Was heißt eigentlich verhältnismäßig?

In fast jedem Finanzunternehmen findet man im Richtlinienwerk einen Satz wie diesen: „Die Ausgestaltung der IKT-Sicherheitsmaßnahmen erfolgt angemessen und verhältnismäßig unter Berücksichtigung von Größe, Risikoprofil sowie Art, Umfang und Komplexität der Geschäftstätigkeit." Doch dieser Satz sagt inhaltlich nichts. Er sagt nicht, wie groß das Haus im relevanten Vergleich ist.

In fast jedem Finanzunternehmen findet man im Richtlinienwerk einen Satz wie diesen:

„Die Ausgestaltung der IKT-Sicherheitsmaßnahmen erfolgt angemessen und verhältnismäßig unter Berücksichtigung von Größe, Risikoprofil sowie Art, Umfang und Komplexität der Geschäftstätigkeit.“

Doch dieser Satz sagt inhaltlich nichts. Er sagt nicht, wie groß das Haus im relevanten Vergleich ist. Er sagt nicht, welches Risikoprofil es hat. Und er sagt vor allem nicht, was daraus folgt: wie viele Richtlinien das Haus braucht, wie tief ihre Vorgaben reichen müssen, welche Dokumente das Leitungsorgan beschließen muss und ob tatsächlich die neuesten und teuersten IKT-Sicherheitstools erforderlich sind.

Dahinter steckt meines Erachtens fast immer dasselbe Problem: Niemand weiß so recht, wie sich diese aufsichtsrechtliche Formel in konkrete Ausgestaltungsentscheidungen übersetzen lässt. Wo darf ein Haus schlanker werden, ohne dass daraus später ein Prüfungsmangel wird? Und wo muss es mehr tun, nicht weil das IT-Security-Team gern noch ein neues Tool hätte, sondern weil Risikoprofil und Komplexität tatsächlich mehr verlangen?

Ich überlege schon lange, wie man sich diesem Problem nähern könnte. Dabei kommen mir immer wieder dieselben Fragen in den Sinn:

• Wo steht das Haus eigentlich im Vergleich zu anderen Häusern?
• Welche Ausgestaltungsoptionen gibt es überhaupt?
• Wie leitet man sauber her, welche Ausgestaltungsoptionen zum jeweiligen Haus passen?

Um die erste Frage zu adressieren, habe ich in den vergangenen Wochen die Idee eines „Verhältnismäßigkeitsprofils“ entwickelt. Für die zweite habe ich eine Liste der Stellschrauben der Ausgestaltung zusammengetragen.

Und die dritte Frage? Tja, sie ist die härteste, denn eine mathematische Formel, die aus Größe, Risikoprofil und Komplexität automatisch die richtige Ausgestaltung berechnet, gibt es vermutlich nicht.

Aber es braucht zumindest eine nachvollziehbare Herleitung, warum ein Haus an einer Stelle schlanker ausgestalten darf als ein anderes – und an anderer Stelle nicht. Und irgendwo müssen wir diese Diskussion ja beginnen. Deshalb stelle ich in meinem heutigen Beitrag meine Ansätze und die noch offenen Punkte vor.

Drei Festlegungen vorweg

1. Verhältnismäßigkeit ist keine Skalierung des Schutzbedarfs. Eine Kundenstammdatei, Transaktionsdaten oder technische Protokollinformationen verlieren ihren Schutzbedarf nicht, weil das Institut klein ist. Kalibriert wird das Steuerungsinstrumentarium, nicht die Bedeutung der Information.
2. Verhältnismäßigkeit ist kein Wahlrecht, sondern eine Pflicht. Art. 4 DORA verpflichtet zur proportionalen Umsetzung der Anforderungen, er erlaubt sie nicht bloß. Der eingangs zitierte Satz im Richtlinienwerk erfüllt die Pflicht nicht, er behauptet sie nur.
3. Die Frage lautet nie „ob“. Auch kleinere Institute im Anwendungsbereich müssen alle DORA-Anforderungen erfüllen. Der Anforderungskatalog (für mich: der DORA-Sollmaßnahmenkatalog) gilt ungekürzt für jedes Haus im Anwendungsbereich. Variabel ist allein die Ausgestaltungstiefe jeder einzelnen Anforderung, bei jeder Richtlinie, jedem Verfahren, jedem Turnus.

