Die Europäischen Aufsichtsbehörden EBA, EIOPA und ESMA haben erstmals einen jährlichen Überblick über schwerwiegende IKT-bezogene Vorfälle im EU-Finanzsektor veröffentlicht. Der Bericht ist mehr als eine Statistik: Er zeigt, welche Arten von meldepflichtigen IKT-Vorfällen unter DORA besonders relevant werden, wo die größten operativen Abhängigkeiten liegen und welche IKT-Risiken sich daraus für den Finanzsektor ableiten lassen.
Inhaltsverzeichnis
Am 3. Juni 2026 haben die Europäischen Aufsichtsbehörden EBA, EIOPA und ESMA (gemeinsam die ESAs) ihren ersten Bericht über major ICT-related incidents im EU-Finanzsektor veröffentlicht. Grundlage ist der durch den Digital Operational Resilience Act (DORA) eingeführte Klassifizierungs- und Meldemechanismus für schwerwiegende IKT-bezogene Vorfälle. Die Veröffentlichung ist der erste unionsweite, sektorübergreifende Blick auf meldepflichtige IKT-Vorfälle seit dem Wirksamwerden von DORA.
Der Bericht beruht auf Art. 22 Abs. 2 DORA. Danach haben die ESAs jährlich auf anonymisierter und aggregierter Basis über schwerwiegende IKT-bezogene Vorfälle zu berichten. Der Bericht muss mindestens Angaben zur Anzahl der Vorfälle, zu deren Art, zu den Auswirkungen auf Finanzunternehmen oder Kunden, zu ergriffenen Abhilfemaßnahmen und zu entstandenen Kosten enthalten. Genau dies leisten die ESAs nun erstmals für das Berichtsjahr 2025.
3.383 schwerwiegende IKT-bezogene Vorfälle im Jahr 2025
Für das Jahr 2025 wurden insgesamt 3.383 schwerwiegende IKT-bezogene Vorfälle im EU-Finanzsektor gemeldet. Das entspricht nach Angaben der ESAs einem Durchschnitt von 0,18 schwerwiegenden IKT-bezogenen Vorfällen pro DORA-pflichtigem Finanzunternehmen beziehungsweise rund 282 Vorfällen pro Monat.
Diese Zahl wirkt auf den ersten Blick hoch. Die ESAs warnen jedoch ausdrücklich davor, die reine Anzahl der Vorfälle als unmittelbaren Hinweis auf strukturelle Schwächen einzelner Sektoren zu verstehen. Der Finanzsektor ist hochgradig digitalisiert, technisch komplex und stark vernetzt. Operative Störungen lassen sich in einem solchen Umfeld nicht vollständig vermeiden. Entscheidend ist daher weniger, ob Vorfälle auftreten, sondern ob Finanzunternehmen sie frühzeitig erkennen, wirksam eindämmen, geordnet melden und nachhaltig beheben.
Besonders viele Vorfälle entfielen auf den Kreditsektor und den Sektor der Zahlungsinstitute. Mehr als 60 % der gemeldeten Vorfälle betrafen Kreditinstitute; weitere 16 % entfielen auf Zahlungsinstitute, E-Geld-Institute und Kontoinformationsdienstleister. Diese Konzentration erklärt sich nach Einschätzung der ESAs nicht zwingend durch sektorale Schwächen, sondern insbesondere durch drei Faktoren:
- In diesen Bereichen bestanden bereits vor DORA vergleichbare Meldepflichten, insbesondere unter PSD2. Die entsprechenden Institute haben daher mehr Erfahrung im Umgang mit Incidents und regulatorisch erforderlichen Meldungen.
- Viele Institute nutzen dieselben IKT-Infrastrukturen oder zentrale IKT-Dienstleister, so dass ein einzelnes Ereignis mehrere Meldungen auslösen kann.
- Kredit- und Zahlungsdienstleistungen sind in der Regel besonders digital, massenhaft und kundennah, so dass die Klassifizierungskriterien für schwerwiegende IKT-Vorfälle unter DORA eher erreicht werden.
DORA macht sichtbar: IKT-Risiken sind grenzüberschreitend
Ein zentrales Ergebnis des Berichts ist die zunehmende Grenzüberschreitung von IKT-Risiken. Rund ein Drittel der gemeldeten schwerwiegenden Vorfälle hatte einen grenzüberschreitenden Effekt. In etwa 8 % aller Vorfälle waren sogar mehr als zehn Mitgliedstaaten betroffen.
