1. DORA Art. 9 & DelVO (EU) 2024/1774 Art. 6–7: Was BaFin und EZB konkret prüfen
Mit dem Digital Operational Resilience Act (DORA, Verordnung (EU) 2022/2554) gilt im gesamten europäischen Finanzsektor – für Banken, Sparkassen, Versicherungen, Wertpapierfirmen, Kapitalverwaltungsgesellschaften, Zahlungsdienstleister und Krypto-Asset-Dienstleister – ein einheitliches, unmittelbar geltendes Aufsichtsrecht. In Art. 9 Abs. 2 DORA verpflichtet der Verordnungsgeber Finanzunternehmen zu belastbaren Strategien und Verfahren für die Verschlüsselung und kryptografische Absicherung von Daten in Ruhe (at rest), in Nutzung (in use) und bei der Übertragung (in transit).
Wie detailliert diese Pflicht in der Aufsichtspraxis der BaFin und der europäischen Aufsichtsbehörden (EBA, EIOPA, ESMA) ausgelegt wird, regelt die verbindliche Delegierte Verordnung (EU) 2024/1774 (Regulatory Technical Standards, RTS zum IKT-Risikomanagementrahmen) in den Artikeln 6 und 7:
Kryptografie-Richtlinie & Krypto-Agilität
- Verpflichtende Kriterien für die Auswahl kryptografischer Algorithmen, Schlüssellängen und Protokolle auf Basis führender Standards (in Deutschland: BSI TR-02102) und der Datenklassifizierung.
- Art. 6 Abs. 3 RTS: Finanzunternehmen müssen die Entwicklung der Kryptoanalyse und Quantentechnologie beobachten und kryptografische Technologien bei Bekanntwerden von Schwächen unverzüglich aktualisieren oder ersetzen (Krypto-Agilität).
- Dokumentierte Ausweichlösungen, falls einzelne Systeme noch nicht auf aktuelle Algorithmen umgestellt werden können.
Kryptografisches Schlüsselmanagement & Register
- Lückenlose Richtlinien für den gesamten Lebenszyklus kryptografischer Schlüssel: Generierung, Erneuerung, Speicherung, Backup, Archivierung, Widerruf und Vernichtung.
- Art. 7 Abs. 2 RTS (Das Krypto-Register): Verpflichtung zur Führung eines Registers für sämtliche Zertifikate und zertifikatspeichernden Geräte mit mindestens: Eigentümer, Aussteller, Gültigkeitsdauer, Einsatzzweck, Algorithmus und Schlüssellänge.
2. Warum manuelle Excel-Listen bei DORA- und BaFin-Prüfungen regelmäßig durchfallen
In vielen Instituten und mittelständischen IT-Abteilungen beginnt die Vorbereitung auf ein DORA- oder NIS-2-Audit noch immer damit, dass ein Mitarbeiter eine leere Excel-Arbeitsmappe anlegt und versucht, Webserver, Mail-Gateways und Zertifikate von Hand einzutragen. In der Prüfungspraxis scheitert dieser manuelle Ansatz aus vier systematischen Gründen:
| Prüfkriterium (BaFin / DORA RTS) | Manuell gepflegte Excel-Liste | Automatischer Export (CycloneDX v1.6 CBOM + CSV) |
|---|---|---|
| Vollständigkeit der Subdomains | Unvollständig: Vergessene Subdomains (vpn.*, api.*, staging.*) aus Certificate-Transparency-Logs fehlen fast immer. |
Automatische Erfassung über crt.sh + DNS-Analyse (MX, SPF, DMARC, SRV, TLSA) inkl. Sonderports. |
