DORA: Warum Verschlüsselung allein für Finanzunternehmen nicht reicht
Verschlüsselte Daten sind nur der Anfang: Finanzunternehmen müssen auch belegen, wie sie Schlüssel, Zertifikate und Zugriffe kontrollieren. Diese Bestandsaufnahme schafft zugleich die Grundlage für den Wechsel zu quantensicheren Verfahren.
Seit dem 17. Januar 2025 gilt der Digital Operational Resilience Act (DORA). Für Banken, Versicherer und Zahlungsdienstleister bedeutet die Verordnung: Sie müssen ihre digitale Widerstandsfähigkeit systematisch organisieren und nachweisen können. Bei der Kryptografie reicht es deshalb nicht, Verschlüsselung einzusetzen. Ebenso wichtig sind dokumentierte Regeln, klare Verantwortlichkeiten und überprüfbare Kontrollen.
Das betrifft auch die Führungsebene. Das Leitungsorgan genehmigt und überwacht den Rahmen für das Risikomanagement der Informations- und Kommunikationstechnologie (IKT) und trägt die Letztverantwortung für die IKT-Risiken. Die Steuerung kryptografischer Schutzmaßnahmen ist damit Teil der Unternehmensführung.
Vier Bereiche, die Unternehmen beherrschen müssen
DORA und die ergänzenden technischen Regulierungsstandards (RTS) konkretisieren die Anforderungen an Kryptografie und Public-Key-Infrastrukturen (PKI), also Systeme zur Verwaltung digitaler Zertifikate und öffentlicher Schlüssel. Im Mittelpunkt stehen vier Bereiche:
- Verschlüsselungsrichtlinien: Artikel 9 DORA und Artikel 6 RTS verlangen angemessene Schutzmaßnahmen und eine dokumentierte, risikobasierte Verschlüsselungsrichtlinie. Sie muss die Einstufung der Daten berücksichtigen. Kryptografische Verfahren sind anhand der technischen Entwicklung und neuer Bedrohungen zu überprüfen.
- Lebenszyklus von Schlüsseln und Zertifikaten: Artikel 7 RTS fordert den Schutz kryptografischer Schlüssel von der Erzeugung bis zur Vernichtung. Für Zertifikate und zertifikatspeichernde Geräte mindestens jener Systeme, die kritische oder wichtige Funktionen unterstützen, ist ein aktuelles Register erforderlich. Zertifikate müssen rechtzeitig vor Ablauf erneuert werden.
- Maschinenidentitäten: Artikel 20 und 21 RTS beziehen auch Systeme in das Identitäts- und Zugriffsmanagement ein. Identitäten müssen eindeutig zuordenbar sein; Zugriffsrechte sind auf das notwendige Maß zu begrenzen.
- Resilienztests und Drittanbieter: Artikel 24 bis 30 DORA regeln Tests und den Umgang mit Dienstleisterrisiken. Kryptografische Kontrollen und PKI sind entsprechend ihrer Bedeutung in die Prüfungen einzubeziehen.
Die praktischen Vorgaben für Verschlüsselung, Schlüssel und Identitäten enthält die ergänzende Verordnung zu den RTS. Für Prüfungen müssen Unternehmen nachvollziehbar dokumentieren können, welche Verfahren sie einsetzen und wie deren Schutz im laufenden Betrieb gewährleistet wird.
Auslagerung entbindet nicht von Verantwortung
Die Nachweispflichten enden nicht an der Unternehmensgrenze. Finanzunternehmen müssen ihre vertraglichen Vereinbarungen über IKT-Dienstleistungen in einem Informationsregister erfassen und dieses der Aufsicht auf Anfrage bereitstellen.
Wer kryptografische Aufgaben auslagert, muss die damit verbundenen Risiken weiterhin steuern. Dazu gehören angemessene vertragliche Vorgaben, Kontrollmöglichkeiten und Nachweise der Dienstleister. Mängel beim Anbieter können sonst die eigene Sicherheit und Regelkonformität beeinträchtigen (DORA, Artikel 28 bis 30).
Die Inventur bereitet den nächsten Wechsel vor
Dieselbe Transparenz wird für den Übergang zur Post-Quanten-Kryptografie gebraucht. Diese Verfahren sollen auch Angriffen leistungsfähiger Quantencomputer standhalten.
Der europäische Fahrplan sieht vor, dass alle Mitgliedstaaten bis Ende 2026 mit dem Übergang beginnen. Anwendungen mit hohem Risiko sollen spätestens Ende 2030 umgestellt sein; bis 2035 wird eine breite Umstellung angestrebt. Das sind Ziele des koordinierten Übergangs, keine pauschalen DORA-Fristen für jedes Finanzunternehmen.
DORA schreibt selbst keine allgemeine Umstellung auf quantensichere Verfahren vor. Ein gepflegtes Inventar von Schlüsseln, Zertifikaten und ihren Einsatzorten erleichtert jedoch die Planung. Krypto-Agilität bedeutet dabei, Verfahren kontrolliert austauschen zu können. Wer zusätzlich Erneuerung und Austausch automatisiert, schafft bessere Voraussetzungen für eine Migration bei laufendem Betrieb.
Florian Bosch, Senior Regional Sales Director DACH bei Keyfactor
Newsletter Abonnieren
Abonnieren Sie jetzt IT-SICHERHEIT News und erhalten Sie alle 14 Tage aktuelle News, Fachbeiträge, exklusive Einladungen zu kostenlosen Webinaren und hilfreiche Downloads.
