DORA für Krypto-Dienstleistungen: Was das IKT-Risikomanagement verlangt

Wen DORA für Krypto-Dienstleistungen erfasst

DORA gilt seit dem 17. Januar 2025. Art. 2 Abs. 1 DORA nennt neben Kreditinstituten ausdrücklich Anbieter von Kryptowerte-Dienstleistungen, die nach der Verordnung (EU) 2023/1114 (MiCA) zugelassen sind, sowie Emittenten vermögenswertereferenzierter Token. MiCA verweist selbst auf DORA: Nach Art. 68 Abs. 7 MiCA müssen Anbieter die Kontinuität ihrer Dienstleistungen mit belastbaren und sicheren IKT-Systemen im Sinne von DORA sicherstellen und eine Geschäftsfortführungsleitlinie mit IKT-Geschäftsfortführungs- sowie Reaktions- und Wiederherstellungsplänen vorhalten. Art. 68 Abs. 8 MiCA verlangt zudem Systeme zum Schutz von Verfügbarkeit, Authentizität, Integrität und Vertraulichkeit der Daten nach DORA.

Für Banken ergibt sich daraus eine klare Lage. Wer Kryptowerte-Dienstleistungen über das Anzeigeverfahren nach Art. 60 MiCA erbringt, unterliegt DORA bereits als Kreditinstitut. Die Kryptosparte gehört deshalb in das bestehende IKT-Risikomanagement, das Informationsregister und die Meldeprozesse, statt als eigenes Projekt neben DORA zu laufen. In der Anzeige nach Art. 60 Abs. 7 MiCA ist ohnehin eine technische Dokumentation der IKT-Systeme und Sicherheitsvorkehrungen vorzulegen.

Ein Detail mit Wirkung: Der vereinfachte IKT-Risikomanagementrahmen nach Art. 16 DORA steht nur bestimmten kleinen oder ausgenommenen Unternehmen offen, etwa kleinen und nicht verflochtenen Wertpapierfirmen oder ausgenommenen Zahlungs- und E-Geld-Instituten. Krypto-Dienstleister gehören nicht zu diesen Kategorien und wenden damit den vollständigen Rahmen der Art. 5 bis 15 DORA an.

IKT-Risikomanagement mit Kryptobezug

Nach Art. 5 DORA trägt das Leitungsorgan die letzte Verantwortung für das Management der IKT-Risiken. Es muss den Rahmen festlegen, genehmigen und überwachen und seine eigenen Kenntnisse regelmäßig aktuell halten. Für die Kryptosparte heißt das: Die Geschäftsleitung muss die spezifischen Risiken so weit verstehen, dass sie Risikoappetit, Budget und Kontrollen begründet festlegen kann.

Welche Risiken sind kryptospezifisch? Vier Bereiche stehen im Vordergrund.

Schlüsselmanagement

Die Delegierte Verordnung (EU) 2024/1774 konkretisiert das IKT-Risikomanagement. Art. 6 verlangt Leitlinien zu Verschlüsselung und kryptografischen Kontrollen, Art. 7 ein Schlüsselmanagement über den gesamten Lebenszyklus: Erzeugung, Erneuerung, Speicherung, Sicherung, Archivierung, Abruf, Übertragung, Außerbetriebnahme, Widerruf und Vernichtung. Hinzu kommen Verfahren zum Ersatz verlorener, kompromittierter oder beschädigter Schlüssel. In der klassischen Bank schützt Kryptografie Daten. In der Kryptoverwahrung ist der Schlüssel der Vermögenswert selbst. Ein Verlust ist in der Regel nicht rückgängig zu machen.

Blockchain-Anbindung

Institute benötigen verlässlichen Zugang zu den Blockchains, auf denen sie Kryptowerte verwahren oder handeln. Ob eigene Knoten betrieben oder Zugänge über Anbieter bezogen werden, ist eine Resilienzentscheidung. Fehlerhafte oder manipulierte Daten aus einem Knoten können zu falschen Beständen oder fehlgeleiteten Transaktionen führen.

Smart Contracts und Protokolländerungen

Wer Token auf Smart-Contract-Plattformen verwahrt oder Multisig-Lösungen über Smart Contracts nutzt, übernimmt Code-Risiken außerhalb der eigenen Kontrolle. Protokoll-Upgrades und Abspaltungen einer Blockchain verlangen eigene Verfahren in der Änderungs- und Notfallplanung.