Einen Teil der Kalibrierung auf Verhältnismäßigkeit hat der Verordnungsgeber bereits selbst vorgenommen: Die in Art. 16 DORA genannten Finanzunternehmen wenden einen vereinfachten IKT-Risikomanagementrahmen an. Zusätzlich erhalten Kleinstunternehmen an verschiedenen Stellen der Verordnung Erleichterungen. Und wo DORA an kritische oder wichtige Funktionen (kwF) anknüpft, werden erhöhte Anforderungen gestellt.

Wer seine Umsetzung an diesen Stellen ausrichtet, nutzt die Verhältnismäßigkeit, die bereits im Gesetz angelegt ist, ohne die jeweilige Erleichterung selbst institutsindividuell herleiten zu müssen. Doch für alle darüber hinausgehenden Ausgestaltungsentscheidungen braucht es eine Diskussionsgrundlage: das Verhältnismäßigkeitsprofil.

Das Verhältnismäßigkeitsprofil

Der Ausgangspunkt für das Profil ist der Normtext aus Art. 4 Abs. 1 DORA. Er enthält vier Parameter, die jeweils verschiedene Bezugsobjekte haben: Größe und Gesamtrisikoprofil beziehen sich auf das Unternehmen. Art, Umfang und Komplexität beziehen sich auf dessen Dienstleistungen, Tätigkeiten und Geschäfte.

Aus diesen vier Parametern habe ich zwölf Kenngrößen abgeleitet. Sie werden auf derselben Skala bewertet: niedrig, normal, hoch oder sehr hoch. Die Bewertung stützt sich möglichst auf Unterlagen, die ein Finanzunternehmen in der Regel bereits hat.

Parameter 1 — Größe des Unternehmens

• 1.1 Bilanzsumme: Sie beschreibt das wirtschaftliche Gewicht des Hauses und knüpft an bekannte aufsichtsrechtliche Größenklassen an. Bis 1 Mrd. Euro werden Institute im MaRisk-Kontext als sehr klein eingeordnet, ab 30 Mrd. Euro ist das Größenkriterium für ein bedeutendes Institut erfüllt.
• 1.2 Kundenzahl: Die Zahl der aktiven Kundenbeziehungen zeigt, wie viele Menschen oder Unternehmen ein Ausfall treffen könnte. Zwei Häuser mit derselben Bilanzsumme können 20.000 oder 200.000 Kunden versorgen – und damit im Störungsfall ein völlig unterschiedliches Schadensbild erzeugen.
• 1.3 Marktstellung: Marktanteil und Tätigkeit in mehreren Mitgliedstaaten setzen die absolute Größe ins Verhältnis zum Markt und bilden grenzüberschreitende Abhängigkeiten ab.

Parameter 2 — Gesamtrisikoprofil des Unternehmens

• 2.1 Innensicht: Das eigene Risikocontrolling zeigt, welche Risikoarten das Haus prägen, aus welchen Geschäften sie entstehen und wo Konzentrationen oder angespannte Limite bestehen. Daraus lässt sich ableiten, wie viel Puffer für zusätzliche Schäden durch IKT-Vorfälle verbleibt. Während ein risikoarmes Haus potenzielle Vorfälle eher verkraften kann, muss sich ein Haus mit Risikokonzentrationen und angespannten Limiten stärker dagegen absichern.
• 2.2 Außensicht: Die vorhandene aufsichtsrechtliche Einordnung ergänzt die interne Bewertung um die Perspektive der Aufsicht. Je höher sie die Bedeutung oder Risikolage des Hauses einstuft, desto schwerer lässt sich eine besonders schlanke Ausgestaltung der IKT-Sicherheitsmaßnahmen begründen.
• 2.3 Cyberresilienz-Status: Offene Prüfungsfeststellungen, gescheiterte Notfalltests oder Schwächen bei der Angriffserkennung zeigen, dass die bestehenden Maßnahmen eines Hauses nicht zuverlässig greifen. Solche Mängel sprechen gegen eine schlanke Ausgestaltung und erhöhen die Anforderungen an IKT-Sicherheitsmaßnahmen, Nachweise und Prüfturnus.

