Per Anhalter durch die EU: Der dicke DORA aus Brüssel

“Oh zerfrettelter Grunzwanzling, dein Harngedränge ist für mich
Wie Schnatterfleck auf Bienenstich.
Grupp, ich beschwöre dich mein punzig Turteldrom.
Und drängel reifig mich mit krinklen Bindelwördeln
Denn sonst werd ich dich rändern in deine Gobberwarzen
Mit meinem Börgelkranze, wart’s nur ab!” – Prostetnik Vogon Jeltz

Wenn die EU-Bürokratie ein reales Problem anpackt, kommt am Ende fast immer dasselbe heraus: digitale Aktenberge, Risikomatrixen und neue Meldepflichten. Der dicke DORA – der Digital Operational Resilience Act [1] – ist dafür das aktuelle Paradebeispiel. Das Ganze läuft unter dem Etikett „Resilience“, ist in der Praxis aber ein amtlich beglaubigtes Vogonen-Gedicht: Formulare wälzen, Prozesse aufblähen und so tun, als ließe sich ein Hackerangriff mit Nachweisen auf SharePoint-Laufwerken und in Cloud-Speichern abwehren. Eine Reminiszenz an Douglas Adams und Ursula von der Leyen. Von unserem Gastautor Achim Xaphod B. Hecht.

2022/2554 – Die Antwort auf das Leben, das Universum und den IT-Notfall

Sie fühlen sich an etwas erinnert? Genau – Douglas Adams’ Per Anhalter durch die Galaxis [2]. Wer das geniale Stück Literatur – ich stelle es in eine Reihe mit Ludwig von Mises’ Die Bürokratie [3] und Kafkas Der Prozess [4] – kennt, weiß: Vogonen sind eine intergalaktische Spezies von herz- und humorlosen Bürokraten, die nicht einmal einen Finger rühren würden, um ihre eigene Großmutter vor dem gefräßigen Plapperkäfer von Traal zu retten, ohne vorher ein Formular in dreifacher Ausfertigung abzustempeln, zur Rückfrage einzureichen, zu verlieren, einer öffentlichen Untersuchung zu unterziehen und schließlich drei Monate lang in weichem Torf zu vergraben.

Brüssel hat die dort beschriebene humoristische Realsatire offenbar als Handbuch für gute Gesetzgebung missverstanden: Statt Planeten für galaktische Umgehungsstraßen zu sprengen, asphaltiert man die IT-Abteilungen der europäischen Wirtschaft mit Compliance-Registern und Dokumentationsvorgaben zu und lässt Budgets explodieren.

Die Architektur der vogonischen Firewall

Ja: Dass der Finanzsektor im Visier von Cyberkriminellen und staatlichen Akteuren steht, ist längst keine banale Randnotiz mehr, sondern tägliche Realität.

Die Bedrohungslage eskaliert rasant – KI-gesteuerte Attacken, automatisierte Malware-Schwärme und perfekt orchestrierte Erpressungskampagnen verursachen Milliardenschäden im dreistelligen Bereich [5]. Niemand bestreitet, dass Banken, Investmentgesellschaften und Versicherer ihre Infrastruktur härten und wirklich resilient machen müssen. Nicht nur sie – schließlich glänzt ausgerechnet der bürokratische Komplex mit seinen ungesicherten Behördennetzen und zusammenbrechenden Landes- und Kommunalverwaltungen regelmäßig selbst als leuchtendes Vorbild der Inkompetenz [6].

Doch während draußen die echten Netze brennen, verwechselt Brüssel wie gewohnt Compliance mit tatsächlicher Sicherheit. Wenn eine KI-gesteuerte Ransomware-Bande einen Zero-Day-Exploit auf die Server einer Regionalbank loslässt, schützt kein 400-seitiges Risikomanagementhandbuch, kein RTS, kein ITS. Sie wird aufgehalten durch gut konfigurierte Technik und Krisenteams, die im Ernstfall handlungsfähig sind.

