1 Einleitung

Der am 14. Dezember 2022 verabschiedete Digital Operational Resilience Act (DORA)Footnote 1 verpflichtet FinanzunternehmenFootnote 2 in der Europäischen Union zu einem umfassenden Management von Risiken der Informations- und Kommunikationstechnologie (IKT), von IKT-bezogenen Vorfällen sowie des IKT-Drittparteienrisikos.Footnote 3 Erklärtes Ziel ist die Vollharmonisierung der Anforderungen an das IKT-Risikomanagement im gesamten europäischen Finanzsektor.Footnote 4 Ab dem Jahr 2025 müssen die betroffenen Unternehmen – wie beispielsweise CRR-KreditinstituteFootnote 5, VersicherungsunternehmenFootnote 6 oder SchwarmfinanzierungsdienstleisterFootnote 7 – daher einen umfassenden IKT-Risikomanagementrahmen einrichten und umsetzen. Neben zahlreichen weiteren PflichtenFootnote 8 soll die digitale Resilienz im Finanzsektor auch durch einen Informationsaustausch zwischen den in den Anwendungsbereich der Verordnung fallenden Finanzunternehmen gesteigert werden. Dieser Beitrag liefert einen Überblick über die Relevanz eines solchen Informationsaustauschs sowie die organisatorischen und rechtlichen Anforderungen an diesen gemäß Art. 45 DORA.

2 Grundlegender Regelungsgehalt des Art. 45 DORA

2.1 Inhalte des Informationsaustauschs: Cyber Threat Intelligence

Gemäß Art. 45 Abs. 1 DORA können Finanzunternehmen Informationen und Erkenntnisse über Cyberbedrohungen auf freiwilliger Basis untereinander austauschen. Der Begriff „Cyberbedrohung“ i. S. d. Verordnung bezeichnet einen möglichen Umstand, ein mögliches Ereignis oder eine mögliche Handlung, der/das/die Netzwerk- und Informationssysteme, die Nutzer dieser Systeme und andere Personen schädigen, stören oder anderweitig beeinträchtigen könnte.Footnote 9

Die häufigsten (externen) Cyberbedrohungen in der Europäischen Union sind Ransomware-Angriffe und Denial-of-Service-Angriffe (DoS-Attacken).Footnote 10 Bei einem Angriff mittels Ransomware übernimmt „ein Angreifer die Kontrolle über ein AssetFootnote 11 und fordert Lösegeld als Gegenleistung für die Wiederherstellung der VerfügbarkeitFootnote 12 und VertraulichkeitFootnote 13 des Assets.“Footnote 14 Bei einer DoS-Attacke werden mit einer Flut an Anfragen IKT-Systeme überlastet, sodass die Verfügbarkeit der Systeme bzw. Daten eingeschränkt oder nicht mehr gegeben ist.Footnote 15

Mögliche Inhalte für einen Informationsaustausch über Cyberbedrohungen zwischen Finanzunternehmen sind:

  • Kompromittierungsindikatoren (engl. Indicators of compromise, IoC),Footnote 16

  • (neue) Angriffsarten,

  • Taktiken, Techniken und Verfahren (engl. Tactics, Techniques and Procedures, TTPs) der Angreifer,Footnote 17

  • Mechanismen eines Angriffs,Footnote 18

  • Häufigkeit, Dauer und Herkunft von Cyberangriffen,

  • die für einen Angriff Verantwortlichen und ihre Beweggründe,Footnote 19

  • Sicherheitswarnungen und Hinweise auf SicherheitslückenFootnote 20 sowie

  • effektive Gegenmaßnahmen bzw. Best Practices.Footnote 21

Ein Großteil dieser Inhalte kann unter dem Begriff „Cyber Threat Intelligence“ (CTI) zusammengefasst werden. Darunter versteht man eine Sammlung evidenzbasierter Informationen über Cyberbedrohungen, welche zuvor von Experten geordnet, bewertet und analysiert wurden.Footnote 22 Bei einer Cyber-Bedrohungsdatenanalyse „machen sich Cyber-Sicherheitsteams historische Daten über Motive, Ziele und das Angriffsverhalten von Cyber-Bedrohungsakteuren zunutze, um proaktive, Erkenntnis gestützte Sicherheitsentscheidungen zu treffen, Anpassungen in Konfigurationen vorzunehmen und angewendete Cyber-Abwehrstrategien nachzujustieren.“Footnote 23

2.2 Grundsätzliche Bedingungen des Informationsaustauschs

Der europäische Gesetzgeber hat in Art. 45 Abs. 1 DORA drei wesentliche Bedingungen formuliert, welche die Finanzunternehmen beim Austausch von Informationen und Erkenntnissen (engl. cyber threat information and intelligence) einhalten müssen.

Gemäß der ersten Bedingung muss der Austausch darauf abzielen, die digitale operationale Resilienz der Finanzunternehmen zu stärken. Dazu soll er beispielsweise das Bewusstsein für Cyberbedrohungen steigern. Der Austausch von Informationen über Cyberbedrohungen soll dabei helfen, deren Verbreitung einzuschränken bzw. zu verhindern. Darüber hinaus könnten mögliche austauschbare Erkenntnisse dazu beitragen, die Verteidigungsfähigkeit, die Techniken zur Erkennung von Bedrohungen, die Abmilderungsstrategien oder die Reaktions- und Wiederherstellungsverfahren der Finanzunternehmen zu verbessern.Footnote 24

Der Austausch von Informationen und Erkenntnissen muss gemäß der zweiten Bedingung innerhalb vertrauenswürdiger Gemeinschaften von Finanzunternehmen erfolgen.Footnote 25 Der Begriff der „vertrauenswürdigen Gemeinschaft“ ist nicht im DORA definiert. Ihre Ausgestaltung ergibt sich durch die nachfolgend erläuterten Anforderungen.

