Schattenbanken tanzen weiter – DORA sieht nur die halbe Stadt

2008 fielen die Institute um wie Dominosteine. Deutschland pumpte über 70 Milliarden Euro in die Stabilisierung. Die Finanzlobby sorgte dafür, dass Reformen halbherzig blieben. Während Banken bravere Mäntel anzogen, wuchs die Schattenwirtschaft weiter. Im März 2020 stand das System wieder vor dem Abgrund – die Zentralbanken griffen tiefer in die Trickkiste als zwölf Jahre zuvor. Männer in Nadelstreifen erklärten uns derweil, warum der Gürtel enger muss.

DORA sollte Licht ins Dunkel bringen. Die EU-Verordnung 2022/2554 gilt seit dem 17. Januar 2025 unmittelbar in allen Mitgliedstaaten – ein einheitliches Niveau digitaler Resilienz. Erhebliche ICT-Vorfälle müssen der BaFin binnen vier Stunden gemeldet werden, Zwischenmeldung nach 24 Stunden, Abschlussbericht nach einem Monat. Strenge Fristen, sauber formuliert.

Nur: Was nützt die Meldepflicht, wenn die Risikoreichsten gar nicht im Adressatenverzeichnis stehen? Schattenbanken – Geldmarktfonds, Hedgefonds, Verbriefungen – entziehen sich systematisch der Regulierung. Sie fallen nicht unter KWG, nicht unter CRR. Und das Kunststück: Sie tun, was Banken tun.

DORA verlangt ein umfassendes ICT-Risikomanagement-Framework, kontinuierliche Überwachung, ein vollständiges Register aller IKT-Drittdienstleister, Threat-Led Penetration Testing. Doch die Umsetzung bleibt komplex – bei Registrierung und Bewertung der Drittdienstleister klaffen Lücken. All das gilt nur für die, die im Licht stehen. Für die im Schatten bleibt DORA ein frommer Wunsch.

Während die regulierten Häuser IT-Risiken katalogisieren und die NIS2-Umsetzung über Operational Technology grübelt – wobei Wissen und Maßnahmen zur OT-Absicherung fehlen –, tanzen Schattenbanken weiter. Unklar bleibt, ob die Register nur bekannte Adressen enthalten oder Schattenakteure längst über Strohmänner in den Lieferketten mitmischen.

Cui bono? Wem nützt ein Zaun, der nur den Vorgarten umzäunt, während der Hinterausgang sperrangelweit offen steht?

They call it shadow banking because it operates in the shadows. Neat metaphor. Neater than what it actually means: collecting money, granting loans, twisting risks – everything a bank does, only without oversight.

In 2008, the institutions toppled like dominoes. Germany pumped over 70 billion euros into stabilization. The financial lobby made sure the reforms remained half-hearted. While banks donned more respectable coats, the shadow economy kept growing. In March 2020, the system once again stood at the precipice – central banks reached deeper into their bag of tricks than they had twelve years earlier. Men in pinstripes, meanwhile, explained why the belt needed tightening.

DORA was meant to shed light into the darkness. EU Regulation 2022/2554 has applied directly in all member states since 17 January 2025 – a uniform level of digital resilience. Significant ICT incidents must be reported to BaFin within four hours, with an interim report after 24 hours and a final report after one month. Strict deadlines, neatly worded.

But: what use is a reporting obligation when the riskiest actors aren't even on the addressee list? Shadow banks – money market funds, hedge funds, securitizations – systematically evade regulation. They fall under neither the KWG nor the CRR. And the trick: they do what banks do.

DORA demands a comprehensive ICT risk management framework, continuous monitoring, a complete register of all ICT third-party providers, and threat-led penetration testing. Yet implementation remains complex – gaping holes persist in the registration and assessment of third-party providers. All of this applies only to those standing in the light. For those in the shadows, DORA remains a pious hope.

While the regulated houses catalogue IT risks and puzzle over NIS2 implementation when it comes to operational technology – where knowledge and measures for OT security are lacking – shadow banks keep dancing. It remains unclear whether the registers contain only known addresses or whether shadow players have long been mixing into supply chains through straw men.

Cui bono? What use is a fence that only encloses the front garden while the back door stands gaping wide open?