Parameter 3 — Art und Umfang der Tätigkeiten

• 3.1 Kritikalität der Leistung: Nicht jede erlaubnispflichtige Tätigkeit verursacht bei einer Störung denselben Schaden. Deshalb ordne ich die Tätigkeiten vier Kritikalitätsklassen zu: Beratung und Vermittlung liegen grundsätzlich am unteren Ende, während Handels- oder Clearinggeschäfte – je nach Ausprägung – eine hohe bis sehr hohe Kritikalität aufweisen.
• 3.2 Anteil am Geschäft: Der Ertragsanteil einer Tätigkeit zeigt, welche wirtschaftliche Bedeutung sie für das Haus hat und in welchem Umfang sie ausgeübt wird. Entscheidend ist die Verbindung von Art und Umfang: Eine kritische Tätigkeit als Randgeschäft verlangt eine andere Ausgestaltung der IKT-Sicherheitsmaßnahmen als dieselbe Tätigkeit im Kerngeschäft.
• 3.3 Ersetzbarkeit am Markt: Kann eine ausgefallene Leistung nicht oder nur schwer bei einem anderen Anbieter bezogen werden, steigen die Auswirkungen auf Kunden und Markt. Eine schwer ersetzbare kritische Tätigkeit verlangt deshalb eine tiefere Ausgestaltung als dieselbe Tätigkeit in einem Markt mit vielen verfügbaren Anbietern.

Parameter 4 — Komplexität der Tätigkeiten

• 4.1 Verflechtung: Je mehr Fachbereiche, Dienstleister, Subdienstleister und Marktinfrastrukturen an einer Leistung mitwirken, desto mehr Übergabepunkte müssen geregelt, überwacht und im Störungsfall beherrscht werden. Eine hohe Verflechtung kann deshalb insbesondere im IKT-Drittparteienrisikomanagement eine tiefere Ausgestaltung begründen.
• 4.2 Taktung: Eine Leistung, die innerhalb von Sekunden oder noch am selben Tag erbracht werden muss, lässt im Störungsfall weniger Reaktionszeit als ein Prozess mit mehrtägiger Frist. Je enger die Taktung, desto enger müssen deshalb auch Überwachung und Wiederanlauf organisiert sein.
• 4.3 IKT-Landschaft: Altsysteme, Eigenentwicklungen, zahlreiche Schnittstellen und technisch eigenständige Zugangskanäle erhöhen Angriffsfläche und Steuerungsaufwand. Je heterogener und verwachsener die Landschaft, desto tiefer müssen Regelungen, Kontrollen und Nachweise ausgestaltet sein.

Ich würde die zwölf Kenngrößen am Ende bewusst nicht zu einer Gesamtnote aggregieren. Die Aussage des Profils liegt in ihrer Konstellation, nicht in ihrem Mittelwert. Ein Haus kann bei Größe und Gesamtrisikoprofil unauffällig sein und trotzdem bei einzelnen Tätigkeiten oder im Betrieb deutliche Spitzen aufweisen. Eine Gesamtnote würde genau die Information löschen, wegen der das Profil überhaupt erstellt wird.

Stellschrauben der Ausgestaltung

Kommen wir nun zu meiner zweiten eingangs erwähnten Frage: Welche Ausgestaltungsoptionen gibt es überhaupt?

Denn das Verhältnismäßigkeitsprofil allein hilft noch niemandem, solange nicht klar ist, an welchen Stellen überhaupt schlanker, tiefer, umfassender oder detaillierter ausgestaltet werden kann. Ich habe daher zehn praxisnahe Stellschrauben zusammengetragen.

Wichtig dabei ist: Verhältnismäßigkeit ist keine Einbahnstraße nach unten. Ein Haus kann einzelne Stellschrauben niedriger ansetzen und zugleich an anderen Stellen deutlich mehr verlangen. Welche Kombination zum jeweiligen Haus passt, muss argumentativ hergeleitet werden.