Die dritte und letzte Bedingung betrifft die Ausgestaltung der Vereinbarungen zum Austausch innerhalb von vertrauenswürdigen Gemeinschaften. Diese Vereinbarungen sind so zu gestalten, dass der potenziell sensible Charakter der Informationen beim Austausch geschützt wird. Zudem sollen sie Verhaltensregeln unterliegen, durch die Geschäftsgeheimnisse weiterhin gewahrt, personenbezogene Daten geschützt und das Wettbewerbsrecht eingehalten wird.Footnote 26

Die Voraussetzungen zum Beitritt und der Teilnahme an einer vertrauenswürdigen Gemeinschaft müssen zuvor festgelegt werden. Ebenso sind eine eventuelle Einbindung von Behörden oder IKT-Drittdienstleistern zu regeln. Neben diesen formellen Aspekten sind ebenso operative Aspekte zu regeln, wie beispielsweise die Nutzung spezieller IT-Plattformen zum Informationsaustausch.Footnote 27

Finanzunternehmen müssen den für sie zuständigen Aufsichtsbehörden mitteilen, wenn sie tatsächlich einer vertrauenswürdigen Gemeinschaft zum Austausch von Informationen und Erkenntnissen beitreten bzw. aus ihr austreten. Maßgeblich ist der Tag des Inkrafttretens des Eintritts bzw. Austritts.Footnote 28

3 Relevanz des Informationsaustauschs über Cyberbedrohungen

Unter den zuvor erläuterten Bedingungen ist ein Informationsaustausch zwischen Finanzunternehmen ausdrücklich erlaubt. Gemäß ErwG 34 DORA sollen Finanzunternehmen sogar ermutigt werden, einen solchen Austausch verstärkt durchzuführen. Durch den Informationsaustausch soll das Problembewusstsein (Awareness) für Cyberbedrohungen geschärft werden.Footnote 29 Hierdurch wird wiederum die Cyber-Resilienz der Finanzunternehmen verbessert. Das heißt, die Fähigkeiten zur Abwehr bzw. Verhinderung des Eintretens von Cyberbedrohungen sowie die Fähigkeiten zur (schnellen) Reaktion und WiederherstellungFootnote 30 bei IKT-bezogenen VorfällenFootnote 31 werden gestärkt.Footnote 32 Durch einen schnellen und unkomplizierten Austausch bei einem laufenden Cyberangriff können andere Unternehmen frühzeitig gewarnt werden und diese können zielgerichtete Gegenmaßnahmen ergreifen.Footnote 33

Generell kann der Austausch von Informationen zu unterschiedlichen Effizienzgewinnen führen, beispielsweise durch das Beheben von InformationsasymmetrienFootnote 34 oder den Abgleich von internen Prozessen, um Verbesserungsmöglichkeiten abzuleiten.Footnote 35 Unternehmen, die am Informationsaustausch teilnehmen, können neue Informationen und Erkenntnisse gewinnen, die ihnen ohne einen solchen Austausch möglicherweise nicht zur Verfügung stehen.Footnote 36 Das Aufdecken einer Bedrohung durch ein Unternehmen kann so zur Prävention in einem anderen Unternehmen beitragen.Footnote 37 Beispielsweise könnte durch den Abgleich mit Schadsoftware, die bereits von anderen Unternehmen erkannt wurde, bisher unentdeckte Schadsoftware im unternehmenseigenen IKT-System früher identifiziert und bekämpft werden.Footnote 38 „Nur durch Kooperation und das Teilen von Informationen können die Unternehmen den professionell und zum Teil auch arbeitsteilig organisierten Angreifern zuvorkommen und sich wirksam schützen.“Footnote 39

Der europäische Gesetzgeber merkt in ErwG 32–33 DORA an, dass ein Informationsaustausch auf europäischer Ebene aufgrund mehrerer Faktoren bisher selten stattgefunden hat. Als mögliche Gründe dafür führt er unter anderem Unsicherheiten der Unternehmen hinsichtlich der Vereinbarkeit eines Informationsaustauschs mit Datenschutz‑, Kartell- und Haftungsvorschriften an.Footnote 40 Auf nationaler Ebene existieren allerdings bereits einige freiwillige bzw. verpflichtende Initiativen für den Informationsaustausch im Bereich der Cybersicherheit.Footnote 41 So gab es im Jahr 2018 bei 75% der 28 MitgliederFootnote 42 des Basel Committee on Banking Supervision (BCBS) zumindest eine Art von Austausch über Cyber Threat Intelligence zwischen Banken untereinander.Footnote 43 In Brasilien, Japan und Saudi-Arabien war dieser Austausch zum damaligen Zeitpunkt sogar verpflichtend.Footnote 44

Abb. 1 zeigt verschiedene Möglichkeiten der Gestaltung eines Informationsaustauschs. Dieser Beitrag konzentriert sich auf den Austausch zwischen Finanzunternehmen (in der Abb. 1 markiert mit ①).

