Seit dem 17. Januar 2025 trägt das Leitungsorgan eines Finanzunternehmens unter DORA die letztendliche Verantwortung für das Management seiner IKT-Risiken. Seit Dezember 2025 müssen Geschäftsleitungen in Deutschland die Cybersicherheitsmaßnahmen ihres Unternehmens nach dem überarbeiteten BSI-Gesetz billigen und überwachen und können für Verstöße verantwortlich gemacht werden. Österreich hat mit dem NISG 2026 nachgezogen, die Schweiz hat mit dem revidierten Datenschutzgesetz und den FINMA-Rundschreiben eigene Vorgaben. In all diesen Regelwerken ist die Datenbank der Ort, an dem Prüfer die Einhaltung kontrollieren.

Gleichzeitig sinken die Kosten eines Angriffs. Eine Studie aus dem Jahr 2024 zeigt, dass vollautomatisch KI-generierte Spear-Phishing-Mails eine Klickrate von 54 % erreichen, gleichauf mit Mails von menschlichen Experten. GPU-beschleunigtes Passwort-Cracking und automatisierte Schwachstellensuche machen aus jedem überprivilegierten Datenbankkonto ein lohnendes Ziel.

Dieser Beitrag richtet sich an CISOs, CIOs und Compliance-Verantwortliche. Er ordnet die regulatorische Lage in Deutschland, Österreich und der Schweiz ein, benennt die Risikodaten, die eine Vorstandsvorlage tragen, und beschreibt, welche Fragen Sie Ihrer IT stellen sollten. Grundlage ist mein Whitepaper „Database Security in Regulated DACH Environments: Adapting to the Age of AI“.

Die regulatorische Lage in Deutschland, Österreich und der Schweiz

Die DACH-Region gehört zu den am dichtesten regulierten Räumen für den Betrieb geschäftskritischer Datenbanken. Finanzinstitute, Versicherungen, Energieversorger, Gesundheitsorganisationen und öffentliche Einrichtungen unterliegen einem Geflecht aus EU-Recht, nationalen Gesetzen und Aufsichtspraxis. Die Regelwerke unterscheiden sich im Anwendungsbereich und verlangen dieselben Kernkontrollen.

Deutschland

• DORA, die Verordnung (EU) 2022/2554, gilt seit dem 17. Januar 2025 unmittelbar für den Finanzsektor. Sie regelt IKT-Risikomanagement, Vorfallmeldung, Resilienztests und das Risiko aus IKT-Drittdienstleistern. Die BaFin konkretisiert die Anforderungen in Aufsichtsmitteilungen.
• Das NIS-2-Umsetzungsgesetz ist im Dezember 2025 in Kraft getreten und hat das BSI-Gesetz umfassend überarbeitet. Der Kreis der verpflichteten Unternehmen ist damit erheblich größer als unter dem IT-Sicherheitsgesetz 2.0, das Meldepflichten und Mindeststandards für Betreiber kritischer Infrastrukturen bereits verschärft hatte.
• Die DSGVO verlangt Datenminimierung, Verschlüsselung und den Nachweis geeigneter technischer und organisatorischer Maßnahmen.

Österreich

• DSG und DSGVO gelten analog zu Deutschland.
• Das Netz- und Informationssystemsicherheitsgesetz 2026, kurz NISG 2026, wurde am 12. Dezember 2025 im Nationalrat beschlossen und setzt NIS2 um. Es errichtet eine zentrale Cybersicherheitsbehörde mit Register- und Aufsichtsfunktion und tritt am 1. Oktober 2026 in Kraft.
• Die FMA-Rundschreiben regeln für Finanzdienstleister insbesondere Outsourcing und Cloud-Nutzung.

Schweiz

• Das revidierte Datenschutzgesetz ist seit dem 1. September 2023 in Kraft und stellt Transparenz und Datensicherheit in den Mittelpunkt. Bußen bis 250.000 Franken richten sich gegen natürliche Personen, also gegen die verantwortlichen Personen im Unternehmen.
• Das FINMA-Rundschreiben 2018/3 regelt das Outsourcing einschließlich Cloud-Betrieb für Banken und Versicherer. Das Rundschreiben 2023/1 zu operationellen Risiken und Resilienz bei Banken enthält die Anforderungen an IKT- und Cyberrisiken.

Was alle drei Länder verlangen

Verschlüsselung ruhender und übertragener Daten, strenge Zugriffskontrolle, nachvollziehbare Audit-Trails, Incident-Response-Prozesse, Risikoanalysen und Dokumentation. Jede dieser Anforderungen wird an der Datenbank geprüft. Fällt eine Kontrolle im Audit durch, wird daraus eine Feststellung an die Aufsicht, und unter DORA und NIS2 ist das Leitungsorgan Adressat dieser Feststellung.

