IT-Sicherheit im dezentralisierten Finanzwesen Blockchain trifft auf DORA im Finanzsektor

Anbieter zum Thema

Bird & Bird LLP Rechtsanwälte

WatchGuard Technologies GmbH

Fsas Technologies GmbH

Impossible Cloud GmbH

Tokenisierte Vermögenswerte, die Blockchain und der Wechsel von Vertrauen auf kryptografische Verfahren statt auf Institutionen, gehen nicht spurlos an der Finanzwelt vorbei. Finanzdienstleister, Blockchain-Experten und Juristen ziehen an einem Strang.

Etablierte Player im Finanzsektor setzen zunehmend auf die Blockchain als Infrastrukturtechnologie. Das zeigt ein Blick in das Register der BaFin, der Bundesanstalt für Finanzdienstleistungsaufsicht. Der Jurist Johannes Wirtz, Partner bei der Kanzlei Bird & Bird weist darauf hin, dass beispielsweise Banken wie die Deka Bank oder die Privatbank Hauck Aufhäuser Lampe über eine Erlaubnis als Kryptowertpapierregisterführer und Kryptoverwahrer verfügen. Auch die Börse Stuttgart habe ein Tochterunternehmen, das Kryptoverwahrer und Kryptowertedienstleister ist. Bereits heute wäre die Blockchaintechnologie damit nicht mehr nur ein Thema von Start-ups und Entwicklern.

Digitalisierung und Finanzinnovation

Krypto bleibt ein Randphänomen in deutschen Unternehmen

Kryptografische Verfahren statt Institutionen

„Blockchain verlagert Vertrauen von zentralen Institutionen auf kryptographische Verfahren und dezentrale Netzwerke“, bringt es Wirtz auf den Punkt. Für die Regulierung bedeute das, dass Compliance zunehmend automatisiert und durch transparente, unveränderbare Transaktionen überprüfbar wird. Aber: Dezentrale Governance stellt neue Herausforderungen für Rechtsdurchsetzung und Haftung dar, was flexible Regulierungsansätze erfordere. Gleichzeitig zwinge das Spannungsfeld zwischen Sicherheit, Dezentralisierung und Skalierbarkeit zur Entwicklung innovativer Lösungen. Der Partner bei der Kanzlei Bird & Bird nennt Beispiele: Layer-2-Protokolle und Zero-Knowledge-Technologien, die die Integration und Regulierbarkeit verbessern. Die Notwendigkeit dieser neuen Wege würde ein einfacher Vergleich zeigen, so der Jurist: „Bis 2021 wurden Wertpapiere – etwa Anleihen – in Deutschland papierhaft begeben. Bei einem Zentralverwahrer liegt eine Originalurkunde. Dies kann heute unter anderem durch einen Registereintrag auf der Blockchain ersetzt werden.“ Dies macht Prozesse schlanker und schneller.

Wie in diesem Umfeld reguliert wird

Sein Kollege, Dr. Michael Jünemann, ebenfalls Partner bei der Kanzlei Bird & Bird geht darauf ein, wie in diesem Umfeld die Regulierung von statten geht: Zunächst sei es wichtig klarzustellen, dass nicht die Technologie als solche reguliert wird. Vielmehr seien es einzelne Anwendungsfälle, die eine neue Regulierung erfahren oder bei denen Zweifelfragen geklärt werden, ob sie von bisheriger Regulierung erfasst sind. „Regulierung führt grundsätzlich zu Marktstabilität, zum Schutz der Anleger und zur Förderung der institutionellen Akzeptanz“, sagt Jünemann. Insbesondere letzteres führe dann auch zu einer schnelleren Entwicklung und Verbreitung der Blockchaintechnologie. Gleichzeitig müsse Regulierung innovationsfreundlich gestaltet sein, um den Fortschritt im Kryptobereich nicht zu hemmen.

Digital Operational Resilience Act

DORA: Mehr Resilienz für den Finanzmarkt

DORA und die Tokenisierung

Doch welche Rolle spielt DORA konkret bei Innovationen wie Tokenisierung, Krypotwertpapiere oder DeFi-Plattformen? Jünemann erläutert: „DORA stärkt die Sicherheit und Resilienz von Finanzinstituten und Kryptowerte-Dienstleistern. Das schafft langfristig Vertrauen in Innovationen wie Tokenisierung und Kryptowertpapiere.“ Gleichzeitig würden die umfangreichen Compliance-Anforderungen aber insbesondere für kleinere Anbieter den organisatorischen und finanziellen Aufwand erhöhen, was die Innovationsgeschwindigkeit bremsen kann. Insgesamt, so die Einschätzung des Juristen, sorge der DORA jedoch für einen klaren regulatorischen Rahmen, der nachhaltiges Wachstum und eine breitere Akzeptanz im Kryptosektor fördert.

Wen betrifft DORA in der Krypto-Welt?