Überwachung und Daten

Transaktionsüberwachung, Analyse von Wallet-Adressen und Travel-Rule-Daten sind Teil der Geldwäscheprävention, beruhen aber auf IKT-Diensten, oft von Drittanbietern. Fallen sie aus, sind regulatorische Pflichten unmittelbar betroffen. Mehr zum Datenaustausch lesen Sie in unserem Beitrag zur Travel Rule bei Kryptowerten.

Drittanbieter im Kryptogeschäft

Kaum ein Institut baut Wallet-Infrastruktur, MPC-Software, HSM-Betrieb, Blockchain-Zugänge und Analysewerkzeuge vollständig selbst. Damit greifen die Art. 28 bis 30 DORA mit voller Wirkung. Institute müssen eine Strategie für IKT-Drittparteienrisiken festlegen, ein Informationsregister aller vertraglichen Vereinbarungen führen und vor Vertragsschluss Risiken und Konzentration bewerten. Für Dienstleistungen, die kritische oder wichtige Funktionen unterstützen, schreibt Art. 30 DORA Mindestinhalte für Verträge vor, darunter Prüfungs- und Zugangsrechte, Kündigungsrechte und Ausstiegsstrategien.

Die Vorlagen für das Informationsregister legt die Durchführungsverordnung (EU) 2024/2956 fest. Die Delegierte Verordnung (EU) 2025/532 regelt, was bei der Weitervergabe von IKT-Dienstleistungen zu prüfen ist, die kritische oder wichtige Funktionen unterstützen. Im Kryptoumfeld ist das besonders relevant, weil Wallet-Anbieter ihrerseits häufig Cloud-Infrastruktur, Knotenbetreiber oder HSM-Dienste einbinden.

Die Informationsregister der Finanzunternehmen waren zugleich die Datengrundlage für die Aufsicht: Am 18. November 2025 haben EBA, EIOPA und ESMA die erste Liste kritischer IKT-Drittdienstleister veröffentlicht, die seitdem direkt auf EU-Ebene überwacht werden. Die direkte Aufsicht entbindet Institute nicht von ihrer eigenen Verantwortung für das Drittparteienrisiko.

Besonders anspruchsvoll sind im Kryptogeschäft die Ausstiegsstrategien, die Art. 28 DORA für Dienstleistungen zur Unterstützung kritischer oder wichtiger Funktionen verlangt. Ein Wechsel des Wallet- oder MPC-Anbieters bedeutet in der Regel, Schlüssel neu zu erzeugen und Bestände auf neue Adressen zu übertragen. Dieser Vorgang muss geplant, getestet und ohne Unterbrechung des Kundengeschäfts durchführbar sein.

Für die Krypto-Verwahrung kommt eine Abgrenzung hinzu. Ein Anbieter mit Zugriff auf Schlüssel oder Schlüsselanteile kann über die IKT-Dienstleistung hinaus als Unterverwahrer im Sinne von Art. 75 Abs. 9 MiCA einzuordnen sein. Die Einordnung beeinflusst Zulassungsanforderungen und Kundeninformation und sollte früh geklärt werden. Hintergründe dazu bietet unser Beitrag zur Krypto-Verwahrung für Banken.

Meldefristen bei IKT-Vorfällen

Art. 19 DORA verpflichtet Finanzunternehmen, schwerwiegende IKT-bezogene Vorfälle der zuständigen Behörde zu melden. Ob ein Vorfall schwerwiegend ist, richtet sich nach den Kriterien der Delegierten Verordnung (EU) 2024/1772, etwa betroffene Kunden, Dauer, geografische Ausbreitung, Datenverluste, Kritikalität der Dienste und wirtschaftliche Auswirkungen.

Die Fristen legt die Delegierte Verordnung (EU) 2025/301 fest:

• Erstmeldung: so früh wie möglich, spätestens 4 Stunden nach Einstufung als schwerwiegend und spätestens 24 Stunden nach Kenntnis des Vorfalls.
• Zwischenbericht: innerhalb von 72 Stunden nach der Erstmeldung.
• Abschlussbericht: innerhalb eines Monats nach dem letzten Zwischenbericht.

Fällt eine Frist auf ein Wochenende oder einen Feiertag, dürfen viele Unternehmen bis 12 Uhr des nächsten Arbeitstags melden. Für Erstmeldungen und Zwischenberichte von Kreditinstituten gilt diese Erleichterung nicht. Die Meldeformulare regelt die Durchführungsverordnung (EU) 2025/302.