Was KI am Risiko verändert hat

Die Ökonomie eines Angriffs hat sich verschoben. Was früher Spezialisten und Wochen brauchte, erledigen KI-Werkzeuge in Stunden.

Der Einstieg läuft weiter über Menschen. Heiding, Schneier und Kollegen haben 2024 in einer Studie mit 101 Teilnehmern vollautomatisch KI-generierte Spear-Phishing-Mails gegen Mails menschlicher Experten getestet. Beide erreichten eine Klickrate von 54 %, die Kontrollgruppe mit generischen Phishing-Mails 12 %. Der Weg zum Datenbankzugang beginnt häufig mit dem Konto eines Administrators, das über eine solche Mail kompromittiert wird.

Die Werkzeuge sind im Einsatz. Microsoft und OpenAI haben im Februar 2024 dokumentiert, dass staatlich unterstützte Gruppen Sprachmodelle für Schwachstellenrecherche, Skripting und die Vorbereitung von Spear-Phishing-Kampagnen nutzen.

Der Zugriff selbst wird schneller. GPU-beschleunigtes Passwort-Cracking berechnet Hashes gegen datenbankspezifische Authentifizierungsverfahren deutlich schneller als frühere Methoden, und KI-Modelle erzeugen Passwortkandidaten, die klassische Brute-Force-Verfahren übertreffen. Automatisierte Scans finden Fehlkonfigurationen, generierte SQL-Injection-Varianten umgehen signaturbasierte Filter, und adaptive Werkzeuge passen sich an Firewall-Regeln und Rate-Limits an.

Für die Risikobewertung bedeutet das eine höhere Eintrittswahrscheinlichkeit bei sinkenden Kosten für den Angreifer. Eine Datenbank mit überprivilegierten Konten, fehlender Schlüsselrotation und unvollständigen Logs, die vor drei Jahren als mittleres Risiko bewertet wurde, ist mit denselben Kontrollen heute ein hohes.

Was auf dem Spiel steht

Bußgelder

NIS2 verpflichtet die Mitgliedstaaten, für wesentliche Einrichtungen Geldbußen von mindestens 10 Millionen Euro oder 2 % des weltweiten Jahresumsatzes vorzusehen, je nachdem, welcher Betrag höher ist. Für wichtige Einrichtungen sind es mindestens 7 Millionen Euro oder 1,4 %. Die DSGVO sieht bis zu 20 Millionen Euro oder 4 % des weltweiten Jahresumsatzes vor. In der Schweiz treffen Bußen bis 250.000 Franken die verantwortliche natürliche Person. Unter DORA verhängen die nationalen Aufsichtsbehörden Verwaltungssanktionen und Abhilfemaßnahmen.

Persönliche Verantwortung der Leitung

DORA legt fest, dass das Leitungsorgan alle Vorkehrungen des IKT-Risikomanagements definiert, genehmigt, überwacht und verantwortet, und dass seine Mitglieder ihre Kenntnisse über IKT-Risiken durch regelmäßige Schulungen aktuell halten. NIS2 verlangt, dass Leitungsorgane die Risikomanagementmaßnahmen billigen, ihre Umsetzung überwachen und für Verstöße verantwortlich gemacht werden können. Deutschland hat das im überarbeiteten BSI-Gesetz mit einer Haftung der Geschäftsleitung gegenüber dem eigenen Unternehmen umgesetzt. Die Delegation der Umsetzung an die IT bleibt möglich. Die Verantwortung für Billigung und Überwachung bleibt bei der Leitung.

Audit-Feststellungen und Meldepflichten

Eine Feststellung der Aufsicht bindet Kapazität, zieht Auflagen und Nachprüfungen nach sich und wird bei Banken und Versicherern Teil der aufsichtlichen Bewertung. Ein erfolgreicher Angriff auf eine Produktionsdatenbank bedeutet Betriebsunterbrechung und löst Meldepflichten mit engen Fristen aus. NIS2 verlangt eine Frühwarnung innerhalb von 24 Stunden nach Kenntnis eines erheblichen Vorfalls, DORA die Meldung erheblicher IKT-Vorfälle an die zuständige Behörde nach festgelegten Fristen. Wer in dieser Zeit erst herausfinden muss, welche Daten betroffen sind, weil die Logs unvollständig sind, meldet zu spät oder falsch.

Reputation

Kunden, Partner und Aufsicht bewerten ein Unternehmen nach einem Vorfall daran, wie schnell es den Umfang kannte, wie es reagiert hat und ob es den Vorgang belegen kann. Diese drei Fragen werden an der Datenbank beantwortet, über Audit-Trails, forensische Snapshots und dokumentierte Reaktionszeiten.

