DORA, GwG, PSD3 und Solvency II
Datensicherung und Archivierung für Finanzdienstleister
Banken, Versicherungen, Zahlungsdienstleister und Asset Manager teilen eine gemeinsame Compliance-Last: Daten müssen nicht nur sicher sein — sie müssen nachweisbar unveränderbar, vollständig und jederzeit prüfbar vorliegen. Gegenüber BaFin, Staatsanwaltschaft und Wirtschaftsprüfern.
DORA ist seit Januar 2025 verbindlich. Und Backup ist jetzt regulierter Kern.
Der () ist kein Rahmenwerk für Großbanken. Er gilt für nahezu alle regulierten Finanzmarktteilnehmer: Kreditinstitute, Versicherungen, Wertpapierfirmen, Zahlungsdienstleister, Asset Manager — und, mit gestuften Anforderungen, auch für Sparkassen und Genossenschaftsbanken. Artikel 9 verpflichtet zur nachweisbaren Umsetzung von IKT-Risikomanagement. Artikel 12 macht Backup-Systeme explizit zum Gegenstand regulatorischer Prüfung.
Das entscheidende Wort in Art. 12 ist nicht "Backup" — es ist "nachweisbar". Backup-Systeme müssen dokumentiert, geprüft und in ihrer Integrität belegbar sein. Eine policyseitige Konfiguration, die ein Administrator deaktivieren könnte, reicht dafür nicht aus. Revisoren und Aufsichtsbehörden verlangen technische Evidenz — keine Prozessbeschreibungen.
Was DORA Art. 12 konkret bedeutet
Artikel 12 fordert, dass Finanzunternehmen IKT-bezogene Backup-Systeme einrichten, die:
- isoliert sind — logisch oder physisch getrennt vom primären Produktionsnetz,
- integer sind — Backup-Daten dürfen nicht durch denselben Angriff kompromittiert werden, der die Primärsysteme trifft,
- nachweislich wiederherstellbar sind — Wiederherstellungsprozesse müssen regelmäßig getestet und dokumentiert sein.
Eine softwarebasierte Netzwerktrennung ("logical air gap") erfüllt diese Anforderung nur eingeschränkt: Sie besteht solange, wie die Konfiguration korrekt ist und kein Angreifer ausreichende Rechte erlangt. Die BaFin hat in ihren BAIT-Hinweisen (AT 7.3 Auslagerungen) explizit auf die Schwachstellen rein logischer Trennungen hingewiesen.
Ein physischer — Netzwerktrennung auf Hardware-Ebene, die nach jedem Backup-Job automatisch aktiviert wird — bietet das, was Art. 12 meint, wenn es "Isolierung" fordert: eine Trennung, die keine Software, kein Angreifer und kein kompromittiertes Konto aufheben kann.
DORA
DORA (Digital Operational Resilience Act, EU 2022/2554) ist eine EU-Verordnung, die seit Januar 2025 für alle regulierten Finanzmarktteilnehmer gilt und konkrete Anforderungen an IKT-Risikomanagement, Backup-Systeme (Art. 11 und 12), Drittanbieter-Management (Art. 28–30) sowie Incident-Meldung stellt.
IT-Resilienz
IT-Resilienz ist die Fähigkeit einer IT-Infrastruktur, unter widrigen Bedingungen — von Cyberangriffen über Hardwareausfälle bis zu Naturkatastrophen — funktionsfähig zu bleiben oder die Funktionsfähigkeit in definierter Zeit wiederherzustellen, sodass kritische Geschäftsprozesse aufrechterhalten werden.
DORA
DORA (Digital Operational Resilience Act, EU 2022/2554) ist eine EU-Verordnung, die seit Januar 2025 für alle regulierten Finanzmarktteilnehmer gilt und konkrete Anforderungen an IKT-Risikomanagement, Backup-Systeme (Art. 11 und 12), Drittanbieter-Management (Art. 28–30) sowie Incident-Meldung stellt.
DORA
DORA (Digital Operational Resilience Act, EU 2022/2554) ist eine EU-Verordnung, die seit Januar 2025 für alle regulierten Finanzmarktteilnehmer gilt und konkrete Anforderungen an IKT-Risikomanagement, Backup-Systeme (Art. 11 und 12), Drittanbieter-Management (Art. 28–30) sowie Incident-Meldung stellt.
DORA
DORA (Digital Operational Resilience Act, EU 2022/2554) ist eine EU-Verordnung, die seit Januar 2025 für alle regulierten Finanzmarktteilnehmer gilt und konkrete Anforderungen an IKT-Risikomanagement, Backup-Systeme (Art. 11 und 12), Drittanbieter-Management (Art. 28–30) sowie Incident-Meldung stellt.
Air Gap
Ein Air Gap ist die physische Unterbrechung jeder Netzwerkverbindung zwischen einem Backup-System und der übrigen IT-Infrastruktur, sodass das System im Offline-Zustand keine adressierbare Netzwerkschnittstelle besitzt und damit für Ransomware und Angreifer unerreichbar ist.
DORA
DORA (Digital Operational Resilience Act, EU 2022/2554) ist eine EU-Verordnung, die seit Januar 2025 für alle regulierten Finanzmarktteilnehmer gilt und konkrete Anforderungen an IKT-Risikomanagement, Backup-Systeme (Art. 11 und 12), Drittanbieter-Management (Art. 28–30) sowie Incident-Meldung stellt.
Das Silent Brick System. Physischer Air Gap für DORA Art. 12.
