Cyberrisiko und DORA für Banken und Versicherer

Schutzebenen

Fünf Ebenen.
Eine Datenbasis.

Cyberrisiko endet nicht an der eigenen Firewall. Es reicht über Vertriebspartner und Kunden bis zu Dienstleistern und in Kredit- und Versicherungsportfolios. Wir betrachten alle Ebenen gemeinsam.

Eigenes Haus und IT

Kompromittierte Zugänge von Mitarbeitenden, exponierte Dienste, diskutierte Schwachstellen Ihrer Technologien und Akteure mit Interesse an Ihrem Institut. Validiert von unseren Analysten, mit Quelle und Zeitstempel.

CQTIDORA Art. 13 Abs. 1

Vertriebsnetz

Filialen, gebundene Vertreter, Agenturen, Makler und Finanzberater arbeiten mit Zugängen zu Ihren Portalen. Wir legen Vertriebspartner als eigene Collections an und erkennen kompromittierte Partnerzugänge und offene Angriffsfläche, bevor daraus ein Weg in Ihre Systeme wird.

179.065 registrierte Versicherungsvermittler in Deutschland · DIHK, Oktober 2026

CQTIPartner ohne Fragebogen

Kunden und Marke

Phishing-Seiten, Lookalike-Domains und Missbrauch Ihrer Marke, die Ihre Kunden täuschen sollen, dazu Leaks mit Kundendaten in Foren und auf Leakseiten. Meldung datensparsam an berechtigte Kontakte.

4,2 Mrd. EUR Zahlungsbetrug im EWR 2024, vor allem durch Manipulation der Zahler · EBA und EZB, Dezember 2025

CQTI · Brand Protection

IKT-Drittdienstleister

Bewertung Ihrer Dienstleister auf Basis realer Untergrundaktivität und Angriffsfläche, vor und nach Vertragsschluss und ohne Selbstauskunft. Als Grundlage für Prüfung und Überwachung nach DORA.

CQTI · TPRMDORA Art. 28

Kredit-, Anlage- und Versicherungsportfolio

Cyberexposition von Kreditnehmern, Emittenten und versicherten Unternehmen. Kumulrisiken über gemeinsame Dienstleister werden sichtbar, bevor ein einzelner Ausfall viele Positionen gleichzeitig trifft.

CQTI · CTFI

DORA

DORA gilt seit dem 17. Januar 2025.
Was das für Ihr Institut bedeutet.

Die Verordnung (EU) 2022/2554 regelt die digitale operationale Resilienz von Banken, Zahlungs- und E-Geld-Instituten, Versicherern und Versicherungsvermittlern oberhalb der KMU-Grenze. Fünf Säulen, ein Maßstab, und das Leitungsorgan trägt die letzte Verantwortung.

17.01.2025

DORA gilt

Unmittelbar anwendbar in allen EU-Staaten

28.04.2025

Erstes Informationsregister

Einreichung bei der BaFin, Weitergabe an die ESAs bis 30.04.2025

08.07.2025

Regeln für TLPT in Kraft

Delegierte Verordnung (EU) 2025/1190 nach TIBER-EU

18.11.2025

19 kritische IKT-Drittdienstleister

Von den ESAs benannt, seitdem unter direkter EU-Aufsicht

Jährlich

Informationsregister zum Stichtag 31.12., TLPT mindestens alle drei Jahre

Säule 01

IKT-Risikomanagement

Art. 5 bis 16

Das Leitungsorgan trägt die letzte Verantwortung für das IKT-Risiko des Hauses und muss es verstehen.

Was DORA verlangt

Leitungsorgan verantwortet Strategie, Richtlinien und Budget (Art. 5 Abs. 2)
Erkennung anomaler Aktivitäten (Art. 10)
Fähigkeiten und Personal, um Informationen über Schwachstellen und Cyberbedrohungen zu sammeln (Art. 13 Abs. 1)

Unser Beitrag

Validierte Threat Intelligence zu Ihrem Haus, Ihren Technologien und Akteuren
Kompromittierte Zugänge und Angriffsfläche laufend im Blick
Kennzahlen und monatliche Briefings für das Leitungsorgan

Säule 02

Vorfallmanagement und Meldung

Art. 17 bis 23

Schwerwiegende IKT-Vorfälle werden klassifiziert und in festen Fristen an die BaFin gemeldet.

Was DORA verlangt

Erstmeldung binnen 4 Stunden nach Einstufung, spätestens 24 Stunden nach Kenntnis
Zwischenbericht binnen 72 Stunden, Abschlussbericht binnen eines Monats
Erhebliche Cyberbedrohungen können freiwillig gemeldet werden (Art. 19 Abs. 2)

Unser Beitrag

Kritische Funde innerhalb von 60 Minuten per E-Mail und Webhook
Jeder Fund mit Quelle, Zeitstempel und Analystenkontext
Grundlage für Ihre Einstufung, die Entscheidung bleibt bei Ihnen

Säule 03

Testen der digitalen Resilienz

Art. 24 bis 27

Regelmäßige Tests für alle, bedrohungsorientierte Penetrationstests für bedeutende Finanzunternehmen.