Das ist regulatorisch bedeutsam. DORA ist nicht nur ein Regelwerk für einzelne Institute, sondern soll auch die systemische digitale Resilienz des europäischen Finanzsektors stärken. Der Bericht zeigt, dass Finanzunternehmen zunehmend gemeinsame technische Infrastrukturen, gemeinsame ICT Third-Party Service Provider, grenzüberschreitende Plattformen und konzernweite Betriebsmodelle nutzen. Ein technisches Problem bei einem IKT-Dienstleister, einer zentralen Infrastruktur oder einer gemeinsam genutzten Anwendung kann sich daher schnell auf mehrere Institute, Sektoren und Mitgliedstaaten auswirken.
Gerade für Zahlungsdienstleister, E-Geld-Institute, Kryptowerte-Dienstleister und Banken ist diese Erkenntnis praktisch relevant. Wer sein IKT-Risiko nur institutsbezogen betrachtet, erfasst nicht mehr das tatsächliche Risikoprofil. Unter DORA müssen insbesondere Abhängigkeiten von Dritten, Konzentrationsrisiken, Ausweichmöglichkeiten und Kommunikationsketten konsequent mitgedacht werden.
Systemausfälle und externe Ereignisse dominieren – nicht Cyberangriffe
Besonders interessant ist die Verteilung nach Art der Vorfälle. Nach dem ESA-Bericht wurden Systemausfälle bei 51 % aller schwerwiegenden Vorfälle genannt. Externe Ereignisse folgten mit 27 %, zahlungsbezogene Vorfälle mit 18 %. Cybersecurity-bezogene Vorfälle machten demgegenüber lediglich rund 10 % der gemeldeten schwerwiegenden Vorfälle aus.
Das bedeutet nicht, dass Cyberrisiken an Bedeutung verlieren. Im Gegenteil weisen die ESAs (weiter) darauf hin, dass Finanzunternehmen angesichts der Weiterentwicklung leistungsfähiger KI-gestützter Angriffswerkzeuge ihre Sicherheitsmaßnahmen weiter stärken müssen.
Der Bericht zeigt aber zugleich, dass digitale operationale Resilienz unter DORA deutlich breiter zu verstehen ist als klassische IT-Sicherheit. DORA adressiert nicht nur Cyberangriffe, sondern alle IKT-bezogenen Ereignisse, die Verfügbarkeit, Authentizität, Integrität oder Vertraulichkeit von Daten oder die Erbringung von Dienstleistungen beeinträchtigen können. Dazu gehören insbesondere Systemfehler, Fehlkonfigurationen, Prozessversagen, Ausfälle bei Dienstleistern, Strom- oder Telekommunikationsstörungen und sonstige externe Ereignisse.
Für die Praxis ist das noch einmal eine wichtige Klarstellung: Ein DORA-konformes IKT-Risikomanagement darf sich nicht auf Cybersecurity, Penetration Tests und Security Monitoring verengen. Mindestens ebenso wichtig sind robuste IT-Governance, Change Management, Architekturmanagement, Kapazitätsplanung, Notfallkonzepte, Dienstleistersteuerung und getestete Wiederanlaufverfahren.
Drittparteienabhängigkeiten bleiben ein zentrales Aufsichtsthema
Fast ein Drittel der schwerwiegenden IKT-Vorfälle im Berichtsjahr 2025 ging nach dem ESA-Bericht auf Fehler bei Dritten zurück. Die ESAs sprechen insoweit von Abhängigkeiten gegenüber Third-Party Providers, einschließlich internen ICT Third-Party Providers, anderen Finanzunternehmen und Infrastrukturprovidern.
Das ist einer der wichtigsten Befunde des Berichts. Denn DORA enthält mit den Anforderungen an das IKT-Drittparteienrisikomanagement, dem Informationsregister, den Mindestvertragsinhalten und dem Oversight Framework für kritische IKT-Drittdienstleister (CTPPs) bereits ein sehr ausdifferenziertes Instrumentarium. Der Bericht bestätigt nun empirisch, warum dieses Thema regulatorisch so stark gewichtet wird.
Für Finanzunternehmen bedeutet das, dass die DORA-Umsetzung nicht abgeschlossen ist, wenn Verträge formal angepasst und Dienstleister im Informationsregister erfasst sind. Entscheidend ist vielmehr, ob das Institut seine tatsächlichen operativen Abhängigkeiten versteht und sie dauerhaft steuert. Gerade bei Cloud-Services, Zahlungsabwicklern, Kernbankensystemen, Kartenprozessoren, KYC-/AML-Dienstleistern, Kommunikationsdienstleistern und spezialisierten FinTech-Infrastrukturen wird die Qualität des ICT Third Party Risk Managements zunehmend zu einem Resilienzfaktor.