Das Silent Brick System realisiert Netzwerktrennung nicht durch Firewall-Regeln oder Softwarekonfiguration, sondern durch Hardware. Silent Brick Pro und Silent Brick Max Air trennen die Netzwerkverbindung nach Abschluss des Backup-Jobs auf Geräteebene — mechanisch, nicht logisch. Während der Trennungsphase ist das System für kein Gerät im Netzwerk erreichbar, unabhängig davon, welche Zugriffsrechte ein Nutzer oder ein Angreifer besitzt.
Für die -Compliance bedeutet das:
- Die Isolierung ist eine physikalische Eigenschaft, kein Konfigurationsparameter
- Backup-Daten können durch einen -Angriff auf die Produktionsumgebung nicht erreicht werden
- Die Trennung ist protokollierbar und damit auditierbar — ein lückenloser Nachweis für Art. 12-Prüfungen
Das Silent Brick System ist kompatibel mit Veeam, Commvault und Acronis. Es fügt sich damit in bestehende Backup-Architekturen ein, ohne Prozesse oder Lizenzen zu ersetzen. Die Klassifizierung als -geeignet und BSI-konform erleichtert den Nachweis gegenüber der BaFin und bei internen Revisionen.
DORA
DORA (Digital Operational Resilience Act, EU 2022/2554) ist eine EU-Verordnung, die seit Januar 2025 für alle regulierten Finanzmarktteilnehmer gilt und konkrete Anforderungen an IKT-Risikomanagement, Backup-Systeme (Art. 11 und 12), Drittanbieter-Management (Art. 28–30) sowie Incident-Meldung stellt.
KRITIS
KRITIS bezeichnet Organisationen und Einrichtungen, deren Ausfall oder Beeinträchtigung zu erheblichen Versorgungsengpässen oder Gefährdungen der öffentlichen Sicherheit führen würde — KRITIS-Betreiber unterliegen nach §8a BSI-Gesetz verschärften Anforderungen an IT-Sicherheit und müssen diese alle zwei Jahre gegenüber dem BSI nachweisen.
Ransomware
Ransomware ist Schadsoftware, die Daten auf infizierten Systemen verschlüsselt und ein Lösegeld für die Entschlüsselung fordert — mit dem Ziel, Unternehmen und Behörden zur Zahlung zu zwingen, indem sie deren Betrieb lahmlegen.
PSD3: Zahlungsverkehr unter verschärfter Aufzeichnungspflicht #
Die überarbeitete Zahlungsdienste-Richtlinie (PSD3, derzeit im EU-Gesetzgebungsverfahren) und die parallel verabschiedete Payment Services Regulation (PSR) verschärfen die Anforderungen an Zahlungsdienstleister in mehreren Dimensionen:
Streitfallmanagement und Beweislast. PSD3 stärkt die Rechte von Zahlern bei nicht autorisierten Transaktionen und verschiebt in bestimmten Fällen die Beweislast auf den Zahlungsdienstleister. Wer bei einer Kundenbeschwerde nicht lückenlos nachweisen kann, dass eine Transaktion autorisiert wurde — mit vollständigen Logs, unverändertem Zeitstempel und Authentifizierungsnachweis — steht in der Haftung. Diese Nachweise müssen über den gesamten gesetzlichen Aufbewahrungszeitraum unveränderbar vorliegen.
Fraud-Daten und Meldepflichten. PSR Art. 83 verpflichtet Zahlungsdienstleister zur Übermittlung von Betrugsdaten an die zuständigen Behörden. Die dafür erforderlichen Transaktionsdaten und Authentifizierungsprotokolle müssen nachweislich integer sein — eine softwarebasierte Archivierung, die im Nachhinein modifizierbar ist, genügt den Anforderungen an Beweismittelqualität nicht.
Starke Kundenauthentifizierung (SCA). Authentifizierungsprotokolle nach PSD3/PSR müssen so archiviert werden, dass im Streitfall der vollständige SCA-Nachweis reproduzierbar ist. Fehlende oder nachträglich veränderte Authentifizierungslogs sind in Aufsichts- und Gerichtsverfahren nicht verwertbar.
Silent Cubes archivieren Transaktionsdaten, Authentifizierungslogs und Streitfalldokumentation auf Hardware- — ohne Möglichkeit nachträglicher Veränderung durch interne oder externe Akteure. Jeder Datensatz trägt einen unveränderlichen Zeitstempel und ist vollständig auditierbar.
⚠️ Hinweis: PSD3/PSR befinden sich zum Zeitpunkt dieser Veröffentlichung im finalen Gesetzgebungsverfahren. Die genauen Umsetzungsfristen für nationale Gesetzgeber stehen noch nicht endgültig fest. Die hier beschriebenen Anforderungen basieren auf dem aktuellen Verhandlungsstand. Eine Rechtsberatung ist für institutsspezifische Fragen empfohlen.
GwG / AML: Geldwäsche-Compliance erfordert unveränderbare Aufzeichnungen #
Das Geldwäschegesetz (GwG) in seiner aktuellen Fassung sowie die EU Anti-Money-Laundering-Verordnung (AMLA-Verordnung, in Kraft seit 2024, schrittweise Anwendung ab 2027) stellen Finanzdienstleister vor spezifische Datenarchivierungs-Anforderungen:
Aufbewahrungspflicht nach § 8 GwG. Verpflichtete nach GwG — darunter Kreditinstitute, Versicherungen, Finanzdienstleister, Factoring-Unternehmen und Leasinggesellschaften — müssen Unterlagen über Sorgfaltspflichten und Transaktionen mindestens 5 Jahre aufbewahren. Die Frist beginnt mit dem Ende der Geschäftsbeziehung oder dem Datum der Transaktion. Die Aufzeichnungen müssen vollständig, lesbar und gegenüber Strafverfolgungsbehörden und der FIU (Financial Intelligence Unit) unverzüglich abrufbar sein.