| Aktualität bei 90-Tage-Zertifikaten | Nach spätestens 90 Tagen (ACME / Let’s Encrypt Rotation) sind Seriennummern, Ablaufdaten und Fingerprints veraltet. | Sekundengenaue Live-Messung mit kryptografischer SHA-256-Prüfsumme (SHA256SUMS.txt) zum Prüfungsstichtag. |
| Tiefe der Handshake-Parameter | Erfasst meist nur „HTTPS aktiv“, aber weder ausgehandelte Key-Share-Gruppen (X25519MLKEM768 vs. X25519) noch SSH-KEX-Listen. |
Protokolliert echte OpenSSL-3.5- und SSH-2.0-Handshakes inkl. PFS-Status, DANE/TLSA und nistQuantumSecurityLevel. |
| Maschinenlesbarkeit (GRC / SIEM) | Freitext-Spalten ohne normierte OIDs; kein Import in Dependency-Track, ServiceNow oder SIEM möglich. | Beide Welten in einem Paket: Standardisiertes OWASP CycloneDX v1.6 JSON plus semikolon-getrennte deutsche Excel-CSV. |
3. Der Doppel-Standard: OWASP CycloneDX v1.6 CBOM + Semikolon-CSV für deutsches Excel
In der Praxis verlangen zwei Zielgruppen im Unternehmen zwei unterschiedliche Dateiformate für exakt dieselben kryptografischen Messdaten:
- Für Compliance-Beauftragte, Vorstände und Wirtschaftsprüfer (Deutsche Excel-CSV): Eine sofort in einem deutschen Microsoft Excel ohne Import-Assistenten per Doppelklick lesbare Tabelle (
Krypto_Inventar_<domain>.csv). Umlaute und Spalten müssen dabei ohne Nacharbeit korrekt erscheinen. - Für Security-Engineering, GRC-Tools und DORA-Drittparteien-Plattformen (CycloneDX v1.6 CBOM): Eine streng nach dem Schema von OWASP CycloneDX v1.6 strukturierte
cbom_<domain>.json, in der jeder Dienst, jedes X.509-Zertifikat, jedes asymmetrische Schlüsselaustauschverfahren und jede Cipher-Suite als eigenescryptographic-assetmitcryptoProperties,oidundnistQuantumSecurityLevel(0 bis 5) hinterlegt ist.
4. Inhalt des Krypto-Inventars
Beide Dateien beschreiben dieselben Messdaten: je Endpunkt Host und Port, Dienst, Protokollversion, Schlüsselaustausch, Post-Quanten-Status, Zertifikatsalgorithmus und Schlüssellänge, die Bewertung nach BSI TR-02102 und den konkreten Handlungsbedarf.
Wie das in der Praxis aussieht, zeigt der Musterbericht mit fiktiven Beispieldaten, einschließlich Muster-CSV zum Herunterladen.
5. Art. 28 DORA: Warum auch Hosting-, SaaS- und IT-Dienstleister ein CBOM liefern müssen
Genau wie bei NIS-2 (§ 30 Abs. 2 Nr. 4 BSIG) endet auch DORA nicht an der Grundstücksgrenze einer Bank oder Versicherung. Nach Art. 28 bis 30 DORA müssen Finanzunternehmen das IKT-Drittparteienrisiko steuern und in ihren Verträgen mit Softwarelieferanten, Cloud-Anbietern, Rechenzentren und Beratungsunternehmen klare Sicherheits- und Nachweispflichten verankern. Wer als IKT-Dienstleister für einen Finanzkunden tätig ist und zu jedem Release oder Quartalsstichtag ein aktuelles cbom.json samt PDF-Prüfbericht übergeben kann, erfüllt die Due-Diligence-Anforderungen der Bankenaufsicht auf Knopfdruck.
Externe Prüfung orientiert an BSI TR-02102 & § 30 BSIG
Eigene Domain gegen die Vorgaben aus diesem Leitfaden prüfen
Hauptdomain, Subdomains (crt.sh), Mailserver (MX, STARTTLS, DANE) und SSH – auf TLS 1.3 und X25519MLKEM768.
