Aufbau einer widerstandsfähigen digitalen Wirtschaft: Die Kraft einer standardisierten Organisationsidentität

In einer zunehmend digitalisierten Welt werden Cyberangriffe immer häufiger und ausgefeilter. Da alle kritischen Infrastrukturen stark von externen IKT-Dienstleistern abhängig sind, ist die einheitliche und eindeutige Identifizierung dieser Dienstleister durch standardisierte, überprüfbare Organisationskennungen der Schlüssel zur Gewährleistung von Vertrauen und Cyber-Resilienz. Der Digital Operational Resilience Act (DORA) der Europäischen Union stellt einen wichtigen regulatorischen Präzedenzfall dar, der diese Herausforderung für den Finanzsektor angeht und weltweit übernommen werden sollte, um alle digitalen Ökosysteme zu sichern.

---

---

Cyberangriffe stellen eine unmittelbare und wachsende Bedrohung für die globale Finanzstabilität dar.

Aus einem Bericht des Internationalen Währungsfonds (IWF) aus dem Jahr 2024 geht hervor, dass der Finanzsektor in den letzten 20 Jahren mehr als 20.000 Cyberangriffen ausgesetzt war, die zu direkten Verlusten von 12 Milliarden US-Dollar führten – von den indirekten Kosten durch Reputationsschäden ganz zu schweigen.

Und es kommt noch schlimmer. Der IWF-Bericht zeigt, dass sich die Zahl der Angriffe seit der COVID-19-Pandemie verdoppelt hat. Die rasch zunehmende Häufigkeit und Raffinesse der Angriffe stellt „eine akute Gefahr für die Stabilität des Makrofinanzsystems durch Vertrauensverlust und Störungen kritischer Dienstleistungen sowie aufgrund der technologischen und finanziellen Vernetzung“ dar.

Besonders besorgniserregend ist das Thema „technologische Vernetzung“. Zwar gelten Finanzunternehmen weithin als Vorreiter in Sachen Cybersicherheit, jedoch führt die Digitalisierung von Finanzdienstleistungen dazu, dass die Institute bei der Unterstützung kritischer Funktionen und der direkten Bereitstellung zentraler Dienstleistungen zunehmend auf externe IKT-Dienstleister angewiesen sind.

Eine Analyse der drei europäischen Aufsichtsbehörden ergab, dass allein in der EU rund 15.000 dieser Dienstleister Finanzinstitute bedienen. Dies stellt die betriebliche Belastbarkeit in zweierlei Hinsicht vor Herausforderungen. Die Abhängigkeit der Finanzinstitute von mehreren Dienstleistern kann zu verschiedenen Schwachstellen und zu einer Fragmentierung ihrer Betriebsabläufe führen. Zudem besteht die Gefahr, dass komplizierte und undurchsichtige Lieferketten entstehen, die sich nur schwer auflösen lassen, insbesondere im Falle eines Cybersicherheitsvorfalls. Umgekehrt erhöht die weitverbreitete Nutzung bestimmter Dienstleister (beispielsweise bei Cloud-Computing-Dienstleistungen) das Risiko, dass sich einzelne Angriffe oder Probleme zu systemischen Problemen ausweiten.

Angesichts der damit verbundenen Risiken ist die Gewährleistung einer gewissen regulatorischen Aufsicht für die IKT-Dienstleister in vielen Ländern ein zentrales politisches Ziel. Mit der Einführung des Digital Operational Resilience Act (DORA) hat die Europäische Union in dieser Hinsicht eine Führungsrolle übernommen. Ziel des Gesetzes ist es, die operative Belastbarkeit von Finanzinstituten durch eine verbesserte Bewältigung von IKT-bezogenen Risiken zu stärken.

Stärkung der operativen Belastbarkeit durch standardisierte Organisationsidentität

Die Identifizierung der von Finanzunternehmen genutzten IKT-Dienstleister ist für das Management derartiger Risiken entscheidend und unterstreicht die Bedeutung standardisierter, überprüfbarer Organisationskennungen wie des Legal Entity Identifier (LEI).

Als globales öffentliches Gut ist der LEI eine standardisierte Kennung, die auf alle IKT-Drittanbieter weltweit angewendet werden kann. Durch die Ermöglichung einer konsistenten und eindeutigen Identifizierung von Unternehmen über Grenzen hinweg wirkt der LEI der Fragmentierung entgegen und:

• Verbessert die Erkennung von Unternehmensstrukturen: Der LEI ermöglicht die Identifizierung von Unternehmensverbindungen zwischen IKT-Drittanbietern sowohl innerhalb als auch außerhalb der EU. Auf diese Weise können Institute und Aufsichtsbehörden Vernetzungen und potenzielle operationelle Risiken erkennen, die sonst durch die komplexen Unternehmensstrukturen verschleiert werden.
• verbindet die Punkte: Der LEI fungiert als Datenkonnektor und ermöglicht die automatische Integration mit anderen wichtigen Datenquellen wie lokalen Registrierungsbehörden (z. B. dem örtlichen Unternehmensregister, der Handelskammer usw.), Finanzdienstleistern und Wertpapiermärkten. Dies ermöglicht eine umfassendere Sicht auf IKT-Abhängigkeiten.
• Ermöglicht digitale Integration und Automatisierung: Das vollständig digitale Ökosystem des LEI ermöglicht einen nahtlosen Datenabgleich durch frei verfügbaren API-Zugriff und vollständige Dateidownloads. Dieses digitale Rahmenwerk macht manuelle Eingriffe überflüssig und ermöglicht eine schnelle Datenerfassung und -analyse. So erhalten Institute und Aufsichtsbehörden die nötigen Tools, um IKT-Abhängigkeiten zu überwachen und fundiertere Entscheidungen zu treffen.
• Optimiert die Due-Diligence-, Compliance- und Vorfallberichterstattung: Eine genaue LEI-basierte Identifizierung minimiert Berichtsfehler, verbessert die Datenqualität und unterstützt zuverlässigere Compliance-Einreichungen. Bei IKT-bezogenen Vorfällen bieten LEIs eine klare und standardisierte Referenz für alle Beteiligten. Dies vereinfacht die Meldung von Vorfällen, stellt Konsistenz sicher und unterstützt schnelle Lösungsbemühungen.

Schaffung einer widerstandsfähigen digitalen Wirtschaft

Es ist offensichtlich, dass die zunehmende Geschwindigkeit und Raffinesse von Cyberangriffen Auswirkungen haben, die weit über Finanzdienstleistungen hinausgehen. Aufgrund der Komplexität der heutigen digitalisierten Welt sind alle kritischen Infrastrukturen in hohem Maße von IKT-Dienstleistern abhängig. Daher sind globale Lieferketten, die Gesundheitsversorgung, der Energie- und Versorgungssektor sowie der Telekommunikations- und Transportsektor denselben erheblichen Schwachstellen ausgesetzt.

DORA bietet einen Rahmen, um diese Herausforderung anzugehen. Die Anerkennung der Bedeutung einer standardisierten und überprüfbaren Organisationsidentität als entscheidende Voraussetzung für Cyber-Resilienz und Vertrauen in digitale Ökosysteme stellt einen wichtigen regulatorischen Präzedenzfall dar, der in allen Bereichen der Weltwirtschaft übernommen werden sollte.

---