DORA und Digitale Souveränität im Finanzsektor: Wo viele Banken scheitern

In vielen Finanzinstituten ist die Ausgangslage ähnlich. Das Compliance-Team hat die DORA-Anforderungen sorgfältig in Richtlinien und Prozessdokumentationen übertragen. Verantwortlichkeiten sind festgelegt und das Unternehmen gilt formal als vorbereitet. 

Mit Beginn der Prüfung verschiebt sich der Fokus jedoch von der Dokumentation auf den operativen Betrieb. Die BaFin prüft zunehmend, ob digitale Resilienz und IT-Kontrollen im laufenden Betrieb tatsächlich funktionieren. 

Im Gespräch zeigt sich schnell, wo operative Schwächen liegen. Das IKT-Inventar ist lückenhaft. Kritische Systeme und ihre Abhängigkeiten sind nicht vollständig erfasst. Ein Drittdienstleister, der einen zentralen Zahlungsprozess unterstützt, taucht in den Notfallplänen kaum auf. Das Monitoring endet außerhalb der Geschäftszeiten. 

Solche Befunde sind kein Einzelfall. Auf der BaFin-Veranstaltung „IT-Aufsicht im Finanzsektor: Das erste Jahr DORA“ im Dezember 2025 beschrieb die Aufsicht genau dieses Muster: Die regulatorischen Anforderungen wurden zwar vielerorts dokumentiert, aber noch nicht vollständig operationalisiert. 

Damit rückt eine grundsätzliche Frage in den Vordergrund: Was bedeutet digitale Souveränität für Banken und Versicherungen im Finanzsektor? 

Digitale Souveränität in Finanzinstituten wird häufig mit Datenschutz oder Cloud-Strategien gleichgesetzt. Für IT-Entscheider in regulierten Finanzorganisationen greift das zu kurz. 
Im Kern geht es um drei operative Fähigkeiten. 

Der Begriff „Datensouveränität” beschreibt, unter welchem rechtlichen und technischen Zugriff sich Daten befinden. Wer Cloud-Dienste US-amerikanischer Anbieter nutzt, bewegt sich im Spannungsfeld des CLOUD Act: US-Behörden können amerikanische Anbieter zur Herausgabe von Daten verpflichten, unabhängig davon, in welchem Land sich die Server befinden. Für Banken und Versicherungen, die täglich mit hochsensiblen Kundendaten arbeiten, ist das ein reales Haftungsrisiko. 

Betriebssouveränität beschreibt die operative Kontrolle über kritische IT-Systeme in Banken und Versicherungen. Dazu gehören vollständige IKT-Inventare, klar dokumentierte Abhängigkeiten, getestete Notfallpläne und ein Betriebsmodell, das nicht bei einem einzigen Anbieter endet. Kann ein Finanzunternehmen diese Punkte nicht nachweisen, liegt die operative Kontrolle faktisch außerhalb der eigenen Organisation, unabhängig von Vertragsklauseln.

Regulatorische Souveränität bedeutet, die Wirksamkeit der eigenen Kontrollen jederzeit nachweisen zu können. In DORA-Prüfungen der BaFin bewertet die Aufsicht weniger die Dokumente als den realen Betrieb. Das ist der Maßstab, den die Aufsicht anlegt, und an dem aktuell viele Institute scheitern. 

Das Konzept der digitalen Souveränität ist nicht neu. Jedoch ist 2026 der Zeitpunkt, an dem mehrere Entwicklungen parallel eskalieren. 

In vielen Diskussionen begegnen uns regelmäßig zwei Fehleinschätzungen, die teuer werden können. 

Das ist falsch. Digitale Souveränität im Finanzsektor bedeutet nicht, auf Public-Cloud-Services zu verzichten. Entscheidend ist die Art der Nutzung. 
Finanzunternehmen benötigen Architekturmodelle, die ihnen jederzeit operative Kontrolle, Transparenz und Exit-Fähigkeit jederzeit gewährleisten. Ohne diese Voraussetzungen entsteht Abhängigkeit. 

Auch diese Annahme ist zu kurz gedacht. Dokumentierte Prozesse stellen noch keine operative Kontrolle sicher. Entscheidend ist, ob sie im Alltag funktionieren. Die BaFin prüft daher nicht primär Richtlinien, sondern konkrete Nachweise. Die Prüfung umfasst unter anderem die Überprüfung des 24-Stunden-Betriebs des Monitorings, der tatsächlichen Einbindung von Drittparteien in Notfalltests und der Vollständigkeit und Aktualität des IKT-Inventars. 

Souveränität entsteht nicht durch Dokumentation. Sie entsteht durch Betrieb. 

Digitale Souveränität bedeutet für Banken, dass sie jederzeit die Kontrolle über ihre Daten, IT-Systeme und externen Dienstleister behalten. Die Finanzinstitute müssen nachvollziehen können, wo ihre Daten gespeichert sind, welche Abhängigkeiten zu Cloud-Anbietern bestehen und wie kritische Systeme betrieben werden. Gleichzeitig müssen sie diese Kontrolle im Rahmen von DORA-Prüfungen gegenüber der Aufsicht nachweisen können.

Für Finanzinstitute hat das konkrete operative Konsequenzen:

Diese Anforderungen entstehen nicht durch einmalige Umsetzungsprojekte. Sie müssen im täglichen Betrieb gewährleistet und jederzeit prüfbar sein.

Digitale Souveränität ist kein Zustand, der einmal erreicht und anschließend abgehakt wird. Vielmehr ist sie eine operative Fähigkeit, die im laufenden Betrieb unter Beweis gestellt werden muss.

Die zentrale Frage lautet daher nicht: „Sind wir digital souverän?“

Sie lautet: „Können wir diese Souveränität heute im laufenden Betrieb gegenüber der Aufsicht nachweisen?“

Das ist der Unterschied zwischen Souveränität als Konzept und Souveränität als gelebte Realität. Hier zeigt sich, wer seine IT tatsächlich kontrolliert oder nur verwaltet.

→ Im zweiten Teil dieser Serie analysieren wir, wie sich die relevanten Cloud-Anbieter konkret schlagen. Wir bewerten sie nach den Kriterien, die für regulierte Finanzorganisationen wirklich zählen: Datensouveränität, DORA-Konformität, Exit-Fähigkeit und europäische Rechtssicherheit.