Fachbeiträge & Kommentare zu Informationssicherheit

Rz. 63 Gemäß Tz. 2.2 BAIT ist die Geschäftsleitung dafür verantwortlich, dass auf Basis der IT-Strategie die Regelungen zur IT-Aufbau- und IT-Ablauforganisation festgelegt und bei Veränderungen der Aktivitäten und Prozesse zeitnah angepasst werden. Es ist sicherzustellen, dass diese Regelungen wirksam umgesetzt werden. Rz. 64 Laut Tz. 4.4 BAIT hat die Geschäftsleitung die Fun...mehr

Rz. 91 Damit die Bestandteile des Informationsverbundes ihre Schutzziele erfüllen, ist bei der Ausgestaltung der IT-Systeme und zugehörigen IT-Prozesse grundsätzlich auf gängige Standards abzustellen. Der Rückgriff auf gängige Standards hat vor allem den Vorteil, dass auf Methoden abgestellt werden kann, die sich bereits in der Praxis bewährt haben. Dadurch wird nicht nur ei...mehr

Rz. 1 Die IT-Strategie hat die Anforderungen nach AT 4.2 der MaRisk zu erfüllen. Dies beinhaltet insbesondere, dass die Geschäftsleitung eine nachhaltige IT-Strategie festlegt, in der die Ziele, sowie die Maßnahmen zur Erreichung dieser Ziele dargestellt werden. Rz. 2 Die Geschäftsleitung hat eine mit der Geschäftsstrategie konsistente IT-Strategie festzulegen. Mindestinhalte...mehr

Rz. 112 Aufgrund ihrer besonderen Bedeutung für das Funktionieren der Prozesse hat das Institut in Abhängigkeit von Art, Umfang, Komplexität und Risikogehalt der Geschäftsaktivitäten auch Aussagen zur zukünftig geplanten Ausgestaltung der IT-Systeme zu treffen (→ AT 4.2 Tz. 1, Erläuterung). Damit wird die in den letzten Jahren ständig gestiegene Bedeutung der Informationstec...mehr

Rz. 282 Die Grundsätze des Baseler Ausschusses für Bankenaufsicht für die effektive Aggregation von Risikodaten und die Risikoberichterstattung[1] enthalten nicht nur Vorgaben für das Risikomanagement (→ Kapitel 2.6.1), sondern betreffen in einem hohen Maße auch die Informationstechnologie. Die IT-relevanten Vorgaben wurden erstmals im November 2017 als Konkretisierung der M...mehr

[…] die Novellierung der BAIT ist abgeschlossen. Vielen Dank für Ihr Mitwirken durch schriftliche Rückmeldungen, beispielsweise in der öffentlichen Konsultation sowie durch konstruktive Mitarbeit im Fachgremium IT. Mein Dank gilt auch der Deutschen Bundesbank, die in enger Zusammenarbeit mit der Gruppe IT-Aufsicht an der BAIT-Novelle mitgewirkt hat. Ich freue mich, Ihnen nun ...mehr

Rz. 11 Bei der Umsetzung dieser Anforderungen sind zumindest bis zum 17. Januar 2025 die "Bankaufsichtlichen Anforderungen an die IT" (BAIT)[1] zu beachten, mit deren Hilfe die MaRisk in den relevanten Bereichen weiter konkretisiert werden. Mithilfe der BAIT wird den Instituten die Erwartungshaltung der deutschen Aufsicht zur sicheren Ausgestaltung der IT-Systeme und zugehör...mehr

Hinweis zur Benutzung des Literaturverzeichnisses: Sofern es sich bei den Autoren bzw. Herausgebern um Organisationen handelt, sind die aufgeführten Werke i. d. R. auf der Internetseite der jeweiligen Organisation verfügbar. Achtelik, Olaf, in: Herzog, Felix (Hrsg.), Geldwäschegesetz, 5. Auflage, München, 2023, § 24c KWG, § 25h KWG und § 6 GwG. ACI Deutschland e. V. – Arbeitsg...mehr

