Europäische Finanzinstitute meldeten im Jahr 2025 im Rahmen des Digital Operational Resilience Act (DORA) 3.383 bedeutende ICT-bezogene Vorfälle. Das geht aus einem gemeinsamen Bericht der Europäischen Bankenaufsichtsbehörde, der Europäischen Wertpapier- und Marktaufsichtsbehörde sowie der Europäischen Aufsichtsbehörde für Versicherungen und berufliche Altersversorgung hervor. Die Ergebnisse stellen einen der ersten groß angelegten Datensätze dar, der zeigt, wie Betriebsunterbrechungen, Systemausfälle und Cybervorfälle sich im europäischen Finanzsektor unter dem neuen DORA-Melde-rahmen ausbreiten. Regulierungsbehörden erklärten, die Daten zeigten ein Finanzsystem, das zunehmend von gemeinsam genutzter Infrastruktur, externen Technologieanbietern und vernetzten digitalen Diensten abhängig sei. DORA sei im Januar 2025 in Kraft getreten, um harmonisierte Pflichten zur Meldung von ICT-Risiken im gesamten europäischen Finanzsystem einzuführen.
Kreditinstitute machten über 60% der gemeldeten ICT-Vorfälle aus
Kreditinstitute entfielen auf mehr als 60% aller gemeldeten Vorfälle, während Zahlungsunternehmen weitere 16% ausmachten. Regulierungsbehörden erklärten, diese Konzentration deute nicht zwangsläufig auf strukturelle Schwächen im Bank- oder Zahlungswesen hin, sondern spiegele stattdessen die stark digitalisierte und kundenorientierte Ausrichtung dieser Sektoren wider – zusammen mit bereits bestehenden Meldepflichten unter PSD2.
Ein Drittel der Vorfälle breitete sich über das Herkunftsland hinaus aus
Die Daten zeigten, dass betriebliche Störungen zunehmend grenzüberschreitend werden. Etwa ein Drittel der Vorfälle breitete sich über das Land hinaus aus, in dem sie ihren Ursprung hatten, während ungefähr 8% mehr als 10 Länder gleichzeitig betrafen. Regulierungsbehörden führten diesen Trend auf eine wachsende Abhängigkeit von gemeinsamen Technologieanbietern, gemeinsamer Infrastruktur und multinationalen Geschäftsmodellen zurück. Der Bericht erscheint, während europäische Regulierungsbehörden die Prüfung der betrieblichen Resilienz nach mehreren öffentlichkeitswirksamen Ausfällen über Zahlungen, Handelsinfrastruktur und Bankensysteme hinweg in den vergangenen zwei Jahren intensivieren.
Systemausfälle stellten 51% aller gemeldeten Fälle dar
Systemausfälle stellten die größte Kategorie der Vorfälle dar und machten 51% aller gemeldeten Fälle aus. Externe Ereignisse stellten weitere 27%, während vorfallsbezogene Zahlungsvorgänge 18% erreichten. Cybersecurity-bezogene Vorfälle entfielen auf 10% der Gesamtzahl. Die Regulierungsbehörden erklärten, der vergleichsweise geringe Anteil von Cybersecurity-Vorfällen könne darauf hinweisen, dass bestehende Schutzmaßnahmen und Erkennungssysteme erfolgreiche Angriffe begrenzen. Gleichzeitig warnte der Bericht, dass zunehmend ausgefeilte KI-gestützte Cyber-Tools das Bedrohungsumfeld in den kommenden Jahren verändern könnten.
Unter den Cybervorfällen machten Distributed Denial of Service-Angriffe 33% der gemeldeten Ereignisse aus, während Datenausleitung und Manipulation 31% ausmachten. Kreditinstitute erlebten die höchste Konzentration dieser Angriffe, da sie aufgrund ihrer Rolle bei Zahlungen, digitalem Banking und groß angelegter Verarbeitung von Kundendaten besonders stark betroffen waren.
Ausfälle von Drittanbietern gingen auf 29% der bedeutenden Vorfälle zurück
Fast 29% der bedeutenden Vorfälle hatten ihren Ursprung in Ausfällen, die Drittanbieter betrafen – darunter ICT-Anbieter, Infrastrukturbetreiber und ausgelagerte Service-Provider. Regulierungsbehörden erklärten, die Ergebnisse unterstreichen, wie Betriebsfehler bei einem einzelnen Anbieter sich schnell auf mehrere Finanzinstitute und Rechtsräume ausbreiten können. Der Bericht stellte fest, dass viele Finanzinstitute auf gemeinsame Infrastruktur für Zahlungen, Kernbankprozesse und Konnektivitätsdienste angewiesen sind. In manchen Fällen erzeugte ein einzelner Ausfall dutzende separate Meldungen, weil mehrere Institute auf denselben Anbieter angewiesen waren.
TARGET2-Ausfall und Blackout auf der Iberischen Halbinsel störten 2025 den Betrieb
Betriebsunterbrechungen im Jahr 2025 umfassten mehrere große Ereignisse, die zu Sprüngen in den Meldevolumina beitrugen. Der Bericht verwies insbesondere auf den TARGET2-Ausfall im Februar 2025, der die Wertpapierabwicklung und Zahlungsbearbeitung für mehrere Stunden störte, sowie auf den Blackout auf der Iberischen Halbinsel im April 2025, der den Betrieb in mehreren Sektoren beeinträchtigte.
