DORA
DORA macht Kryptografie zur Compliance-Frage: Was Finanzunternehmen nachweisen müssen
Kryptografie, PKI und Zertifikatsmanagement im Finanzsektor
Für Banken, Versicherungen und Zahlungsdienstleister reicht es nicht mehr aus, Daten und Systeme zuverlässig zu verschlüsseln. Mit DORA müssen sie auch nachweisen können, dass kryptografische Schlüssel, digitale Zertifikate und die dahinterliegenden Prozesse kontrolliert und sicher verwaltet werden. Gleichzeitig erhöht die bevorstehende Migration auf Post-Quanten-Kryptografie den Handlungsdruck, denn ohne Transparenz über die eigene kryptografische Infrastruktur wird der Umstieg zur Herausforderung.
Florian Bosch, Senior Regional Sales Director DACH bei Keyfactor , erläutert, warum Kryptografie und PKI zunehmend zur Managementaufgabe werden und welche Rolle Krypto-Agilität dabei spielt.
Die europäische Finanzbranche steht vor zwei eng miteinander verbundenen Herausforderungen. Einerseits verpflichtet der Digital Operational Resilience Act (DORA) Finanzunternehmen seit dem 17. Januar 2025 zu einem systematischen Management ihrer IKT-Risiken. Andererseits sieht die im Juni 2025 veröffentlichte europäische Roadmap zur Post-Quanten-Kryptografie vor, dass die EU-Mitgliedstaaten bis Ende 2026 erste Schritte zur Umstellung einleiten.
Für besonders gefährdete Anwendungen soll die Migration bis Ende 2030 abgeschlossen sein. Bis 2035 sollen möglichst viele weitere Systeme auf quantensichere Verfahren umgestellt werden. Die Roadmap ist dabei zunächst ein koordinierter europäischer Handlungsrahmen und keine unmittelbar geltende gesetzliche Migrationspflicht für jedes einzelne Finanzunternehmen.
Beide Entwicklungen haben jedoch eine gemeinsame Voraussetzung: Unternehmen müssen wissen, welche kryptografischen Verfahren sie einsetzen, wo sich Schlüssel und Zertifikate befinden und welche Geschäftsprozesse davon abhängen.
Kryptografische Sicherheit wird zur Managementaufgabe
Mit DORA hat sich die Bedeutung kryptografischer Sicherheit im europäischen Finanzsektor verändert. Verschlüsselung, Schlüsselmanagement und Public-Key-Infrastrukturen (PKI) sind nicht länger ausschließlich technische Aufgaben der IT-Sicherheitsabteilung. Sie gehören zu den Kontrollen, mit denen Unternehmen ihre digitale operationale Resilienz sicherstellen müssen.
Die Verordnung (EU) 2022/2554 schafft dafür einen einheitlichen regulatorischen Rahmen. Zu den zentralen Bereichen gehören das IKT-Risikomanagement, die Behandlung und Meldung von IKT-Vorfällen, Resilienztests sowie die Steuerung von Risiken durch IKT-Drittdienstleister.
Besondere Bedeutung erhält dabei die Verantwortung des Leitungsorgans. Nach Artikel 5 DORA muss es den Rahmen für das IKT-Risikomanagement festlegen, genehmigen und überwachen. Die Letztverantwortung für die Steuerung dieser Risiken liegt damit ausdrücklich auf Managementebene.
Für die kryptografische Governance hat das unmittelbare Konsequenzen. Unternehmen benötigen dokumentierte Richtlinien, nachvollziehbare Verantwortlichkeiten und geeignete Kontrollmechanismen. Entscheidend ist nicht allein, ob Verschlüsselungsverfahren technisch funktionieren, sondern auch, ob ihre Wirksamkeit und die damit verbundenen Prozesse überprüfbar sind.
DORA erweitert den Blick auf die Lieferkette
Eine weitere Herausforderung entsteht durch die zunehmende Abhängigkeit von externen IKT-Dienstleistern. Cloud-Plattformen, Zahlungsdienstleister, Softwareanbieter und Managed Services sind häufig unmittelbar in geschäftskritische Abläufe eingebunden.
DORA verlangt deshalb, dass Finanzunternehmen ihre vertraglichen Vereinbarungen mit IKT-Drittdienstleistern in einem strukturierten Informationsregister erfassen. Dieses dient unter anderem dazu, Abhängigkeiten transparent zu machen und Risiken gegenüber der Aufsicht nachvollziehbar darzustellen.
Damit endet die Verantwortung nicht an der eigenen Unternehmensgrenze. Auch kryptografisch relevante Dienstleistungen externer Anbieter müssen in das IKT-Risikomanagement einbezogen werden.