Unveränderlichkeit als Beweismittelvoraussetzung. GwG-Unterlagen dienen im Ernstfall als Beweismittel in Strafverfahren. Unterlagen, bei denen eine nachträgliche Manipulation technisch möglich ist, werden von Staatsanwaltschaften und Gerichten in Frage gestellt. Hardware- ist der einzige Speichermechanismus, der eine technische Unmanipulierbarkeit auf physikalischer Ebene garantiert — unabhängig von Zugriffsrechten, Softwareversionen oder administrativen Eingriffen.
Know Your Customer (KYC) und Customer Due Diligence (CDD). Identifikationsdaten, Legitimationsprüfungen, wirtschaftlich Berechtigte — all diese KYC-Unterlagen unterliegen der GwG-Aufbewahrungspflicht. Da diese Daten in der Regel personenbezogene Informationen enthalten, müssen sie gleichzeitig -konform verarbeitet und gesichert werden: On-Premise-Betrieb ohne Cloud-Transfer schließt die regulatorische Grauzone zwischen GwG-Aufbewahrungspflicht und -Datensparsamkeitsprinzip.
EU AMLA-Verordnung (ab 2027). Die neue EU-Geldwäschebehörde (AMLA) erhält direkte Aufsichtsbefugnisse über bestimmte Hochrisiko-Institute und wird eigene Dokumentationsanforderungen stellen. Institutionen, die heute auf unveränderliche, prüfbare Archivstrukturen setzen, reduzieren den Anpassungsaufwand bei AMLA-Prüfungen erheblich.
Silent Cubes erfüllen die GwG-Aufbewahrungspflicht technisch: 5‑Jahres-Retention beim Einschreiben konfiguriert, Hardware- ohne Administratorzugriff, vollständiges Audit-Log über jeden Lesezugriff. Kein Cloud-Transfer — KYC-Daten verlassen die eigene Infrastruktur nicht.
Datenretention & Governance: Wenn Aufbewahrung selbst zum Risiko wird #
Finanzdienstleister stehen vor einer regulatorischen Zwickmühle: Zu kurze Aufbewahrung verletzt Compliance-Pflichten. Zu lange Aufbewahrung verstößt gegen -Datensparsamkeit. Fehlende Governance macht beide Risiken unkontrollierbar.
Das Retention-Governance-Problem in der Praxis:
Typische Finanzinstitutionen verwalten Dutzende verschiedener Datenkategorien mit unterschiedlichen Aufbewahrungsfristen: GwG-Unterlagen (5 Jahre), WpHG-Transaktionsdaten (5 Jahre nach § 83 WpHG), -relevante Buchhaltungsunterlagen (10 Jahre nach AO § 147), Handelsunterlagen (6 – 10 Jahre nach HGB § 257), Kreditakten (variable Fristen nach MaRisk), Versicherungspolicen und Schadensakten (je nach Produkt). Jede Kategorie hat eigene Startzeitpunkte, Löschpflichten und Zugriffsbeschränkungen.
Technische Konsequenz: Ein Archivierungssystem, das diese Anforderungen erfüllt, muss Retention-Fristen pro Datensatz konfigurierbar und erzwingbar machen — nicht als Policy-Einstellung, sondern als physikalische Eigenschaft. Silent Cubes erlauben es, für jeden eingeschriebenen Datensatz eine individuelle Retention-Periode zu setzen, die weder durch Administratoren noch durch Softwarefehler überschrieben werden kann. Nach Ablauf der Frist ist eine geordnete Löschung möglich — ein wesentliches Element der -Compliance.
Audit Trail als Governance-Werkzeug. Jeder Zugriff auf archivierte Daten wird lückenlos protokolliert: wer hat welche Datei wann aufgerufen, welche Exporte wurden durchgeführt, welche Systeme haben auf welche Datensätze zugegriffen. Dieser Audit Trail ist für Datenschutzfolgeabschätzungen (DPIA nach Art. 35), für interne Compliance-Reviews und für behördliche Prüfungen unverzichtbar.
Betrug & Streitfälle: Archivierung als rechtliche Verteidigungslinie #
Im Streitfall zwischen Finanzinstitut und Kunde — oder zwischen Finanzinstitut und Regulierungsbehörde — entscheidet die Qualität der Dokumentation. Digitale Aufzeichnungen, bei denen eine Manipulation technisch möglich ist, sind vor Gericht angreifbar.
Transaktionsarchivierung für Fraud-Fälle. Wenn ein Kunde eine Transaktion bestreitet, muss das Institut beweisen, dass die Transaktion autorisiert wurde. Dazu gehören: Transaktionsdaten mit unveränderlichem Zeitstempel, Authentifizierungsprotokolle (SCA, OTP, Biometrie-Logs), IP-Adressen und Session-Daten, ggf. Call-Center-Recordings und Chat-Protokolle. All diese Daten müssen in beweismitteltauglicher Qualität vorliegen — manipulationssicher und mit lückenlosem Chain-of-Custody-Nachweis.
Chargeback- und Dispute-Verfahren. Zahlungsnetzwerke (Visa, Mastercard) und Acquirer verlangen im Dispute-Verfahren innerhalb enger Fristen vollständige Transaktionsnachweise. Sind diese nicht sofort abrufbar oder fehlt der Unveränderlichkeitsnachweis, verliert das Institut automatisch den Streitfall — unabhängig von der sachlichen Berechtigung.
Regulatorische Sanktionsverfahren. BaFin-Verfahren, EBA-Prüfungen und nationale Strafverfolgung setzen voraus, dass vorgelegte Unterlagen nicht nachträglich verändert wurden. Ein Hardware- liefert diesen Nachweis auf physikalischer Ebene — nicht als Erklärung, sondern als technische Eigenschaft des Speichermediums.
