Anforderungen und typische Fehler DORA-Backup-Checkliste für Finanzunternehmen

Anbieter zum Thema

FAST LTA GmbH

Impossible Cloud GmbH

Bereits seit Januar 2025 ist der Digital Operational Resilience Act (DORA) für Finanzinstitute verbindlich. Wer die BaFin-Kontrollen bestehen will, muss nicht nur die Dokumentation von Konzepten vorweisen, sondern vor allem deren technische Umsetzung.

DORA ist komplex, aber die konkreten Backup-Anforderungen sind klar definiert. Um sich gezielt auf die Prüfungen der BaFin vorzubereiten, nennt Fast LTA fünf zentrale Architekturanforderungen im Bereich Backup und ITK-Resilienz, die Finanzunternehmen umsetzen sollten. Außerdem weist der deutsche Datensicherungsexperte auf typische Implementierungsfehler hin.

Nachweisbare Backup-Isolation

Die DORA-Verordnung verlangt, dass ITK-Architekturen so ausgelegt sind, dass sie Störungen und Cyberangriffe verkraften. Dazu zählt, dass Backups nicht über dasselbe Einfallstor wie die Produktion kompromittiert werden können. Eine reine VLAN-Abschottung innerhalb derselben Hypervisor- beziehungsweise Virtualisierungsumgebung genügt dafür nicht. Notwendig ist eine trennscharfe, nachweislich kompromittierungsfeste Ausgestaltung, zum Beispiel durch einen physischen Air-Gap, eine logisch und administrativ eigenständige Backup-Infrastruktur oder eine separat geführte Management-Plane. Softwarebasierte Isolation ist zulässig, muss jedoch belastbar nachgewiesen werden.

Ein häufiger Fehler ist, Backup-Systeme im gleichen VMware- oder Hyper-V-Cluster wie die Produktion zu betreiben und sie nur per Netzwerksegmentierung zu trennen.

Unveränderlichkeit (Immutability) der Backup-Daten

Daten müssen auch dann gegen Manipulation und Löschung abgesichert sein, wenn Nutzerkonten kompromittiert wurden. Dafür braucht es unveränderbare Aufbewahrung nach dem WORM-Prinzip, etwa über Object-Lock. Diese Unveränderlichkeit darf sich nicht durch einzelne privilegierte Konten aufheben lassen. Bewährt haben sich der Einsatz des Compliance-Mode anstelle des Governance-Mode, zusätzlich abgesichert durch eine Mehrpersonenfreigabe (Multi-Person-Authorization, MPA). Der Schutz muss explizit auch Administratorrechte einschließen.

Ein mögliches Problem: Object-Lock wird zwar aktiviert, jedoch nur im Governance-Mode – so kann ein übernommenes Admin-Konto Backups weiterhin löschen.

Starke Authentifizierung für Backup-Systeme

DORA verlangt für kritische ITK-Komponenten starke Authentifizierungsmechanismen. Konkret heißt das: Auf allen Konsolen für das Backup-Management und auf sämtlichen Speichersystemen muss Multi-Faktor-Authentifizierung aktiv sein; reine Passwort-Log-ins sind für kritische Zugänge auszuschließen. Service-Accounts sind mit gleichwertigen Kontrollen abzusichern.

Ein verbreitetes Versäumnis: MFA ist in der Produktionsumgebung ausgerollt, fehlt jedoch auf den Backup-Systemen, die dadurch zum bevorzugten Ziel von Angreifern werden.

Definierte RTOs/RPOs und getestete Recovery-Prozesse

Unternehmen müssen ihre Fähigkeit zur Betriebswiederaufnahme mit klar definierten Zielwerten und regelmäßig durchgeführten Prüfungen nachweislich belegen. Ausgangspunkt ist die Festlegung von RTO (Recovery Time Objective) und RPO (Recovery Point Objective) für alle kritischen Systeme. Darauf aufbauend, sind Wiederherstellungstests verpflichtend, mindestens einmal pro Jahr für diese Systeme. Diese Prüfungen müssen belastbar messbar sein. Ebenso erforderlich ist eine vollständige Nachweisdokumentation, die Datum, Umfang und betroffene Systeme, Ergebnisse samt Abweichungen sowie klare Verantwortlichkeiten enthält.

Häufiger Fehler in der Praxis: Recovery wurde zwar „irgendwann“ ausprobiert, jedoch nicht unter realitätsnahen Bedingungen oder ohne saubere Dokumentation.

ITK-Drittparteienmanagement im Backup-Kontext

DORA schreibt vor, dass kritische ITK-Drittanbieter identifiziert, risikoorientiert bewertet und durch belastbare Verträge abgesichert werden müssen; bestehende Vereinbarungen sind bis spätestens 31.12.2026 anzupassen. Für Backup und Storage heißt das: Es ist zu klären, ob der eingesetzte Backup- oder Cloud-Provider als kritischer ITK-Dienstleister einzustufen ist. Die Verträge haben unter anderem differenzierte Audit- und Prüfrechte, eindeutig definierte SLAs sowie tragfähige Exit- beziehungsweise Rückführungsstrategien zu enthalten. Zusätzlich ist die Datensouveränität zu bewerten, insbesondere hinsichtlich Datenstandort und möglicher Zugriffsoptionen.

Ein mögliches Defizit: Unternehmen nutzen Cloud-Backups, deren Vertragswerke jedoch keine DORA-konformen Regelungen enthalten. Hier muss dringend nachgebessert werden.

(ID:50839861)