Rz. 87 Unmittelbar im Anschluss an die Veröffentlichung der fünften MaRisk-Novelle hat die deutsche Aufsicht im November 2017 die "Bankaufsichtlichen Anforderungen an die IT" (BAIT) vorgelegt.[1] Dieses Rundschreiben gibt auf der Grundlage des § 25a Abs. 1 KWG einen flexiblen und praxisnahen Rahmen für die technisch-organisatorische Ausstattung der Institute vor, insbesonder...mehr

Rz. 41 Die Vergabe von Berechtigungen und Kompetenzen beinhaltet seit der vierten MaRisk-Novelle auch die regelmäßige und anlassbezogene Überprüfung von IT-Berechtigungen, Zeichnungsberechtigungen und sonstigen eingeräumten Kompetenzen. Rz. 42 Die regelmäßige Überprüfung muss innerhalb angemessener Fristen erfolgen. Diese Fristen sollen sich an der Bedeutung der Prozesse und,...mehr

Rz. 25 Die IT-Systeme (Hardware- und Software-Komponenten), die zugehörigen IT-Prozesse und die sonstigen Bestandteile des Informationsverbundes müssen die "Integrität", die "Verfügbarkeit", die "Authentizität" sowie die "Vertraulichkeit" der Daten sicherstellen. Gemäß Tz. 4.7 BAIT handelt es sich dabei um die sogenannten "Schutzziele" bzw. im Sprachgebrauch des Bundesamtes...mehr

Rz. 100 Auch für die sonstigen vom Institut als wesentlich identifizierten Risiken gelten zunächst die allgemeinen Anforderungen an die Inhalte der Berichterstattung über die wesentlichen Risiken (→ BT 3.1 Tz. 2 und BT 3.2 Tz. 2). Grundsätzlich bleibt es den Instituten überlassen, zu den erforderlichen Mindestinhalten der Risikoberichterstattung über die anderen wesentlichen...mehr

[…] die Informationstechnik ist – und deshalb steht sie auch zunehmend im Fokus von Angriffen – die Basisinfrastruktur für sämtliche bankfachlichen, aber auch alle nichtbankfachlichen Prozesse in den Instituten. In einer globalisierten Finanzwelt, in der immer mehr Menschen digital bezahlen bzw. Geld transferieren und in der viele Anleger ihre Geldanlage online bestreiten, sin...mehr

Rz. 208 Mit Anwendung des Digital Operational Resilience Acts (DORA) ab dem 17. Januar 2025 müssen Institute, die Aktivitäten und Prozesse auslagern und dabei gleichzeitig als Finanzunternehmen eine vertragliche Vereinbarung über IKT-Dienstleistungen abschließen, bei der Durchführung der Risikoanalyse und Due-Diligence-Prüfung zusätzliche Anforderungen gemäß Art. 28 Abs. 4 u...mehr

Rz. 57 Die Geschäftsfortführungspläne müssen als Bestandteil des Notfallkonzeptes gewährleisten, dass im Notfall zeitnah Ersatzlösungen zur Verfügung stehen. Hierzu gehören Maßnahmen, die bis zur Wiederherstellung des Normalbetriebes die Handlungsfähigkeit des Institutes sicherstellen. In Geschäftsfortführungsplänen können z. B. folgende Punkte geregelt werden: die Festlegung...mehr

Rz. 34 Ohne ausreichend qualifiziertes Personal ist kein Institut dauerhaft in der Lage, den Entwicklungen auf den Märkten standzuhalten. Eine hohe Qualifikation der Mitarbeiter stärkt somit die Position des Institutes gegenüber Wettbewerbern. Qualifiziertes Personal bietet zudem die Gewähr dafür, dass die Vorgaben der Geschäftsleitung korrekt nachvollzogen und somit effekt...mehr

