Branche: Finanzdienstleistungen
DORA ist in Kraft.
Sind Sie compliant?
65% aller Finanzunternehmen wurden 2024 von Ransomware getroffen. Seit dem 17. Januar 2025 gelten die strengsten IT-Sicherheitsanforderungen, die der europäische Finanzsektor je gesehen hat.
Vertrauen von Banken, Versicherungen und Finanzdienstleistern
- Sicherheitsanalysen
-
- Jahre Erfahrung
-
- bis zum Festpreis-Angebot
-
- festangestellte Experten
-
Warum Finanzsektor
Der Finanzsektor ist das
lukrativste Angriffsziel
Keine andere Branche kombiniert direkten monetären Zugriff, regulatorischen Druck, geopolitische Bedrohung und Legacy-Infrastruktur wie der Finanzsektor.
Direkter Geldzugriff
Der Finanzsektor ist die einzige Branche, in der ein Cyberangriff direkt und sofort Geld stehlen kann - über SWIFT-Manipulation, Überweisungsbetrug oder Trading-Plattformen. Die globalen Kosten für Finanzbetrug lagen 2023 bei 485 Mrd. USD.
Geopolitische Bedrohung
Pro-russische Hacktivisten (NoName057(16)) führten 14 Angriffswellen gegen deutsche Finanzinstitute. DDoS macht 58% aller Bank-Angriffe in der EU aus. Staatliche Akteure (China: +300% Anstieg 2024, Nordkorea: Lazarus/BlueNoroff) zielen gezielt auf Finanzinfrastruktur.
Legacy-Systeme & Open Banking
92% der Top-100-Banken laufen auf Mainframes mit 60-70 Jahre altem COBOL-Code. Gleichzeitig erzwingt PSD2/Open Banking tausende neuer API-Endpunkte. 90% aller Web-Angriffe zielen mittlerweile auf APIs (Verizon DBIR 2024). Legacy trifft auf moderne Angriffsfläche.
Cyberangriffe auf den Finanzsektor - reale Fälle
Von Supply-Chain-Angriffen über Ransomware bis zu geopolitisch motivierten DDoS-Kampagnen - der Finanzsektor ist im Dauerfeuer.
ICBC Financial Services (USA)
LockBit-Ransomware traf die US-Tochter der weltweit größten Bank (5,7 Bio. USD Assets). US-Treasury-Handel lahmgelegt, fehlgeschlagene Trades stiegen auf 60 Mrd. USD. Abwicklung per USB-Stick über Manhattan-Kuriere. Fitch warnte vor „wachsendem Zahlungsunterbrechungsrisiko" im 26-Billionen-Dollar-Markt.
MOVEit Supply-Chain-Angriff
Cl0p-Ransomware nutzte eine Zero-Day-Schwachstelle in MOVEit Transfer. Über 60 Banken betroffen - darunter Flagstar Bank (800.000+ Kunden), FIS und FISC. 66,4 Mio. Personen weltweit kompromittiert. Geschätzter Gesamtschaden: bis zu 12,15 Mrd. USD. Viele Banken waren nur indirekt über Drittdienstleister betroffen.
Deutsche Bank / Postbank / ING / Comdirect
Hacker kompromittierten einen Drittanbieter für Kontowechsel-Services. Kundendaten von Deutsche Bank, Postbank, ING und Comdirect betroffen - darunter Namen, IBANs und Transaktionsdaten aus den Jahren 2016-2020. Ein klassischer Supply-Chain-Angriff auf den deutschen Bankensektor.
NoName057(16) DDoS-Kampagnen
Pro-russische Hacktivisten führten 3.700+ Angriffe gegen westliche Ziele. Deutschland: 14 Angriffswellen, darunter gleichzeitige Ausfälle bei Sparkasse, Commerzbank und Volksbank Online-Banking (April 2024). Europol nahm das Botnet im Juli 2025 hoch - die Gruppe war 2 Wochen später wieder aktiv.
525 schwerwiegende IKT-Vorfälle meldeten deutsche Finanzunternehmen allein in den ersten 9 Monaten 2025 an die BaFin.
31% der Angriffe trafen nicht das Institut direkt, sondern einen Drittdienstleister.