Was DORA verlangt

Testprogramm mit Schwachstellenanalysen und Penetrationstests (Art. 24, 25)
TLPT mindestens alle drei Jahre für benannte Institute (Art. 26)
Anforderungen an Threat-Intelligence-Anbieter und Tester nach der Delegierten Verordnung (EU) 2025/1190

Unser Beitrag

Offensive Security Operations prüft Netze, Active Directory und Anwendungen
Threat Intelligence zu Ihrem Haus als Grundlage realistischer Szenarien
Unsere Rolle in einem TLPT klären wir im Einzelfall

Säule 04

IKT-Drittparteienrisiko

Art. 28 bis 44

Wer IKT-Dienstleistungen bezieht, bleibt für das Risiko verantwortlich und muss es dokumentieren.

Was DORA verlangt

Strategie für das IKT-Drittparteienrisiko (Art. 28 Abs. 2)
Informationsregister auf Einzel-, teil- und konsolidierter Ebene (Art. 28 Abs. 3)
Bewertung vor Vertragsschluss (Art. 28 Abs. 4)

Unser Beitrag

Laufende Bewertung Ihrer Dienstleister aus realer Untergrundaktivität und Angriffsfläche
Prüfung vor Vertragsschluss ohne Fragebogen
Das Register führen Sie, wir liefern die Risikosicht dazu

Säule 05

Informationsaustausch

Art. 45

Finanzunternehmen dürfen Cyberbedrohungsinformationen in vertrauenswürdigen Gemeinschaften teilen.

Was DORA vorsieht

Austausch von Indikatoren, Taktiken, Techniken und Verfahren
Schutz vertraulicher und personenbezogener Daten
Teilnahme wird der Aufsicht mitgeteilt (Art. 45 Abs. 3)

Unser Beitrag

Strukturierte Events mit Akteuren, Techniken und betroffenen Systemen
Meldung nach TLP, abgestimmt auf Ihre Weitergabe
Analystenkontext, der in Ihre Gemeinschaft passt

DORA und NIS2

Für Finanzunternehmen nach DORA ist DORA maßgeblich. Nach § 28 Abs. 6 BSIG gelten für sie unter anderem die Pflichten zu Risikomanagement und Meldungen aus dem BSIG nicht. Eine Registrierung beim BSI kann dennoch erforderlich sein.

BAIT, VAIT, KAIT, ZAIT

VAIT, KAIT und ZAIT hat die BaFin mit Ablauf des 16. Januar 2025 aufgehoben. Die BAIT laufen für die verbleibenden Institute gestaffelt bis Ende 2026 aus. Maßstab ist seitdem DORA.

Verordnung (EU) 2022/2554 · Delegierte Verordnung (EU) 2025/1190 · Die Übersicht ersetzt keine rechtliche Bewertung

Belegte Fälle

Der Angriff kommt über Dritte.
Belegt in Banken und Versicherungen.

Drei öffentlich dokumentierte Fälle zeigen, wie Dienstleister zum Einfallstor für Handel, Kundendaten und Vertrieb werden.

IKT-Dienstleister · Handel

42+ Kunden

ION Markets · 2023

Derivatehandel wieder per Hand

Ransomware bei einem Softwareanbieter für Handel und Clearing von Derivaten. Banken und Broker in Europa und den USA mussten Geschäfte manuell abwickeln, mindestens 42 Kunden waren betroffen.

Quelle: Bloomberg, zitiert von TechCrunch, Februar 2023

Dienstleister · Kundendaten

4+ Banken

MOVEit bei Majorel · 2023

Kundendaten über den Kontowechsel

Über eine Schwachstelle beim Dienstleister des Kontowechselservice gelangten Kundendaten unter anderem von Deutscher Bank, Postbank, ING und comdirect nach außen, darunter Namen und IBAN.

Quelle: Majorel und betroffene Banken, Juli 2023

Vertrieb · Kunden

1,4Mio. Kunden

Allianz Life · 2025

Ein CRM, viele Betroffene

Per Social Engineering erlangten Angreifer Zugriff auf eine cloudbasierte CRM-Plattform eines Dienstleisters. Betroffen waren Daten der Mehrheit der rund 1,4 Mio. Kunden sowie von Finanzberatern und Mitarbeitenden.

Quelle: Allianz Life, Juli 2025

Öffentlich dokumentierte Fälle. NEXGAP war an keinem dieser Fälle beteiligt.

Produkte

Drei Wege.
Eine Datenbasis für Ihr Institut.

CQTI überwacht laufend, Offensive Security prüft und belegt, CTFI bewertet die Kapitalanlage. Alle drei greifen auf dieselbe Intelligence zu.