Abb. 1
figure 1

Arten des Informationsaustauschs. (Eigene Darstellung in Anlehnung an [11, S. 22])

Full size image

4 Bestehende Beispiele für einen sektorübergreifenden Informationsaustausch

In Deutschland gibt es unter anderem bereits die Zusammenschlüsse „Allianz für Cyber-Sicherheit“ und „Cyber Security Sharing and Analytics e. V.“, in denen ein – allerdings sektorübergreifender – Austausch über Informationssicherheitsthemen und Cyberbedrohungen stattfindet.Footnote 45 Die Allianz für Cyber-Sicherheit wurde vom Bundesamt für Sicherheit in der Informationstechnik (BSI) zusammen mit dem Bundesverband Informationswirtschaft, Telekommunikation und neue Medien e. V. (bitkom) im Jahr 2012 gegründet. Sie dient als Austauschplattform für Unternehmen, Verbände, Behörden und Organisationen über aktuelle Cyberbedrohungen und Cybersicherheitsmaßnahmen.Footnote 46 Zurzeit hat die Allianz über 7200 Teilnehmer, darunter sind auch zahlreiche deutsche Finanzunternehmen.Footnote 47 Innerhalb der Allianz verschickt das BSI beispielsweise aktuelle Cybersicherheitswarnungen sowie regelmäßige Lageberichte zur aktuellen Bedrohungslage.Footnote 48

In dem im Jahr 2014 gegründeten Verein „Cyber Security Sharing and Analytics“ (CSSA) haben sich überwiegend weltweit tätige Wirtschaftsunternehmen zusammengeschlossen, „die über Inhouse CyberSecurity-Ressourcen verfügen und sowohl die Bereitschaft als auch die Fähigkeit besitzen, relevante Informationen über Cyber-Angriffe und -Bedrohungen unter Gleichgesinnten zu teilen.“Footnote 49 Der Verein hat zurzeit 16 Mitgliedsunternehmen, darunter sind der Versicherungskonzern Allianz SE, die Deutsche Bank AG und die Finanz Informatik GmbH & Co. KG.Footnote 50

Hauptziel des Vereins ist es, einen branchenübergreifenden vertraulichen Austausch zu Informationssicherheitsvorfällen, -Bedrohungen und -Schwachstellen zwischen den mit dem Thema Informationssicherheit betrauten Mitarbeitern und externen Experten zu ermöglichen. Dadurch sollen Cyberbedrohungen proaktiv, schneller und wirksamer bekämpft werden können. Des Weiteren erfolgt ein technischer Austausch von Threat Intelligence über eine Sharing-Plattform und in Data Analytics-Projekten. Darüber hinaus wird regelmäßig ein Lagebericht für die Chief Information Security Officer (CISOs) der beteiligten Unternehmen und für weitere interessierte Mitarbeiter erstellt.Footnote 51

CSSA setzt zur Realisierung eines sicheren Austauschs die Software MISP Threat Sharing (MISP) ein. Auf dieser Open-Source-Threat-Intelligence-Plattform können Gefährdungsindikatoren, Threat Intelligence sowie Informationen über Finanzbetrug, Schwachstellen oder Terrorismusbekämpfung gespeichert und ausgetauscht werden. Außerdem kann die Software automatisiert nach Verbindungen und Mustern zwischen den gespeicherten Merkmalen und Indikatoren von Schadsoftware, Angriffskampagnen oder Analysen suchen. Mit Hilfe der Plattform soll die Effizienz „von reaktiven Gegenmaßnahmen gegen gezielte Angriffe“Footnote 52 gesteigert werden. Weiterhin soll sie präventive Maßnahmen fördern und das Aufdecken von Cyberbedrohungen erleichtern. Die Open-Source-Software wurde unter anderem von der Europäischen Union finanziert. Sie wird beispielsweise auch von der NATO eingesetzt.Footnote 53

5 Regulatorische Herausforderungen beim Informationsaustausch

5.1 Recht zum Schutz von Geschäftsgeheimnissen

Gemäß Art. 45 Abs. 2 DORA sollen die Vereinbarungen zum Informationsaustausch Verhaltensregeln unterliegen, um die Einhaltung der Regulatorik zu den drei Rechtsgebieten Geschäftsgeheimnisschutz, Datenschutz und Wettbewerbsrecht zu gewährleisten. Welche Vorgaben die jeweiligen Rechtsakte machen und wie sie eingehalten werden können, wird im Folgendem untersucht.

Beim Austausch von Informationen und Erkenntnissen über Cyberbedrohungen sollen Finanzunternehmen die europarechtlichen Vorgaben im Hinblick auf den Schutz von Geschäftsgeheimnissen einhalten.Footnote 54 Die nicht unmittelbar geltende Richtlinie zum Schutz von GeschäftsgeheimnissenFootnote 55 wurde im deutschen Recht durch das Gesetz zum Schutz von Geschäftsgeheimnissen (GeschGehG) umgesetzt.

Ein Geschäftsgeheimnis i. S. d. § 2 Nr. 1 GeschGehG ist eine nicht allgemein bekannte (das heißt eine geheime) Information mit einem wirtschaftlichen Wert, für die deren Inhaber angemessene Geheimhaltungsmaßnahmen ergreift und ein berechtigtes Interesse an dessen Geheimhaltung besitzt.Footnote 56 Sowohl (geheime) Daten in Datensätzen bzw. -banken als auch Rohdaten haben i. d. R. einen gewissen Informationsgehalt und können daher geschützte Geschäftsgeheimnisse darstellen.Footnote 57 Auch die Schutzwürdigkeit von Zugangsdaten, Algorithmen oder Prozessabläufen ist grundsätzlich zu bejahen.Footnote 58 Außerdem kann die Kenntnis über eine (eigene) Informationssicherheitslücke ein geschütztes Geschäftsgeheimnis darstellen.Footnote 59 Ein solches Wissen über eine Gefahr bzw. ein Risiko stellt eine „negative“ Information dar, die grundsätzlich ebenfalls durch das GeschGehG geschützt wird.Footnote 60

Die Ausgestaltung des gemäß Art. 6 DORA einzurichtenden IKT-Risikomanagementrahmens stellt ebenso ein Geschäftsgeheimnis dar.Footnote 61 Finanzunternehmen sollen im Rahmen des IKT-Risikomanagements Strategien, Leit- und Richtlinien, Verfahren sowie IKT-Protokolle und -Tools entwickeln, um die Informationssicherheit und die digitale Resilienz ihrer Informations- und IKT-Assets sowie ihrer Infrastruktur zu gewährleisten.Footnote 62 Bei dem gemäß Art. 45 DORA angedachten Austausch über solche (Informationssicherheits‑)Konzepte sind daher Maßnahmen zu ergreifen, um diese Geschäftsgeheimnisse zu wahren.