Rz. 156 Die Erwartungshaltung der deutschen Aufsicht an ein angemessenes IT-Risikomanagement hat sie in den bisher geltenden BAIT näher ausgeführt. Die BAIT haben jedoch auch bisher keinen vollständigen Anforderungskatalog dargestellt. Sie sollen vielmehr einen verständlichen und flexiblen Rahmen für das Management der IT-Ressourcen, des Informationsrisikos und der Informati...mehr

[…] die Europäische Bankenaufsichtsbehörde (EBA) hat im November 2019 mit den "EBA-Leitlinien für IKT und Sicherheitsrisikomanagement" (ICT Guidelines) für den Binnenmarkt einheitliche Anforderungen an das Management von Informationstechnik und Informationssicherheit für Kreditinstitute, Wertpapierfirmen und Zahlungsdienstleister veröffentlicht. Aus dem Anlass haben Vertreteri...mehr

Rz. 93 Den Anforderungen des Moduls 3 der BAIT zufolge sollen die Institute beim IT-Risikomanagement vor allem auf den Schutzbedarf für die Bestandteile ihres festgelegten Informationsverbundes abstellen. Dabei sollten deren Abhängigkeiten und Schnittstellen einbezogen werden, um die Vernetzung des Informationsverbundes mit Dritten zu berücksichtigen. Auf dieser Basis müssen...mehr

Rz. 211 Die Festlegung von Maßnahmen zur Sicherstellung der "Datensicherheit" hat sich in jedem Fall am Schutzbedarf der verarbeiteten Daten zu orientieren. Das ergibt sich bereits aus der Definition, weil die "Datensicherheit" bzw. "Informationssicherheit" den Schutz von Daten hinsichtlich gegebener Anforderungen an deren Vertraulichkeit, Verfügbarkeit und Integrität bezeic...mehr

Rz. 241 Zur Einhaltung der Vorgaben an das Informationssicherheitsmanagement haben die Institute die Funktion des Informationssicherheitsbeauftragten einzurichten. Die Funktion umfasst gemäß Tz. 4.4 BAIT die Verantwortung für die Wahrnehmung aller Belange der Informationssicherheit innerhalb des Institutes und gegenüber Dritten (→ AT 7.2 Tz. 2).[1] Jedes Institut hat gemäß T...mehr

Rz. 86 Beim IKT-Risiko sollte nicht nur nach den Vorstellungen des Baseler Ausschusses für Bankenaufsicht mit Verweis auf das Cyber-Lexikon des Financial Stability Boards (FSB) auch das "Cyberrisiko" berücksichtigt werden.[1] Der Definition des FSB zufolge wird die Kombination aus der Wahrscheinlichkeit des Auftretens von Cybervorfällen und deren Auswirkungen als "Cyberrisi...mehr

Rz. 170 Unabhängig davon muss sich das Institut nach Tz. 3.10 BAIT laufend über "Bedrohungen" und "Schwachstellen" seines Informationsverbundes informieren, ihre Relevanz prüfen, ihre Auswirkung bewerten und, sofern erforderlich, geeignete technische und organisatorische Maßnahmen ergreifen. Dabei sind interne und externe Veränderungen, z. B. der Bedrohungslage, zu berücksi...mehr

Rz. 31 Das "IKT-Risiko" bezeichnet gemäß Art. 4 Abs. 1 Nr. 52c CRR die Gefahr von Verlusten in Verbindung mit jedem vernünftigerweise identifizierbaren Umstand im Zusammenhang mit der Nutzung von Netzwerk- und Informationssystemen, die bei Eintritt – durch die damit einhergehenden nachteiligen Auswirkungen im digitalen oder physischen Umfeld – die Sicherheit der Netzwerk- un...mehr

Rz. 196 Beim Bezug von Software sind die damit verbundenen Risiken angemessen zu bewerten. Der isolierte Bezug von Software ist i. d. R. als "sonstiger Fremdbezug von Leistungen" einzustufen. Allerdings sind mit dem Bezug von Software häufig auch Unterstützungsleistungen verbunden. Sofern die Software zur Identifizierung, Beurteilung, Steuerung, Überwachung und Kommunikation...mehr