01 · LaufendHaus, Vertrieb, Kunden

CQTI

Cyber Quantified Threat Intelligence

Darknet Intelligence, Angriffsfläche und Threat Intelligence für Ihr Institut, Ihr Vertriebsnetz und Ihre Dienstleister. Validiert von unseren Analysten.

Eigenes Haus, Vertriebspartner und Marke
IKT-Drittdienstleister ohne Fragebogen
Kritische Funde innerhalb von 60 Minuten

Zu CQTI →

02 · PrüfenTests und Nachweise

Offensive Security

Offensive Security Operations

Penetrationstests, Prüfung von Active Directory und Firewall-Regelwerken. Manuell verifizierte Befunde mit belegtem Angriffspfad.

Testprogramm nach DORA Art. 24 und 25
Netze, Anwendungen und Fernzugänge
Befunde mit Lösung je Schwachstelle

Zu Offensive Security →

03 · KapitalanlageInvestment und Kredit

CTFI

Cyber Threat Financial Intelligence

Cyberrisiko als laufend bewerteter Faktor je Emittent, Portfolio und Index für Kapitalanlage, Treasury und Kreditrisiko.

Exposition je Emittent und Kreditnehmer
Point-in-Time-Daten für Modelle
Einordnung durch unsere Analysten

Zu CTFI →

Unsicher, welcher Weg passt? Wir klären das im ersten Gespräch.Gespräch vereinbaren

FAQ

Häufige Fragen.
Aus Bank und Versicherung.

Was Informationssicherheit, Auslagerungsmanagement und Compliance vor dem Start wissen möchten.

Gespräch vereinbaren

Für Banken, Zahlungs- und E-Geld-Institute, Versicherer und Versicherungsvermittler oberhalb der KMU-Grenze ist DORA maßgeblich. Nach § 28 Abs. 6 BSIG gelten für diese Finanzunternehmen unter anderem die Pflichten zu Risikomanagement und Meldungen aus dem BSIG nicht. Eine Registrierung beim BSI kann dennoch erforderlich sein. Die Einordnung Ihres Hauses ersetzt keine rechtliche Prüfung.

Nein. Das Informationsregister nach Art. 28 Abs. 3 DORA führen Sie selbst. CQTI liefert die laufende Risikosicht auf Ihre IKT-Dienstleister, die Sie für die Bewertung vor Vertragsschluss und für die Überwachung danach brauchen.

Ja. Vertriebspartner legen wir als eigene Collections über ihre Domains und Identifier an und überwachen sie passiv, ohne Fragebogen. Funde zu Mitarbeitenden von Partnern melden wir datensparsam an berechtigte Kontakte.

Wir erkennen Phishing-Seiten, Lookalike-Domains und Missbrauch Ihrer Marke, die sich gegen Ihre Kunden richten, sowie Leaks mit Kundendaten. Meldungen gehen nach TLP:AMBER an berechtigte Kontakte. Gegenmaßnahmen stimmen wir mit Ihnen ab.

Offensive Security Operations führt Penetrationstests und Prüfungen von Netzen, Active Directory und Anwendungen durch. Für TLPT gelten besondere Anforderungen an Threat-Intelligence-Anbieter und Tester nach der Delegierten Verordnung (EU) 2025/1190. Unsere Rolle in einem TLPT klären wir im Einzelfall.

Kritische Funde erreichen Sie innerhalb von 60 Minuten per E-Mail und Webhook. Darknet-Funde werden vorher von unseren Analysten verifiziert. Die Einstufung als schwerwiegender IKT-Vorfall nach DORA bleibt Ihre Entscheidung.

Regulierte Häuser.
Messbares Cyberrisiko.

Fünf Ebenen.
Eine Datenbasis.

DORA gilt seit dem 17. Januar 2025.
Was das für Ihr Institut bedeutet.

Der Angriff kommt über Dritte.
Belegt in Banken und Versicherungen.

Drei Wege.
Eine Datenbasis für Ihr Institut.

Häufige Fragen.
Aus Bank und Versicherung.

Resilienz nach DORA.
Mit Daten statt Selbstauskunft.

Regulierte Häuser.Messbares Cyberrisiko.

Fünf Ebenen.Eine Datenbasis.

DORA gilt seit dem 17. Januar 2025.Was das für Ihr Institut bedeutet.

Der Angriff kommt über Dritte.Belegt in Banken und Versicherungen.

Drei Wege.Eine Datenbasis für Ihr Institut.

Häufige Fragen.Aus Bank und Versicherung.

Resilienz nach DORA.Mit Daten statt Selbstauskunft.

Regulierte Häuser.
Messbares Cyberrisiko.

Fünf Ebenen.
Eine Datenbasis.

DORA gilt seit dem 17. Januar 2025.
Was das für Ihr Institut bedeutet.

Der Angriff kommt über Dritte.
Belegt in Banken und Versicherungen.

Drei Wege.
Eine Datenbasis für Ihr Institut.

Häufige Fragen.
Aus Bank und Versicherung.

Resilienz nach DORA.
Mit Daten statt Selbstauskunft.