Silent Cubes und das Silent Brick System speichern alle relevanten Datensätze mit unveränderlichem Zeitstempel, Hardware--Schutz und vollständigem Audit-Log. Der Nachweis der Unverändertheit ist für jeden Datensatz einzeln abrufbar — ein entscheidender Vorteil gegenüber softwarebasierten Archivlösungen, bei denen Unveränderlichkeit lediglich konfiguriert, nicht aber physikalisch garantiert ist.
WORM
WORM (Write Once, Read Many) bezeichnet ein Speicherprinzip, bei dem Daten einmal geschrieben und danach technisch nicht mehr verändert oder gelöscht werden können — bei Hardware-WORM ist diese Unveränderlichkeit eine physikalische Eigenschaft des Speicher-Controllers, unabhängig von Software, Betriebssystem oder Benutzerprivilegien.
WORM
WORM (Write Once, Read Many) bezeichnet ein Speicherprinzip, bei dem Daten einmal geschrieben und danach technisch nicht mehr verändert oder gelöscht werden können — bei Hardware-WORM ist diese Unveränderlichkeit eine physikalische Eigenschaft des Speicher-Controllers, unabhängig von Software, Betriebssystem oder Benutzerprivilegien.
DSGVO
Die DSGVO (Datenschutz-Grundverordnung, EU 2016/679) ist die europäische Regulierung zum Schutz personenbezogener Daten — für IT-Infrastruktur besonders relevant in Art. 5 (Grundsätze), Art. 17 (Recht auf Löschung), Art. 28 (Auftragsverarbeiter) und Art. 32 (Sicherheit der Verarbeitung).
DSGVO
Die DSGVO (Datenschutz-Grundverordnung, EU 2016/679) ist die europäische Regulierung zum Schutz personenbezogener Daten — für IT-Infrastruktur besonders relevant in Art. 5 (Grundsätze), Art. 17 (Recht auf Löschung), Art. 28 (Auftragsverarbeiter) und Art. 32 (Sicherheit der Verarbeitung).
WORM
WORM (Write Once, Read Many) bezeichnet ein Speicherprinzip, bei dem Daten einmal geschrieben und danach technisch nicht mehr verändert oder gelöscht werden können — bei Hardware-WORM ist diese Unveränderlichkeit eine physikalische Eigenschaft des Speicher-Controllers, unabhängig von Software, Betriebssystem oder Benutzerprivilegien.
DSGVO
Die DSGVO (Datenschutz-Grundverordnung, EU 2016/679) ist die europäische Regulierung zum Schutz personenbezogener Daten — für IT-Infrastruktur besonders relevant in Art. 5 (Grundsätze), Art. 17 (Recht auf Löschung), Art. 28 (Auftragsverarbeiter) und Art. 32 (Sicherheit der Verarbeitung).
GoBD
Die GoBD (Grundsätze zur ordnungsmäßigen Führung und Aufbewahrung von Büchern, Aufzeichnungen und Unterlagen in elektronischer Form sowie zum Datenzugriff) sind ein BMF-Schreiben, das konkretisiert, wie steuerrelevante Dokumente in Deutschland elektronisch archiviert werden müssen — insbesondere hinsichtlich Unveränderlichkeit, Vollständigkeit und Prüfbarkeit.
DSGVO
Die DSGVO (Datenschutz-Grundverordnung, EU 2016/679) ist die europäische Regulierung zum Schutz personenbezogener Daten — für IT-Infrastruktur besonders relevant in Art. 5 (Grundsätze), Art. 17 (Recht auf Löschung), Art. 28 (Auftragsverarbeiter) und Art. 32 (Sicherheit der Verarbeitung).
DSGVO
Die DSGVO (Datenschutz-Grundverordnung, EU 2016/679) ist die europäische Regulierung zum Schutz personenbezogener Daten — für IT-Infrastruktur besonders relevant in Art. 5 (Grundsätze), Art. 17 (Recht auf Löschung), Art. 28 (Auftragsverarbeiter) und Art. 32 (Sicherheit der Verarbeitung).
WORM
WORM (Write Once, Read Many) bezeichnet ein Speicherprinzip, bei dem Daten einmal geschrieben und danach technisch nicht mehr verändert oder gelöscht werden können — bei Hardware-WORM ist diese Unveränderlichkeit eine physikalische Eigenschaft des Speicher-Controllers, unabhängig von Software, Betriebssystem oder Benutzerprivilegien.
WORM
WORM (Write Once, Read Many) bezeichnet ein Speicherprinzip, bei dem Daten einmal geschrieben und danach technisch nicht mehr verändert oder gelöscht werden können — bei Hardware-WORM ist diese Unveränderlichkeit eine physikalische Eigenschaft des Speicher-Controllers, unabhängig von Software, Betriebssystem oder Benutzerprivilegien.
WORM
WORM (Write Once, Read Many) bezeichnet ein Speicherprinzip, bei dem Daten einmal geschrieben und danach technisch nicht mehr verändert oder gelöscht werden können — bei Hardware-WORM ist diese Unveränderlichkeit eine physikalische Eigenschaft des Speicher-Controllers, unabhängig von Software, Betriebssystem oder Benutzerprivilegien.
Silent Cubes. Revisionssicheres Archiv für GoBD, HGB, GwG und DSGVO.
