Webentwicklung im BaFin-Umfeld: Was regulierte Unternehmen wirklich verlangen.

Warum es „BaFin-konforme Webentwicklung“ offiziell nicht gibt

Die BaFin zertifiziert keine Websites. Reguliert ist das Unternehmen - Bank, Krypto-Verwahrer, Leasinggesellschaft. Aber: Sobald deine Website Teil der Geschäftsprozesse wird (Anträge, Kundendaten, Dokumenten-Upload), fällt sie in dessen IT-Risikomanagement. Und das ist streng geregelt: MaRisk und BAIT geben den Rahmen vor, seit Januar 2025 gilt zusätzlich DORA - die EU-Verordnung zur digitalen Resilienz im Finanzsektor, die ausdrücklich auch IKT-Drittdienstleister in die Pflicht nimmt.

Übersetzt heißt das: Wenn ein reguliertes Unternehmen eine Agentur beauftragt, prüft es nicht nur das Design-Portfolio. Es prüft, ob der Dienstleister Sicherheits- und Betriebsanforderungen tragen kann, die sonst intern gelten würden. Genau diese Anforderungen sind planbar - wenn man sie kennt.

Was regulierte Kunden wirklich verlangen - 7 Bausteine aus der Praxis

1. Nachvollziehbarkeit: der Audit-Trail

Regulierte Unternehmen müssen Änderungen an Inhalten und Systemen nachvollziehen können. Deshalb planen wir Versionierung, Freigaben und prüfbare Änderungsverläufe von Anfang an mit. Welche Ereignisse wie erfasst werden, richtet sich nach Schutzbedarf und Governance des jeweiligen Kunden.

2. Zugriffskontrolle: 2FA ist Pflicht, nicht Kür

Administrative Zugänge brauchen starke Authentifizierung, rollenbasierte Rechte und einen Zugangsschutz passend zum Risiko. Die konkrete Absicherung wird mit dem Kunden abgestimmt und regelmäßig überprüft.

3. Kontrollierte Releases statt „mal eben live“

Inhalte und technische Änderungen durchlaufen definierte Prüf- und Freigabeschritte, bevor sie veröffentlicht werden. Entscheidend ist eine nachweisbare Trennung von Erstellen, Prüfen und Freigeben - nicht ein bestimmtes Werkzeug.

4. Verschlüsselung überall

Daten müssen während der Übertragung und Speicherung angemessen geschützt sein. Welche Maßnahmen erforderlich sind, ergibt sich aus Datenklasse, Bedrohungsmodell und regulatorischen Vorgaben und muss prüfbar dokumentiert werden.

5. Verfügbarkeit und Desaster-Szenarien

Verfügbarkeit braucht ein getestetes Notfall- und Wiederanlaufkonzept. Zielwerte, Redundanz und Aufbewahrung werden je nach Schutzbedarf festgelegt; entscheidend ist, dass Wiederherstellung nicht nur beschrieben, sondern regelmäßig nachgewiesen wird.

6. Least Privilege bis in die Infrastruktur

Zugriffe und Berechtigungen folgen dem Least-Privilege-Prinzip. Menschen und technische Dienste erhalten nur, was sie für ihre Aufgabe brauchen; administrative Wege werden begrenzt und nachvollziehbar kontrolliert.

7. Sensible Daten: so wenig wie möglich, so kurz wie möglich

Sensible Unterlagen gehören in den dafür vorgesehenen, kontrollierten Geschäftsprozess und sollten nicht unnötig in der Präsentationsschicht verbleiben. Wir planen Datenminimierung, Berechtigungen und Löschkonzept gemeinsam mit dem Kunden.

Datenschutz: Consent ist im Finanzumfeld Chefsache

Granulare Einwilligung, erst nach Zustimmung aktive optionale Skripte und ein jederzeitiger Widerruf gehören zur Basis. Ob dafür eine eigene oder eine etablierte Lösung sinnvoll ist, hängt von Rechtslage, Systemlandschaft und Betriebsmodell ab. Entscheidend sind eine überprüfbare Funktionsweise und vollständige Dokumentation.

Und ISO 27001?

Der Standard, nach dem Finanzunternehmen ihre Dienstleister am häufigsten fragen, ist ISO/IEC 27001 - das Managementsystem für Informationssicherheit. Eine Agentur muss nicht zwingend zertifiziert sein; sie muss aber zeigen können, dass ihre Prozesse den Kontrollen standhalten: Zugriffsmanagement, Änderungsprotokolle, Verschlüsselung, Notfallpläne. Die sieben Bausteine oben sind im Kern genau das - gelebte 27001-Kontrollen im Webprojekt.

Checkliste: Fragen an deine Agentur

• Wie werden CMS-Zugriffe abgesichert - gibt es 2FA und rollenbasierte Rechte?
• Wird jede Inhalts- und Systemänderung protokolliert? Mit Diff?
• Wie ist der Release-Prozess - gibt es eine erzwungene Preview-Freigabe?
• Was passiert bei Ausfall der Infrastruktur - gibt es ein getestetes Failover?
• Liegt die Infrastruktur als Code vor? Wer darf sie ändern?
• Wo landen personenbezogene Dokumente aus Formularen - und wo bewusst nicht?
• Ist der Dienstleister bereit, in eure DORA-Auslagerungsverträge einzutreten?

Häufige Fragen

Prüft die BaFin unsere Website?

Nicht die Website als solche - geprüft wird das Unternehmen und sein IT-Risikomanagement. Ist die Website Teil regulierter Prozesse, fließen ihre Sicherheit, ihr Betrieb und ihre Dienstleister in genau diese Prüfung ein.

Gilt DORA auch für unsere Web-Agentur?

Wenn die Agentur IKT-Dienstleistungen für ein Finanzunternehmen erbringt (Entwicklung, Hosting, Betrieb), wird sie Teil des DORA-Drittparteien-Risikomanagements - mit vertraglichen Pflichten zu Sicherheit, Meldewegen und Ausstiegsszenarien.

Brauchen wir zwingend AWS oder eine Multi-Region-Architektur?

Nein. Verlangt sind angemessene Verfügbarkeit und ein belastbares Notfallkonzept. Ob dafür Redundanz über mehrere Standorte nötig ist oder ein getestetes Backup- und Wiederanlaufkonzept genügt, entscheidet der Schutzbedarf des konkreten Systems.

Wie lange dauert so ein Projekt im Vergleich zu einem normalen Website-Projekt?

Das lässt sich nicht seriös pauschal beziffern. Der Aufwand hängt vor allem von Schutzbedarf, Nachweispflichten, vorhandenen Prozessen und Integrationen ab. Wer diese Anforderungen früh klärt, vermeidet teure Nacharbeiten und bekommt im Scoping eine belastbare Schätzung.