Finanzaufsicht | Compliance
BaFin-Compliance: BAIT, MaRisk und DORA
Banken und Finanzinstitute unterliegen den strengsten IT-Sicherheitsanforderungen in Deutschland: BAIT, MaRisk und seit Januar 2025 DORA definieren verbindliche Standards für IT-Governance, Informationssicherheit und digitale Betriebsstabilität. BaFin-Prüfungen nach §44 KWG können jederzeit angeordnet werden.
Zuletzt aktualisiert: März 2026
- BaFin IT-Rundschreiben
- BAIT + MaRisk
- VAIT/KAIT/ZAIT aufgehoben; DORA seit 01/2025
- VAIT aufgehoben
- 17.01.2025
- KAIT und ZAIT ebenfalls aufgehoben
- ENISA Finance Incidents
- 488
- Gemeldete Vorfälle im EU-Finanzsektor (2023)
- Banken mit Cyber-Vorfall
- 61 %
- Laut EBA/ENISA Threat Landscape
Überblick
BaFin-Regulatorik im Überblick: Was für wen gilt
Die BaFin hat mehrere IT-spezifische Rundschreiben herausgegeben, die für unterschiedliche Institutstypen gelten. Seit Januar 2025 hat DORA den Regulierungsrahmen grundlegend verändert.
| Regelwerk | Anwendungsbereich | Status (Stand 2025) |
|---|---|---|
| BAIT Bankaufsichtliche Anforderungen an die IT | Kreditinstitute nach KWG | DORA-pflichtige Institute seit 17.01.2025 ausgetreten; für übrige Institute bis 31.12.2026 (FinmaDiG) |
| MaRisk Mindestanforderungen an das Risikomanagement | Kreditinstitute nach KWG | Weiterhin gültig (IT-Abschnitte ergänzt durch DORA) |
| DORA Digital Operational Resilience Act (EU 2022/2554) | Breites Finanzinstituts-Spektrum (direkt anwendbar) | In Kraft seit 17.01.2025 - Vorrang als EU-Verordnung |
| VAIT Versicherungsaufsichtliche Anforderungen an die IT | (ehemals Versicherungsunternehmen) | Aufgehoben seit 17.01.2025 - durch DORA ersetzt |
| KAIT Anforderungen für Kapitalverwaltungsgesellschaften | (ehemals Kapitalverwaltungsgesellschaften) | Aufgehoben seit 17.01.2025 - durch DORA ersetzt |
| ZAIT Zahlungsdiensteaufsichtliche Anforderungen an die IT | (ehemals Zahlungsdienstleister) | Aufgehoben seit 17.01.2025 - durch DORA ersetzt |
Transition
Was nach DORA gilt: Die neue Rechtslage seit Januar 2025
Mit Wirkung zum 17. Januar 2025 gilt DORA (Digital Operational Resilience Act, EU 2022/2554) unmittelbar für einen breiten Kreis von Finanzinstituten. Als EU-Verordnung ist DORA direkt anwendbar - ohne nationalen Umsetzungsakt.
DORA hat drei der bisherigen BaFin-IT-Rundschreiben vollständig aufgehoben: VAIT (Versicherungen), KAIT (Kapitalverwaltungsgesellschaften) und ZAIT (Zahlungsdienstleister) gelten nicht mehr. DORA-pflichtige Institute sind seit 17.01.2025 nicht mehr im BAIT-Anwenderkreis. Für Institute, die nicht unter DORA fallen, gilt BAIT bis 31.12.2026 (FinmaDiG).
Mehr zu den konkreten DORA-Anforderungen, dem Anwendungsbereich und dem IKT-Risikomanagement-Framework finden Sie auf unserer DORA-Themenseite.
DORA-Kernpflichten im Überblick
Vollständiges IKT-Risikoregister, Risikoklassifizierung, Kontrollmechanismen und Berichterstattung an Leitungsorgane. Leitungsorgane haften persönlich für ausreichende DORA-Compliance.
Dreistufige Meldepflicht: Erstmeldung innerhalb von 4 Stunden nach Klassifizierung als schwerwiegend oder 24 Stunden nach Entdeckung (zwei alternative Auslöser, keine separaten Stufen), Zwischenbericht 72 Stunden nach Erstmeldung, Abschlussbericht 1 Monat danach.
Für bedeutende Institute: regulatorisch vorgeschriebene, erweiterte Penetrationstests (Threat-Led Penetration Testing, TLPT) alle 3 Jahre nach TIBER-EU-Methodik.
Vollständiges Register aller IKT-Drittdienstleister, Risikoklassifizierung, vertragliche DORA-Mindestanforderungen, Ausstiegsstrategien. Kritische IKT-Dienstleister werden direkt von der EBA/ESMA/EIOPA beaufsichtigt.