Regulatorische Anforderungen
DORA - die fünf Säulen der digitalen Resilienz
Der Digital Operational Resilience Act vereinheitlicht die IT-Sicherheitsanforderungen für den gesamten europäischen Finanzsektor. Die alten Silos (BAIT, VAIT, KAIT, ZAIT) weichen einem einheitlichen Framework.
IKT-Risikomanagement
Art. 5-16: Umfassendes Framework mit persönlicher Vorstandsverantwortung. Asset-Inventar, Sicherheitsrichtlinien, BCM, Patch-Management, Krypto-Kontrollen. Jährliche Überprüfung Pflicht.
Incident Management
Art. 17-23: Dreistufiges Meldeverfahren - 4h Erstmeldung, 72h Zwischenmeldung, 1 Monat Abschluss. Klassifizierung nach Auswirkung, Dauer, Datenverlust und wirtschaftlichem Schaden.
Resilienztests
Art. 24-27: Jährliche Pentests und Schwachstellenscans (Art. 25). TLPT alle 3 Jahre auf Produktionssystemen für systemrelevante Institute (Art. 26-27). Purple Team verpflichtend.
Drittparteienrisiko
Art. 28-44: Vollständiges Register aller IKT-Verträge (Ersteinreichung April 2025). Konzentrationsrisiko-Analyse, Vertrags-Pflichtklauseln, Exit-Strategien. 19 kritische IKT-Provider unter EU-Direktaufsicht.
Informationsaustausch
Art. 45: Freiwillige Teilnahme an sektorweitem Austausch von IoCs, TTPs und Threat Intelligence. Meldepflicht bei Beitritt/Austritt an BaFin. DSGVO- und Wettbewerbsrecht-konform.
Haftung & Strafen
Bußgelder bis 2% des weltweiten Jahresumsatzes. Persönliche Haftung der Geschäftsleitung bis 5 Mio. EUR (Deutschland: EU-Höchstwert). BaFin hat im Q3 2025 die erste DORA-Durchsetzungsmaßnahme verhängt.
Weitere relevante Regelwerke
MaRisk
Bleibt parallel zu DORA in Kraft
BAIT (Residual)
Bis 31.12.2026 für Nicht-DORA-Institute
PCI DSS v4.0
Kartenzahlung & Payment
KRITIS / NIS-2
DORA als lex specialis, BSI-Meldung bleibt
DORA-Compliance-Status unklar?
In einem 30-Minuten-Gespräch analysieren wir Ihre regulatorischen Pflichten und identifizieren die dringendsten Handlungsfelder.
Digitale Resilienz aufbauen - nicht nur Compliance erreichen
Kostenlose Erstberatung. DORA-konforme Handlungsempfehlungen in 30 Minuten.
Kostenlos · 30 Minuten · Unverbindlich
Unsere Leistungen für den Finanzsektor
Von DORA-Säule III (Resilienztests) über Säule I (IKT-Risikomanagement) bis zur Sensibilisierung Ihrer Mitarbeiter - alles aus einer Hand, ISO 27001-zertifiziert.
Penetration Testing
Online-Banking, APIs (PSD2/XS2A), Core-Banking, Active Directory, externe/interne Infrastruktur. DORA Art. 25-konform, OWASP/PTES/BSI-Leitfaden.
DetailsRed Teaming / TLPT
Threat-Led Penetration Testing nach TIBER-EU-Methodik. Szenariobasiert, auf Produktionssystemen, mit verpflichtendem Purple Team. DORA Art. 26-27-konform.
DetailsDORA Gap-Analyse & ISMS
Bewertung Ihres IKT-Risikomanagements gegen DORA Art. 5-16. ISMS-Aufbau nach ISO 27001. BAIT-zu-DORA-Transition. Drittparteienregister-Unterstützung.
DetailsPhishing & Social Engineering
Gefälschte SWIFT-Benachrichtigungen, BaFin-Rundschreiben, Überweisungsfreigaben. Vishing (Telefonbetrug), CEO Fraud. Messbare Awareness-Verbesserung.
DetailsSchwachstellenscan & Monitoring
Kontinuierliche Überwachung Ihrer externen und internen Angriffsfläche. Automatisierte Scans kombiniert mit manueller Validierung. Retainer-Modell verfügbar.
DetailsIndividuelles Paket?