Ein sinnvoller und i. d. R. unabdingbarer Ansatz zur Wahrung der Geschäftsgeheimnis-Compliance, die ein kompliziertes Querschnittsthema darstellt, ist die Etablierung eines konsistenten unternehmensweiten Geheimnisschutzkonzepts bzw. Geschäftsgeheimnis-Management(‑Systems). Es besteht aus einer Kombination aus technisch-organisatorischen und personellen Maßnahmen sowie juristischen Vorgaben zum Informations- bzw. Geheimnisschutz.Footnote 63 Bereits grundlegende Informationssicherheitsmaßnahmen, wie sie gemäß DORA oder den Bankaufsichtlichen Anforderungen an die IT (BAITFootnote 64) zu ergreifen sind, schützen auch Geschäftsgeheimnisse. Beispielhaft für solche Maßnahmen sind die Zugangsbeschränkung und -kontrolle von Infrastruktur, Systemen und Daten sowie die Verschlüsselung von Daten und Verbindungen.Footnote 65 Ergreifen Unternehmen keine oder nur unzureichende Schutzmaßnahmen, verlieren sie den gesetzlich vorgesehenen Schutz für ihre Geschäftsgeheimnisse.Footnote 66 Die Satzung des CSSA verpflichtet deshalb Vereinsmitglieder dazu, gewissenhaft mit als vertraulich gekennzeichneten Informationen umzugehen, das heißt diese Geschäftsgeheimnisse nicht gegen andere Mitglieder einzusetzen und nicht an Dritte weiterzugeben.Footnote 67

5.2 Datenschutzrecht

Neben Geschäftsgeheimnissen sind beim Informations- und Erkenntnisaustausch auch personenbezogene DatenFootnote 68 zu schützen. Beim Austausch von Cyber Threat Intelligence können unter anderem Daten über Angreifer oder Opfer – das heißt z. B. E‑Mail-Adressen, MAC-Adressen oder IP-Adressen – unter die Kategorie personenbezogene Daten i. S. d. Art. 4 Nr. 1 DS-GVO fallen.Footnote 69 So könnte bei der Analyse eines konkreten Phishing-Angriffs neben dem Inhalt der E‑Mail auch die E‑Mail-Adresse des Empfängers (z. B. eines Kunden oder Mitarbeiters) absichtlich oder unabsichtlich zwischen den Experten ausgetauscht werden.

Der Austausch über Cyberbedrohungen soll im Einklang mit den Vorgaben der Datenschutzgrundverordnung (DS-GVO) erfolgen.Footnote 70 Grundsätzlich dürfen personenbezogene Daten nur verarbeitet werden, wenn dies „auf rechtmäßige Weise“ (im engeren Sinne) geschieht, das heißt mindestens einer der in Art. 6 Abs. 1 UAbs. 1 DS-GVO aufgeführten Erlaubnisgründe für die in Frage stehende Verarbeitung zutrifft.Footnote 71 Bei einem Informationsaustausch erfolgt eine Verarbeitung i. S. d. Art. 4 Nr. 2 DS-GVO unter anderem in Form einer Speicherung, Verbreitung oder Verwendung.

Als Rechtsgrundlage der Verarbeitung kommen weder die Erfüllung einer konkreten rechtlichen Verpflichtung (Art. 6 Abs. 1 UAbs. 1 Buchst. c DS-GVO), der Schutz lebenswichtiger Interessen in Notlagen (Art. 6 Abs. 1 UAbs. 1 Buchst. d DS-GVO) noch die Wahrnehmung einer Aufgabe, die im öffentlichen Interesse liegt oder in Ausübung öffentlicher Gewalt erfolgt (Art. 6 Abs. 1 UAbs. 1 Buchst. e DS-GVO), in Betracht. Auch ist der Informationsaustausch i. d. R. nicht unmittelbar zur Erfüllung eines Vertrages oder zur Durchführung vorvertraglicher Maßnahmen erforderlich (Art. 6 Abs. 1 UAbs. 1 Buchst. b DS-GVO). Sofern keine Einwilligung (Art. 6 Abs. 1 UAbs. 1 Buchst. a DS-GVO) in die Verarbeitung vorliegt, ist eine Verarbeitung im Rahmen eines Informationsaustauschs deshalb regelmäßig nur rechtmäßig, wenn sie zur Wahrung berechtigter Interessen des verantwortlichen Unternehmens oder eines Dritten erforderlich ist (Art. 6 Abs. 1 UAbs. 1 Buchst. f DS-GVO).Footnote 72