Visualisierte Statistiken: Schlüsselgrößen, Subdomain-Blindspots, Fristen & Wirtschaftlichkeit
1. Schlüssel- & Signaturgrößen-Explosion vs. TCP MTU-Limit (1.500 Bytes)
Vergleich der Public-Key- / Signatur-Größen im TLS-1.3-Handshake (in Bytes)
2. Subdomain-Blindspot: Warum 94 % trotz grüner Hauptseite (www.) durchfallen
Auswertung mittelständischer Domains mit aktivem CDN auf www. bei Prüfung aller Subdomains & Dienste-Ports
Cloudflare oder moderne Reverse Proxies terminieren TLS 1.3 inkl. X25519MLKEM768 automatisch auf der Marketing-Website.
Fehlende DNSSEC-Signierung oder fehlender _25._tcp TLSA-Eintrag nach BSI TR-03108; oft kein ML-KEM in Postfix/Exim.
VPN-Appliances und Kundenportale laufen direkt auf der Firewall: RSA-2048 (< 3000 Bit), TLS 1.2 ohne PQC oder Session-Tickets aktiv.
Im SSH_MSG_KEXINIT fehlen mlkem768x25519-sha256 bzw. sntrup761; teils noch diffie-hellman-group14-sha1 aktiv.
3. Regulatorischer Zeitstrahl: BSI TR-02102, NIS-2 (§ 30 BSIG), DORA & EU-PQC-Fristen (2025–2035)
Verbindliche Meilensteine für Finanzsektor, NIS-2-Einrichtungen und deren IT-Lieferkette
Geltungsbeginn DORA Art. 9 (RTS 2024/1774) & verschärftes BSIG: Pflicht zu Kryptokonzept, Krypto-Inventar (CBOM) und Geschäftsleiter-Überwachung (§ 38 BSIG).
BSI TR-02102-2 Version 2026-01: RSA unter 3.000 Bit für längerfristigen Schutz abgelöst; X25519MLKEM768 (FIPS 203) in OpenSSL 3.5 & OpenSSH 9.9 produktiv.
Gemeinsamer Meilenstein von BSI, ANSSI, NLNCSA und EU-Empfehlung (EU) 2024/1101: Vollständige PQC-Absicherung kritischer Infrastrukturen und sensibler Daten.
Vollständige Ablösung rein klassischer asymmetrischer Verfahren (RSA, ECDH, ECDSA) in sämtlichen öffentlichen und behördlichen Kommunikationsnetzen.
4. Kosten- & Zeitvergleich: Manuelles Berater-Audit vs. Automatischer sichergenug.de Prüfstand
Wirtschaftlichkeitsvergleich für die Erstellung von Prüfbericht, Krypto-Inventar (CBOM) und Konfigurations-Vorlagen
- • Dauer: 3–6 Wochen Abstimmungs- und Projektlaufzeit
- • Artefakte: Oft nur statisches Word/PDF ohne maschinenlesbares CycloneDX v1.6 CBOM
- • Wiederholbarkeit: Jede Nachprüfung nach Server-Updates kostet erneut Tagessätze
- ✓ Dauer: automatisierte Live-Prüfung, Download als ZIP-Paket nach Zahlungsabschluss
- ✓ Artefakte: PDF-Prüfbericht (im Komplettpaket als PDF/A-3b inkl. eingebettetem CBOM & CSV), CycloneDX v1.6
cbom.json, Excel-/Calc-Arbeitsmappen, 6 PQC-Server-Configs & Richtlinie/Fragebogen (Word, LibreOffice, Markdown) - ✓ Preistransparenz: Einmalzahlung (Endpreis), kein Abo
Diese Dateien erhalten Sie mit dem Prüfbericht
Auszüge aus dem Musterbericht für die fiktive Domain musterfirma.example:
Enthalten im 149 € & 249 € Paket: 01_Pruefbericht_und_Nachweis/Krypto_Pruefbericht_<domain>.pdf mit Management-Zusammenfassung sowie SHA256SUMS.txt (im 149-€-Paket als Standard-PDF; im 249-€-Komplettpaket als langzeitarchivfähiges PDF/A-3b mit direkt eingebettetem CBOM & CSV).
