Am Tag, an dem DORA anwendbar wurde, endete kein Projekt – es begann ein Dauerzustand. Kaum irgendwo wird das deutlicher als bei der Resilienz von Drittparteien. Die Jahre zuvor hatten viele Häuser in Fragebögen, Vertragsanhängen und Zertifikaten einen hinreichenden Nachweis gesehen, dass ihre Auslagerungen „unter Kontrolle“ seien. Heute weiß jeder, der operative Verantwortung trägt: Kontrolle beginnt nicht im PDF, sondern im Betrieb. Sie beginnt dort, wo Informationsflüsse, Schnittstellen, Protokolle, Wiederanläufe, Meldungen und Entscheidungen sich tatsächlich bewegen. Und sie endet nicht mehr an der Unternehmensgrenze. „Third Party Resilience“ ist zur Kernkompetenz geworden – fachlich, technisch, organisatorisch, juristisch. Der Satz „Nach DORA ist vor der Prüfung“ bringt es auf den Punkt: Wer jetzt nicht in einen belastbaren Betriebsmodus wechselt, wird die nächste Aufsichtsrunde nicht nur als Formalie, sondern als Stresstest erleben.

Von der Auslagerung zur Abhängigkeit: Warum die Messlatte gestiegen ist

Die Modernisierung der Finanz-IT hat drei Bewegungen zusammengeführt: Cloudifizierung kritischer Kernprozesse, Spezialisierung entlang der Wertschöpfungskette und ein exponentielles Wachstum an Software-as-a-Service in Fachbereichen. Was als Effizienz- und Innovationsmotor begann, hat die Systemkopplung dramatisch erhöht. Eine Authentifizierungsstörung in einem globalen IAM-Dienst, eine Aktualisierung im Zahlungs-Gateway, eine veränderte Drosselungslogik in einer API-Plattform – schon kleine Ereignisse strahlen heute weit in Geschäftsprozesse hinein. DORA hat diese Realität nicht geschaffen, aber sie hat sie regulatorisch sichtbar gemacht: Verantwortlichkeit bleibt im Institut, auch wenn Leistung extern erbracht wird. Das ist keine Drohung, es ist eine Einladung zur Professionalität. Wer die Kaskaden versteht, steuert; wer sie ignoriert, hofft.

Es klingt immer überzeugend, wenn Unternehmen ihre Governance herausstellen: aktuelle Richtlinien, detailreiche Prozesslandkarten, sauber benannte Rollen, ein Gremium für jedes Thema. Und doch bleibt in vielen Häusern das gleiche Gefühl zurück: Warum ändert das alles so wenig am Alltag? Warum geraten Entscheidungen ins Stocken, obwohl die Regeln klar sind? Warum werden Risiken sauber beschrieben, aber zu spät adressiert? Warum explodieren Vorfälle in Kosten, obwohl alle ihre Pflichten kennen? Der Grund liegt selten in mangelndem Willen, fast nie im Fehlen von Papier – er liegt in der Lücke zwischen Policy und Praxis. Governance wirkt erst, wenn sie nicht nur sagt, was sein soll, sondern wie es zur richtigen Zeit am richtigen Ort geschieht, messbar, wiederholbar, beweisbar. Dieser Beitrag zeichnet eine Landkarte, wie man diese Lücke schließt: von der Sprache zur Ausführbarkeit, von der Absicht zur Evidenz, von der Gremienroutine zum operativen Takt, von der Einzellösung zur unternehmensweiten Lernschleife.

Warum gute Policies oft wenig bewegen

Richtlinien sind Versprechen. Sie definieren Erwartungen, beschreiben Grenzen, sichern Pflichten ab. In der Praxis prallen sie jedoch auf drei unsichtbare Wände. Erstens ist die kognitive Last zu hoch: Mitarbeitende sollen komplexe, juristisch präzise Texte erinnern und in Sekunden auf reale Situationen übertragen – unter Zeitdruck, mit unvollständiger Information, über Systemgrenzen hinweg. Zweitens fehlt die Anschlussfähigkeit: Selbst exzellent formulierte Policies enden an der Schranke zum Tagesgeschäft, wenn Systeme, Workflows und Verträge nicht so gestaltet sind, dass das Richtige durch das Doing passiert. Drittens fehlt die Konsequenz: Wo Verstöße folgenlos bleiben, wo Ausnahmen nicht ablaufen, wo Eskalationen aus Höflichkeit vertagt werden, verliert Governance ihre Schärfe. Sie wird zur höflichen Bitte. Policies, die bewegen sollen, müssen daher Verständlichkeit, Ausführbarkeit und Konsequenz vereinen – sonst bleiben sie gute Literatur.

