Finanzinstitute unter Zugzwang
Umfrage: 28 Prozent der deutschen Finanzdienstleister fehlen kritische Maßnahmen für die DORA-Compliance
Obwohl viele Unternehmen die DORA-Richtlinie priorisieren, gibt es in Deutschland insbesondere bei Incident Reporting und Datenresilienz noch Luft nach oben
Mit Inkrafttreten der EU-Verordnung zur digitalen operationellen Resilienz (DORA) Mitte Januar 2025 stehen Finanzinstitute unter Zugzwang: Sie müssen ihre IT-Sicherheit aufgrund der herrschenden Gefahrenlage entlang eines Katalogs an Maßnahmen auf einen zeitgemäßen Stand der Technik bringen. Eine aktuelle Studie von Veeam Software, dem weltweit führenden Anbieter für Datenresilienz nach Marktanteil, hat bei betroffenen Organisationen den Status Quo bei der Umsetzung abgefragt. Darin zeigt sich: Eine Mehrheit der deutschen Finanzdienstleister hält die hauseigene Resilienz noch nicht für ausreichend. 95 Prozent der über 100 befragten deutschen Unternehmen sehen noch Verbesserungsbedarf, um die Anforderungen zu erfüllen.
Veeam und Censuswide fragten zudem exemplarisch eine Liste von neun Maßnahmen ab, die DORA vorschreibt, und wollte von den Befragten wissen, wie leicht oder schwer ihren Unternehmen die Umsetzung fiel. Es zeigte sich: Im Durchschnitt haben 28 Prozent der Befragten diese Maßnahmen noch gar nicht implementiert.
Die von Censuswide im Juni 2025 durchgeführte Studie unter IT- und Compliance-Entscheidern bei Banken und Finanzdienstleistern in Deutschland, Frankreich, dem Vereinigten Königreich und den Niederlanden macht zudem deutlich: Obwohl die Länder in vielen Punkten auf einem ähnlichen Stand sind, unterscheidet sich Deutschland in einigen Aspekten von anderen europäischen Märkten – vor allem bei der schleppenden Umsetzung bestimmter Kernanforderungen und der empfundenen Belastung.
DORA als Priorität – aber noch viele Baustellen
Die große Mehrheit der deutschen Befragten bestätigt, dass DORA inzwischen hohe strategische Bedeutung hat:
>> 92 Prozent sehen DORA heute als wichtigere Priorität als noch vor dem Stichtag am 17. Januar.
>> 45 Prozent nennen DORA sogar die wichtigste digitale Resilienz-Priorität für die nächsten 12 Monate – höher als in UK, Frankreich oder den Niederlanden.
Trotz dieser hohen Priorisierung kämpfen die Finanzinstitute weiterhin mit der Umsetzung:
>> 35 Prozent der deutschen Unternehmen haben Incident Reporting noch nicht implementiert – der höchste Wert im Ländervergleich (UK: 14 Prozent, FR: 21 Prozent, NL: 24 Prozent)
>> 27 Prozent der deutschen Befragten hängen bei der Etablierung von Recovery- und Kontinuitätstests noch hinterher (UK: 15 Prozent, FR: 22 Prozent, NL: 30 Prozent)
>> Ähnlich kritisch: 28 Prozent haben noch keine digitalen Resilienztests durchgeführt (UK: 15 Prozent, FR: 22 Prozent, NL: 25 Prozent)
>> 25 Prozent der Befragten aus Deutschland fehlen noch Integritätsprüfungen der Backups und eine sichere Datenwiederherstellung (UK: 14 Prozent, FR: 20 Prozent, NL: 24 Prozent)
Ein weiterer bedenklicher Aspekt: Diese Daten repräsentieren die Antwortmöglichkeit, dass die Maßnahmen noch nicht implementiert sind. Zu den obigen Zahlen können jedoch für jedes Land etwa ein bis drei Prozentpunkte addiert werden, wenn man Befragte einbezieht, die sogar angaben, dass die Umsetzung der jeweiligen Maßnahmen noch nicht mal geplant ist.
Deutsche Banken spüren Begleiterscheinungen von DORA stark
Befragte aus Deutschland berichten häufig von negativen Begleiterscheinungen bei der Umsetzung der DORA-Maßnahmen. Sie sind mit diesen jedoch nicht allein, wie der Vergleich zeigt:
>> 43 Prozent empfinden eine gestiegene Belastung und Stress in ihren Teams – der zweithöchste Wert unter den befragten Ländern (UK: 40 Prozent, FR: 35 Prozent, NL: 46 Prozent)
>> 38 Prozent sehen höhere Kosten, die von ihren ICT-Dienstleistern aufgrund von DORA an sie weitergegeben werden (UK: 37 Prozent, FR: 38 Prozent, NL: 35 Prozent)
>> Auch die transparente Einsicht in die eigene Resilienz wird kritisch gesehen: 39 Prozent der deutschen Unternehmen sagen, sie brauchen "signifikante Verbesserungen", da sie nur begrenzte Einblicke in ihre Resilienz haben (UK: 32 Prozent, FR: 44 Prozent, NL: 56 Prozent)
Third-Party Oversight und knappe Budgets sind Stolpersteine
Ein besonderes Problem stellt für deutsche Unternehmen das Management von Drittanbietern dar: Obwohl "Third-Party Oversight", (sprich der Domino-Effekt von IT-Sicherheitslücken bei Geschäftspartnern, die sich auf andere/das eigene Unternehmen auswirken) von nur 20 Prozent noch nicht implementiert ist, betrachten 29 Prozent diese Anforderung als besonders schwierig umzusetzen. Die Ursachen könnten in der fehlenden Transparenz über die komplexen Lieferketten liegen.
Auch im Bereich Finanzierung sieht es in den Börsen einiger deutscher Finanzdienstleister knapp aus: Fast 30 Prozent der Befragten empfinden die Umsetzung der DORA-Maßnahmen mit dem bereitgestellten Geld als herausfordernd. Die gute Nachricht jedoch: Für 50 Prozent der Befragten sind die Maßnahmen mit den existierenden Ressourcen "leicht implementierbar".
Matthias Frühauf, Regional Vice President EMEA Central bei Veeam, ordnet die Ergebnisse ein: "Es stimmt mich zuversichtlich, dass DORA in Deutschland hohe Priorität genießt und auch, dass einem Großteil der Befragten das Geld für die Umsetzung mehr als ausreicht. Trotzdem zeigt sich, dass viele Unternehmen noch mit grundlegenden Anforderungen kämpfen. DORA fordert Unternehmen heraus, ihre Datenresilienz kontinuierlich zu verbessern, und Deutschland spürt diese Belastung stark", so Frühauf. "Es jetzt als tröstend zu empfinden, dass es anderen Finanzdienstleistern in Europa ähnlich geht, wäre jedoch angesichts der heutigen Gefahrenlage absurd. Denn die Ergebnisse der Umfrage sollten vielmehr dazu motivieren, als gutes Beispiel voranzugehen. Am Ende des Tages geht es nur um eins: Sensible Kundendaten vor Cyberkriminellen zu schützen - vor allem im Finanzsektor. Und das klappt nur, wenn man alle zur Verfügung stehenden Mittel moderner IT-Sicherheit und Datenresilienz ausschöpft und kompromisslos umsetzt." (Veeam: ra)
eingetragen: 06.08.25
Veeam: Kontakt und Steckbrief
Der Informationsanbieter hat seinen Kontakt leider noch nicht freigeschaltet.