Neben den -Anforderungen an Backup-Systeme bleibt die langfristige Pflichtarchivierung eine eigenständige Compliance-Dimension:
- HGB §§ 238, 257 und : Handelsbücher, Jahresabschlüsse, Buchungsbelege — 10 Jahre, unveränderbar
- AO § 147: Steuerrelevante Unterlagen — 10 Jahre
- GwG § 8: KYC-Unterlagen, Sorgfaltspflichten, Transaktionsdokumentation — 5 Jahre
- WpHG § 83: Aufzeichnungen über Wertpapierdienstleistungen — 5 Jahre
- MaRisk: Aufbewahrung von Risikoberichten, Kreditakten, Handelsunterlagen mit vollständigem Audit Trail
- Art. 5 (1) e, Art. 32: Integrität personenbezogener Daten während der gesamten Aufbewahrungsfrist
Silent Cubes erzwingen Unveränderlichkeit auf der einzigen Ebene, die keine Software aushebeln kann: dem Hardware-Controller. Kein Administrator, kein -Angriff und kein privilegiertes Dienstkonto kann einen einmal gespeicherten Datensatz verändern oder vorzeitig löschen. Die Retentionsfrist wird beim Einschreiben konfiguriert — für 10 Jahre bei -relevantem Material, für 5 Jahre bei GwG-Unterlagen, für jahrzehntelange Aufbewahrung bei Versicherungsschadensakten.
Für Wirtschaftsprüfer, Aufsichtsbehörden und Staatsanwaltschaften ist der Unterschied zu softwarebasierter Archivierung kein theoretischer: ist eine physikalische Eigenschaft. Software- ist eine Richtlinie, die jemand einhalten kann oder nicht.
DORA
DORA (Digital Operational Resilience Act, EU 2022/2554) ist eine EU-Verordnung, die seit Januar 2025 für alle regulierten Finanzmarktteilnehmer gilt und konkrete Anforderungen an IKT-Risikomanagement, Backup-Systeme (Art. 11 und 12), Drittanbieter-Management (Art. 28–30) sowie Incident-Meldung stellt.
Ransomware
Ransomware ist Schadsoftware, die Daten auf infizierten Systemen verschlüsselt und ein Lösegeld für die Entschlüsselung fordert — mit dem Ziel, Unternehmen und Behörden zur Zahlung zu zwingen, indem sie deren Betrieb lahmlegen.
GoBD
Die GoBD (Grundsätze zur ordnungsmäßigen Führung und Aufbewahrung von Büchern, Aufzeichnungen und Unterlagen in elektronischer Form sowie zum Datenzugriff) sind ein BMF-Schreiben, das konkretisiert, wie steuerrelevante Dokumente in Deutschland elektronisch archiviert werden müssen — insbesondere hinsichtlich Unveränderlichkeit, Vollständigkeit und Prüfbarkeit.
WORM
WORM (Write Once, Read Many) bezeichnet ein Speicherprinzip, bei dem Daten einmal geschrieben und danach technisch nicht mehr verändert oder gelöscht werden können — bei Hardware-WORM ist diese Unveränderlichkeit eine physikalische Eigenschaft des Speicher-Controllers, unabhängig von Software, Betriebssystem oder Benutzerprivilegien.
WORM
WORM (Write Once, Read Many) bezeichnet ein Speicherprinzip, bei dem Daten einmal geschrieben und danach technisch nicht mehr verändert oder gelöscht werden können — bei Hardware-WORM ist diese Unveränderlichkeit eine physikalische Eigenschaft des Speicher-Controllers, unabhängig von Software, Betriebssystem oder Benutzerprivilegien.
WORM
WORM (Write Once, Read Many) bezeichnet ein Speicherprinzip, bei dem Daten einmal geschrieben und danach technisch nicht mehr verändert oder gelöscht werden können — bei Hardware-WORM ist diese Unveränderlichkeit eine physikalische Eigenschaft des Speicher-Controllers, unabhängig von Software, Betriebssystem oder Benutzerprivilegien.
GoBD
Die GoBD (Grundsätze zur ordnungsmäßigen Führung und Aufbewahrung von Büchern, Aufzeichnungen und Unterlagen in elektronischer Form sowie zum Datenzugriff) sind ein BMF-Schreiben, das konkretisiert, wie steuerrelevante Dokumente in Deutschland elektronisch archiviert werden müssen — insbesondere hinsichtlich Unveränderlichkeit, Vollständigkeit und Prüfbarkeit.
DSGVO
Die DSGVO (Datenschutz-Grundverordnung, EU 2016/679) ist die europäische Regulierung zum Schutz personenbezogener Daten — für IT-Infrastruktur besonders relevant in Art. 5 (Grundsätze), Art. 17 (Recht auf Löschung), Art. 28 (Auftragsverarbeiter) und Art. 32 (Sicherheit der Verarbeitung).
Versicherungen: Eigene Regulierung, dieselbe Infrastruktur #
Versicherungsunternehmen unterliegen einem eigenständigen Regulierungsrahmen — mit spezifischen Anforderungen, die über und hinausgehen.
Solvency II (EU-Richtlinie 2009/138/EG, laufend aktualisiert). Das Säulenmodell von Solvency II schreibt in Säule II (Governance) und Säule III (Berichtspflichten) umfangreiche Dokumentations- und Aufbewahrungspflichten vor. ORSA-Berichte (Own Risk and Solvency Assessment), Risikomanagementdokumente, Kapitalmodelle und Governance-Protokolle müssen revisionssicher archiviert und für BaFin-Prüfungen jederzeit verfügbar sein.
VAG (Versicherungsaufsichtsgesetz). § 23 ff. VAG verpflichtet Versicherungsunternehmen zur ordnungsgemäßen Geschäftsorganisation, einschließlich des Risikomanagements und der internen Kontrolle. Unterlagen, die die Einhaltung dieser Anforderungen belegen — interne Audits, Compliance-Berichte, Vorstands- und Aufsichtsratsprotokolle — müssen so archiviert sein, dass ihre Authentizität im Prüfungsfall belegt werden kann.