Zwei Drittel der Vorfälle verursachten nur begrenzte Störungen bei Kunden
Trotz der Anzahl der Vorfälle erklärten Regulierungsbehörden, dass die meisten Unterbrechungen nur begrenzten Folgeschaden verursachten. Rund zwei Drittel der Vorfälle verursachten entweder keine Störung bei Kunden und Transaktionen oder betrafen weniger als 1.000 Kunden oder Transaktionen. Nur 1% der Vorfälle betrafen mehr als eine Million Transaktionen. Der Bericht erklärte, dass schnelle Erkennungs- und Eindämmungsmaßnahmen eine zentrale Rolle dabei spielten, Spillover-Effekte zu begrenzen. Institute stabilisierten Vorfälle im Allgemeinen durch unmittelbare technische Eingriffe, bevor sie längerfristige Abhilfemaßnahmen umsetzten – etwa Upgrades beim Monitoring, Verbesserungen beim Testen und Änderungen der Systemkonfiguration.
Auch finanzielle Gegenparteien schienen relativ gegenüber den meisten Vorfällen abgeschirmt zu sein. Weniger als 18% der Vorfälle betrafen andere Finanzinstitute, obwohl die wachsende Vernetzung des europäischen Finanzsystems zunehmend zunimmt. Regulierungsbehörden führten dies teilweise auf Schutzmaßnahmen zurück, die bereits zwischen Instituten und Infrastrukturbetreibern umgesetzt wurden.
Regulierer identifizierten während des ersten DORA-Jahres Melde-Inkonsistenzen
Der Bericht hob Inkonsistenzen in den Meldepraktiken über Sektoren und Rechtsräume hinweg im ersten Jahr der DORA-Umsetzung hervor. Etwa 15% der im Jahr 2025 gemeldeten Vorfälle wurden von der Analyse ausgeschlossen, weil die finalen Berichte bis zur Stichtagsfrist im Februar 2026 noch nicht eingereicht worden waren. Währenddessen bestanden etwa 93% der Einreichungen Qualitätsprüfungen und gelangten in die finale Datenbank. Die ESAs erklärten, dass weitere Aufsichtskoordinierung und die Standardisierung der Berichterstattung eine Priorität bleiben werden, wenn die DORA-Umsetzung weiter voranschreitet. Regulierungsbehörden planen, die Analyse von Vorfällen weiter zu verfeinern und die Vergleichbarkeit der Daten über das europäische Finanzsystem hinweg zu verbessern.
Die Ergebnisse kommen zu einem Zeitpunkt, an dem betriebliche Resilienz zu einem der prägenden regulatorischen Themen in globalen Finanzmärkten wird. In den vergangenen zwei Jahren haben Regulierungsbehörden in Europa, im Vereinigten Königreich und in den USA den Fokus zunehmend auf das Risiko der Konzentration von Infrastruktur, die Abhängigkeit von der Cloud, die Cyber-Resilienz und das Technologie-Governance verlagert. Große Finanzinstitute agieren heute in einer Umgebung, in der Ausfälle sich innerhalb von Minuten schnell über Grenzen, Gegenparteien und Zahlungssysteme hinweg ausbreiten können. Der DORA-Datensatz legt nahe, dass europäische Regulierungsbehörden betriebliche Resilienz zunehmend nicht als ein enges Cybersecurity-Thema, sondern als umfassendere Herausforderung für die Systemstabilität ansehen – verbunden mit dem Design von Infrastruktur, Konzentrationen bei Auslagerungen und digitaler wechselseitiger Abhängigkeit.
Der Bericht zeigt zudem, wie sich das operationelle Risiko parallel zur Modernisierung von Finanzdienstleistungen weiterentwickelt. Mobile Banking, Instant Payments, algorithmischer Handel, digitale Vermögenswerte und eingebettete Finanzierung erhöhen weiterhin das Transaktionsvolumen und die Komplexität der Infrastruktur in der gesamten Branche. Dieses Wachstum steigert die Wahrscheinlichkeit, dass betriebliche Störungen auftreten, selbst wenn Institute starke Cybersecurity-Standards aufrechterhalten. Für Finanzunternehmen könnten die Ergebnisse den Druck erhöhen, das Oversight über Drittparteien zu stärken, kritische Anbieter zu diversifizieren und Fähigkeiten zur Eindämmung von Vorfällen zu verbessern. Für Regulierer liefert der Bericht eine frühe Benchmark zur Messung, wie sich der europäische Finanzsektor an den Rahmen für betriebliche Resilienz unter DORA in den kommenden Jahren anpasst.
FAQ
Was haben europäische Finanzinstitute 2025 im Rahmen von DORA gemeldet?
Europäische Finanzinstitute meldeten im Jahr 2025 3.383 bedeutende ICT-bezogene Vorfälle im Rahmen des Digital Operational Resilience Act, gemäß einem gemeinsamen Bericht der Europäischen Bankenaufsichtsbehörde, der Europäischen Wertpapier- und Marktaufsichtsbehörde sowie der Europäischen Aufsichtsbehörde für Versicherungen und berufliche Altersversorgung.
Welcher Anteil der ICT-Vorfälle geht auf Ausfälle von Drittanbietern zurück?
Fast 29% der bedeutenden Vorfälle hatten ihren Ursprung in Ausfällen, die Drittanbieter betrafen – darunter ICT-Anbieter, Infrastrukturbetreiber und ausgelagerte Service-Provider –, so der Bericht der Regulierungsbehörden.
Welche bedeutenden Betriebsunterbrechungen gab es 2025 in Europa?
Der Bericht verwies insbesondere auf den TARGET2-Ausfall im Februar 2025, der die Wertpapierabwicklung und Zahlungsbearbeitung für mehrere Stunden störte, sowie auf den Blackout auf der Iberischen Halbinsel im April 2025, der den Betrieb in mehreren Sektoren beeinträchtigte.
