Swiss Room · Krimi 6 von 8
Die Compliance-Fassade
Cloud · Wenn Zertifizierung Substanz ersetzt
Zum Szenario · regulatorische Einordnung
Konstruiertes Fallbeispiel auf Basis typischer Projektrisiken. Angenommen wird, dass die SkyGate Systems AG ICT-Dienste erbringt, die bei mehreren Finanzkunden kritische oder wichtige Funktionen unterstützen; für das Szenario wird zusätzlich angenommen, dass SkyGate ggf. förmlich als kritischer ICT-Drittdienstleister nach Art. 31 DORA benannt wurde (die blosse Erbringung kritischer Dienste begründet diesen Status nicht automatisch). Die gleichzeitige Zuständigkeit von BaFin und FINMA setzt eine entsprechende Gruppen- oder Niederlassungsstruktur voraus; bei einer förmlichen DORA-Beaufsichtigung käme zusätzlich der europäische Lead Overseer ins Spiel.
Alle Schadens-, Einspar- und Kundenzahlen sind illustrative Größen des konstruierten Szenarios — keine realen Schadensstatistiken. Sämtliche Unternehmens- und Personennamen sind frei erfunden; Ähnlichkeiten mit realen Unternehmen oder Personen wären rein zufällig und sind nicht beabsichtigt.
Was dieser Krimi zeigt
Warum ein ISO-Zertifikat allein keine jederzeit wirksame Kontrolle beweist – und DORA belastbare Resilienz im laufenden Betrieb verlangt. Wenn Shadow IT unkontrolliert bleibt und ein Zertifikat Substanz ersetzt.
Prolog – 10 Tage vor dem Zusammenbruch
Der Compliance-Leiter Rafael sass spätabends allein im Meetingraum. Vor ihm: das frisch vorbereitete ISO-27001-Renewal-Dossier. Alles sah perfekt aus – sauber, ordentlich, vollständig.
Er lehnte sich zurück und sagte leise:
„Wenn wir das durchhaben, sind wir endgültig DORA-ready.“
Auf seinem Laptop blinkte ein kleiner Systemhinweis: Unbekanntes Gerät im Netzwerk. Er drückte „Ignorieren“.
1 Die unsichtbare Fassade
Das Basler Cloud-Tech-Unternehmen SkyGate Systems war ein europäischer Hidden Champion: kritische Infrastruktur für Banken, Versicherungen und Zahlungssysteme.
Compliance war auf Hochglanz poliert: Policies aktuell. Audits vollständig. Checklisten makellos. ISO-27001 bestanden – mehrfach. Wachstumsrate: +35 %.
Ein externer Auditor versprach sogar:
„DORA-ready in sechs Wochen.“
Ein Satz, der intern wie ein Ritterschlag wirkte. Doch unter der glatten Oberfläche begann sich eine Schattenwelt zu bilden.
2 Die dunklen Stellen
Mitarbeitende installierten Tools über Hintertüren. Bring-Your-Own-Device ohne Richtlinie. Private Laptops ohne Firewall. Der Auditor lagerte technische Scans ungeprüft an einen Sub-Dienstleister aus.
Der Tool-Zoo wuchs wie Schimmel. Wichtige Elemente fehlten:
Logs unvollständig
MFA nur teilweise aktiv
Keine Pen-Tests
Keine Kontrolle der Sub-Kette (Art. 28 DORA)
Self-Reports statt Validierung
Der CISO bemerkte Anomalien im Traffic. Er schob es auf „User-Fehler“. Der Compliance-Leiter notierte zufrieden: ISO Renewal: OK.
3 Der Kipppunkt
Ein Entwicklungsteam installierte ein neues Analyse-Tool – ohne Freigabe. Der IT-Admin warnte:
„Dieses Tool hat bekannte Schwachstellen. Das darf nicht ins Netz!“
Der Compliance-Leiter antwortete:
„Erst das ISO-Renewal abschließen. Danach kümmern wir uns darum.“
Der CISO genehmigte das Tool nach kurzer Sichtung. Kein Deep-Scan. Keine Authentifizierungsprüfung. 36 Stunden Ruhe. Dann wurde die Stille unheimlich.