Das DORA-Regelwerk interessiert sich aber kaum für bedauernswerte, kohlenstoffbasierte Lebensformen an der Konsole. Es interessiert sich primär für PDF-Protokolle, die belegen, dass der Admin den Stecker ziehen dürfte – vorausgesetzt, der Prozess wurde vorher formgerecht evaluiert, dokumentiert und durch die GL genehmigt. Statt Investitionen in Systemhärtung, Penetration-Tests und fähiges Personal zu fördern, zwingt man die Institute in eine Lesung klassischer vogonischer Poesie. Die knappen Budgets fließen nun in Heerscharen von Compliance-Beratern – wie dem Autor dieser Wutrede – statt in moderne IT-Infrastruktur.

Das ist die Architektur einer vogonischen Firewall: Sie blockt keine Hacker, aber sie stellt zuverlässig sicher, dass der erfolgte Datendiebstahl oder die verschlüsselte Mandantendatenbank mit dem korrekten Stempel abgeheftet und binnen 48 Stunden über das richtige Formular an die BaFin gemeldet wird. System-Failover und Geschäftskrise hin oder her.

Ein Vogonengedicht aus vielen Daten

Den ersten Preis im intergalaktischen Wettbewerb um die sinnbefreiteste vogonische Datenhalde gewinnt freilich das seit 2025 geforderte „Informationsregister“:

Jedes einzelne Finanzunternehmen – vom globalen Versicherungskonzern bis zum kleinen 5-Mitarbeiter-KMU – muss bis ins Detail erfassen, inventarisieren, kategorisieren und melden, welche IKT-Dienstleister welche Verträge und Funktionen für welche Geschäftsprozesse bereitstellen. Und ob der Serverraum nach ESG-Vorgaben klimatisiert ist. Brüssel behauptet zwar tapfer, man wolle damit herausfinden, wo systemische Abhängigkeiten und Konzentrationsrisiken liegen. Das Ergebnis ist aber eine sinnbefreite Arbeitsbeschaffungsmaßnahme, um das Offensichtliche in Datenhalden aus Millionen von Tabellenzeilen und Ampelfunktionen zu pressen.

Und weil das noch nicht reicht, endet der Spaß nicht beim direkten Vertragspartner. DORA verlangt den Durchgriff auch auf die Sub- und Sub-Sub-IKT-Dienstleister. Eine andere Abteilung im EU-Raumkreuzer ist mit diesem Lieferketten-Irrsinn zwar gerade erst gescheitert, wenigstens ansatzweise [7]. Aber Vogonen geben nie auf: Was durch das vordere Schott nicht passt, wird nun eben durch die DORA-Luke in die IT-Abteilungen der Institute und ihrer Dienstleister gepresst.

Man muss es sich auf der Zunge zergehen lassen: Anstatt dass die EU-Kommission oder die ESMA einmalig zwei, drei Analysehäuser oder Consulter damit beauftragt, den Markt nach den dominanten Cloud- und IT-Anbietern im europäischen Finanzsektor abzuklopfen, lädt man es komplett bei den regulierten Instituten ab. Zehntausende Banken und Finanzdienstleister erfassen jetzt parallel dieselben Daten über dieselben Standardanbieter, pressen sie in starre, oft genug fehlerträchtige Templates und reichen sie nach oben weiter. Fristgemäß und korrekt, sonst gibt’s Bußgelder. 

Einer der Big-Consulter hätte das für einen Bruchteil des volkswirtschaftlichen Schadens in ein paar Monaten zentral erledigt. Stattdessen werden in den Unternehmen massenhaft hochbezahlte IT-Fachkräfte und Information Security Spezialisten gebunden, damit sie Datenfriedhöfe für die Aufsicht befüllen.

Galaktische Umgehungsstraße durchs Fundament des Mittelstandes

Die Zeche zahlen vor allem die Kleinen. Die Finanzkonzerne in Frankfurt oder Paris heuern dafür eine der großen Prüfgesellschaften an, buchen die Millionen unter den üblichen Betriebskosten ab und schlagen sie auf die Gebühren drauf. Regionalbanken, kleinere Investmentgesellschaften, Wertpapierinstitute und andere mittelständische Finanzdienstleister saufen an diesem Aufwand schlicht ab.