Es beginnt selten mit einem großen Knall. Eher wie leises Rauschen, das den Alltag überlagert: neue Richtlinien, ergänzende Leitfäden, Updates zu bekannten Prozessen, veränderte Freigabeschritte, Lernmodule, Bestätigungs-Buttons, anstehende Audits, Hinweis auf geänderte Meldewege, strengere Dokumentationspflichten, zusätzliche Kontrollen. Jedes einzelne Element wirkt vernünftig. Zusammengenommen entsteht ein Klima steter Überforderung. Man arbeitet „unter Aufsicht“, aber nicht mehr mit Aufsicht. Und irgendwann fällt der Satz, den Führungskräfte am häufigsten hören und am ungernsten ernst nehmen: „Es ist einfach zu viel.“ Was wie Jammern klingt, ist in Wirklichkeit ein Organisationssignal von hoher Relevanz: Compliance fatigue – die Ermüdung durch Übermaß an Regeln, Nachweisen und Pflichten – mindert Wirksamkeit, erhöht Fehlerrisiken, begünstigt Umgehungspfade und frisst Kulturvertrauen auf. Dieser Beitrag erklärt, warum die Müdigkeit entsteht, wie sie sich zeigt, welche Folgeschäden sie anrichtet, und vor allem, wie Unternehmen den Schalter von Erschöpfung zu Ermöglichung umlegen: mit weniger Lärm, klareren Entscheidungen, verständlichen Regeln, automatisierten Nachweisen und einer Führung, die nicht „mehr“ verlangt, sondern besser.

Warum gute Absichten schlechte Effekte haben

Die Logik ist verführerisch: Mehr Regulierung, mehr Risiken, mehr Reputationsdruck – folglich braucht es mehr Richtlinien, mehr Kontrollen, mehr Schulungen, mehr Nachweise. In der Summe entsteht jedoch keine Sicherheit, sondern Verwaltung der Angst. Jede neue Vorgabe konkurriert um Aufmerksamkeit, kognitive Kapazität und Zeitfenster, die ohnehin knapper werden. Mitarbeitende erleben eine stete Verschiebung vom Tätigsein zum Belegen des Tätigseins. Wenn das Verhältnis kippt, tritt ein paradoxes Phänomen ein: Je intensiver Kontrolle eingefordert wird, desto wahrscheinlicher wird das Kontrollversagen – nicht aus Widerstand, sondern aus Erschöpfung.

Jede Organisation kennt sie, fast niemand denkt an sie: Multifunktionsgeräte, Druckerflotten, Scanner, Plotter, Etikettendrucker, Fax-Module, Kioskdrucker für Belege. Sie stehen unscheinbar im Flur, summen leise vor sich hin, produzieren zuverlässig Seiten – und werden in Security-Runden oft nur dann erwähnt, wenn es um Kosten oder papierlose Initiativen geht. Dabei sind genau diese Geräte in vielen Netzen hochprivilegierte, dauerhaft präsente, schwach gehärtete Systeme mit direktem Draht zu Fileservern, E-Mail-Gateways, Verzeichnisdiensten und manchmal sogar ins öffentliche Internet. Wer sie ignoriert, baut eine Sicherheitsarchitektur mit offener Seitentür. Zeit, das Licht einzuschalten: Warum sind Drucker, Scanner & Co. so attraktiv für Angreifer? Wo liegen die Schattenrisiken? Und wie macht man aus einem grauen Kasten im Flur ein steuerbares, belastbares Asset – statt einer vergessenen Schwachstelle?

Warum ausgerechnet Drucker? Die Logik des Angreifers

Angreifer suchen nicht den glamourösen Weg, sondern den einfachen. Sie lieben überall verfügbare Geräte mit weit offenen Protokollen, seltenen Patches, Standardpasswörtern, großzügigen Netzwerkrechten und Administrationsoberflächen, die niemand überwacht. Multifunktionsgeräte liefern dieses Paket frei Haus:

Es knirscht selten laut, wenn es passiert. Kein großer Knall, keine rot blinkenden Warnlampen. Stattdessen: eine kleine Konfigurationsänderung bei einem Dienstleister, ein unscheinbares Update, eine freundliche E-Mail eines „Partners“, ein Browser-Plugin aus einem Hersteller-Marketplace. Wochenlang wirkt alles normal, die Dashboards bleiben grün. Und doch hat sich die Risikolage grundlegend verschoben – nur eben nicht dort, wo das eigene SOC hinschaut. Die Schwachstelle liegt außerhalb des Perimeters, außer Reichweite der üblichen Telemetrie und häufig auch jenseits der eigenen Zuständigkeiten. Genau dort, wo moderne Wertschöpfung in der Praxis stattfindet: bei Third Parties.

Dass Drittparteien zur Achillesferse werden, ist keine überraschende Schlagzeile – aber die Mechanik dahinter wird in vielen Unternehmen unterschätzt. Third Parties stehen mitten in unseren Prozessen, tragen weitreichende Berechtigungen, hosten Daten, signieren Updates, verwalten Identitäten, triagieren Tickets, betreiben Infrastruktur und liefern das, was Kundinnen und Kunden direkt erleben: Verfügbarkeit, Geschwindigkeit, Qualität. In dieser Rolle sind sie nicht „außen“, sondern innen – oft mit mehr Rechten, mehr Einblick und mehr Steuerungsmacht als das, was wir im eigenen Haus für selbstverständlich halten.