Starke Authentifizierung unter DORA: Wie Banken und Versicherungen jetzt ihre Resilienz stärken

Die drei Kernanforderungen von DORA an die Authentifizierung

Die DORA-Verordnung verpflichtet Finanzinstitute, ein robustes IKT-Risikomanagement umzusetzen. Für die Zugriffskontrolle und Authentifizierung aller Personen und Systeme ergeben sich daraus drei konkrete Kernanforderungen:

• Starke Authentifizierung nach Normen: DORA schreibt den Einsatz starker Authentifizierung vor, die auf einschlägigen Normen (etwa BSI/NIST) basieren.
• Risikobasierter Einsatz von Authentifizierungsmethoden: Die Authentifizierungsstärke muss dem Schutzbedarf und Risikoprofil des jeweiligen IKT-Assets entsprechen, insbesondere für privilegierte Zugänge, kritisch wichtige Funktionen (kwF), Fernzugriffe und öffentliche IKT-Ressourcen.
• Spezielle Kontrollsysteme zur Authentifizierung: Die eindeutige Identifizierung von Personen und Systemen muss zentralisiert und nach klar definierten Prozessen erfolgen.

DORA gibt damit einen klaren Auftrag: Jedes Finanzinstitut muss ein risikobasiertes Authentifizierungskonzept implementieren, das starke Authentifizierungsmethoden nutzt und sich an Standards wie BSI IT-Grundschutz oder NIST SP 800-63 orientiert. Eine risikoorientiere Umsetzung kann ähnlich zu der nachfolgenden Grafik durchgeführt werden.

Was genau bedeutet „starke Authentifizierung"?

Der BSI IT-Grundschutz definiert starke Authentifizierung wie folgt:

Diese Definition muss jedoch präzisiert werden: Nicht jeder zweite Faktor ist gleich sicher. Ein zweiter Faktor per SMS oder E-Mail gilt nach Normen des BSI IT-Grundschutzes oder dem NIST SP 800-63 nicht als starke Authentifizierung, insbesondere bei hohem Schutzbedarf. Diese Verfahren sind nicht phishing-resistent und anfällig für Angriffe (wie SIM-Swapping) und sollten daher nicht für besonders privilegierte Zugriffe verwendet werden.

Bewährte Methoden sind zum Beispiel Authenticator-Apps mit zeitbasierten Einmalcodes oder Push-Benachrichtigungen. Da diese Verfahren allerdings nicht vollständig phishing-resistent sind, sollten ergänzende Maßnahmen wie Gerätebindung, „Number Matching“ oder Biometrie eingesetzt werden.

Für echte Phishing-Resistenz sind zertifikatsbasierte Authentifizierungsmethoden oder FIDO2 (WebAuthn/CTAP2) die beste Wahl. FIDO2 nutzt kryptografische Herkunftsbindung: Der private Schlüssel bleibt sicher auf dem Gerät oder Hardware-Sicherheitsschlüssel, und Anmeldungen funktionieren nur für die echte Website oder Anwendung. Die Nutzerverifizierung erfolgt lokal per PIN oder Biometrie, ohne dass Passwörter oder Einmalcodes übertragen werden. FIDO2 unterstützt Plattform-Authentifikatoren wie Windows Hello oder Apple Face ID/Touch ID sowie physische Sicherheitsschlüssel und ist als Passkey besonders nutzerfreundlich.

Typische Stolpersteine auf dem Weg zur DORA-Konformität

Viele Unternehmen arbeiten mit gewachsenen Strukturen: mehrere Verzeichnisdienste (AD, LDAP), unterschiedliche Authentifizierungsservices und Insellösungen. Die Folge: hohe Komplexität und fehlende Transparenz darüber, wie Authentifizierung und Autorisierung für einzelne Anwendungen ablaufen.

Häufig fehlt ein klares Bild, welche Nutzergruppen über welche Zugriffswege für welche Anwendungen welche Authentifizierungsstärke benötigen. Die Balance zwischen Sicherheit und Benutzerfreundlichkeit ist nicht definiert. Komplexe, uneinheitliche Abläufe frustrieren Anwender.

Viele Legacy-Systeme unterstützen moderne Protokolle nicht und stellen Kunden vor der Herausforderung, diese adäquat abzusichern. Der historische „Wildwuchs" erhöht Komplexität und Wartungsaufwand zusätzlich. Und wenn MFA-Methoden eingesetzt werden, kommen veraltete Methoden auf Basis von SMS zum Einsatz, die anfällig für Phishing und Angriffe wie SIM-Swapping sind.