DORA bürdet ihren oft genug ebenfalls kleinen Systemhäusern und IT-Lieferanten Auskunfts-, Audit- und Dokumentationspflichten auf, als wären sie Microsoft oder AWS. Die Folge ist keine höhere IT-Sicherheit, sondern Marktbereinigung. Kleinere Anbieter steigen genervt aus dem Geschäft mit regulierten Kunden aus, weil sie den bürokratischen Overhead nicht mehr bewältigen können. Die größeren reichen den zusätzlichen Aufwand direkt an die Kunden weiter. Am Ende zementiert Brüssel genau jene Monopole der großen US-Konzerne, vor deren Marktmacht man sich in den Sonntagsreden so gerne fürchtet.

Ein Ransomware-Angriff hört nicht auf, weil ein DORA-Register lückenlos ausgefüllt ist. Jeder Euro und jede Stunde, die in das Füttern der Brüsseler Regulierungsmaschinerie fließt, fehlt bei der echten Abwehr und Härtung der Systeme: beim Patch-Management, bei den Firewalls und in den Incident-Response-Teams.

DORA schützt nicht unsere Netze und die kritische Infrastruktur. DORA schützt in erster Linie den bürokratischen Komplex vor dem Vorwurf der Untätigkeit. Es ist der Triumph der vogonischen Stempelkissen über gesunden Menschenverstand und fachliche Expertise.

Ein Handtuch für Europa

Um es klarzustellen: Das vereinte Europa, der gemeinsame Binnenmarkt und die grundlegende europäische Idee sind historische Errungenschaften von unschätzbarem Wert, hinter denen ich – bei allem Spott auf Starship Brüssel – voll und ganz stehe. Und wir brauchen diese europäische Einigkeit mehr denn je als Firewall gegen die hybriden Kriege der Feinde der offenen Gesellschaft von innen und außen.

Doch genau weil dieses Fundament so überlebenswichtig ist, schmerzt es umso mehr, mit anzusehen, wie es von innen heraus erodiert – nicht durch äußere Feinde oder geheime Verschwörungspläne, sondern durch eine völlig entgrenzte bürokratische, oft genug ideologiegetriebene Regulierungswut, die jede unternehmerische Vitalität unter Tonnen von Gesetzen, Verordnungen und Verordnungsausführungsbestimmungen begräbt.

However: Mein Handtuch – Pflichtausstattung jedes intergalaktischen Anhalters – habe ich als Information Security Officer und Consultant für verschiedene planetarische Institute natürlich immer dabei. Manchmal möchte man es sich aber einfach nur noch über den Kopf ziehen.

Verzeihen Sie mir. Das war jetzt doch keine Wutrede, es war ein Hilferuf. Wir brauchen eine galaktische Reformagenda für die EU. Dringend. Zwei, drei leckere Donnergurgler [8] machen zwar lustig, knallen aber immer nur kurz bei mir. Prost.

Quellen:

[1] Verordnung (EU) 2022/2554 (Digital Operational Resilience Act) – https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:32022R2554

[2] Per Anhalter durch die Galaxis – https://de.wikipedia.org/wiki/Per_Anhalter_durch_die_Galaxis

[3] Ludwig von Mises: Die Bürokratie – https://cdn.mises.org/rae7_1_4_5.pdf

[4] Franz Kafka: Der Prozess (Projekt Gutenberg) – https://www.projekt-gutenberg.org/kafka/prozess/prozess.html

[5] Bitkom-Wirtschaftsschutzstudie zu Cyberangriffen und Schadenssummen – https://www.bitkom.org/Presse/Presseinformation/Angriffe-auf-deutsche-Wirtschaft-Spur-auslaendische-Geheimdienste

[6] WELT – „Mehr Daten abgeflossen als bekannt: Hacker waren sieben Tage unbemerkt im Berliner IT-Netz“ – https://www.welt.de/regionales/berlin/article6a9a97f6b3e0470a1975b775/wie-hacker-behoerden-erpressen-und-welche-folgen-moeglich-sind.html

[7] WELT – „EU-Parlament stimmt für schwächeres Lieferkettengesetz“ – https://www.welt.de/politik/ausland/article6915c0937ff132e7560fa367/eu-parlament-stimmt-fuer-schwachaeres-lieferkettengesetz.html

[8] Hitchhiker’s Guide Wiki, Rezept Pangalaktischer Donnergurgler – https://hitchhikers.fandom.com/wiki/Pan_Galactic_Gargle_Blaster