Verwendet beispielsweise ein externer Dienstleister digitale Zertifikate zur Absicherung kritischer Kommunikationsverbindungen, können unzureichende Verwaltungsprozesse oder abgelaufene Zertifikate die Verfügbarkeit von Finanzdienstleistungen beeinträchtigen.
Die regulatorische Herausforderung besteht darin, solche Abhängigkeiten frühzeitig zu erkennen, angemessene Kontrollen festzulegen und deren Umsetzung nachvollziehbar zu dokumentieren.
Welche Anforderungen DORA an Kryptografie und PKI stellt
Die allgemeinen Vorgaben von DORA werden durch technische Regulierungsstandards, sogenannte Regulatory Technical Standards (RTS), konkretisiert. Besonders relevant ist die Delegierte Verordnung (EU) 2024/1774, die Anforderungen an IKT-Risikomanagementinstrumente, Methoden, Prozesse und Richtlinien festlegt. Für die kryptografische Infrastruktur ergeben sich daraus vier wesentliche Handlungsfelder.
1. Verschlüsselungsrichtlinien und kryptografische Kontrollen
Artikel 9 DORA und Artikel 6 der RTS bilden die Grundlage für den Einsatz angemessener kryptografischer Schutzmaßnahmen. Finanzunternehmen müssen risikobasierte Richtlinien für Verschlüsselung und kryptografische Kontrollen festlegen. Dabei sind unter anderem die Klassifizierung von Informationen, die jeweiligen Sicherheitsanforderungen und die Entwicklung kryptografischer Bedrohungen zu berücksichtigen. Die eingesetzten Verfahren müssen regelmäßig bewertet und bei Bedarf angepasst werden. Ist eine technische Aktualisierung nicht möglich, sind geeignete Maßnahmen zur Risikominderung und Überwachung vorzusehen.
2. Lebenszyklusmanagement für Schlüssel und Zertifikate
Artikel 7 der RTS konkretisiert die Anforderungen an das kryptografische Schlüsselmanagement. Schlüssel müssen während ihres gesamten Lebenszyklus geschützt werden. Dazu gehören ihre Erzeugung, Speicherung, Erneuerung, Sicherung, Übertragung, Sperrung und endgültige Vernichtung. Für Zertifikate, die kritische oder wichtige Funktionen unterstützen, verlangen die RTS ein aktuelles Register. Außerdem müssen geeignete Verfahren sicherstellen, dass diese Zertifikate rechtzeitig vor ihrem Ablauf erneuert werden. Gerade in komplexen IT-Landschaften stellt das eine erhebliche organisatorische Herausforderung dar. Werden Zertifikate dezentral verwaltet, fehlt häufig die notwendige Transparenz über ihren Einsatz und ihre Gültigkeit.
3. Identitätsmanagement für Benutzer und technische Systeme
Auch das Identitäts- und Zugriffsmanagement spielt eine zentrale Rolle. Die Artikel 20 und 21 der RTS enthalten Anforderungen an die Identitätsverwaltung und Zugriffskontrolle. Dabei sind nicht nur menschliche Benutzer relevant, sondern auch technische Identitäten und Systeme, die auf geschützte Ressourcen zugreifen. Für Finanzunternehmen bedeutet das, dass Berechtigungen nachvollziehbar vergeben, überprüft und auf das erforderliche Maß begrenzt werden müssen. Maschinenidentitäten verdienen dabei besondere Aufmerksamkeit. Sie ermöglichen beispielsweise die authentifizierte Kommunikation zwischen Anwendungen, APIs, Servern und Cloud-Diensten. Werden ihre Zertifikate oder Zugangsdaten unzureichend geschützt, entstehen zusätzliche Angriffsflächen.
4. Resilienztests und Drittanbieterrisiken
Die Artikel 24 bis 27 DORA regeln die Prüfung der digitalen operationalen Resilienz. Die Artikel 28 bis 30 betreffen das Management von IKT-Drittparteienrisiken und entsprechende vertragliche Anforderungen. Kryptografische Infrastrukturen müssen im Rahmen des IKT-Risikomanagements berücksichtigt und relevante Kontrollen angemessen überprüft werden.
Dabei geht es beispielsweise um die Frage, welche Auswirkungen kompromittierte Schlüssel, fehlerhafte Zertifikatsprozesse oder der Ausfall einer PKI-Komponente auf kritische Geschäftsprozesse haben können. Für die Aufsicht ist letztlich entscheidend, dass Sicherheitsmaßnahmen nicht nur dokumentiert sind, sondern entsprechend den geltenden Anforderungen auch umgesetzt, überwacht und überprüft werden.
Warum fehlende Transparenz zum Compliance-Risiko wird
Die praktische Umsetzung beginnt mit einer grundlegenden Frage: Verfügt das Unternehmen über einen vollständigen Überblick seiner kryptografischen Infrastruktur? In vielen Organisationen verteilen sich Zertifikate und Schlüssel auf unterschiedliche Plattformen, Anwendungen, Cloud-Umgebungen und externe Dienstleistungen. Historisch gewachsene Strukturen erschweren die zentrale Verwaltung zusätzlich.
