BaFin-IKT-Bericht 2025: Vom Single-Entity-Denken zur Governance digitaler Lieferketten

Veröffentlicht: 21.07.2026

Themen:

Operational Resilience | DORA | BaFin | Third-Party Risk | Digitale Lieferkette | Governance | Systemische Risiken

Executive Summary

Der BaFin-IKT-Bericht 2025 macht deutlich, dass operative Resilienz künftig nicht mehr isoliert auf Ebene einzelner Finanzinstitute bewertet werden kann. Rund 1.200 Institute waren 2025 von schwerwiegenden IKT-Vorfällen betroffen. Gleichzeitig verdeutlichen die Ergebnisse, dass sich operative Risiken zunehmend entlang gemeinsamer digitaler Lieferketten ausbreiten.

Damit verändert sich die zentrale Managementfrage:

Nicht mehr ausschließlich „Wie resilient ist unsere Bank?"

sondern vielmehr

„Wie resilient ist die digitale Wertschöpfungskette, von der unsere Organisation abhängt?"

 

 

Operative Resilienz entwickelt sich damit zunehmend von einer institutsbezogenen Fragestellung hin zu einer organisationsübergreifenden Governance-Aufgabe.

Einordnung

Dieser Beitrag wurde ursprünglich am 21. Juli 2026 auf LinkedIn veröffentlicht und für den Knowledge Hub redaktionell aufbereitet.

Was zeigt der BaFin-IKT-Bericht?

Die öffentliche Diskussion konzentriert sich häufig auf die Anzahl gemeldeter Vorfälle.

Aus Governance-Sicht ist jedoch eine andere Erkenntnis deutlich bedeutsamer:

Rund 1.200 Institute waren im Berichtsjahr von schwerwiegenden IKT-Störungen betroffen.

Damit wird sichtbar:

Schwerwiegende Vorfälle entstehen heute häufig nicht isoliert innerhalb eines einzelnen Instituts, sondern breiten sich über gemeinsame digitale Abhängigkeiten aus.

Dazu gehören insbesondere

• Cloud-Plattformen,
• Softwareanbieter,
• Managed Services,
• APIs,
• zentrale Infrastrukturplattformen
• sowie weitere kritische IKT-Drittdienstleister.

Der Ausfall eines einzigen kritischen Dienstleisters kann heute zahlreiche Institute gleichzeitig beeinträchtigen.

Warum das klassische Single-Entity-Denken nicht mehr ausreicht

Viele Governance-Modelle betrachten Risiken noch immer überwiegend aus Sicht der eigenen Organisation.

Diese Perspektive genügt zunehmend nicht mehr.

Digitale Wertschöpfungsketten verbinden heute zahlreiche Organisationen miteinander.

Damit entstehen neue Konzentrationsrisiken, die innerhalb einzelner Institute oftmals nur begrenzt sichtbar werden.

Operative Resilienz hängt deshalb immer stärker von der Stabilität gemeinsamer Plattformen und Dienstleister ab.

Die eigentliche Managementfrage

Der BaFin-Bericht führt letztlich zu einer grundlegenden Veränderung der Steuerungslogik.

Früher lautete die zentrale Frage:

Wie schützen wir unser Institut?

Heute lautet sie vielmehr:

Wie steuern wir die Risiken einer gemeinsamen digitalen Lieferkette?

Damit verschieben sich auch die Verantwortlichkeiten innerhalb der Organisation.

Der CRO bewertet zunehmend systemische Konzentrationsrisiken.

Der CISO betrachtet nicht mehr ausschließlich die eigene Infrastruktur, sondern die Verwundbarkeit der gesamten Lieferkette.

Die IT muss Patch- und Freigabeprozesse an deutlich kürzere Angriffsfenster anpassen.

Und Governance übernimmt die Aufgabe, Veränderungen innerhalb digitaler Lieferketten in belastbare Managemententscheidungen zu übersetzen.

DORA, AI Act, CRA und NIS2 verfolgen dieselbe Logik

Obwohl die europäischen Regelwerke unterschiedliche Schwerpunkte besitzen, adressieren sie zunehmend dieselbe Grundfrage:

Wie bleibt eine Organisation trotz wachsender technologischer Abhängigkeiten dauerhaft handlungsfähig?

DORA stärkt die operative Resilienz der Finanzinstitute.

Der Cyber Resilience Act verbessert langfristig die Sicherheit der Softwarehersteller.

Der AI Act adressiert vertrauenswürdige KI-Systeme.

NIS2 erhöht die Cybersicherheit kritischer Infrastrukturen.

Gemeinsam verschieben sie den Fokus von der Erfüllung einzelner regulatorischer Anforderungen hin zur Steuerung komplexer digitaler Ökosysteme.

Fazit

Der BaFin-IKT-Bericht 2025 zeigt nicht nur eine steigende Zahl schwerwiegender IKT-Vorfälle.

 

Er verdeutlicht vor allem einen grundlegenden Perspektivwechsel:

Operative Resilienz lässt sich künftig nicht mehr ausschließlich innerhalb einzelner Organisationen steuern.

Sie entsteht zunehmend entlang gemeinsamer digitaler Lieferketten.

 

Damit wird Governance zur Fähigkeit, Veränderungen außerhalb der eigenen Organisationsgrenzen frühzeitig zu erkennen und rechtzeitig in belastbare Managemententscheidungen zu übersetzen.

Weiterführende Inhalte:

Die Erkenntnisse des BaFin-IKT-Berichts ergänzen die Analysen meines Whitepapers
„Resilienz-Architektur für das KI-Zeitalter – Teil 1: Die Diagnose".

 

Weiterführende Knowledge-Hub-Beiträge:

• ► Die Cyber-Schulden der Softwareindustrie werden jetzt in den Banken fällig
• ► Die 0-Euro-Illusion bei Major Incidents
• ► Warum Major Incidents Geschäftsrisiken sind

► zum Governance-Manifest

► zu den Whitepapern

► zu Vorträgen & Workshops
► zu aktuellen Beiträgen auf LinkedIn