Mobile-Menu

Anforderungen und typische Fehler DORA-Backup-Checkliste für Finanzunternehmen

Von Ira Zahorsky 3 min Lesedauer

Anbieter zum Thema

FAST LTA GmbH
Heidelberg iT Management GmbH & Co. KG
Impossible Cloud GmbH
XOPERO SOFTWARE S.A.

Bereits seit Januar 2025 ist der Digital Operational Resilience Act (DORA) für Finanzinstitute verbindlich. Wer die BaFin-Kontrollen bestehen will, muss nicht nur die Dokumentation von Konzepten vorweisen, sondern vor allem deren technische Umsetzung.

Fast LTA zeigt fünf zentrale Architekturanforderungen im Bereich Backup und ITK-Resilienz auf, die Finanzunternehmen umsetzen sollten, um eine DORA-Prüfung der BaFin zu bestehen.(Bild: Dall-E / KI-generiert)
Fast LTA zeigt fünf zentrale Architekturanforderungen im Bereich Backup und ITK-Resilienz auf, die Finanzunternehmen umsetzen sollten, um eine DORA-Prüfung der BaFin zu bestehen.
(Bild: Dall-E / KI-generiert)

DORA ist komplex, aber die konkreten Backup-Anforderungen sind klar definiert. Um sich gezielt auf die Prüfungen der BaFin vorzubereiten, nennt Fast LTA fünf zentrale Architekturanforderungen im Bereich Backup und ITK-Resilienz, die Finanzunternehmen umsetzen sollten. Außerdem weist der deutsche Datensicherungsexperte auf typische Implementierungsfehler hin.

Nachweisbare Backup-Isolation

Die DORA-Verordnung verlangt, dass ITK-Architekturen so ausgelegt sind, dass sie Störungen und Cyberangriffe verkraften. Dazu zählt, dass Backups nicht über dasselbe Einfallstor wie die Produktion kompromittiert werden können. Eine reine VLAN-Abschottung innerhalb derselben Hypervisor- bzw. Virtualisierungsumgebung genügt dafür nicht. Notwendig ist eine trennscharfe, nachweislich kompromittierungsfeste Ausgestaltung, zum Beispiel durch einen physischen Air Gap, eine logisch und administrativ eigenständige Backup-Infrastruktur oder eine separat geführte Management-Plane. Softwarebasierte Isolation ist zulässig, muss jedoch belastbar nachgewiesen werden.

Ein häufiger Fehler ist, Backup-Systeme im gleichen VMware- oder Hyper-V-Cluster wie die Produktion zu betreiben und sie nur per Netzwerksegmentierung zu trennen.

Unveränderlichkeit (Immutability) der Backup-Daten

Daten müssen auch dann gegen Manipulation und Löschung abgesichert sein, wenn Nutzerkonten kompromittiert wurden. Dafür braucht es unveränderbare Aufbewahrung nach dem WORM-Prinzip, etwa über Object Lock. Diese Unveränderlichkeit darf sich nicht durch einzelne privilegierte Konten aufheben lassen. Bewährt haben sich der Einsatz des Compliance Mode anstelle des Governance Mode, zusätzlich abgesichert durch eine Mehrpersonenfreigabe (Multi-Person Authorization, MPA). Der Schutz muss explizit auch Administratorrechte einschließen.

Ein mögliches Problem: Object Lock wird zwar aktiviert, jedoch nur im Governance Mode – so kann ein übernommenes Admin-Konto Backups weiterhin löschen.

Starke Authentifizierung für Backup-Systeme

DORA verlangt für kritische ITK-Komponenten starke Authentifizierungsmechanismen. Konkret heißt das: Auf allen Konsolen für das Backup-Management und auf sämtlichen Speichersystemen muss Multi-Faktor-Authentifizierung aktiv sein; reine Passwort-Logins sind für kritische Zugänge auszuschließen. Service-Accounts sind mit gleichwertigen Kontrollen abzusichern.

Ein verbreitetes Versäumnis: MFA ist in der Produktionsumgebung ausgerollt, fehlt jedoch auf den Backup-Systemen, die dadurch zum bevorzugten Ziel von Angreifern werden.

Definierte RTOs/RPOs und getestete Recovery-Prozesse

Unternehmen müssen ihre Fähigkeit zur Betriebswiederaufnahme mit klar definierten Zielwerten und regelmäßig durchgeführten Prüfungen nachweislich belegen. Ausgangspunkt ist die Festlegung von RTO (Recovery Time Objective) und RPO (Recovery Point Objective) für alle kritischen Systeme. Darauf aufbauend sind Wiederherstellungstests verpflichtend, mindestens einmal pro Jahr für diese Systeme. Diese Prüfungen müssen belastbar messbar sein. Ebenso erforderlich ist eine vollständige Nachweisdokumentation, die Datum, Umfang und betroffene Systeme, Ergebnisse samt Abweichungen sowie klare Verantwortlichkeiten enthält.

Häufiger Fehler in der Praxis: Recovery wurde zwar „irgendwann“ ausprobiert, jedoch nicht unter realitätsnahen Bedingungen oder ohne saubere Dokumentation.

ITK-Drittparteienmanagement im Backup-Kontext

DORA schreibt vor, dass kritische ITK-Drittanbieter identifiziert, risikoorientiert bewertet und durch belastbare Verträge abgesichert werden müssen; bestehende Vereinbarungen sind bis spätestens 31.12.2026 anzupassen. Für Backup und Storage heißt das: Es ist zu klären, ob der eingesetzte Backup- oder Cloud-Provider als kritischer ITK-Dienstleister einzustufen ist. Die Verträge haben unter anderem differenzierte Audit- und Prüfrechte, eindeutig definierte SLAs sowie tragfähige Exit- beziehungsweise Rückführungsstrategien zu enthalten. Zusätzlich ist die Datensouveränität zu bewerten, insbesondere hinsichtlich Datenstandort und möglicher Zugriffsoptionen.

Ein mögliches Defizit: Unternehmen nutzen Cloud-Backups, deren Vertragswerke jedoch keine DORA-konformen Regelungen enthalten. Hier muss dringend nachgebessert werden.

Anforderung DORA-Artikel
Backup-Isolation (Hypervisor-unabhängig oder Air Gap) Art. 11
Object Lock im Compliance Mode + MPA Art. 12
MFA auf allen Backup-Management-Zugängen Art. 9
RTOs/RPOs definiert und getestet (dokumentiert) Art. 11
ITK-Drittanbieter inventarisiert + DORA-konforme Verträge Art. 28–30

(ID:50837077)

Wissen, was läuft

Täglich die wichtigsten Infos aus dem ITK-Markt

Mit Klick auf „Newsletter abonnieren“ erkläre ich mich mit der Verarbeitung und Nutzung meiner Daten gemäß Einwilligungserklärung (bitte aufklappen für Details) einverstanden und akzeptiere die Nutzungsbedingungen. Weitere Informationen finde ich in unserer Datenschutzerklärung. Die Einwilligungserklärung bezieht sich u. a. auf die Zusendung von redaktionellen Newslettern per E-Mail und auf den Datenabgleich zu Marketingzwecken mit ausgewählten Werbepartnern (z. B. LinkedIn, Google, Meta).

Aufklappen für Details zu Ihrer Einwilligung

Weiterführende Inhalte