Für diesen Fall muss, sofern ein berechtigtes Interesse des Verantwortlichen an der Verarbeitung besteht, eine Interessenabwägung mit dem entgegenstehenden Interesse des Betroffenen erfolgen, insoweit auch dieses besteht.Footnote 73 Es kommen grundsätzlich jedwede rechtlichen, wirtschaftlichen oder ideellen Interessen in Betracht.Footnote 74 Die Interessenabwägung fällt zu Gunsten des Betroffenen aus, wenn seine Interessen oder Grundrechte und Grundfreiheiten, die den Schutz personenbezogener Daten erfordern, überwiegen.Footnote 75 Bei der Feststellung der einer Verarbeitung möglicherweise entgegenstehenden Interessen ist auf die objektivierbaren Interessen der von der Verarbeitung typischerweise betroffenen Personen abzustellen.Footnote 76 Das berechtigte Interesse der Finanzunternehmen besteht hier unter anderem darin, die Informationssicherheit zu gewährleisten bzw. zu erhöhen.Footnote 77 Dies liegt grundsätzlich auch im Interesse des betroffenen Kunden. Dem entgegen stehen jedoch „jene Grundrechte und Grundfreiheiten, die den Schutz der personenbezogenen Daten gebieten“Footnote 78 – das heißt insbesondere Art. 7 und Art. 8 GRCh – sowie die Interessen des Betroffenen, dass seine (Finanz‑)Daten nicht mit Unternehmen geteilt werden, mit denen er in keinerlei vertraglichem Verhältnis steht. Hinzu kommt, dass eine Verarbeitung konkreter Kundendaten i. d. R. nicht erforderlich zum Informationsaustausch bzw. zum Ergreifen von Informationssicherheitsmaßnahmen ist. Insofern dürfen personenbezogene Daten von Kunden nicht im Rahmen des Informationsaustauschs über Cyberbedrohungen ausgetauscht werden, dies gilt insbesondere für deren Kontakt- und Finanzdaten.

Fraglich ist, ob personenbezogene Daten von Angreifern ausgetauscht werden dürften.Footnote 79 Da dem Wortlaut des Art. 6 Abs. 1 UAbs. 1 Buchst. f DS-GVO nach bei der Interessenabwägung nur auf Interessen des Betroffenen und nicht explizit auf „berechtigte“Footnote 80 Interessen des Betroffenen abgestellt wird, geht eine Ansicht davon aus, dass auch „illegitime“ InteressenFootnote 81 des Betroffenen zu berücksichtigen sind.Footnote 82 „Selbst Personen, die rechtswidrige Handlungen begehen, sollten keinen unverhältnismäßigen Eingriffen in ihre Rechte und Interessen ausgesetzt werden.“Footnote 83 Die Grundrechte des Angreifers und das „illegitime“ Interesse, einen Cyberangriff erfolgreich durchzuführen, ohne gestört bzw. danach (strafrechtlich) verfolgt zu werden, sind in einer Interessenabwägung allerdings wohl den berechtigten Interessen des Opfers unterlegen, weitere Angriffe durch einen Informationsaustausch über den Angreifer zu verhindern. Abzulehnen ist allerdings eine Verarbeitung mit Prangerwirkung.Footnote 84

Auch wenn der überwiegende Teil der Informationen beim Austausch über Cyberbedrohungen keinen Personenbezug haben dürfte, sollte dies aus datenschutzrechtlicher Sicht immer vor dem Austausch einzelfallbezogen überprüft werden. Bei der Verarbeitung im Rahmen eines Informationsaustauschs müssen außerdem die weiteren Grundsätze für die Verarbeitung personenbezogener Daten gemäß Art. 5 Abs. 1 DS-GVO eingehalten werden.Footnote 85 Insbesondere sind geeignete „Technische und Organisatorische Maßnahmen“ (TOM) zu ergreifen, um die Sicherheit der Verarbeitung zu gewährleisten.Footnote 86 Unter technischen Maßnahmen versteht man alle Maßnahmen, die mittels Sachmitteln die Schutzziele Vertraulichkeit, Verfügbarkeit und Integrität gewährleisten sollen, während unter organisatorischen Maßnahmen alle aufgestellten Verhaltensregeln zu verstehen sind.Footnote 87

5.3 Wettbewerbsrecht

5.3.1 Grundlagen der wettbewerbsrechtlichen Behandlung eines Informationsaustauschs

Eines der Hauptziele der Europäischen Union ist die Errichtung eines gemeinsamen Binnenmarktes.Footnote 88 Der Binnenmarkt umfasst zur Verwirklichung des Leitbilds einer offenen Marktwirtschaft mit freiem Wettbewerb unter anderem ein System, das den Wettbewerb vor Verfälschungen schützt.Footnote 89 Art. 101 Abs. 1 AEUVFootnote 90 verbietet daher Unternehmen, untereinander Vereinbarungen zu treffen, die zu einer Verhinderung, Einschränkung oder Verfälschung des Wettbewerbs innerhalb des europäischen Binnenmarkts führen könnten.Footnote 91

Art. 45 Abs. 1 Buchst. c DORA verweist aus wettbewerbsrechtlicher Sicht darauf, dass beim Informationsaustausch über Cyberbedrohungen Leitlinien für die Wettbewerbspolitik einzuhalten sind. Konkret handelt es sich um die „Leitlinien zur Anwendbarkeit des Artikels 101 des Vertrags über die Arbeitsweise der Europäischen Union auf Vereinbarungen über horizontale Zusammenarbeit“Footnote 92 (kurz: Horizontal-Leitlinien oder Horizontal-LL).Footnote 93 Eine überarbeitete Version der Horizontal-LL ist am 21. Juli 2023 in Kraft getreten. Diese Leitlinien sollen durch eine Konkretisierung des Art. 101 AEUV sowohl den Schutz des freien Wettbewerbs gewährleisten als auch Rechtssicherheit für betroffene Unternehmen schaffen.Footnote 94 Sie unterstützen bei der Klärung der Fragen, welche horizontalen Vereinbarungen unter das Verbot gemäß Art. 101 AEUV fallen und welche Vereinbarungen (unter gewissen Bedingungen) erlaubt sind. Es gilt zu verhindern, dass ein Informationsaustausch zu einer wettbewerbsbeschränkenden Kollusion oder wettbewerbswidrigen Marktabschottung führt.Footnote 95