Ein weiterer kritischer Punkt ist ein fehlendes Zielbild und geringe Awareness. Widerstand gegen Veränderung wie zusätzliche Login-Schritte oder neue Apps führen zu langsamer und niedriger MFA-Adaption, wenn diese optional bleibt. Ohne konsequente Durchsetzung und gute Kommunikation verharren viele beim Gewohnten.

Strategische Lösungsansätze: Vom Regulatorik zur Chance

Die Nichterfüllung der DORA-Anforderungen ist kein Kavaliersdelikt. Die Konsequenzen reichen von erheblichen finanziellen Sanktionen (bis zu zehn Millionen Euro oder zwei Prozent des weltweiten Vorjahresumsatzes) über Einschränkungen im Geschäftsbetrieb bis hin zur persönlichen Haftung von Führungskräften und erheblichen Reputationsschäden. Um Investitionen in die digitale Resilienz zu rechtfertigen, müssen diese Risiken transparent gemacht werden.

Ein Großprojekt zur Modernisierung der Authentifizierung kann jedoch abschreckend wirken. Der Schlüssel zum Erfolg liegt darin, pragmatisch zu starten. Anstatt sofort eine komplexe technische Implementierung anzustoßen, sollten Unternehmen mit einer fundierten Assessment- und Strategiephase beginnen.

Klare Verantwortlichkeiten als Grundlage wirksamer IAM-Kontrollen 

Ein wirksames IAM erfordert ein klares Kontrollsystem. Viele Unternehmen setzen hierfür auf das Verteidigungslinienmodell:

• Erste Verteidigungslinie (Operative Umsetzung): Fachbereiche, Führungskräfte und IT sind für die tägliche Umsetzung verantwortlich – von der Beantragung und Genehmigung von Zugriffen bis zur konsequenten Nutzung starker Authentifizierung. 
• Zweite Verteidigungslinie (Kontrolle & Steuerung): Compliance, Informationssicherheit und Risikomanagement definieren die Richtlinien, überwachen deren Einhaltung und bewerten die Risiken.
• Dritte Verteidigungslinie (Unabhängige Prüfung): Die Interne Revision prüft unabhängig, ob Prozesse und Kontrollen wirksam sind und den regulatorischen Anforderungen genügen. 

Für die aktive Gestaltung und Umsetzung einer DORA-konformen Authentifizierungsstrategie sind die erste und zweite Verteidigungslinie maßgeblich. Während die dritte Linie eine rein prüfende Funktion einnimmt, ergeben sich die entscheidenden Handlungsfelder direkt aus den operativen und steuernden Verantwortlichkeiten der ersten beiden Linien: 

Handlungsfelder für die erste Verteidigungslinie:

Handlungsfelder für die zweite Verteidigungslinie:

Fazit

Starke Authentifizierung ist eine unumgängliche Anforderung von DORA. Anstatt sich von der Komplexität eines Großprojekts lähmen zu lassen, sollten Banken und Versicherungen jetzt mit einem klaren, überschaubaren ersten Schritt beginnen: einer fundierten Assessment- und Strategiephase.

Dieser Ansatz mit einem Zeithorizont von drei bis vier Monaten schafft nicht nur Transparenz über Risiken und Kosten, sondern liefert dem Management eine solide Grundlage für strategische Investitionsentscheidungen. Ein so erarbeitetes Zielbild ist zudem die Basis für eine audit-sichere Dokumentation und die Auswahl der passenden Technologien.

Darüber hinaus bietet die Umsetzung eine Chance: Unternehmen können ihre Authentifizierungslandschaft modernisieren, Betriebsprozesse vereinfachen und bestehende Komplexität deutlich reduzieren. Kosteneinsparungen ergeben sich insbesondere durch geringeren Administrationsaufwand, die Ablösung redundanter Systeme sowie weniger passwortbedingte Supportfälle durch den Einsatz von Single Sign‑On. Wer diese Gelegenheit nutzt, schafft nicht nur Sicherheit, sondern auch Effizienz und Zukunftsfähigkeit.

Bei PwC bieten wir Unternehmen umfassende Unterstützung: Wir helfen von der Governance und Strategie bis zur Implementierung und Managed Services für Ihre IdP-Lösung und beraten Sie in der Umsetzung einer zukunftsfähigen und skalierbaren Lösung.