DORA-konforme Cloud-Migration: Schritt für Schritt zu einem Betrieb, den Sie nachweisen können

Eine DORA-konforme Cloud-Migration verlagert IT-Systeme eines Finanzunternehmens so in die Cloud, dass Verantwortung, Wiederherstellung und Kontrolle über den Anbieter jederzeit belegbar sind. Die Verordnung zur digitalen operationalen Resilienz (DORA) gilt für Finanzunternehmen und ihre kritischen IT-Dienstleister, und sie verschiebt die Frage von „Ist der Anbieter zertifiziert?" zu „Können Sie den Betrieb steuern?".

Was DORA für Ihre Cloud-Migration bedeutet

DORA verlangt ein Risikomanagement für Informations- und Kommunikationstechnik, regelmäßige Tests der digitalen Betriebsfähigkeit, ein Meldewesen für schwerwiegende Vorfälle und die Steuerung der Risiken aus Drittanbietern. Für eine Migration heißt das: Jeder Schritt, von der Anbieterwahl bis zur Datenhaltung, muss dokumentiert und begründet sein. Ein Zahlungsdienstleister, der seine Kernanwendung zu einem Hyperscaler verlagert, muss vertraglich sicherstellen, dass dieser als kritischer IT-Dienstleister prüfbar ist und Audits zulässt. Ob er das tut, ist eine Vertragsfrage, keine Zertifikatsfrage.

Schritt eins: Bestandsaufnahme und Risikoanalyse

Vor jeder Migration steht die Inventur aller Systeme, Datenflüsse und Abhängigkeiten. DORA fordert, Geschäftsfunktionen nach Kritikalität einzustufen; die als kritisch oder wichtig eingestuften Systeme unterliegen strengeren Anforderungen. Bewerten Sie für jedes System Ausfallrisiko, Datenverlustrisiko und die Abhängigkeit von Dritten. Typischer Fund: Ein Transaktionssystem läuft auf einer Altdatenbank, die keine Verschlüsselung der gespeicherten Daten unterstützt. Das ist vor der Migration zu lösen, nicht danach.

Schritt zwei: einen Anbieter wählen, den Sie steuern können

Kein Cloud-Anbieter ist „DORA-konform" von sich aus, denn DORA zertifiziert niemanden. Prüfen Sie, ob der Anbieter anerkannte Zertifizierungen vorweist, etwa ISO 27001 oder den C5-Katalog des BSI, und ob er vertraglich zusichert, seine Pflichten als IT-Dienstleister zu erfüllen: Datenstandort, Zugriffsrechte, Prüfrechte. Ein europäischer Betreiber, der Daten in deutschen Rechenzentren hält und europäischem Recht unterliegt, erspart Ihnen die Diskussion über Drittlandzugriffe, die bei US-Konzernen auch mit EU-Rechenzentrum bleibt.

Schritt drei: Managed Hosting mit SLA, Deutschland als Rechtsraum, Ausstieg als Klausel

Der Vertrag mit dem Anbieter ist das Herzstück der Migration. Er muss enthalten: ein vollständiges Verzeichnis der bezogenen Leistungen, Service-Level-Vereinbarungen mit konkreten Wiederherstellungszeiten, Ihr Recht auf Prüfung und Audit, Kündigungsfristen und Übergabepflichten bei Vertragsende. Dazu gehört der Ausstieg: DORA verlangt, dass Sie den Anbieter wechseln können, ohne den Betrieb zu gefährden. Achten Sie auf den Unterschied zwischen Reaktionszeit und Lösungszeit: Die Reaktionszeit lässt sich garantieren, die Lösung erfolgt nach bestem Bemühen. Ein Vertrag, der beides verspricht, verspricht zu viel. Und prüfen Sie den Rechtsraum: Ein Betreiber mit Sitz in Deutschland und Rechenzentren in Deutschland unterliegt deutschem und europäischem Recht, ein US-Konzern mit deutschem Rechenzentrum zusätzlich dem US-Recht. Was einzelne SLA-Kennzahlen bedeuten, erklärt der Artikel SLA-Reaktionszeiten verstehen.

Schritt vier: Daten klassifizieren und verschlüsseln

Klassifizieren Sie Daten nach Vertraulichkeit und Kritikalität. Sensible Daten, etwa Kunden- und Transaktionsdaten, sind bei Übertragung und Ablage zu verschlüsseln. Entscheidend ist die Schlüsselverwaltung: Liegen die Schlüssel beim Cloud-Anbieter, hat er faktisch Zugriff. Ein eigenes Hardware-Sicherheitsmodul oder ein Schlüsseldienst, der getrennt vom Anbieter betrieben wird, hält die Kontrolle bei Ihnen.

Schritt fünf: Notfallpläne definieren und üben

DORA fordert, dass der Betrieb auch bei schweren Störungen weiterläuft. Legen Sie für jedes kritische System fest, wie lange ein Ausfall höchstens dauern darf (RTO) und wie viel Datenverlust hinnehmbar ist (RPO). Dann testen Sie: durch Planspiele am Tisch und durch echte Umschaltungen auf eine zweite Region oder ein zweites Rechenzentrum. Dokumentieren Sie jede Übung. Ein Notfallplan, der nie geübt wurde, ist für die Aufsicht ein Papier, kein Nachweis.

Schritt sechs: Überwachung und Meldewesen im Betrieb

Nach der Migration beginnt die Dauerpflicht. Ein zentrales Sicherheits-Monitoring sammelt Ereignisse aus allen Cloud-Systemen, erkennt ungewöhnliche Zugriffsmuster und löst Alarme aus. Schwerwiegende Vorfälle sind der zuständigen Aufsicht innerhalb der vorgeschriebenen Fristen zu melden; der Ablauf dafür muss vorher feststehen, mit benannten Personen und vorbereiteten Vorlagen.

Häufige Fragen

Welche Anbieter sind DORA-konform? Keiner per Etikett. Sie prüfen, ob der Anbieter die vertraglichen und technischen Anforderungen erfüllt. Zertifizierungen wie ISO 27001 und C5 sind gute Anzeichen, europäische Betreiber mit Datenhaltung in der EU erleichtern den Nachweis.

Was passiert, wenn der Anbieter die Anforderungen nicht erfüllt? Die Verantwortung bleibt beim Finanzunternehmen. Dann bleibt der Wechsel oder der Nachweis, dass eigene Maßnahmen, etwa eigene Verschlüsselung und redundante Systeme, die Lücke schließen.

Können Altsysteme unverändert in die Cloud? Technisch ja, aber sie erfüllen die Resilienzanforderungen selten: keine Verschlüsselung, keine automatische Umschaltung. Eine schrittweise Modernisierung während der Migration ist der Weg, den wir empfehlen.

Nehmen Sie den bestehenden Vertrag mit Ihrem Cloud- oder Hosting-Anbieter und prüfen Sie, ob Wiederherstellungszeiten, Prüfrechte und Übergabepflichten bei Vertragsende darin stehen. Was fehlt, bringen Sie in den Potenzial-Check: eine halbe Stunde, kostenlos, und Sie wissen danach, welche Lücken die Architektur schließt und welche der Vertrag. Potenzial-Check buchen