Rz. 60 In der Sondersitzung des MaRisk-Fachgremiums zur Compliance-Funktion am 24. April 2013 hat die Aufsicht nochmals deutlich gemacht, dass die Institute nicht zwingend eine eigenständige Organisationseinheit einrichten müssen, unter der alle wesentlichen Compliance-Themen gebündelt sind. Die Institute haben vielmehr bei der aufbauorganisatorischen Umsetzung der Complianc...mehr

Rz. 308 Seit der sechsten MaRisk-Novelle haben die Vertragsparteien bei wesentlichen Auslagerungen mit Auslandsbezug im Auslagerungsvertrag die Standorte (d. h. Regionen oder Länder) festzulegen, in denen die Durchführung der Dienstleistung erfolgt und/oder maßgebliche Daten gespeichert und verarbeitet werden. Darüber hinaus ist vertraglich zu vereinbaren, dass das Institut ...mehr

Rz. 118 Der Einsatz von unzureichend getesteten und nicht abgenommenen IT-Systemen kann den gesamten IT-Betrieb erheblich beeinträchtigen. So können z. B. Fehler in der Software nicht erkannt werden, wenn diese nicht ausreichend getestet und freigegeben wird. Solche Fehler gefährden den produktiven Einsatz und die Informationssicherheit der neuen Software sowie unter Umständ...mehr

Rz. 13 Wie beim Neu-Produkt-Prozess (→ AT 8.1 Tz. 5) sind in die Analysen zu den Auswirkungen der geplanten Veränderungen auf die Kontrollverfahren und die Kontrollintensität die später in die Arbeitsabläufe eingebundenen Organisationseinheiten einzuschalten. Aus Effizienzgründen empfiehlt sich ein vergleichbares Vorgehen wie beim Neu-Produkt-Prozess (NPP), indem die zuständ...mehr

Rz. 8 Das Institut hat Ziele zum Notfallmanagement zu definieren und hieraus abgeleitet einen Notfallmanagementprozess festzulegen. Die Ziele zum Notfallmanagement ergeben sich im Grunde bereits aus dessen Definition und den damit verbundenen Aufgabenstellungen zur Notfallvorsorge und zur Notfallbewältigung. Die Verantwortlichkeiten, Ziele und Maßnahmen zur Fortführung bzw. ...mehr

Rz. 316 Um eine ordnungsgemäße Interne Revision auch im Fall der Auslagerung sicherzustellen, sind im Auslagerungsvertrag Informations- und Prüfungsrechte zugunsten der Internen Revision des auslagernden Institutes zu vereinbaren. Die Interne Revision prüft und beurteilt die Ordnungsmäßigkeit grundsätzlich aller Aktivitäten und Prozesse eines Institutes, unabhängig davon, ob...mehr

Rz. 1 Eine Auslagerung liegt vor, wenn ein anderes Unternehmen mit der Wahrnehmung von Aktivitäten und Prozessen im Zusammenhang mit der Durchführung von Bankgeschäften, Finanzdienstleistungen oder sonstigen institutstypischen Dienstleistungen beauftragt wird, die ansonsten vom Institut selbst erbracht würden. Zivilrechtliche Gestaltungen und Vereinbarungen können dabei das ...mehr

Rz. 368 Der Implementierung geeigneter Steuerungs- und Überwachungsmechanismen kommt bei Dienstleistungen eine besonders wichtige Rolle zu. Während sich Sachleistungen i. d. R. exakt durch entsprechende Spezifikationen im Auslagerungsvertrag umschreiben lassen, erweist sich dies bei Dienstleistungen häufig als schwieriger. Entwickeln die Geschäftspartner bezüglich des Inhalt...mehr

Rz. 2 Die technisch-organisatorische Ausstattung umfasst die Gesamtheit der Einrichtungen und Anlagen zur Leistungserstellung eines Institutes. Hierzu zählen z. B. Grundstücke, Gebäude, Büromaterial oder Aufbewahrungsmöglichkeiten. Es ist evident, dass sich z. B. hinsichtlich der Gebäude bei einem Institut mit weit verzweigtem Filialnetz andere Fragen ergeben als bei einem I...mehr