Johannes Wirtz geht darauf ein, auf wen DORA direkte Anwendung findet, nämlich auf Kryptowerte-Dienstleister und Wertpapierfirmen. Auf so genannte Kryptowertpapierregisterführer und qualifizierte Kryptoverwahrer (also solche außerhalb der MiCAR), findet er nur über eine Verweisung im Kreditwesengesetz in einer vereinfachten Form und zum Großteil auch erst ab 2027 Anwendung.

Wirtz weist darauf hin, dass – soweit man unter DeFi-Plattformen vollständig dezentrale Plattformen versteht – der DORA keine Anwendung findet. „Kryptowerte-Dienstleistungen ohne Intermediäre, die in ausschließlich dezentralisierter Weise erbracht werden, unterliegen nicht den Vorschriften der MiCAR“, so der Partner einer Kanzlei.

Regulierung vielfältiger Anwendungsfälle

Doch wie lassen sich dezentrale Technologien regulatorisch in den Griff bekommen? Man bedenke: Beim dezentralen Bitcoin gibt es naturgemäß keinen Ansprechpartner. Bei Ripple hingegen (XRP) ist die Sachlage wieder anders. Diese Sachlage schätzt Jünemann folgendermaßen ein: „Die Anwendungsfälle für dezentrale Technologien sind vielfältig. Sie lassen sich nicht alle unter eine einheitliche Regulierung pressen.“ Aber: „Dies hat man im traditionellen Finanzsektor auch nicht gemacht.“

Cybersicherheits-Gesetze

Schritt für Schritt DORA-konform

Regulierung will Risiken abdecken

Bei Kryptowährungen ohne identifizierbaren Emittenten wie Bitcoin sei eine Regulierung des (nicht identifizierbaren) Emittenten offensichtlich an der Sache vorbei, wägt der Jurist ab. Doch laut Jünemann besteht hier auch kein Risiko, „da der Emittent beispielsweise nicht ausfallen kann“. Das liegt in der Natur der Sache. Das Risiko des Bitcoins ergebe sich erst durch Dienstleistungen oder öffentliche Angebote, die jedoch wiederum reguliert werden.

Regulierung muss immer sachgerecht sein, weiß der Jurist. Auch im traditionellen Leben habe sich unsere Gesellschaft darauf geeinigt, dass gewisse Risiken angemessen sind. Regulierung dringt gerade nicht in jeden Lebensbereich vor. „Wir sollten auch bei Krypto vom Leitbild des mündigen Bürgers ausgehen“, bringt es Jünemann auf den Punkt.

Die Sache mit den Smart Contracts

Wie können Governance-Modelle in dezentralen Netzwerken so gestaltet werden, dass sie DORA-konform sind? Zur Beantwortung dieser Frage unterscheidet Bird&Bird-Partner Wirtz zwischen „einer vollständigen Dezentralisierung, auf die der DORA keine Anwendung findet“, und „dem Nutzen von dezentralen Netzwerken durch zentralisierte Intermediäre“. Nur im letzten Fall kann der DORA überhaupt Auswirkungen entfalten.

Dann gilt folgendes: Smart Contracts sind grundsätzlich als ITK-Asset einzuordnen. Das heißt, die Dienstleister dahinter müssen die Risiken, die von den verwendeten Smart Contracts ausgehen, überprüfen und einstufen. „Weil unter DORA proaktive Risikobekämpfung erforderlich ist, sollten Finanzunternehmen regelmäßig Analysen vornehmen, die potentielle Gefahren in IKT-Systemen sichtbar machen“, so Wirtz. Ein Update eines Smart Contracts sollte daher auch eine Aktualisierung der Risikoeinschätzung mit sich bringen.

Neue Zeiten, neue Verfahren

Es müssen laut Wirtz Verfahren erarbeitet werden, um IKT-Systeme angemessen zu schützen und anomale Aktivitäten zu identifizieren. Hier sind also IT-Experten gefragt. „Zusätzlich müssen Strategien und Leitlinien entworfen werden, die bei einem IKT-Zwischenfall effizient die einzuleitenden Gegenmaßnahmen regeln“, so der Jurist. Ferner sollte eine – eventuell automatisierte – Meldestruktur geschaffen werden, die bei einem Zwischenfall zeitnah der zuständigen Behörde einen umfassenden Bericht zukommen lässt. Diese Vorkehrungen sind regelmäßig durch „angemessene Tests“ zu überprüfen.

Hoher Aufwand, der Folgekosten verhindert

Der beschriebene Aufwand, der zur Konformität mit den Anforderungen des DORA führt, sei zwar einem hohen Aufwand verbunden, der Ressourcen bindet. Doch die Juristen von Bird & Bird sind sich einig, dass durch den präventiven Ansatz des DORA insgesamt ITK-Zwischenfälle leichter verhindert oder schneller behoben werden können. So entsteht dann auch kein größerer Schaden und Folgekosten können vermieden werden. DORA trage laut den Juristen auch in der Blockchain-Welt dem Umstand Rechnung, dass schwere ITK-Zwischenfälle in der heutigen Welt äußerst gefährliche und kostenintensive Folgen nach sich ziehen können.

(ID:50571888)