Dadurch entstehen Risiken, die über klassische Sicherheitslücken hinausgehen. Ein unbemerkt abgelaufenes Zertifikat kann eine geschäftskritische Verbindung unterbrechen. Ein kompromittierter privater Schlüssel kann die Vertrauenswürdigkeit digitaler Identitäten gefährden. Nicht dokumentierte kryptografische Abhängigkeiten können außerdem Sicherheitsprüfungen und Migrationsprojekte erheblich erschweren.
Eine zentrale Bestandsaufnahme und automatisierte Verwaltungsprozesse können helfen, diese Risiken zu reduzieren.
Besonders wichtig ist dabei die Möglichkeit, Zertifikate rechtzeitig zu erneuern, kryptografische Schlüssel kontrolliert auszutauschen und Änderungen nachvollziehbar zu dokumentieren.
Post-Quanten-Kryptografie erhöht den Handlungsdruck
Während DORA bereits verbindliche Anforderungen an das IKT-Risikomanagement stellt, zeichnet sich mit der Post-Quanten-Kryptografie die nächste grundlegende Veränderung ab.
Leistungsfähige Quantencomputer könnten künftig heute verbreitete asymmetrische kryptografische Verfahren gefährden. Betroffen wären insbesondere Technologien, die für digitale Signaturen, Schlüsselaustausch und Authentifizierung eingesetzt werden. Die europäische Roadmap zur Post-Quanten-Kryptografie sieht deshalb einen schrittweisen Übergang zu quantenresistenten Verfahren vor.
Für den Finanzsektor ist diese Entwicklung besonders relevant. Banken, Versicherungen und Zahlungsdienstleister betreiben zahlreiche Systeme, deren Sicherheit von kryptografischen Verfahren abhängt. Gleichzeitig müssen viele dieser Systeme über lange Zeiträume zuverlässig funktionieren.
DORA schreibt die Einführung von Post-Quanten-Kryptografie derzeit nicht ausdrücklich vor. Die bestehenden Anforderungen an kryptografische Kontrollen, Schlüsselmanagement und Risikobewertung schaffen jedoch wichtige organisatorische und technische Voraussetzungen für die spätere Migration.
Krypto-Agilität verbindet Compliance und Zukunftssicherheit
Ein zentraler Begriff in diesem Zusammenhang ist Krypto-Agilität. Gemeint ist die Fähigkeit, kryptografische Verfahren, Schlüssel und Zertifikate kontrolliert und möglichst ohne größere Eingriffe in bestehende Geschäftsprozesse auszutauschen.
Für Finanzunternehmen wird diese Eigenschaft zunehmend wichtig. Denn die Migration auf quantenresistente Algorithmen betrifft nicht nur einzelne Verschlüsselungsverfahren, sondern unter Umständen ganze Vertrauensketten, Anwendungen und Kommunikationsarchitekturen.
Voraussetzung dafür ist eine möglichst vollständige Bestandsaufnahme der eingesetzten Kryptografie. Unternehmen müssen erkennen können, welche Systeme von bestimmten Algorithmen abhängen und wo Änderungen erforderlich werden.
Automatisierte Prozesse für die Verwaltung von Schlüsseln und Zertifikaten können anschließend helfen, notwendige Anpassungen effizienter umzusetzen und Fehler durch manuelle Eingriffe zu vermeiden. Damit entsteht eine direkte Verbindung zwischen aktuellen Compliance-Anforderungen und langfristiger technologischer Anpassungsfähigkeit.
Fazit: DORA-Compliance ist auch Vorbereitung auf die nächste Kryptografie-Generation
DORA macht deutlich, dass kryptografische Sicherheit nicht mit der Implementierung von Verschlüsselung endet. Entscheidend ist die Fähigkeit, Schlüssel, Zertifikate und technische Identitäten über ihren gesamten Lebenszyklus hinweg kontrolliert zu verwalten und die entsprechenden Prozesse nachzuweisen. Die europäische Post-Quanten-Roadmap verstärkt diese Anforderungen aus einer weiteren Perspektive. Unternehmen müssen ihre kryptografischen Abhängigkeiten verstehen, bevor sie bestehende Verfahren systematisch ersetzen können.
Wer heute Transparenz schafft, Verantwortlichkeiten definiert und automatisierte Verwaltungsprozesse etabliert, verbessert deshalb nicht nur seine Voraussetzungen für regulatorische Prüfungen. Er schafft zugleich die Grundlage für eine kontrollierte Migration auf die nächste Generation kryptografischer Technologien.