Rz. 171 Auf Basis der festgelegten "Risikokriterien" ist eine "Risikoanalyse" durchzuführen. Diese Risiko­analyse umfasst neben dem Soll-Ist-Vergleich die Analyse der möglichen Bedrohungen, das ­Schadenspotenzial, die Schadenshäufigkeit sowie den Risikoappetit des Institutes. Sonstige risiko­reduzierende Maßnahmen können auch in die Risikoanalyse einfließen. Laut Tz. 3.9 BAI...mehr

Rz. 165 Ist der Schutzbedarf ermittelt, soll das Institut nach Tz. 3.6 BAIT in einem "Sollmaßnahmenkatalog" jene Anforderungen definieren, die zur Erreichung des jeweiligen Schutzbedarfes angemessen sind, und diese in geeigneter Form dokumentieren. Insofern enthält der Sollmaßnahmenkatalog lediglich die Anforderungen, nicht jedoch deren konkrete Umsetzung. Auf dieser Basis h...mehr

Rz. 85 Vor dem Hintergrund der COVID-19-Pandemie hatte die EBA bereits ab März 2020 an Erleichterungen für Kreditinstitute gearbeitet und erste Überlegungen hierzu im April 2020 veröffentlicht.[1] Die EBA überführte ihre Empfehlungen im Juli 2020 in Leitlinien und konkretisierte diese weiter.[2] Nach dem von der EBA vorgeschlagenen pragmatischen Ansatz für den SREP in 2020 h...mehr

Rz. 164 Auch im Hinblick auf den sonstigen Fremdbezug von IT-Dienstleistungen haben die Institute zunächst die allgemeinen Anforderungen an die ordnungsgemäße Geschäftsorganisation gemäß § 25a Abs. 1 KWG zu beachten (→ AT 9 Tz. 1, Erläuterung). Darüber hinaus sind bei jedem Bezug von Software die damit verbundenen Risiken angemessen zu bewerten (→ AT 7.2 Tz. 4 Satz ;2). Wege...mehr

Rz. 1 Wesentliche Veränderungen in den IT-Systemen im Rahmen von IT-Projekten, deren Auswirkung auf die IT-Aufbau- und IT-Ablauforganisation sowie die dazugehörigen IT-Prozesse sind im Rahmen einer Auswirkungsanalyse zu bewerten (vgl. AT 8.2 Tz. 1 MaRisk). Im Hinblick auf den erstmaligen Einsatz sowie wesentliche Veränderungen von IT-Systemen sind die Anforderungen des AT 7....mehr

Rz. 309 Die BaFin hat am 8. November 2018 eine Orientierungshilfe zu Auslagerungen an Cloud-Anbieter in Form eines Merkblattes veröffentlicht.[1] In diesem mit der Deutschen Bundesbank abgestimmten Dokument wird die aufsichtliche Praxis bei derartigen Konstellationen dargelegt. Gleichzeitig soll bei den beaufsichtigten Unternehmen ein Problembewusstsein im Umgang mit Cloud-D...mehr

Rz. 8 Bei wesentlichen Veränderungen in den IT-Systemen sind ergänzend die "Bankaufsichtlichen Anforderungen an die IT" (BAIT)[1] zu beachten, mit deren Hilfe die MaRisk in den relevanten Bereichen weiter konkretisiert werden. Die Aufsicht erläutert darin auch, was sie unter angemessenen Änderungsprozessen von IT-Systemen versteht (→ AT 7.2 Tz. 3). Die MaRisk und die BAIT si...mehr

Rz. 1 IT-Dienstleistungen umfassen alle Ausprägungen des Bezugs von IT; dazu zählen insbesondere die Bereitstellung von IT-Systemen, Projekte/Gewerke oder Personalgestellung. Die Auslagerungen der IT-Dienstleistungen haben die Anforderungen nach AT 9 der MaRisk zu erfüllen. Dies gilt auch für Auslagerungen von IT-Dienstleistungen, die dem Institut durch ein Dienstleistungsun...mehr