IDD (Insurance Distribution Directive, EU 2016⁄97 / VVG § 61 ff.). Die Versicherungsvertriebsrichtlinie schreibt vor, dass Beratungsprotokolle, Geeignetheitsdokumentationen und Vertragsdokumente nachweisbar vollständig und unveränderbar aufbewahrt werden. Im Streitfall über eine Falschberatung ist das Institut beweispflichtig — mit nachweisbar unveränderten Originaldokumenten aus dem Beratungsgespräch.
Schadensakten und Rückversicherung. Schadensakten bei Lebens- und Unfallversicherungen können Aufbewahrungsfristen von 30 Jahren und mehr erfordern (insbesondere bei Berufsunfähigkeit, Haftpflicht und Unfallprodukten). Rückversicherungsverträge und ‑abrechnungen unterliegen ihrerseits handels- und steuerrechtlichen Fristen. Silent Cubes sind für genau diese Anforderung ausgelegt: Long-Term-Retention mit konfigurierbaren Fristen pro Datensatz, ohne Degradation der Speichermedien über Jahrzehnte.
Kfz-Haftpflicht und Schadensprüfung. Große Versicherer verwalten Millionen von Schadenmeldungen, Gutachten, Fotos und Korrespondenz. Diese Daten müssen für Regress-Verfahren, gerichtliche Auseinandersetzungen und interne Prüfungen über viele Jahre verfügbar und nachweislich unverändert bleiben. Zugleich enthalten sie in der Regel sensitive personenbezogene Daten — -konforme On-Premise-Archivierung ohne Cloud-Transfer ist hier keine Präferenz, sondern Pflicht.
DORA
DORA (Digital Operational Resilience Act, EU 2022/2554) ist eine EU-Verordnung, die seit Januar 2025 für alle regulierten Finanzmarktteilnehmer gilt und konkrete Anforderungen an IKT-Risikomanagement, Backup-Systeme (Art. 11 und 12), Drittanbieter-Management (Art. 28–30) sowie Incident-Meldung stellt.
GoBD
Die GoBD (Grundsätze zur ordnungsmäßigen Führung und Aufbewahrung von Büchern, Aufzeichnungen und Unterlagen in elektronischer Form sowie zum Datenzugriff) sind ein BMF-Schreiben, das konkretisiert, wie steuerrelevante Dokumente in Deutschland elektronisch archiviert werden müssen — insbesondere hinsichtlich Unveränderlichkeit, Vollständigkeit und Prüfbarkeit.
DSGVO
Die DSGVO (Datenschutz-Grundverordnung, EU 2016/679) ist die europäische Regulierung zum Schutz personenbezogener Daten — für IT-Infrastruktur besonders relevant in Art. 5 (Grundsätze), Art. 17 (Recht auf Löschung), Art. 28 (Auftragsverarbeiter) und Art. 32 (Sicherheit der Verarbeitung).
Silent AI. Regulatorisches Wissen ohne Cloud KI-nutzbar machen.
Compliance-Teams in Banken und Versicherungen arbeiten mit einem kontinuierlich wachsenden Regelwerk: BaFin-Rundschreiben, EBA-Guidelines, AMLA-Regulierung, interne Arbeitsanweisungen, Vertragsunterlagen, SWIFT-Anforderungen. Das Durchsuchen dieser Dokumentation kostet Zeit — und fehlerhafte Auslegungen kosten mehr.
Silent AI bringt KI-gestützte Dokumentenanalyse in die eigene Infrastruktur, ohne dass ein Byte die eigene Umgebung verlässt. Über 15 Konnektoren — darunter SharePoint, DMS-Systeme und strukturierte Dokumentenablagen — werden Quellen zusammengeführt und in einem On-Premise-Wissensassistenten verfügbar gemacht.
Kein Cloud-Transfer. Keine Drittanbieter-Verarbeitung. Keine -Grauzone bei der Verarbeitung vertraulicher Regulierungsdokumente, KYC-Daten oder personenbezogener Kundendaten.
DSGVO
Die DSGVO (Datenschutz-Grundverordnung, EU 2016/679) ist die europäische Regulierung zum Schutz personenbezogener Daten — für IT-Infrastruktur besonders relevant in Art. 5 (Grundsätze), Art. 17 (Recht auf Löschung), Art. 28 (Auftragsverarbeiter) und Art. 32 (Sicherheit der Verarbeitung).