Für Kryptogeschäft bedeutet das: Ein kompromittierter Schlüssel, ein unautorisierter Abfluss aus einer Hot Wallet oder ein längerer Ausfall der Blockchain-Anbindung muss binnen Stunden bewertet werden. Die Klassifizierung gelingt nur, wenn Überwachung, Eskalationswege und Entscheidungsbefugnisse vorher festgelegt sind, auch nachts und am Wochenende.

Tests: vom Scan bis zum TLPT

Art. 24 DORA verlangt ein Programm zum Testen der digitalen operationalen Resilienz. Alle IKT-Systeme und Anwendungen, die kritische oder wichtige Funktionen unterstützen, sind mindestens jährlich angemessen zu testen. Art. 25 nennt die Bandbreite, von Schwachstellenanalysen und Quellcodeprüfungen über szenariobasierte Tests bis zu Penetrationstests.

Für ausgewählte Unternehmen kommen bedrohungsorientierte Penetrationstests (TLPT) nach Art. 26 DORA hinzu, mindestens alle drei Jahre. Welche Unternehmen betroffen sind, bestimmen die Behörden anhand der Kriterien der Delegierten Verordnung (EU) 2025/1190. Auch Krypto-Dienstleister können danach in den Kreis der zu TLPT verpflichteten Unternehmen einbezogen werden, wenn die Behörden dies für angemessen halten.

Für die Kryptosparte sollten Tests über die Standardinfrastruktur hinausgehen: Wiederherstellung von Schlüsseln aus Backups, Ausfall eines Schlüsselinhabers oder MPC-Knotens, Kompromittierung eines Freigabegeräts, Ausfall des Wallet-Anbieters und das Verhalten bei Protokoll-Upgrades. Diese Szenarien zeigen, ob die Geschäftsfortführungspläne nach Art. 11 DORA und Art. 68 Abs. 7 MiCA tragen.

Die Ergebnisse gehören nicht nur in den Testbericht. Art. 6 DORA verlangt, den IKT-Risikomanagementrahmen mindestens jährlich sowie nach schwerwiegenden Vorfällen und auf Grundlage von Testergebnissen zu überprüfen und zu verbessern. Für die Kryptosparte heißt das: Erkenntnisse aus Schlüssel-Wiederherstellungstests, Anbieterausfällen oder Beinahe-Vorfällen sollten nachweisbar in Verwahrstrategie, Notfallpläne und Verträge zurückfließen. Die interne Revision prüft den Rahmen nach Art. 6 DORA regelmäßig und braucht dafür ausreichend kryptotechnisches Verständnis, um Feststellungen fachlich zu begründen.

Was Institute jetzt tun sollten

Kryptosparte in den DORA-Rahmen einbinden. Ergänzen Sie Risikoinventar, Schutzbedarfsanalyse und Notfallpläne um Wallets, Schlüssel, Blockchain-Anbindungen und Smart Contracts. Separate Parallelstrukturen erschweren Steuerung und Prüfung.

Schlüsselmanagement gegen Art. 7 der RTS prüfen. Gleichen Sie den gesamten Lebenszyklus ab, besonders Backup, Wiederherstellung und Ersatz kompromittierter Schlüssel.

Informationsregister vervollständigen. Erfassen Sie Wallet-, MPC-, HSM-, Knoten- und Analyseanbieter einschließlich ihrer wesentlichen Unterauftragnehmer und bewerten Sie Konzentrationsrisiken und Ausstiegsoptionen.

Meldekette für Kryptovorfälle festlegen. Definieren Sie, wer bei einem Schlüssel- oder Wallet-Vorfall klassifiziert und meldet, und üben Sie den Ablauf unter Zeitdruck.

Testprogramm erweitern. Nehmen Sie kryptospezifische Szenarien in das jährliche Testprogramm auf und dokumentieren Sie Befunde und Behebung nachvollziehbar.

Leitungsorgan befähigen. Sorgen Sie dafür, dass Vorstand und Aufsichtsfunktionen die Kryptorisiken so verstehen, wie es Art. 5 DORA verlangt.

DORA und MiCA greifen in der IT, im Risikomanagement und in der Revision ineinander. Die TheClueX-Spezialisierung für Verwahrung und IT behandelt Schlüsselmanagement, Drittanbietersteuerung und Resilienz im Kryptogeschäft; einen Einstieg für das gesamte Team bietet das Grundlagentraining.

Häufige Fragen

Dieser Beitrag dient der allgemeinen Information und ersetzt keine Rechts-, Steuer- oder Anlageberatung im Einzelfall. Stand: 6. Oktober 2026.