SWIFT CSP Assessment, PCI DSS, Incident-Response-Retainer, API-Security-Audit - zugeschnitten auf Ihr Institut.
Bedarf besprechenAngriffsvektoren im Finanzsektor
Von Ransomware über Supply-Chain-Angriffe bis zu Mobile-Banking-Trojanern - diese Bedrohungen treffen den Finanzsektor besonders hart.
65%
Ransomware
Ø 2,58 Mio. USD Wiederherstellungskosten
+196%
Mobile-Banking-Trojaner
1,24 Mio. Angriffe 2024 (Kaspersky)
16,6B
CEO Fraud (BEC)
USD Schaden weltweit 2024 (FBI)
31%
Supply-Chain-Angriffe
der BaFin-Vorfälle via Drittanbieter
90%
API-Angriffe
aller Web-Angriffe zielen auf APIs
3.700+
DDoS (Hacktivisten)
NoName057(16) Angriffe 2024-25
20M
Insider-Bedrohungen
USD Ø jährliche Kosten pro Institut
+300%
Staatliche Akteure (China)
Anstieg Angriffe auf Finanzsektor 2024
Warum AWARE7 für Ihr Finanzunternehmen
Was uns von anderen Anbietern unterscheidet
Reine Awareness-Plattformen testen keine Systeme. Reine Beratungskonzerne sind zu weit weg. AWARE7 verbindet beides: Wir hacken Ihre Infrastruktur und schulen Ihre Mitarbeiter — mittelstandsgerecht, persönlich, ohne Enterprise-Overhead.
Forschung und Lehre als Fundament
Rund 20% unseres Umsatzes stammen aus Forschungsprojekten für BSI, BMBF und die EU. Wir veröffentlichen CVEs, präsentieren auf internationalen Top-Konferenzen und bilden als T.I.S.P.-Schulungsanbieter Sicherheitsexperten aus. Alle Berater sind mehrfach zertifiziert - von ISO 27001 Lead Auditor bis OSCP.
Digitale Souveränität - keine Kompromisse
Alle Daten werden ausschließlich in Deutschland gespeichert und verarbeitet - ohne US-Cloud-Anbieter. Keine Freelancer, keine Subunternehmer in der Wertschöpfung. Alle Mitarbeiter sind sozialversicherungspflichtig angestellt und einheitlich rechtlich verpflichtet. Auf Anfrage VS-NfD-konform.
Festpreis in 24h - planbare Projektzeiträume
Innerhalb von 24 Stunden erhalten Sie ein verbindliches Festpreisangebot - kein Stundensatz-Risiko, keine Nachforderungen, keine Überraschungen. Durch eingespieltes Team und standardisierte Prozesse erhalten Sie einen klaren Zeitplan mit definiertem Starttermin und Endtermin.
Ihr fester Ansprechpartner - jederzeit erreichbar
Ein persönlicher Projektleiter begleitet Sie vom Erstgespräch bis zum Re-Test. Sie buchen Termine direkt bei Ihrem Ansprechpartner - keine Ticket-Systeme, kein Callcenter, kein Wechsel zwischen wechselnden Beratern. Kontinuität schafft Vertrauen.
Für wen sind wir der richtige Partner?
Mittelstand mit 50–2.000 MA
Unternehmen, die echte Security brauchen — ohne einen DAX-Konzern-Dienstleister zu bezahlen. Festpreis, klarer Scope, ein Ansprechpartner.
IT-Verantwortliche & CISOs
Die intern überzeugend argumentieren müssen — und dafür einen Bericht mit Vorstandssprache brauchen, nicht nur technische Findings.
Regulierte Branchen
KRITIS, Gesundheitswesen, Finanzdienstleister: NIS-2, ISO 27001, DORA — wir kennen die Anforderungen und liefern Nachweise, die Auditoren akzeptieren.
Mitwirkung an Industriestandards
OWASP · 2023
OWASP Top 10 for Large Language Models
Prof. Dr. Matteo Große-Kampmann als Contributor im Core-Team des weltweit führenden LLM-Sicherheitsstandards.
BSI · Allianz für Cyber-Sicherheit
Management von Cyber-Risiken
Prof. Dr. Matteo Große-Kampmann als Mitwirkender des offiziellen BSI-Handbuchs für die Unternehmensleitung (dt. Version).