Compliance auf einen Blick #
| Regulierung | Betroffene Institute | Anforderung | FAST LTA Lösung |
|---|---|---|---|
| DORA Art. 12 (EU 2022⁄2554) | Alle regulierten Finanzmarktteilnehmer | Isolierte, integre, nachweislich wiederherstellbare IKT-Backup-Systeme; verbindlich seit 17.01.2025 | Silent Brick Max Air: physischer Hardware-Air-Gap, protokollierbar, KRITIS-geeignet |
| BAIT AT 7.3 (BaFin) | Kreditinstitute | Auslagerungsunabhängige Datensicherung, Schutz vor Datenverlust und ‑manipulation | Air-Gap-Backup ohne Cloud-Abhängigkeit; vollständige Kontrolle über Backup-Infrastruktur |
| PSD3 / PSR | Zahlungsdienstleister, E‑Geld-Institute | Unveränderliche Transaktions- und Authentifizierungsprotokolle für Streitfall- und Fraud-Nachweis | Silent Cubes Hardware-WORM; unveränderlicher Zeitstempel; sofort abrufbar |
| GwG § 8 | Kreditinstitute, Versicherungen, Finanzdienstleister, Factoring, Leasing | KYC-Unterlagen, Transaktionsdokumentation: 5 Jahre unveränderbar, FIU-abrufbar | Hardware-WORM mit 5‑Jahres-Retention; On-Premise ohne Cloud-Transfer |
| EU AMLA-VO | Hochrisiko-Institute (direkte AMLA-Aufsicht ab 2027) | Dokumentationsanforderungen der neuen EU-Geldwäschebehörde | Prüfbare, unveränderliche Archivstruktur — AMLA-ready |
| GoBD (BMF) | Alle buchführungspflichtigen Institute | Unveränderbarkeit, Vollständigkeit, Nachvollziehbarkeit steuerrelevanter Dokumente (10 Jahre) | Silent Cubes Hardware-WORM; konfigurierbare Retentionsfristen; vollständiger Audit Trail |
| HGB §§ 238, 257 | Alle kaufmännischen Institute | Aufbewahrung von Handelsbüchern und Belegen 6 – 10 Jahre | Hardware-WORM mit gesetzeskonformen Fristen; unveränderbar nachweisbar |
| DSGVO Art. 5, 32 | Alle Institute mit personenbezogenen Daten | Integrität und Vertraulichkeit personenbezogener Daten | Hardware-Immutabilität; On-Premise-Betrieb ohne Cloud-Transfer |
| MaRisk | Kreditinstitute | Aufbewahrung von Risikoberichten, Kreditakten, vollständiger Audit Trail | Silent Cubes mit lückenlosem Zugriffs- und Änderungsprotokoll |
| Solvency II / VAG | Versicherungsunternehmen | ORSA-Berichte, Governance-Dokumente, Risikomanagementunterlagen — revisionssicher | Silent Cubes: konfigurierbare Langzeit-Retention, Hardware-WORM, vollständiger Audit Trail |
| IDD / VVG § 61 ff. | Versicherungsvertrieb | Beratungsprotokolle, Geeignetheitsdokumentation — nachweisbar unveränderbar | Hardware-WORM; Chain-of-Custody-Nachweis pro Datensatz |
| WpHG § 83 | Wertpapierdienstleister | Aufzeichnungen über Wertpapierdienstleistungen: 5 Jahre | Silent Cubes mit konfigurierbarer Retention und vollständigem Zugriffslog |
Fragen und Antworten
Ja — mit gestuften Anforderungen. unterscheidet zwischen bedeutenden und weniger bedeutenden Instituten, legt aber keine vollständige Ausnahme für kleinere Institute fest. Sparkassen und Genossenschaftsbanken unterliegen dem -Rahmen, wobei die Verhältnismäßigkeitsregelung (Art. 4) eine risikobasierte Umsetzung erlaubt. Die BaFin hat klargestellt, dass Backup-Anforderungen nach Art. 12 auch für kleinere Institute seit dem 17. Januar 2025 verbindlich sind.
DORA
DORA (Digital Operational Resilience Act, EU 2022/2554) ist eine EU-Verordnung, die seit Januar 2025 für alle regulierten Finanzmarktteilnehmer gilt und konkrete Anforderungen an IKT-Risikomanagement, Backup-Systeme (Art. 11 und 12), Drittanbieter-Management (Art. 28–30) sowie Incident-Meldung stellt.
DORA
DORA (Digital Operational Resilience Act, EU 2022/2554) ist eine EU-Verordnung, die seit Januar 2025 für alle regulierten Finanzmarktteilnehmer gilt und konkrete Anforderungen an IKT-Risikomanagement, Backup-Systeme (Art. 11 und 12), Drittanbieter-Management (Art. 28–30) sowie Incident-Meldung stellt.
Art. 12 fordert, dass Backup-Systeme integer, isoliert und wiederherstellbar sind — und dass dies nachgewiesen werden kann. Ein Prüfer akzeptiert keine rein prozessualen Nachweise ("wir haben eine Richtlinie, dass Backups isoliert sind"). Erwartet werden: technische Konfigurationsdokumentation, regelmäßige Wiederherstellungstests mit protokollierten Ergebnissen, und — bei Backup-Isolierung — ein Mechanismus, der die Isolierung nicht durch Softwarekonfiguration, sondern durch technische Eigenschaft sicherstellt.
DORA
DORA (Digital Operational Resilience Act, EU 2022/2554) ist eine EU-Verordnung, die seit Januar 2025 für alle regulierten Finanzmarktteilnehmer gilt und konkrete Anforderungen an IKT-Risikomanagement, Backup-Systeme (Art. 11 und 12), Drittanbieter-Management (Art. 28–30) sowie Incident-Meldung stellt.
§ 8 GwG schreibt eine Mindestaufbewahrungsdauer von 5 Jahren vor. Betroffen sind alle Unterlagen, die im Rahmen der Erfüllung von Sorgfaltspflichten entstehen: Identifikationsdokumente, Legitimationsnachweise, wirtschaftlich Berechtigte, Risikoeinschätzungen, Transaktionsdokumentation bei auffälligen Sachverhalten, Geschäftskorrespondenz zu Due-Diligence-Vorgängen. Die Frist beginnt mit dem Ende der Geschäftsbeziehung oder dem Datum der jeweiligen Transaktion. Die Unterlagen müssen für die FIU und Strafverfolgungsbehörden unverzüglich abrufbar sein.
Ja — Lebensversicherungsunternehmen und Versicherungsvermittler sind Verpflichtete nach § 2 Abs. 1 Nr. 7 GwG. Sie müssen Sorgfaltspflichten gegenüber Kunden erfüllen und die entsprechenden Unterlagen nach § 8 GwG fünf Jahre aufbewahren. Für Sachversicherungen mit niedrigem Geldwäsche-Risiko gelten vereinfachte Sorgfaltspflichten — die Aufbewahrungspflichten bleiben jedoch bestehen.