Vollständigen Musterbericht ansehen
| Host | Port | TLS | Schlüsselaustausch | Zertifikat | Bewertung |
|---|---|---|---|---|---|
| musterfirma.example | 443 | TLSv1.3 | X25519 | RSA 2048 | Dunkelorange |
| vpn.musterfirma.example | 443 | TLSv1.2 | RSA (ohne PFS) | RSA 2048 | Rot |
| mail.musterfirma.example | 25 | TLSv1.2 | X25519 | RSA 3072 | Dunkelorange |
| portal.musterfirma.example | 443 | TLSv1.3 | X25519MLKEM768 | ECDSA 256 | Grün |
Enthalten im 149 € & 249 € Paket: Semikolon-getrennte deutsche Excel-Datei Krypto_Inventar_<domain>.csv (UTF-8 BOM) + maschinenlesbares cbom_<domain>.json (OWASP CycloneDX v1.6).
Muster-CSV herunterladen
• Vollständig ausformuliertes Kryptokonzept (Dokumentationshilfe zu § 30 Abs. 2 Nr. 8 BSIG & Art. 9 DORA)
• Vorausgefüllt mit den am Stichtag gemessenen Subdomains, Ports, TLS/SSH-Versionen und Befunden Ihrer Domain
• Inklusive NIS2_Lieferanten_Fragebogen_Kryptografie.docx für Ihre Lieferkette (§ 30 Abs. 2 Nr. 4 BSIG)
• Hinweis: Unverbindliche Mustervorlage, vor Freigabe an Ihre Organisation anpassen. Keine Rechtsberatung.
• Kommentierte Beispielkonfigurationen für nginx, Apache, Caddy, Postfix, HAProxy und OpenSSH
• Abgestimmt auf die Befunde Ihrer Domain: Protokolle, Schlüsselaustausch einschließlich ML-KEM, Forward Secrecy
• Umstellungs-Checkliste und Prüfskript für die lokale Kontrolle nach der Änderung
• Hinweis: Vor dem Einsatz in einer Testumgebung prüfen und an Ihre Umgebung anpassen.
Häufig gestellte Fragen
Was fordert DORA Artikel 9 (und die RTS DelVO 2024/1774) konkret zum Thema Kryptografie?
Was ist ein CycloneDX v1.6 CBOM (Cryptographic Bill of Materials)?
Warum lässt sich unsere Krypto_Inventar.csv direkt fehlerfrei im deutschen Microsoft Excel öffnen?
Müssen auch IKT-Drittdienstleister von Banken und Versicherungen ein Krypto-Inventar vorlegen?
Ist das CBOM und die Excel-CSV bereits im 149-€-Paket enthalten?
Weitere Leitfäden
NIS-2 Kryptokonzept Vorlage
Word-Vorlage und Leitfaden zum NIS-2 Kryptografie-Konzept nach § 30 Abs. 2 Nr. 8 BSIG: Prüferanforderungen, Schlüssellebenszyklus, Lieferkette, Haftung.
DORA Art. 9 & RTS 2024/1774DORA Krypto-Inventar & CBOM
DORA Art. 9 und RTS (DelVO 2024/1774): Kryptografie-Register für Finanzunternehmen – warum Excel-Listen scheitern und wie Sie ein CycloneDX-CBOM erstellen.
BSI TR-02102-2 (2026-01)BSI TR-02102-2 TLS-Check
Checkliste zu BSI TR-02102-2 (2026) und TR-02102-4: TLS 1.3, RSA ab 3000 Bit, Forward Secrecy, DANE auf Port 25 – und warum Subdomains im Audit durchfallen.
NIST FIPS 203 (ML-KEM-768)Post-Quanten-Migration (ML-KEM)
Leitfaden zur Migration auf Post-Quanten-Kryptografie: Harvest Now, Decrypt Later, MTU-Fragmentierung und X25519MLKEM768 in Nginx, Apache, Caddy und OpenSSH.