1. Zahl der Dokumente: Die Anforderungen können in zahlreichen eigenständigen Dokumenten geregelt oder themenübergreifend in einer schlanken Richtlinie gebündelt werden.
2. Formalisierungsgrad: Verfahrens- und Arbeitsanweisungen können auf Ebene der fachlichen Teams eigenständig festgelegt oder dem Leitungsorgan zur formellen Genehmigung vorgelegt werden.
3. Detailtiefe der Vorgaben: Die Regelungstiefe reicht von grundsätzlichen Vorgaben bis zu konkreten Abläufen mit detailliert beschriebenen Arbeitsschritten.
4. Anwendungsbereich: Eine Regelung kann sich auf kritische oder wichtige Funktionen, bestimmte Systeme oder den gesamten IKT-Bestand erstrecken.
5. Turnus von Reviews und Berichten: Reviews und Berichte können anlassbezogen, jährlich, monatlich oder wöchentlich erfolgen.
6. Ausgereiftheit der Methoden: Das methodische Spektrum reicht von einfachen checklistenbasierten Self-Assessments und Expertenschätzungen bis hin zu formalisierten Szenarioanalysen und quantitativen Modellen.
7. Umfang der Nachweise: Die Nachweisführung kann sich auf die Dokumentation des Ergebnisses beschränken oder zusätzlich die einzelnen Schritte der Durchführung umfassen.
8. Rollentrennung: Mehrere fachliche Rollen können bei einer Person gebündelt oder auf eigenständige Funktionen und Organisationseinheiten verteilt werden. Voraussetzung ist, dass mögliche Interessenkonflikte wirksam begrenzt werden.
9. Werkzeugunterstützung: Die technische Unterstützung reicht von gepflegten Excel-Listen und dezentral vorgehaltenen Nachweisen bis zu spezialisierten Systemen wie einer vollständigen CMDB, einem zentralen Berechtigungsmanagement, einer zentralen Lösung für das Protokolldatenmanagement oder einem vollwertigen SIEM.
10. Automatisierungsgrad: Kontrollen und Überwachung können manuell in festgelegten Takten oder automatisiert bis hin zur Erkennung und Meldung von Auffälligkeiten in Echtzeit erfolgen. Die Werkzeugunterstützung beschreibt, welches Werkzeug vorhanden ist. Der Automatisierungsgrad zeigt, wie viel davon ohne menschliches Zutun läuft.

Vom Profil zur Argumentation: ein Musterfall

Und nun zur dritten Frage: Wie lässt sich sauber herleiten, welche Ausgestaltung zum jeweiligen Haus passt? Wie eingangs dargestellt, wird es hier tatsächlich kompliziert, denn . Eine Formel, die auf Knopfdruck die richtige Ausgestaltung liefert, gibt es nicht. Die Transparenz über Verhältnismäßigkeitsprofil und Ausgestaltungsstellschrauben ermöglicht aber eine deutlich bessere Herleitung einzelner Entscheidungen.

Dazu ein Beispiel: eine regionale Genossenschaftsbank mit gut 4 Mrd. Euro Bilanzsumme und 180.000 aktiven Kundenbeziehungen, die ausschließlich in Deutschland tätig ist. Kernbankverfahren und Abwicklung liegen beim Verbunddienstleister. Instant Payments gehören nicht zum Kerngeschäft, müssen aber innerhalb von Sekunden funktionieren.

Das Profil wirkt auf den ersten Blick unauffällig: keine besondere Größe, keine herausgehobene Marktstellung und kein auffälliges Gesamtrisikoprofil. Zwei Werte stechen jedoch hervor: die erhöhte Verflechtung mit anderen Marktteilnehmern und die hohe Taktung im Zahlungsverkehr.

Was folgt daraus? Zunächst keine pauschale Aussage wie: „Kleines Haus, also schlanke Umsetzung.“ Das Profil zeigt vielmehr, wo das Haus eine schlankere Ausgestaltung begründen kann – und wo gerade nicht.