§44 KWG
BaFin-IT-Prüfungen: Was geprüft wird
BaFin-Sonderprüfungen nach §44 KWG können jederzeit angeordnet werden. Die IT-Prüfungsschwerpunkte sind klar definiert - eine strukturierte Vorbereitung ist möglich und empfehlenswert.
IT-Governance
- IT-Strategie und Dokumentation (BAIT AT 1)
- IT-Organisationsstrukturen und Verantwortlichkeiten
- IT-Berichterstattung an Leitungsorgane
- IT-Budgetsteuerung und Ressourcenplanung
Informationsrisikomanagement
- Vollständiges Risikoregister aller IT-Systeme
- Risikoklassifizierung nach Kritikalität
- Regelmäßige Risikobewertung und -aktualisierung
- Risikoberichte an Vorstand und Aufsichtsrat
Informationssicherheitsmanagement
- ISMS-Dokumentation und Richtlinien
- Regelmäßige Penetrationstests (BAIT AT 7.3)
- Schwachstellenscans und Patch-Management
- Security-Awareness-Schulungen
Auslagerungsmanagement
- Vollständiges Auslagerungsregister (§25b KWG)
- Risikoklassifizierung aller IT-Auslagerungen
- Vertragliche Mindestanforderungen (Exit, Audit, SLA)
- Laufendes Auslagerungscontrolling
Notfall- und Business-Continuity
- Notfallkonzept für kritische IT-Systeme
- Regelmäßige BCP/DR-Tests und -Dokumentation
- Recovery Time Objectives (RTO) und -Objectives (RPO)
- Kommunikationspläne bei IT-Störungen
Berechtigungsmanagement
- Rollenbasierte Zugriffskontrolle (RBAC)
- Privileged Access Management (PAM)
- Regelmäßige Berechtigungsreviews
- Lückenlose Protokollierung privilegierter Zugriffe
Bedrohungslage
Cyberbedrohungen im Finanzsektor: ENISA-Daten
Der Finanzsektor ist das bevorzugte Ziel von Cyberkriminellen weltweit. Laut ENISA Threat Landscape for the Finance Sector 2024 wurden in der EU 488 signifikante Sicherheitsvorfälle im Finanzbereich dokumentiert - mit deutlich steigender Tendenz.
Die BaFin-Meldepflichten erfassen nur einen Bruchteil der tatsächlichen Vorfälle - die Dunkelziffer ist erheblich. Finanzinstitute sind nicht nur attraktive Ziele wegen des direkten finanziellen Schadens, sondern auch wegen der systemischen Risiken: Ein erfolgreicher Angriff auf eine große Bank kann das gesamte Finanzsystem destabilisieren.
DORA hat die Meldepflichten und Reaktionszeiten deshalb erheblich verschärft: Die Erstmeldung muss innerhalb von 4 Stunden nach Klassifizierung als schwerwiegend oder spätestens 24 Stunden nach Entdeckung erfolgen - gefolgt von Zwischenbericht (72 Stunden) und Abschlussbericht (1 Monat).
Finanzsektor-Cybersicherheit in Zahlen
BaFin-gemeldete IKT-Vorfälle pro Jahr (Schätzung, Dunkelziffer höher)
Signifikante ENISA-Vorfälle im EU-Finanzsektor (2023)
DDoS-Angriffe als häufigster Angriffstyp gegen Finanzinstitute
Banken, die in den letzten 3 Jahren einen signifikanten Cyber-Vorfall erlebt haben
Ransomware-Quote bei erfolgreichen Angriffen auf Finanzinstitute
DORA-Erstmeldefrist: 4 h nach Klassifizierung als schwerwiegend oder 24 h nach Entdeckung (Art. 20 DORA)
Quellen: ENISA Threat Landscape for the Finance Sector 2024; EBA Risk Assessment Report 2024; BaFin-Jahresbericht 2024.
„BaFin-IT-Prüfungen sind keine Überraschung - die Prüfungsschwerpunkte sind bekannt. Was ich in der Praxis immer wieder sehe: Institute, die Penetrationstests und Dokumentationsreviews regelmäßig durchführen, bestehen diese Prüfungen problemlos. Der Aufwand für kontinuierliche Compliance ist ein Bruchteil des Aufwands für eine reaktive Krisenbereinigung.“
Oskar Braun
ISO 27001 Lead Auditor (IRCA-zertifiziert) · AWARE7 GmbH
Warum AWARE7 für BaFin-Compliance
Was uns von anderen Anbietern unterscheidet
Reine Awareness-Plattformen testen keine Systeme. Reine Beratungskonzerne sind zu weit weg. AWARE7 verbindet beides: Wir hacken Ihre Infrastruktur und schulen Ihre Mitarbeiter: mittelstandsgerecht, persönlich, ohne Enterprise-Overhead.
