( Act) ist seit Januar 2025 verbindlich – und die BaFin hat angekündigt, ab 2026 systematisch zu prüfen. Entscheidend ist dabei nicht die Dokumentation von Konzepten, sondern deren technische Umsetzung.

Für Banken, Versicherungen und Asset Manager bedeutet das: Es zählt, was im Ernstfall nachweisbar funktioniert.

Dieser Artikel beschreibt fünf zentrale Architekturanforderungen im Bereich Backup und IKT-Resilienz, die sich aus ableiten lassen – inklusive technischer Einordnung und typischer Fehler in der Praxis.

Anforderung 1: Nachweisbare Backup-Isolation

(Bezug: u. a. Art. 6–13, Art. 11 )

Was verlangt:
IKT-Systeme müssen so gestaltet sein, dass sie gegen Ausfälle und Angriffe resilient sind. Dazu gehört auch, dass Backup-Systeme nicht durch denselben Angriff kompromittiert werden können wie die Produktionsumgebung.

Technische Umsetzung in der Praxis:

  1. Eine reine Trennung per VLAN innerhalb derselben Hypervisor-Umgebung ist nicht ausreichend
  2. Bei einer Hypervisor-Kompromittierung wären Produktion und Backup gleichermaßen betroffen
  3. Erforderlich ist eine nachweisbar kompromissresistente Trennung, z. B.:
    • physischer
    • logisch und administrativ unabhängige Backup-Infrastruktur
    • getrennte Management-Plane
  4. Softwarebasierte Isolation ist möglich, muss aber belastbar nachweisbar sein

Typischer Fehler:
Backup-Systeme laufen im selben VMware- oder Hyper-V-Cluster wie die Produktion – getrennt nur durch Netzwerksegmentierung.


Anforderung 2: Unveränderlichkeit (Immutability) der Backup-Daten

(Bezug: Art. 9, Art. 12 )

Was verlangt:
Daten müssen vor unbefugter Veränderung oder Löschung geschützt sein – auch bei kompromittierten Accounts.

Technische Umsetzung in der Praxis:

  1. Einsatz von -Mechanismen (z. B. )
  2. muss so umgesetzt sein, dass sie nicht durch privilegierte Einzelaccounts aufgehoben werden kann
  3. Best Practice:
    • Compliance Mode statt Governance Mode
    • zusätzliche Absicherung durch Multi-Person Authorization (MPA)
  4. Schutz gilt auch gegenüber Administratoren

Typischer Fehler:
ist aktiviert, aber im Governance Mode – ein kompromittierter Admin kann Backups dennoch löschen.


Anforderung 3: Starke Authentifizierung für Backup-Systeme

(Bezug: Art. 9 )

Was verlangt:
Starke Authentifizierungsverfahren für kritische IKT-Systeme.

Technische Umsetzung in der Praxis:

  1. MFA für alle Backup-Management-Konsolen und Storage-Systeme
  2. Kein Passwort-only-Zugang für kritische Systeme
  3. Absicherung von Service-Accounts durch gleichwertige Maßnahmen, z. B.:
    • Credential Vaulting
    • regelmäßige Rotation
    • minimale Rechtevergabe (Least Privilege)

Typischer Fehler:
MFA ist in der Produktionsumgebung aktiv, aber nicht auf Backup-Systemen – diese werden zum bevorzugten Angriffsziel.


Anforderung 4: Definierte RTOs/RPOs und getestete Recovery-Prozesse

(Bezug: Art. 11 )

Was verlangt:
Unternehmen müssen ihre fähigkeit nachweisen können – inklusive definierter Zielwerte und regelmäßiger Tests.

Technische und organisatorische Umsetzung:

  1. Definition von RTO () und RPO () für kritische Systeme
  2. Regelmäßige Recovery-Tests (mindestens jährlich für kritische Systeme)
  3. Tests müssen messbar sein:
    • tatsächliche Wiederherstellungsdauer
    • Abweichung vom Zielwert
  4. Vollständige Dokumentation erforderlich:
    • Datum, Umfang, Systeme
    • Ergebnisse und Abweichungen
    • Verantwortlichkeiten

Typischer Fehler:
Recovery wurde „irgendwann mal getestet“, aber nicht dokumentiert oder nicht unter realistischen Bedingungen.


Anforderung 5: IKT-Drittparteienmanagement im Backup-Kontext

(Bezug: Art. 28–30 )

Was verlangt:
Kritische IKT-Drittanbieter müssen identifiziert, bewertet und vertraglich abgesichert sein. Bestehende Verträge müssen bis 31.12.2026 angepasst werden.

Was das für Backup und Storage bedeutet:

  1. Prüfung, ob Backup- oder Cloud-Anbieter als kritischer IKT-Drittanbieter gelten
  2. Verträge müssen u. a. enthalten:
    • Audit-Rechte
    • klare SLAs
    • Exit-Strategien
  3. Bewertung der :
    • Speicherort der Daten
    • Zugriffsmöglichkeiten

Typischer Fehler:
Cloud-Backup wird genutzt, aber Verträge enthalten keine -konformen Regelungen – Anpassungsbedarf bis Ende 2026.


Zusammenfassung: DORA-Backup-Checkliste für Finanzunternehmen

AnforderungDORA-ArtikelStatus prüfen
Backup-Isolation (hypervisor-unabhängig oder Air Gap)Art. 11☐
Object Lock im Compliance Mode + MPAArt. 12☐
MFA auf allen Backup-Management-ZugängenArt. 9☐
RTOs/RPOs definiert und getestet (dokumentiert)Art. 11☐
IKT-Drittanbieter inventarisiert + DORA-konforme VerträgeArt. 28–30☐


FAZIT

ist komplex. Aber die konkreten Backup-Anforderungen sind klar definiert. Wer die fünf beschriebenen Architekturanforderungen erfüllt, ist für BaFin-Prüfungen gut vorbereitet und hat gleichzeitig eine Architektur, die im Ernstfall tatsächlich schützt.