5.3.2 Prüfung der wettbewerbsrechtlichen Behandlung eines Informationsaustauschs

Eine koordinierte Zusammenarbeit – beispielsweise in Form eines Informationsaustauschs – ist gemäß Art. 101 Abs. 1 AEUV verboten, wenn sie geeignet ist, den Handel zwischen Mitgliedstaaten zu beeinträchtigen und eine Verhinderung, Einschränkung oder Verfälschung des Wettbewerbs innerhalb des europäischen Binnenmarkts bewirken könnte oder gar bezweckt. Die Prüfung, ob eine Zusammenarbeit verboten ist, erfolgt in mehreren Schritten. Die Horizontal-LL helfen bei der Prüfung horizontaler Kooperationen. Nachfolgend werden die Prüfungsschritte für eine Überprüfung einer horizontalen Zusammenarbeit in Form eines (reinen) Informationsaustauschs erläutert.Footnote 96 Sollte eine Vereinbarung gemäß Art. 101 Abs. 1 AEUV als verboten eingestuft werden, kann das Verbot dennoch gemäß Art. 101 Abs. 3 AUEV nach einer Abwägungsprüfung für nicht anwendbar erklärt werden.Footnote 97

Art. 101 AEUV und die Horizontal-LL sind grundsätzlich auf alle Formen und Ausgestaltungsmöglichkeiten eines Informationsaustauschs anwendbar,Footnote 98 sofern dieser im Rahmen einer koordinierten horizontalen Zusammenarbeit erfolgt.Footnote 99 Eine Zusammenarbeit liegt bei einer Vereinbarung zwischen Unternehmen, einem Beschluss einer Unternehmensvereinigung oder einer aufeinander abgestimmten Verhaltensweise zwischen Unternehmen vor.Footnote 100 In einer Vereinbarung kommen zwei oder mehr Unternehmen übereinstimmend darin überein, zusammenarbeiten zu wollen.Footnote 101 Eine Vereinbarung zur Zusammenarbeit auf horizontaler – in Abgrenzung zur vertikalen – Ebene liegt vor, wenn sie zwischen aktuellen oder potenziellen Wettbewerbern eines bestimmten Marktes, wie z. B. dem Finanzmarkt, geschlossen wird.Footnote 102 Der Informationsaustausch gemäß Art. 45 DORA darf nur innerhalb vertrauenswürdiger Gemeinschaften erfolgen, über deren Beitritt die jeweiligen Unternehmen die zuständigen Behörden zu informieren haben.Footnote 103 Mit der Beitrittserklärung der Finanzunternehmen liegt eine Willensbekundung zur Zusammenarbeit und somit auch eine koordinierte Zusammenarbeit in Form einer Vereinigung vor.

Die Horizontal-LL sind explizit auch auf einen Informationsaustausch im Rahmen von Regulierungsinitiativen anwendbar.Footnote 104 Durch Art. 45 DORA werden Unternehmen gesetzlich dazu angehalten, Informationen mit anderen Unternehmen – auf freiwilliger Basis – auszutauschen. Mithin liegt damit eine Regulierungsinitiative vor, bei der die Horizontal-LL anzuwenden sind.

Sofern eine koordinierte Zusammenarbeit zwischen (potenziell) im Wettbewerb stehenden Unternehmen vorliegt, ist im nächsten Schritt zu prüfen, ob eine spürbare Wettbewerbsbeschränkung bezweckt oder bewirkt werden könnte. Der Begriff der „bezweckten“ Wettbewerbsbeschränkung ist eng auszulegen,Footnote 105 liegt eine solche jedoch vor, so sind ihre Auswirkungen auf den Markt nicht mehr zu prüfen.Footnote 106 Eine Wettbewerbsbeschränkung wird bezweckt, wenn die Vereinbarung den Wettbewerb nach ihrem Inhalt, den mit ihr verfolgten Zielen und den wirtschaftlichen und rechtlichen Rahmenbedingungen für sich genommen so hinreichend beeinträchtigt, dass davon ausgegangen werden kann, dass die Prüfung ihrer Wirkung nicht notwendig ist.Footnote 107 Die Absicht der Parteien oder konkrete Preisabsprachen zwischen Unternehmen sind keine unbedingt notwendigen Indizien für das Vorliegen einer bezweckten Wettbewerbsbeschränkung.Footnote 108 Das Vorliegen wurde von der Rechtsprechung nach einer Einzelfallprüfung beispielsweise auch bejaht, wenn Prognosen über die aktuelle und künftige Nachfrage zwischen Wettbewerbern ausgetauscht wurden.Footnote 109 Bei Vorliegen einer bezweckten Wettbewerbsbeschränkung ist eine Prüfung der (Mindest‑)Spürbarkeit nicht notwendig,Footnote 110 eine Rechtfertigung gemäß Art. 101 Abs. 3 AEUV ist i. d. R. abzulehnen und die koordinierte Zusammenarbeit somit verboten.Footnote 111

Eine Wettbewerbsbeschränkung wird bewirkt, wenn die horizontale Vereinbarung „eine tatsächliche oder wahrscheinliche spürbare negative Auswirkung auf mindestens einen Wettbewerbsparameter des Marktes (z. B. Preis, Produktionsmenge, Produktqualität, Produktvielfalt oder Innovation) hat.“Footnote 112 Zur Feststellung einer bewirkten Wettbewerbsbeschränkung ist ein einzelfallbezogener Vergleich der in Frage stehenden Wettbewerbssituation mit der hypothetischen Situation, dass die Vereinbarung nicht existieren würde, notwendig.Footnote 113 Dabei sind in einer Gesamtabwägung verschiedene Faktoren – wie beispielsweise die Marktstruktur, die Aktualität der Informationen oder die Häufigkeit des Informationsaustausches – einzubeziehen.Footnote 114 Teilweise sind bei dieser Prüfung bereits wettbewerbsfördernde positive Auswirkungen zu berücksichtigen.Footnote 115 Allerdings sind mögliche Effizienzgewinne erst im Rahmen der Prüfung gemäß Art. 101 Abs. 3 AEUV zu untersuchen.Footnote 116

