengründen verschoben. Einig waren sich alle Beteiligten: Der Test wird extern vergeben und vorgezogen, wenn er angefordert wird. Art. 25 DORA zählt Penetrationstests zu den möglichen Tests. Wie umfangreich das Testprogramm sein muss, hängt nach derselben Vorschrift auch von der Größe und dem Risikoprofil ab.
Zwei weitere Fragen kamen im Gespräch auf:
- Verschlüsselung: E-Mails lassen sich per S/MIME verschlüsseln. Zwischen den Mailservern wird die Übertragung per TLS verschlüsselt, sofern der empfangende Server das unterstützt.
- Prüfberichte: Einen ISAE-3402-Bericht über unsere Kontrollen gibt es nicht. Eine ISO-27001-Zertifizierung ist nicht konkret geplant. Wir haben angeboten, passende Service-Berichte zu erstellen, sobald konkrete Anforderungen vorliegen.
Was wir daraus gelernt haben
Für Geschäftsführer ohne IT-Hintergrund lässt sich der Fall auf vier Sätze bringen.
Die Verantwortung bleibt bei Ihnen. DORA sagt das ausdrücklich. Ihr IT-Dienstleister liefert Unterlagen und Leistungen, aber er unterschreibt den Antrag nicht.
Eine schlanke IT ist leichter zu beschreiben. Ohne eigene Server gibt es weniger zu erklären. Belegen müssen Sie trotzdem, dass Sicherung, Notfallplan und Zugriffe funktionieren.
Getestet ist nicht gleich nachgewiesen. Bei diesem Kunden wurde zurückgespielt, aber nur im Ticket vermerkt. Ein festes Protokoll mit Datum, Dauer und Ergebnis macht daraus einen Nachweis.
Klären Sie den Weg der Unterlagen vorher. Die Anforderungsliste kam bei uns zunächst nicht an und wurde dann über den Support verfügbar. Ein fester Ansprechpartner und ein fester Weg für solche Listen sparen eine Runde.
Unser Fokus sind Unternehmen mit 5 bis 150 Mitarbeitern in Hamburg und Norddeutschland. Groß genug, dass IT richtig laufen muss — klein genug, dass Sie einen persönlichen Ansprechpartner verdienen statt einer anonymen Hotline.
Jens HagelGründer, hagel IT-Services GmbH
Wie Dokumentation im Alltag eines anderen Kunden geholfen hat, zeigt unsere Fallstudie zur IT-Dokumentation in einem Familienunternehmen. Was wir für Unternehmen aus der Finanzwirtschaft grundsätzlich anbieten, steht auf der Seite IT für Industrie, Medien und Finanzwirtschaft.
Fragen an Ihren IT-Dienstleister
Fünf Fragen, die Sie vor einem Antrag oder einer Prüfung stellen können:
- Deckt unser Vertrag die Mindestinhalte nach Art. 30 DORA ab? Wenn nicht: Welche Punkte fehlen?
- Gibt es eine Liste aller Anwendungen, die mit unserem Microsoft 365 verbunden sind? Und wer pflegt sie?
- Wann wurde zuletzt eine Wiederherstellung getestet? Gibt es dazu ein Protokoll, das Sie vorlegen können?
- Wo werden unsere Daten verarbeitet und gespeichert? Gilt das auch für Systeme, die ein anderer Anbieter betreibt?
- Wer hat Zugriff auf welche Bereiche? Gibt es eine Berechtigungsmatrix, und ist sie aktuell?
Unterlagen wie diese entstehen bei uns nicht nur für einen Antrag. Sie gehören zur laufenden Betreuung in unserem Managed IT-Service. Sicherung, Tests und Berechtigungen sind Teil unserer Cybersecurity-Betreuung in Hamburg.
Steht bei Ihnen eine Prüfung oder ein Antrag an?
15 Minuten Erstgespräch. Kostenlos. Danach wissen Sie, welche Unterlagen Ihr IT-Dienstleister beisteuern kann.
Erstgespräch buchen →Weiterführende Quellen
- Verordnung (EU) 2022/2554 (DORA), deutsche Fassung – EUR-Lex
- Informationsregister und Anzeigepflichten – BaFin
- IT- und Cybersicherheit – BaFin
- Schnellstart: Anzeigen von Unternehmensanwendungen – Microsoft Learn
- Von Intune ermittelte Apps – Microsoft Learn