Auswirkungen auf Kunden und Transaktionen waren häufig begrenzt
Trotz der hohen Zahl gemeldeter Vorfälle kommen die ESAs zu einem differenzierten Ergebnis, denn in vielen Fällen waren die Auswirkungen auf Kunden, Transaktionen und finanzielle Gegenparteien begrenzt. Fast 60 % der schwerwiegenden IKT-Vorfälle hatten keinen oder nur einen geringen Kundeneffekt, also weniger als 1.000 (oder 10% der Gesamtmenge an) betroffene(n) Kunden. Zwei Drittel der IKT-Vorfälle betrafen entweder keine Transaktionen oder weniger als 1.000 Transaktionen. Nur rund 1 % der Vorfälle betraf mehr als eine Million Transaktionen.
Auch dies ist für die Bewertung von DORA wichtig. Ein Vorfall kann meldepflichtig und aufsichtsrechtlich relevant sein, ohne dass er zwingend zu massenhaften Kundenschäden führt. Die ESAs deuten die begrenzten Auswirkungen vieler schwerwiegender IKT-Vorfälle als Hinweis darauf, dass zeitnahe Erkennung, Incident Response und Containment-Maßnahmen häufig funktioniert haben.
Für Institute ist das ein starkes Argument, Incident Management weiterhin nicht als rein formalen Meldeprozess zu verstehen. Entscheidend ist die Verzahnung von Erkennung, Eskalation, fachlicher Bewertung, Kommunikation, Stabilisierung, Wiederherstellung, Ursachenanalyse und nachhaltiger Behebung. DORA verlangt nicht nur, dass Vorfälle gemeldet werden. DORA verlangt, dass Institute aus Vorfällen lernen und ihre digitale operationale Resilienz fortlaufend verbessern
Die beiden sichtbarsten Ereignisse: TARGET2 und der Blackout auf der Iberischen Halbinsel
Der Bericht enthält auch eine vertiefte Betrachtung ausgewählter Ereignisse mit breiter Wirkung.
TARGET2-Vorfall im Februar 2025
Am 27. Februar 2025 kam es bei TARGET Services zu einem schwerwiegenden IKT-Vorfall. T2 und T2S waren damals für etwa zehn bzw. acht Stunden nicht verfügbar; TARGET Instant Payment Settlement (TIPS) war etwa eine Stunde lang beeinträchtigt, was auf den Ausfall von T2 zurückzuführen war. Dies führte zu Unterbrechungen bei Wertpapierabwicklung, Zahlungen, Nebensystemverarbeitung und Liquiditätstransfers. Ursache war wohl ein außergewöhnliches Fehlverhalten einer Kernkomponente des Speichersystems. Zur Wiederherstellung erfolgte ein Failover auf den sekundären Standort mit anschließenden Integritätsprüfungen.
Der Vorfall zeigt, dass selbst hochprofessionell betriebene zentrale Finanzmarktinfrastrukturen nicht vollständig gegen technische Ausfälle immun sind. Für angeschlossene Institute kommt es daher darauf an, Abhängigkeiten von zentralen Marktinfrastrukturen in Business-Continuity- und Kommunikationsprozessen realistisch abzubilden.
Blackout auf der Iberischen Halbinsel im April 2025
Ein weiteres Beispiel ist der Stromausfall auf der Iberischen Halbinsel am 28. April 2025. Der spanische Stromausfall wirkte sich auch auf Portugal aus und dauerte etwa zehn Stunden. Zwar konnten die Rechenzentren größerer Banken und Versicherungsunternehmen dank Notstromversorgung weiter betrieben werden. Gleichwohl kam es zu erheblichen Beeinträchtigungen, insbesondere wegen Störungen bei Filialen, Telekommunikationsanbietern, Internetzugängen und Point-of-Sale-Terminals.
Dieses Beispiel ist besonders lehrreich, weil es zeigt, dass Resilienz nicht allein vom eigenen Rechenzentrum abhängt. Ein Institut kann technisch funktionsfähig sein und dennoch seine Dienstleistungen nicht oder nur eingeschränkt erbringen, wenn Stromversorgung, Telekommunikation, Kundenzugangskanäle oder physische Infrastruktur ausfallen.