Greift das Verbot gemäß Art. 101 Abs. 1 AEUV und ist keine Rechtfertigung gemäß Art. 101 Abs. 3 anwendbar, darf der Informationsaustausch nicht stattfinden. Damit ein Informationsaustausch über Cyberbedrohungen nicht als eine verbotene Wettbewerbsbeschränkung eingestuft wird, sollten Finanzunternehmen im Zweifel überlegen, ob der wirtschaftlich sensible Charakter der Informationen verringert werden kann, beispielsweise durch die Aggregation von Informationen.Footnote 117 Auch die Beschränkung des Austauschs auf historische Informationen wird empfohlen,Footnote 118 für den Austausch über aktuelle und zukünftige Cyberbedrohungen ist dies allerdings nur begrenzt zielführend. Es sollte eine Selbstverständlichkeit sein, dass nur das ausgetauscht wird, was zur Erreichung des Ziels der gesteigerten digitalen operationalen Resilienz des Finanzsektors notwendig und angemessen ist.Footnote 119 Der europäische Gesetzgeber hat eine Abbildung (Abb. 2) zur Verfügung gestellt, mit denen Unternehmen selbst prüfen können, ob ihr geplanter Informationsaustausch verboten sein könnte bzw. wie sie einen möglichen wettbewerbsbeschränkenden Charakter der Zusammenarbeit vermindern können.Footnote 120

Abb. 2
figure 2

Schritte der Selbstprüfung beim Informationsaustausch. (Modifiziert entnommen aus Rn. 343 Horizontal-LL)

Full size image

Anhand der Satzung des CSSA kann beispielhaft verdeutlicht werden, wie wettbewerbsrechtlichen Bedenken gegenüber einer Zusammenarbeit Rechnung getragen werden sollte. Gemäß § 4 Abs. 3 der Vereinssatzung ist der Austausch von Informationen über aktuelle Marktdaten wie Preise, Rabatte, Margen und Absatzmengen sowie Kostenbestandteile, Kunden- und Lieferantenbeziehungen, Kapazitäten und Auslastungen untersagt. Ebenso ist es verboten, sich über geplante Investitionen oder Vorhaben im Bereich Forschung und Entwicklung sowie über geplante Produkteinführungen und Informationen zur Organisationsstruktur, sofern letzteres kostenrelevant ist, auszutauschen. Die Aktivitäten des Vereins sollen so ausgestaltet werden, dass sich die Mitglieder nicht in ihrem Marktverhalten beeinflussen und den Wettbewerb verfälschen. Dies gilt insbesondere, wenn die an den Aktivitäten teilnehmenden Vereinsmitglieder im Wettbewerb zueinander stehen.Footnote 121

6 Praxisbeispiel – European Cloud User Coalition (ECUC)

Die European Cloud User Coalition (ECUC) ist ein bereits bestehendes Beispiel für einen Zusammenschluss, der als Blaupause für vertrauenswürdige Gemeinschaften i. S. d. Art. 45 DORA dienen könnte. Dieser Zusammenschluss, bestehend aus derzeit 28 regulierten europäischen Finanzunternehmen, wurde im Januar 2021 gegründet. Zu den Mitgliedern der ECUC gehören unter anderem die Commerzbank AG, die Deutsche Kreditbank AG, die Landesbank Saar und die Deutsche Börse AG.Footnote 122

Das Ziel des Zusammenschlusses ist es, durch einen horizontalen Austausch der Mitglieder untereinander sowie einen vertikalen Austausch mit Cloud Service ProvidernFootnote 123 (CSPs) die Einhaltung regulatorischer Vorgaben zur Nutzung von Public Cloud-LösungenFootnote 124 in europäischen Finanzunternehmen zu fördern. Die Finanzunternehmen möchten dazu gemeinsame technische Standards und prozessuale bzw. vertragliche Lösungen entwickeln.Footnote 125 Die Finanzunternehmen als Cloud-Nutzer sollen sich auf ein Level Playing FieldFootnote 126 einigen, das heißt auf einheitliche Anforderungen für die Nutzung der Public Cloud-Technologie. Dadurch sollen Verhandlungen mit CSPs effizienter und schneller zu einem Abschluss gelangen.Footnote 127 Die Bestrebungen der Finanzunternehmen, vereinheitlichte Anforderungen durchzusetzen, sollen insbesondere globale CSPs dazu bewegen, die strengen europäischen regulatorischen Anforderungen und Datenschutzstandards zu erfüllen. Dies soll die Vielfalt an Cloud-Angeboten erhöhen, wodurch den Finanzinstituten mehr Wahlmöglichkeiten und eine größere Unabhängigkeit von einzelnen CSPs geboten werden könnte.Footnote 128

Die ECUC gibt an, dass ein neues Mitglied vor seinem Beitritt eine Vereinbarung mit festgelegten Rechten und Pflichten unterzeichnen muss. Der Schutz des geistigen Eigentums der Mitglieder und der Datenschutz seien dabei zu gewährleisten.Footnote 129 Die ECUC verhandelt allerdings keine konkreten Verträge oder Preisausgestaltungen mit CSPs. Der Hauptzweck der Vereinigung liegt vielmehr im informativen Austausch über den Einsatz und die Ausgestaltung von Public Cloud-Lösungen in der Finanzbranche,Footnote 130 wozu auch Fragestellungen mit Bezug zur Informationssicherheit und zu Cyberbedrohungen gehören.Footnote 131 Die organisatorische Struktur der ECUC kann daher grundsätzlich als ein Beispiel für die Ausgestaltung einer vertrauenswürdigen Gemeinschaft i. S. d. Art. 45 Abs. 1 Buchst. b DORA angesehen werden. Dies gilt ebenso für den CSSA, dessen Satzung – wie oben bereits gezeigt – wettbewerbsrechtlichen und datenschutzrechtlichen Bedenken Rechnung trägt. Inhaltlich handelt es sich bei der ECUC um eine Interessenvertretung und der Fokus des Austauschs liegt nicht auf dem Thema Cyberbedrohungen.Footnote 132