Rz. 85 Die bedeutenden Institute und die "großen Förderbanken" müssen allerdings keine exklusive Organisationseinheit ausschließlich für die Compliance-Funktion im Sinne des AT 4.4.2 einrichten. Eine Kombination mit den für andere Compliance-Themen zuständigen Einheiten, insbesondere die Compliance-Funktion nach MaComp sowie die für Geldwäscheprävention, Terrorismusfinanzier...mehr

Rz. 94 Die von der EBA im Februar 2019 veröffentlichten Leitlinien zu Auslagerungen[1] aktualisieren die CEBS-Leitlinien aus dem Jahr 2006 und integrieren die Empfehlungen der EBA zu Outsourcing an Cloud-Anbieter. Darüber hinaus konkretisieren sie die Anforderungen an die Überwachung der Auslagerungen im SREP. Ziel der Leitlinien ist es, die Anforderungen an Auslagerungen eu...mehr

Rz. 105 Die fünfte und sechste MaRisk-Novelle haben zu erheblichen Überarbeitungen der Anforderungen an Auslagerungen geführt.[1] Positiv ist dabei anzumerken, dass die in die MaRisk übernommenen Regelungen deutlich prinzipienorientierter ausgestaltet sind als ihre europäischen Vorgaben. Zwar betont auch die EBA die Bedeutung des Grundsatzes der Proportionalität sowohl bei d...mehr

Rz. 25 Nicht zuletzt aus der Definition einer Störung ergibt sich die Notwendigkeit einer Abgrenzung zwischen der "Störungsbeseitigung" bzw. dem "Vorfallmanagement" und dem "Notfallmanagement". Rz. 26 Die EBA fordert die Etablierung eines "Prozesses zum Management von Vorfällen und Problemen", um operationelle und sicherheitsrelevante IKT-Vorfälle zu überwachen und zu protoko...mehr

Rz. 28 Mitarbeiter sowie deren Vertreter müssen in Abhängigkeit von ihren Aufgaben, Kompetenzen und Verantwortlichkeiten über die erforderlichen Kenntnisse und Erfahrungen verfügen. Diese Anforderung setzt voraus, dass Institute über eine entsprechende Personalbedarfsplanung verfügen, in der ebenjene notwendigen Fähigkeiten, Fertigkeiten, die Erfahrung und das Potenzial (d. ...mehr

Rz. 133 Die Anforderungen an die Funktionalität der Anwendung müssen laut Tz. 7.7 BAIT ebenso erhoben, bewertet, dokumentiert und genehmigt werden wie "nichtfunktionale Anforderungen". Nichtfunktionale Anforderungen an IT-Systeme sind beispielsweise: Anforderungen an die Informationssicherheit, Zugriffsregelungen, Ergonomie, Wartbarkeit, Antwortzeiten, Resilienz.[1] Rz. 134 Zu jede...mehr

Rz. 163 Für die Bestandteile des definierten Informationsverbundes hat das Institut gemäß Tz. 3.4 BAIT regelmäßig und anlassbezogen den "Schutzbedarf" zu ermitteln. Das gilt insbesondere im Hinblick auf die Schutzziele Integrität, Verfügbarkeit, Vertraulichkeit und Authentizität. Die Eckpunkte dafür müssen in einer Informationssicherheitsleitlinie festgelegt werden (→ AT 7....mehr

Rz. 59 Die Senior Supervisors Group hat in ihrem Bericht aus dem Jahr 2010 eine wichtige Forderung aufgestellt: Die IT-Strategie muss essenzieller Teil der Geschäftsstrategie sein.[1] Die deutsche Aufsicht erwartet somit, dass die notwendigen Anforderungen an die digitale Transformation auf geschäftspolitischen Grundlagen basieren und strategisch verankert werden.[2] Um eine...mehr