Forschung und Lehre als Fundament
20 %Rund 20% unseres Umsatzes stammen aus Forschungsprojekten für BSI und BMBF. Unsere auf ACM- und Springer-Konferenzen publizierten Studien analysieren Millionen von Websites und Zehntausende Phishing-E-Mails. Drei unserer Führungskräfte sind gleichzeitig Professoren an deutschen Hochschulen.
Digitale Souveränität: keine Kompromisse
100 %Ihre Daten liegen vom Erstkontakt bis zum Abschlussbericht auf unseren eigenen Servern in Deutschland - ohne US-Cloud-Anbieter, ohne Drittlandtransfer. Auch unsere KI läuft auf eigener Hardware in Deutschland - mit lokal betriebenen Open-Source-Modellen. Kunden- und Auftraggeberdaten erreichen keine externen KI-Dienste. Alle Mitarbeiter sind festangestellt, sozialversicherungspflichtig und einheitlich rechtlich verpflichtet.
Mehr zur digitalen SouveränitätFestpreis in 24h: planbare Projektzeiträume
24 hInnerhalb von 24 Stunden erhalten Sie ein verbindliches Festpreisangebot ohne Stundensatz-Risiko. Eingespieltes Team und standardisierte Prozesse sorgen für einen klaren Zeitplan mit definiertem Start- und Endtermin.
Ihr fester Ansprechpartner
1:1Ein persönlicher Projektleiter begleitet Sie vom Erstgespräch bis zum Re-Test. Sie buchen Termine direkt bei Ihrem Ansprechpartner und behalten dieselbe Kontaktperson über das gesamte Projekt.
Peer-reviewte Publikationen
Different Seas, Different Phishes - Large-Scale Analysis of Phishing Simulations
ACM AsiaCCS 2025
Oskar Braun, Jan Hörnemann, Norbert Pohlmann, Matteo Große-Kampmann
A Platform for Physiological and Behavioral Security
NSPW 2025
Jan Hörnemann
Privacy from 5 PM to 6 AM: Tracking and Transparency in the HbbTV Ecosystem
IEEE/IFIP DSN 2025
Jan Hörnemann, Norbert Pohlmann, Matteo Große-Kampmann
Understanding Regional Filter Lists: Efficacy and Impact
PoPETS 2025
Jan Hörnemann, Norbert Pohlmann, Matteo Große-Kampmann
Für wen sind wir der richtige Partner?
Mittelstand mit 50-2.000 MA
Unternehmen, die echte Security brauchen, ohne einen DAX-Konzern-Dienstleister zu bezahlen. Festpreis, klarer Scope, ein Ansprechpartner.
IT-Verantwortliche & CISOs
Die intern überzeugend argumentieren müssen und dafür einen Bericht mit Vorstandssprache brauchen, nicht nur technische Findings.
Regulierte Branchen
KRITIS, Gesundheitswesen, Finanzdienstleister: NIS-2, ISO 27001, DORA. Wir kennen die Anforderungen und liefern Nachweise, die Auditoren akzeptieren.
Häufige Fragen zur BaFin-Compliance
Antworten auf die häufigsten Fragen zu BAIT, MaRisk, DORA-Transition und BaFin-IT-Prüfungen für Finanzinstitute.
Was ist BAIT und gilt es noch?
Was ist MaRisk und wie hängt es mit IT-Sicherheit zusammen?
Welche BaFin-Rundschreiben betreffen IT-Sicherheit?
Was hat sich durch DORA an BAIT/VAIT/KAIT/ZAIT geändert?
Was prüft die BaFin bei einer §44 KWG Prüfung?
Wie bereite ich mich auf eine BaFin-IT-Prüfung vor?
Brauche ich BAIT oder DORA?
Wie unterstützt AWARE7 bei BaFin-Compliance?
Aus dem Blog
Weiterführende Artikel
Datenbanksicherheit: PostgreSQL, MySQL und MSSQL richtig absichern
Datenbank-Härtung für PostgreSQL, MySQL und MSSQL: Least-Privilege-Rollen, Audit-Logging, Verschlüsselung und SQL-Injection-Prävention.
Vincent Heinen 
Der Informationssicherheitsbeauftragte - Zuständigkeiten und Aufgaben!
Der Informationssicherheitsbeauftragte ist der Ansprechpartner für Informationssicherheit im Unternehmen. Diese Aufgaben hat er!
Jan Hörnemann 
PCI DSS: Der Sicherheitsstandard für Kreditkartenzahlungen erklärt
Erfahren Sie, warum PCI DSS für Unternehmen, die Kreditkartenzahlungen akzeptieren, unverzichtbar ist und schützt.
Jan Hörnemann BaFin-Compliance strukturiert angehen
AWARE7 unterstützt Finanzinstitute mit BAIT-Gap-Analysen, DORA-Readiness-Assessments und regulatorisch anerkannten Penetrationstests. Festpreisangebot nach kostenloser Ersteinschätzung.
Kostenlos · 30 Minuten · Unverbindlich