7 Praxisbeispiel – TIBER-DE Community

Alle unter den Anwendungsbereich des DORA fallenden Finanzunternehmen müssen über ein umfassendes Testprogramm ihrer digitalen operationalen Resilienz verfügen, um etwaige Schwächen und Mängel dieser schnell erkennen und beheben zu können.Footnote 133 So sind bspw. regelmäßig Penetrationstests und Schwachstellenscans durchzuführen.Footnote 134 Darüber hinaus müssen große und durch die Aufsichtsbehörden hierzu verpflichtete Finanzunternehmen mindestens alle drei Jahre erweiterte Tests auf Basis von TLPT durchführen.Footnote 135 Unter TLPT (engl. threat-led penetration testing) versteht man gemäß Art. 3 Nr. 17 DORA ein Rahmenwerk, dass die TTPs realer Angreifer nachahmt und einen kontrollierten, maßgeschneiderten, erkenntnisgestützten (Red-Team‑)Test der kritischen Live-Produktionssysteme des Finanzunternehmens ermöglicht.

Bedrohungsgeleitete Penetrationstests können große deutsche Finanzunternehmen heute schon in Zusammenarbeit mit der Deutschen Bundesbank freiwillig durchführen. Das Programm wird als TIBER-DE (engl. Threat Intelligence-Based Ethical Red Teaming) bezeichnet.Footnote 136 TIBER-Tests basieren auf Informationen über bisherige Angriffe (threat Intelligence-Based), was noch einmal verdeutlich wie wichtig ein Austausch solcher Informationen ist.

Die Deutsche Bundesbank hat außerdem die sogenannte TIBER-DE-Community ins Leben gerufen. In dieser können sich Finanzunternehmen über ihre abgeschlossenen, gerade laufenden oder bevorstehenden TIBER-Tests austauschen und so wichtige Erfahrungen teilen. Bei regelmäßigen Treffen stellen die Unternehmen beispielsweise ihre simulierten Angriffsszenarien und ihre Testergebnisse vor. Die Deutsche Bundesbank hofft, dass sich die Mitglieder der TIBER-DE-Community dauerhaft vernetzen und sich auch bei anderen Fragen der Cybersicherheit gegenseitig unterstützen.Footnote 137

8 Fazit

Art. 45 DORA erlaubt einen (grenzüberschreitenden) Informationsaustausch über Cyberbedrohungen zwischen Finanzunternehmen in der Europäischen Union.Footnote 138 Er erleichtert durch einige Vorgaben dessen Einrichtung und klärt so bisher bestehende Unsicherheiten auf. Durch den Informationsaustausch soll das Bewusstsein für Cyberbedrohungen bzw. IKT-Risiken gestärkt werden. Die Erkenntnisse des Austauschs sollen dazu beitragen, die momentan sehr hohe Bedrohungslage zu entschärfen und die Abwehrkapazitäten der Finanzunternehmen zu steigern.Footnote 139

Der Austausch von Informationen muss innerhalb vertrauenswürdiger Gemeinschaften erfolgen.Footnote 140 Zudem sind die Vorgaben weiterer europäischer Regelungsbereiche einzuhalten, darunter insbesondere das Recht zum Schutz von Geschäftsgeheimnissen, das Datenschutzrecht und das Wettbewerbsrecht.Footnote 141 Für letzteres gilt, dass auch beim Informationsaustausch im Rahmen von Regulierungsinitiativen Art. 101 AEUV anwendbar ist. Finanzunternehmen sollten den Umfang des Informationsaustauschs daher auf das beschränken, was erforderlich ist, und müssen Vorsichtsmaßnahmen ergreifen, falls sensible Geschäftsinformationen ausgetauscht werden sollen.Footnote 142

Neben dem freiwilligen Austausch untereinander regelt der DORA weiterhin den Austausch von Finanzunternehmen mit den für sie zuständigen Behörden sowie den behördenübergreifenden Austausch.Footnote 143 Die Europäischen Aufsichtsbehörden (ESA)Footnote 144 können außerdem – unter anderem in Zusammenarbeit mit der Europäischen Zentralbank (EZB), dem Europäischen Ausschuss für Systemrisiken (ESRB) und der Agentur der Europäischen Union für Cybersicherheit (ENISA) – „Mechanismen für den Austausch wirksamer Verfahren zwischen Finanzsektoren einrichten, um die Lageerfassung zu verbessern und sektorübergreifend gemeinsame Cyberanfälligkeiten und -risiken zu ermitteln.“Footnote 145 Sie können zudem (sektorübergreifende) Krisenmanagement- und Notfallübungen initiieren.Footnote 146

Der Austausch von Informationen über Cyberbedrohungen ist von entscheidender Bedeutung, um Cyberangriffe abzuwehren und effektiv zu bekämpfen.Footnote 147 Finanzunternehmen sollten den Informationsaustausch, dem Art. 45 DORA nun einen gesetzlichen Rahmen gibt, weiter ausbauen – dies gilt insbesondere auf der bisher noch vernachlässigten europäischen Ebene. „Cyber-Sicherheit ist eine so große Herausforderung, dass die Unternehmen gemeinsam Verantwortung übernehmen müssen.“Footnote 148