Datenqualität bleibt eine Herausforderung
Der Bericht weist auch darauf hin, dass die Angaben zu Kosten und finanziellen Erstattungen noch erheblichen Datenqualitätsbeschränkungen unterliegen. Nach den verfügbaren Informationen meldeten rund 40 % der IKT-Vorfälle keine direkten oder indirekten Kosten; weitere rund 10 % lagen unter 1.000 EUR. Bei etwa 15 % blieb das relevante Feld leer. Zugleich weisen die ESAs darauf hin, dass dies auch auf fehlerhafte Reporting Practices hindeuten kann, insbesondere wenn etwa Personalaufwand für die Bearbeitung des Vorfalls nicht berücksichtigt wurde.
Für Finanzunternehmen ist dies ein praktischer Hinweis: Die Kostenermittlung bei IKT-Vorfällen sollte nicht erst im Final Report beginnen. Institute sollten frühzeitig klären, wie sie Kostenkategorien erfassen, wer Input liefert und wie direkte sowie indirekte Kosten dokumentiert werden. Dazu können insbesondere interne Personalaufwände, externe Beratungs- und Forensikkosten, technische Wiederherstellungskosten, Kompensationsleistungen, SLA-bezogene Ansprüche, Vertragsstrafen, entgangene Erträge und sonstige Folgekosten gehören.
Was bedeutet der Bericht für die DORA-Praxis?
Der Bericht ist ein wichtiger Interpretations- und Erwartungshinweis für die Aufsichtspraxis, denn aus ihm lassen sich mehrere praktische Schlussfolgerungen ableiten:
- Finanzunternehmen sollten ihre Klassifizierungsprozesse für IKT-Vorfälle sorgfältig überprüfen. DORA verlangt eine Bewertung anhand harmonisierter Kriterien und Schwellenwerte. Die ESAs weisen zugleich darauf hin, dass im ersten Jahr noch divergierende Reporting Practices zwischen Sektoren und Jurisdiktionen bestehen. Wer hier konsistent, nachvollziehbar und dokumentiert klassifiziert, reduziert aufsichtsrechtliche Risiken erheblich.
- Drittparteienabhängigkeiten sind weiter in den Fokus. Der Befund, dass fast ein Drittel der schwerwiegenden Vorfälle auf IKT-Drittdienstleister zurückgeht, macht das laufende IKT-Dienstleistermonitoring zu einem zentralen Bausteinen der DORA-Compliance.
- Institute sollten ihre Incident-Response-Prozesse nicht isoliert in der IT verorten. Schwerwiegende IKT-Vorfälle betreffen häufig auch Kundenkommunikation, regulatorische Meldungen, Datenschutz, Auslagerungsmanagement, Zahlungsverkehr, Fraud, Legal, Compliance, Risikomanagement und Geschäftsleitung.
- Business-Continuity- und Disaster-Recovery-Konzepte müssen externe Infrastrukturereignisse realistisch abbilden. Der iberische Blackout zeigt, dass ein funktionsfähiges Rechenzentrum allein nicht genügt, wenn Kundenzugang, Kommunikation oder Zahlungsakzeptanzkanäle ausfallen.
- Institute müssen die Qualität ihrer Vorfalldokumentation verbessern. Dazu gehören nicht nur Zeitstempel und technische Beschreibungen, sondern auch die Herleitung der Einstufung, betroffene kritische oder wichtige Funktionen, Auswirkungen auf Kunden und Transaktionen, Dienstleisterbezug, Ursachenanalyse, Abhilfemaßnahmen und Klarheit über die mit dem Vorfall verbundenen Kosten.
Fazit: DORA schafft erstmals ein europäisches Lagebild für IKT-Vorfälle
Der erste ESA-Bericht zu schwerwiegenden IKT-bezogenen Vorfällen zeigt, dass DORA mehr ist als ein Compliance-Projekt. Durch das harmonisierte Meldewesen entsteht erstmals ein belastbareres europäisches Lagebild darüber, welche IKT-Störungen den Finanzsektor tatsächlich betreffen.
Die zentralen Erkenntnisse sind klar: IKT-Risiken sind grenzüberschreitend, stark vernetzt und häufig von Dritten abhängig. Systemausfälle und externe Ereignisse sind mindestens ebenso relevant wie klassische Cyberangriffe. Gleichzeitig zeigen die begrenzten Auswirkungen vieler IKT-Vorfälle, dass wirksame Erkennung, Reaktion und Eindämmung einen erheblichen Unterschied machen können.