Zertifiziert. Forschungsbasiert. Datensouverän.
Unternehmenszertifizierungen
- ISO 27001 - Informationssicherheit
- ISO 9001 - Qualitätsmanagement
- BSI-Forschungspartner (BMBF/EU-Projekte)
- 100% festangestellt - keine Freelancer
Persönliche Zertifizierungen
- OSCP - Offensive Security Certified Professional
- ISO 27001 Lead Auditor
- T.I.S.P. - TeleTrusT Information Security Professional
- OSWA, OSWP - Web Assessment & Wireless Professional
Datensouveränität - besonders relevant für den Finanzsektor
Verarbeitung in Deutschland
Keine US-Cloud, eigene Infrastruktur
Keine Subunternehmer
KWG §25b-konform, einheitliche Kontrolle
VS-NfD auf Anfrage
Für gehobene Vertraulichkeit
DORA-Compliance-Leitfaden
Prüfen Sie in 20 Minuten, wo Ihr Institut bei den 5 DORA-Säulen steht - und wo die dringendsten Lücken liegen.
Leitfaden anfordern
Erfahren Sie, welche DORA-Anforderungen Ihr Institut betreffen und wo typische Compliance-Lücken liegen. Speziell für Banken, Versicherungen und Zahlungsdienstleister.
Mit dem Absenden stimmen Sie unserer Datenschutzerklärung zu. Kein Spam - nur der angeforderte Leitfaden.
In drei Schritten zur digitalen Resilienz
DORA-Status & Gap-Analyse
In einem 30-minütigen Gespräch erfassen wir Ihren DORA-Reifegrad: bestehende Frameworks (BAIT, ISO 27001), Testprogramm, Drittparteienmanagement und akute Compliance-Lücken.
Tests & Maßnahmenplan
Wir führen die vereinbarten Prüfungen durch - Pentest, Red Team, Phishing-Simulation, Drittanbieter-Assessment - und liefern einen DORA-konformen Maßnahmenplan mit Priorisierung.
Umsetzung & Retainer
Auf Wunsch begleiten wir die Umsetzung, bauen Ihr IKT-Risikomanagement-Framework auf und stellen mit regelmäßigen Tests sicher, dass Sie dauerhaft DORA-konform bleiben. Festpreisgarantie.
Weiterführend
Regulatorische Themen für den Finanzsektor
Vertiefen Sie Ihr Verständnis der regulatorischen Anforderungen - von DORA über BaFin-Compliance bis zu NIS2.
DORA: Alle Anforderungen
Die 5 DORA-Säulen, betroffene Unternehmen, Meldepflichten und Umsetzungsschritte im Detail.
BaFin: BAIT, MaRisk und mehr
Was nach DORA von BAIT/VAIT/KAIT/ZAIT übrig bleibt und wie Sie BaFin-Prüfungen bestehen.
DORA-Beratung buchen
Gap-Analyse, IKT-Risikomanagement, Drittparteienregister und Penetration Testing nach Art. 25.
Häufige Fragen zur IT-Sicherheit im Finanzsektor
Was ist DORA und welche Finanzunternehmen sind betroffen?
Was hat sich durch DORA an BAIT, VAIT, KAIT und ZAIT geändert?
Was ist TLPT (Threat-Led Penetration Testing) und wer muss es durchführen?
Wie unterscheidet sich ein Pentest von TLPT/TIBER-DE?
Welche Meldepflichten gelten unter DORA bei einem Cyberangriff?
Was kostet ein Cyberangriff auf ein Finanzunternehmen?
Welche Awareness-Maßnahmen empfehlen Sie für Mitarbeiter in Banken und Versicherungen?
Wie hilft AWARE7 bei der DORA-Umsetzung?
Wir sind eine kleine Bank / ein FinTech - betrifft uns DORA auch?
Was ist der DORA-Drittparteienregister und wann muss er eingereicht werden?
Digitale Resilienz beginnt mit dem ersten Gespräch
Kostenlose DORA-Erstberatung mit einem Finanzsektor-Sicherheitsexperten. Konkrete Empfehlungen in 30 Minuten.
Kostenlos · 30 Minuten · Unverbindlich
