Swiss Room · Krimi 4 von 8
Der Kapital-GAU
Versicherung · Cashflow als ICT-Infrastruktur
Zum Szenario · regulatorische Einordnung
Konstruiertes Fallbeispiel auf Basis typischer Projektrisiken. Angenommen wird, dass der externe Anbieter eine Treasury- und Payment-Plattform als ICT-Service betreibt (Liquiditätsprognosen, Zahlungsfreigaben, Kontenanbindung, Reconciliation) und damit ICT-Drittdienstleister im Sinne der DORA-Drittparteienregeln ist. Ein Finanzdienstleister wird nicht schon dadurch zum ICT-Drittdienstleister, dass er digitale Werkzeuge nutzt; eine Liquiditätsstörung ist nicht automatisch ein ICT-Vorfall.
Alle Schadens-, Einspar- und Kundenzahlen sind illustrative Größen des konstruierten Szenarios — keine realen Schadensstatistiken. Sämtliche Unternehmens- und Personennamen sind frei erfunden; Ähnlichkeiten mit realen Unternehmen oder Personen wären rein zufällig und sind nicht beabsichtigt.
Was dieser Krimi zeigt
Warum Finanzflüsse ICT-Infrastruktur sind – und Cashflow-Management über ungeprüfte Sub-Drittanbieter systemisches Risiko erzeugt. Basierend auf DORA Art. 17 und Art. 28.
Prolog – 7 Wochen vor dem Stillstand
Der CFO von NordSecure Insurance stand spätabends allein im Büro. Der Bildschirm zeigte eine Kapitalplanung, die nicht aufging. Wieder ein „temporärer Dip“. Wieder fehlten Hunderttausende Euro, die irgendwo „unterwegs“ waren.
Er seufzte, klickte die Warnanzeige weg und sagte halblaut:
„Saisonale Schwankung. Wird sich wieder einpendeln.“
Hinter ihm blinkte ein roter Indikator: Cashflow Delay – Quelle: Sub-Provider. Unbeachtet. Unverstanden. Unterschätzt.
1 Der unsichtbare Durst
NordSecure, ein etablierter Hamburger Versicherer mit digitalem Policenmodell, lebte in einem finanziellen Spagat: steigender Kapitalbedarf, ambitionierte Digitalisierungsziele, wachsender Aufsichtsdruck, ständige Liquiditätsspitzen.
Um Luft zu schaffen, schoben die Geschäftsführer ständig Mittel zwischen Projekten hin und her. „Quick Wins“ nannten sie das.
Der externe Buchhalter versicherte, alles sei im Griff. Doch er hatte einen Teil der Finanzprozesse an einen Sub-Drittanbieter ausgelagert. Ohne Meldung. Ohne Risikoanalyse. Ohne DORA-Check. Art. 28 DORA verlangte volle Transparenz der Kette. Niemand verlangte sie ein.
2 Der Kipppunkt
Der Hauptgesellschafter sah die Unstimmigkeiten. Er bemerkte die Löcher. Und dennoch genehmigte er eine weitere Kapitalzufuhr – unter Zeitdruck, ohne Prüfung, im Vertrauen auf „temporäre Effekte“.
Der Buchhalter erwähnte einen „kleinen Sub-Lag beim Dienstleister“. Ein Satz, der einer Eskalation wert gewesen wäre. Doch die Reaktion war typisch menschlich:
„Wir schauen später genauer hin.“
Keine strukturierte Untersuchung und Eskalation der Anomalien. Ob bereits ein ICT-Vorfall — und später ein schwerwiegender, meldepflichtiger Vorfall — vorlag, wurde gar nicht erst geprüft (Art. 17/18/19 DORA). Die Lunte brannte.
3 Der Crash
Dienstagmorgen, 04:23 Uhr.
Der Sub-Drittanbieter spielte ein ungeprüftes Update ein. Ein kleiner Patch in einer großen Finanzkette. Fünf Minuten später stand das Cashflow-System von NordSecure still.
Keine Alarme
Keine Rückfallebene
Kein automatisiertes Reporting
Keine Notfallkommunikation
Das gesamte Liquiditätsmanagement war digital eingefroren. Kapitalzuflüsse blockiert. Auszahlungen gestoppt. Rückerstattungen nicht möglich. Es war der Moment, in dem eine Versicherung theoretisch zahlungsunfähig wirken kann. Ein Risiko, das jede Aufsicht allergisch macht.
4 Der Kapital-GAU
Innerhalb von 120 Stunden eskalierte die Lage:
Kunden kündigten massenweise
Vermittler froren Verträge ein
Partnerbanken verlangten Erklärungen
Die BaFin eröffnete eine Sonderprüfung
Der Auditbericht war vernichtend:
Cashflow-Monitoring unzureichend
Keine Sub-Checks gemäss Art. 28 DORA
Keine Exit-Strategie im Finanzbereich
Kein Incident-Management nach Art. 17, keine Meldung nach Art. 19
Ungetestete Recovery-Prozesse
Der Schaden: 4 Millionen Euro in weniger als einer Woche. Am Ende trat die Geschäftsführung geschlossen zurück.
5 Die Wende
Aus dem Chaos entstand Struktur. NordSecure rekonstruierte sein Finanzsystem von Grund auf.
| 1 | Cashflow-Checks automatisieren | Echtzeit-Monitoring statt Bauchgefühl. Anomaly Detection auf Sub-Ebene. Kein manueller Freigabeschritt ohne Daten. |
|---|---|---|
| 2 | Notfalltests durchführen | Regelmässige Failover-Tests (hier vierteljährlich als interne Wahl — keine allgemeine DORA-Mindestfrequenz). Simulierte Blockaden in der Finanzierungskette unter realen Bedingungen. |
| 3 | Warnrunden etablieren | Wöchentliche Financial Resilience Rounds: CFO, Risk, Compliance, externe Provider am selben Tisch. |
| 4 | Exit-Strategien üben | Finanzsysteme können nun innerhalb von 6 Stunden auf Alternativanbieter migriert werden. |
| 5 | Reporting skalieren | Fristensteuerung entsprechend der geltenden DORA-Meldelogik — Kenntnisnahme, Klassifikation, Erst- und Zwischenbericht getrennt überwacht, risikobasiert nach Kritikalität, Dauer und Umfang ausgelöst, mit klar zugewiesener menschlicher Klassifikations- und Entscheidungsverantwortung. |
Das Ergebnis nach drei Monaten: Cashflow stabil innerhalb von 36 Stunden. Neue, saubere Governance. Neuer Providervertrag spart 600.000 € jährlich. Vertrauen der Aufsicht wiederhergestellt.
Epilog – Die unsichtbare Finanzphysik
Finanzketten sind wie Stromnetze: Solange sie laufen, denkt niemand darüber nach. Doch ein einziges Sub-Glied kann alles zum Erliegen bringen.
DORA zwingt dazu, diese unsichtbaren Schwachstellen sichtbar zu machen. NordSecure hatte nicht ein Finanzproblem. Es hatte ein Sichtbarkeitsproblem. Der Unterschied kostete vier Millionen Euro.
Die vorliegende Geschichte ersetzt keine Rechtsberatung.
Wissen prüfen
Möchten Sie Ihr Wissen zu diesem Thema testen? Die folgenden Quiz- bzw. Lernkarten-Sets decken den Stoff dieses Stücks ab — jeweils mit Erklärung nach jeder Antwort bzw. Aufdeck-Logik.