4 Der Crash
Ein Angreifer scannte das neue Tool automatisiert. Er fand:
Keine MFA
Fehlende Input-Validierung
Freie API-Endpunkte
Zugriff auf Compliance- und Security-Daten
Einmal drin – überall drin. Keine Alarme. Keine Incident-Response. Keine rechtzeitige Incident-Information an die betroffenen Finanzkunden – dadurch konnten diese ihre eigenen Klassifikations- und Meldepflichten nicht ordnungsgemäß erfüllen. Es war ein industrieller Einbruch – und niemand bemerkte ihn.
5 Der Tsunami
Sonntag, 06:14 Uhr. Der erste Kunde meldete Störungen. Zwei Stunden später: totale Kompromittierung der Systeme.
Der Cyber-Versicherer kündigte wegen behaupteter grober Fahrlässigkeit eine Deckungsprüfung und mögliche Leistungskürzung an. Der Auditor distanzierte sich. Die BaFin und die FINMA verlangten Erklärungen.
Der interne Auditbericht war vernichtend:
Kein Lizenzmanagement
Kein BYOD-Programm
Kein Sub-Audit (Art. 28)
Keine Pen-Tests
Kein funktionierendes Incident Response
ISO-Konformität: überwiegend Fassade
Der Schaden: 7 Millionen Euro. Der Compliance-Leiter und der CISO traten zurück.
6 Die Wende
Diesmal brach das Unternehmen nicht – es transformierte.
| 1 | Tool-Inventar erstellen | Vollständige Erfassung aller Tools, Endpunkte und Sub-Aufträge. Ein „Digitaler Hygiene-Scan“ als Pflichtprozess. |
|---|---|---|
| 2 | Automatisierte Scans | Tägliche Schwachstellenscans und vierteljährliche Pen-Tests als interne Zielwerte des Unternehmens (keine allgemeine ISO- oder DORA-Mindestpflicht). Real-Time-Alerts bei unbekannten Geräten im Netzwerk. |
| 3 | Shadow-IT-Sprechstunde | CISO, Compliance und Tech gemeinsam. Regelmässiger Austausch darüber, was außerhalb der offiziellen Prozesse läuft. |
| 4 | Policy-Drills | Incident-Response-Simulationen. Onboarding/Offboarding-Tests. BYOD-Checks unter realen Bedingungen. |
| 5 | Reporting skalieren | Fristensteuerung nach DORA-Meldelogik und rechtzeitige Incident-Information an die Finanzkunden, damit diese ihre gesetzlichen Fristen einhalten können. Transparente Provider-Kette. Kein Audit-Report ohne technische Stichprobe. |
Das Ergebnis: Leak gestoppt in 18 Stunden. Regulatorische Strafen verhindert. Neuer Auditvertrag spart 800.000 € pro Jahr. Und: Die Fassade wurde transparent – ohne einzustürzen.
Epilog – Die wahre Gefahr
ISO 27001 verlangt selbst ein fortlaufendes Managementsystem — mit Risikobewertung, internen Audits, Management-Review und kontinuierlicher Verbesserung; die Zertifizierung wird regelmäßig überwacht. Das Problem war also nicht die Norm. Das Problem: Ein Zertifikat beweist nicht, dass jede operative Kontrolle zu jedem Zeitpunkt wirksam ist. DORA verlangt zusätzlich belastbare digitale Resilienz im laufenden Betrieb. Der grösste Fehler war nicht der Tool-Zoo — es war der Glaube, dass ein Zertifikat Sicherheit bedeutet.
SkyGate hatte alle Papiere. Und keine Substanz dahinter. Das ist kein Prüfungsproblem. Es ist ein Organisationsproblem.
Die vorliegende Geschichte ersetzt keine Rechtsberatung.
Wissen prüfen
Möchten Sie Ihr Wissen zu diesem Thema testen? Die folgenden Quiz- bzw. Lernkarten-Sets decken den Stoff dieses Stücks ab — jeweils mit Erklärung nach jeder Antwort bzw. Aufdeck-Logik.