Finanzdienstleistungen

DORA (Digital Operational Resilience Act, EU 2022/2554, in Kraft seit 17.01.2025) vereinheitlicht europaweit die Anforderungen an ICT-Risikomanagement, Vorfall-Meldung, Resilienz-Tests und Third-Party-Risiko für Finanzunternehmen. Konkret: dokumentiertes ICT-Risikomanagement-Framework, Meldepflicht schwerer Vorfälle an BaFin/ESAs, regelmäßige Resilienz-Tests (Threat-Led Penetration Testing ab bestimmter Größe), Risiko-Bewertung aller IT-Dienstleister.

Sparkassen und Volksbanken nutzen verbandliche Kernsysteme: OSPlus (Finanz Informatik, Sparkassen-Verbund), agree21 (Atruvia, Genossenschaftlicher Verbund). Privatbanken arbeiten mit Avaloq, Temenos T24, Finastra Fusion, FIS Profile. Neobanken/FinTechs nutzen cloud-native Kernsysteme wie Mambu, 10x Banking oder Thought Machine Vault.

MaRisk definieren Anforderungen an Risikomanagement, Governance und Prozesse. BAIT (Bankaufsichtliche Anforderungen an die IT) konkretisieren IT-seitig: dokumentierte IT-Strategie, Identity-Management, Change-/Release-Management, Datenqualität, kritische IT-Systeme mit Notfall-Konzept, Auslagerungs-Management. Für Versicherer gelten analog VAIT, für Kapitalverwaltungsgesellschaften KAIT.

Ja, aber unter strengen Auflagen nach § 25b KWG und BaFin-Merkblatt zu Cloud-Auslagerungen. Anforderungen: Notifizierung an BaFin vor Vertragsschluss bei wesentlichen Auslagerungen, Audit-Rechte (auch für Aufseher), Exit-Strategie, Datenlokation und Transfer-Regelungen. Microsoft, AWS und Google Cloud haben regulierungs-konforme Finanz-Services und EU-Sovereign-Clouds im Aufbau. Kleinere CSPs benötigen individuelle Prüfung.

KYC (Know Your Customer) und AML (Anti-Money Laundering) werden durch das GwG in Deutschland eng reguliert. Software automatisiert: Legitimationsprüfung (ggf. per Video-Ident nach § 13 GwG, eID, BankIdent), PEP- und Sanktionslisten-Screening (gegen EU-Konsolidierte Liste, OFAC, UN), Transaktionsmonitoring mit Regelwerken und ML-basierten Anomalie-Erkennung, Meldung an FIU (Financial Intelligence Unit) über goAML. Anbieter: Actico, SAS AML, NICE Actimize, ComplyAdvantage.

PSD2 verpflichtet Banken, XS2A-APIs (Access to Account) bereitzustellen – für Kontoabfrage (AIS), Zahlungsauslösung (PIS) und Kartenverfügbarkeits-Abfrage (CAF). Technisch: OAuth2-Flow, Secure Customer Authentication (SCA) mit 2FA, Berlin Group NextGenPSD2 oder UK OBIE als API-Standards. Banken bieten Developer Portals, TPPs (Third Party Providers) müssen eBICS/PSD2-Regulierung erfüllen. Anbieter von Aggregation: FinAPI, FinTecSystems, Tink, Klarna Open Banking.