Datenbanksicherheit als Resilienzmandat

DORA spricht von digitaler operationaler Resilienz, NIS2 von Risikomanagementmaßnahmen, die FINMA von operationeller Resilienz. Gemeint ist in allen drei Fällen die Fähigkeit, einen Angriff zu erkennen, einzudämmen, den Betrieb aufrechtzuerhalten und den Vorgang nachzuweisen. Für Datenbanken bedeutet das ein Sicherheitsmodell, das auf Zero-Trust-Prinzipien, identitätsbasierter Kontrolle, durchgängiger Verschlüsselung, kontinuierlicher Telemetrie und automatisierter Reaktion aufbaut, unabhängig davon, ob die Datenbank in der Cloud oder On-Premises läuft.

Die Kontrollen entwirft und betreibt die IT. Aufgabe der Leitung ist, sie zu beauftragen, zu finanzieren und sich ihre Wirksamkeit regelmäßig nachweisen zu lassen. Dieser Nachweis ist dieselbe Evidenz, die der Prüfer sehen will. Ein Unternehmen, das seine Datenbankkontrollen intern belegen kann, hat das Audit zur Hälfte hinter sich.

Sieben Fragen an Ihre IT

1. Wie viele Konten haben uneingeschränkte Rechte auf unseren produktiven Datenbanken, und wann wurde das zuletzt rezertifiziert?
2. Liegen unsere Datenbank-Logs außerhalb der Datenbankserver, unveränderbar und mit konsistenten Zeitstempeln?
3. Wann wurden Verschlüsselungsschlüssel und Zertifikate zuletzt rotiert, und wer kann das belegen?
4. Erkennen wir eine ungewöhnliche Abfrage oder einen ungewöhnlichen Login automatisch, und wie schnell reagiert das System von selbst?
5. Welche KI-Assistenten haben Zugriff auf unsere Datenbanken, mit welchen Rechten, und wer prüft ihre Eingaben?
6. Welche Evidenz können wir einem Prüfer innerhalb eines Tages vorlegen?
7. Wie lange dauert es von der Erkennung eines Vorfalls bis zur Meldung an die Aufsicht, und ist der Prozess geübt?

Belastbare Antworten auf diese Fragen sind die Grundlage einer Vorstandsvorlage. Ausbleibende Antworten sind selbst der Befund.

Ausblick

Die Anforderungen werden strenger. DORA wird durch technische Regulierungsstandards weiter konkretisiert, NIS2 wird in den Mitgliedstaaten nachgeschärft, und die FINMA hat mit dem Rundschreiben 2023/1 die Anforderungen an operationelle Resilienz bereits erhöht. Technisch kommen vollautomatisierte Sicherheitsarchitekturen, Self-Healing Databases und Post-Quantum-Kryptografie hinzu. Letztere verlangt in den nächsten Jahren eine Inventur aller eingesetzten kryptografischen Verfahren, eine Aufgabe, die ein funktionierendes Schlüsselmanagement voraussetzt.

Wer heute in Kontrollen investiert, die ihre eigene Evidenz erzeugen, bezahlt jedes künftige Audit und jede künftige Verschärfung mit derselben Infrastruktur. Wie DORA konkret auf Datenbanken wirkt, hat Redgate in Was ist DORA, und was bedeutet das für Datenbanken? beschrieben. Wie Berechtigungsänderungen, Konfigurationsabweichungen und Sicherheitsereignisse in großen und regulierten Datenbanklandschaften zentral erfasst werden, zeigt Redgate Monitor Enterprise.

Häufige Fragen

Gilt DORA auch außerhalb des Finanzsektors?

DORA gilt für Finanzunternehmen und deren IKT-Drittdienstleister. Wer IT-Dienstleistungen für Banken, Versicherer oder Zahlungsdienstleister erbringt, wird über die vertraglichen Anforderungen dieser Kunden erfasst.

Betrifft NIS2 auch den Mittelstand?

Ja. NIS2 erfasst wesentliche und wichtige Einrichtungen in 18 Sektoren ab bestimmten Größenschwellen. In Deutschland und Österreich ist der Kreis der verpflichteten Unternehmen dadurch um ein Vielfaches gewachsen.

Was ist der schnellste Nachweis für den Vorstand?

Ein Bericht über alle privilegierten Datenbankkonten mit Rezertifizierungsdatum, ergänzt um eine Integritätsprüfung der Audit-Logs. Beides ist innerhalb weniger Tage erstellbar und zeigt sofort, wo die Lücken sind.

Weiterlesen

Das Whitepaper „Database Security in Regulated DACH Environments: Adapting to the Age of AI“ enthält die vollständige Übersicht der regulatorischen Rahmenbedingungen, die Bedrohungsanalyse und die Architekturprinzipien: Whitepaper herunterladen.

Welche Architektur diese Anforderungen trägt, beschreibe ich in „Zero Trust für Datenbanken: Eine Architektur, die KI-Angriffen und Audits standhält“. Was DBAs zuerst umsetzen sollten, steht in „KI-gestützte Angriffe auf Datenbanken: Was DBAs jetzt zuerst absichern sollten“.