• Schlanker im eigenen Regelwerk: Weil Kernverfahren und Abwicklung beim Verbunddienstleister liegen, teilt sich die Prozesswelt in einen extern erbrachten und einen im Haus verbleibenden Anteil. Die Bank muss die technischen Verfahren des Dienstleisters nicht duplizieren, aber die verbleibenden „Prozess-Schnipsel“ und Übergabepunkte konkret regeln.
• Tiefer im IKT-BCM und Notfallmanagement: Die Taktung im Profil steht auf „sehr hoch“. Ein Ausfall der Instant Payments wäre für die betroffenen Kunden unmittelbar spürbar. Deshalb braucht es feste Reaktionszeiten, klare Wiederanlaufziele und regelmäßig erprobte Meldewege.
• Nicht automatisch zusätzliche eigene Werkzeuge: Betreibt der Dienstleister bereits geeignete technische Sicherheitslösungen, muss die Bank diese nicht ein zweites Mal aufbauen. Sie benötigt aber die erforderlichen Informationen, um seine Leistung fortlaufend zu kontrollieren und bei Abweichungen reagieren zu können.

Zusammengenommen ergibt sich ein ungleichmäßiges Bild: schlank bei den eigenen technischen Detailregelungen, tief an den kritischen Schnittstellen und im Notfallmanagement. Genau das ist Verhältnismäßigkeit in der Praxis.

Die Grenzen des Profils

Wer nun glaubt, mit dem Verhältnismäßigkeitsprofil alle Diskussionen im Keim ersticken oder sämtliche Anforderungen kleinreden zu können, den muss ich enttäuschen.

• Verhältnismäßigkeit erlaubt kein Weglassen. Bei den jeweils anwendbaren Mindestanforderungen des RTS ist nach unten Schluss: ausgestalten ja, streichen nein. Wer eine anwendbare Anforderung nicht erfüllt, dokumentiert einen Rechtsverstoß – keine Risikoakzeptanz.
• Verhältnismäßigkeit deckelt nicht nach oben. Verhältnismäßigkeit kann ebenso begründen, dass ein Haus mehr tun muss. Die BaFin formuliert dazu in ihren Umsetzungshinweisen auf Seite 19: „Die im RTS RMF gelisteten Maßnahmen stellen Mindestanforderungen dar und sollten nicht als abschließend interpretiert werden. Flankierende Maßnahmen zu den Mindestanforderungen können auch hier nach dem Grundsatz der Verhältnismäßigkeit eingefordert werden.“
• Verhältnismäßigkeit führt zu mehr Diskussionen, nicht zu weniger. Gerade in der Sparkassen- und Genossenschaftswelt prägen Verbands- und Rechenzentrumsstandards die DORA-Umsetzung. Solche Standards arbeiten zwangsläufig mit Typisierungen und gemeinsamen Annahmen. Kein Haus entspricht jedoch vollständig diesem Durchschnitt. Das wird sichtbar, sobald man die Verhältnismäßigkeitsprofile zweier Verbundhäuser nebeneinanderlegt. Der kollektive Standard und der hausindividuelle Befund können in beide Richtungen auseinanderlaufen. Diese Abweichung muss besprochen und entschieden werden, denn Art. 4 DORA adressiert das einzelne Finanzunternehmen – nicht den Verbund.
• Das Profil garantiert kein konfliktfreies Prüfungsgespräch. Der Prüfer kann eine Kenngröße anders einstufen oder aus ihr eine andere Konsequenz ableiten. Hinzu kommen Erwartungen, die sich über Jahre in der Prüfungspraxis entwickelt haben: bei Review-Zyklen, Berichtsfrequenzen, Rollenmodellen und Werkzeugen. Häufig orientieren sie sich auch daran, was sich bei vergleichbaren Häusern als Standard etabliert hat. Das Profil beseitigt diesen Vergleich nicht. Es zwingt aber dazu, ihn zu diskutieren.

Das Profil beendet keine dieser Diskussionen. Es schafft die Grundlage, auf der sie geführt werden können.

Wie diskutiert ihr heute über Verhältnismäßigkeit – und was wurde in euren DORA-Prüfungsgesprächen tatsächlich verlangt?

PS. S: Meinen LinkedIn-Newsletter könnt ihr übrigens auch abonnieren 🙂