Das hängt von der Versicherungssparte ab. Als Richtwerte gelten: Kfz-Haftpflicht und allgemeine Haftpflicht: mindestens 10–30 Jahre (abhängig von Verjährungsfristen und Schadensart), Lebensversicherung: Dauer des Vertrags plus 10 Jahre, Berufsunfähigkeit und Unfallversicherung: bis zu 30 Jahre (Verjährung bei dauerhaften Schäden). Die jeweils anwendbare Verjährungsfrist bestimmt die Mindestaufbewahrungsdauer. mit konfigurierbarer Retention pro Datensatz ist die technisch sauberste Lösung für diese heterogenen Fristen.
WORM
WORM (Write Once, Read Many) bezeichnet ein Speicherprinzip, bei dem Daten einmal geschrieben und danach technisch nicht mehr verändert oder gelöscht werden können — bei Hardware-WORM ist diese Unveränderlichkeit eine physikalische Eigenschaft des Speicher-Controllers, unabhängig von Software, Betriebssystem oder Benutzerprivilegien.
WORM
WORM (Write Once, Read Many) bezeichnet ein Speicherprinzip, bei dem Daten einmal geschrieben und danach technisch nicht mehr verändert oder gelöscht werden können — bei Hardware-WORM ist diese Unveränderlichkeit eine physikalische Eigenschaft des Speicher-Controllers, unabhängig von Software, Betriebssystem oder Benutzerprivilegien.
Ja. Das Silent Brick System ist nativ kompatibel mit Veeam, Commvault und Acronis. Es wird als Backup-Target eingebunden, ohne bestehende Lizenzen, Prozesse oder Backup-Jobs zu ändern. Die Air-Gap-Funktionalität des Silent Brick Max Air ist transparent für die Backup-Software — die Trennung erfolgt nach Abschluss des Jobs automatisch auf Hardware-Ebene.
SWIFT Customer Security Programme (CSP) und die zugehörigen Controls (insbesondere Control 2.2 und 6.1) fordern Schutz von gespeicherten SWIFT-relevanten Daten vor unbefugter Veränderung sowie nachweisbare Integrität. Die -Funktion der Silent Cubes erfüllt diese Anforderungen. SWIFT-spezifische Integrationsfragen besprechen unsere Compliance-Spezialisten gerne im Beratungsgespräch.
WORM
WORM (Write Once, Read Many) bezeichnet ein Speicherprinzip, bei dem Daten einmal geschrieben und danach technisch nicht mehr verändert oder gelöscht werden können — bei Hardware-WORM ist diese Unveränderlichkeit eine physikalische Eigenschaft des Speicher-Controllers, unabhängig von Software, Betriebssystem oder Benutzerprivilegien.
WORM
WORM (Write Once, Read Many) bezeichnet ein Speicherprinzip, bei dem Daten einmal geschrieben und danach technisch nicht mehr verändert oder gelöscht werden können — bei Hardware-WORM ist diese Unveränderlichkeit eine physikalische Eigenschaft des Speicher-Controllers, unabhängig von Software, Betriebssystem oder Benutzerprivilegien.
Die AMLA (Anti-Money Laundering Authority) nimmt ab 2025 schrittweise ihre Arbeit auf und wird ab 2027 direkte Aufsicht über bestimmte Hochrisiko-Institute übernehmen. Die AMLA-Verordnung (EU 2024/1620) harmonisiert die AML-Anforderungen in der EU und wird eigene Dokumentationsstandards setzen. Institute, die heute auf physikalisch unveränderliche, vollständig auditierbare Archivstrukturen setzen, sind für AMLA-Prüfungen bereits strukturell vorbereitet.
Eine typische Erstinstallation ist innerhalb weniger Tage abgeschlossen. Silent Cubes und das Silent Brick System werden als fertig konfigurierte Appliances geliefert und in bestehende Netzwerk- und Backup-Architekturen eingebunden. Der laufende Betrieb erfordert keinen dedizierten Spezialisten. FAST LTA bietet auf Wunsch Managed-Service-Modelle an.
✓ Made in Germany | ✓ Art. 12-konform | ✓ / HGB / GwG | ✓ ISO 27001 | ✓ -geeignet | ✓ 2.500+ Kunden seit 2008
KRITIS
KRITIS bezeichnet Organisationen und Einrichtungen, deren Ausfall oder Beeinträchtigung zu erheblichen Versorgungsengpässen oder Gefährdungen der öffentlichen Sicherheit führen würde — KRITIS-Betreiber unterliegen nach §8a BSI-Gesetz verschärften Anforderungen an IT-Sicherheit und müssen diese alle zwei Jahre gegenüber dem BSI nachweisen.
DORA
DORA (Digital Operational Resilience Act, EU 2022/2554) ist eine EU-Verordnung, die seit Januar 2025 für alle regulierten Finanzmarktteilnehmer gilt und konkrete Anforderungen an IKT-Risikomanagement, Backup-Systeme (Art. 11 und 12), Drittanbieter-Management (Art. 28–30) sowie Incident-Meldung stellt.
GoBD
Die GoBD (Grundsätze zur ordnungsmäßigen Führung und Aufbewahrung von Büchern, Aufzeichnungen und Unterlagen in elektronischer Form sowie zum Datenzugriff) sind ein BMF-Schreiben, das konkretisiert, wie steuerrelevante Dokumente in Deutschland elektronisch archiviert werden müssen — insbesondere hinsichtlich Unveränderlichkeit, Vollständigkeit und Prüfbarkeit.
