Was ist ein Konzentrationsrisiko?
Ein Konzentrationsrisiko liegt vor, wenn ein einzelner Dienstleister, eine Technologie, ein Standort oder eine Person so viele Prozesse trägt, dass ein Ausfall sie gemeinsam trifft. Art. 3 Nr. 29 der Verordnung (EU) 2022/2554 (DORA) definiert das IKT-Konzentrationsrisiko als „Exposition gegenüber einzelnen oder mehreren verbundenen kritischen IKT-Drittdienstleistern, die zu einer gewissen Abhängigkeit von diesen Dienstleistern führt, sodass die Nichtverfügbarkeit, der Ausfall oder sonstige Defizite dieser Dienstleister die Fähigkeit eines Finanzunternehmens gefährden könnten, kritische oder wichtige Funktionen zu erfüllen …“.
Das Konzentrationsrisiko ist damit ein Teil des IKT-Drittparteienrisikos, reicht aber über Dienstleister hinaus: Auch ein Standort oder eine einzelne Fachkraft kann zum gemeinsamen Ausfallpunkt werden. Wie solche Ausfallpunkte im Notfallmanagement abgesichert werden, beschreibt der BCM-Leitfaden.
DORA und MaRisk regeln Konzentration unter zwei Begriffen
Im Finanzsektor stehen zwei Begriffe nebeneinander, die unterschiedliche Pflichten auslösen:
| Begriff | Fundstelle | Gegenstand | Steuerung |
|---|---|---|---|
| IKT-Konzentrationsrisiko | Art. 3 Nr. 29, Art. 29 DORA | Abhängigkeit von kritischen IKT-Drittdienstleistern | vorläufige Bewertung vor Vertragsschluss, Abwägung von Alternativen |
| Risikokonzentration | MaRisk (Rundschreiben 06/2026 (BA)), AT 2.2 Tz. 1 und AT 4.3.2 Tz. 1 | Risikopositionen gegenüber Einzeladressen und Gleichlauf von Risikopositionen innerhalb einer Risikoart oder über Risikoarten hinweg | identifizieren, beurteilen, wirksam begrenzen und überwachen, etwa über Limit- oder Ampelsysteme |
Die MaRisk unterscheiden dabei Intra- und Inter-Risikokonzentrationen und verlangen, Risikokonzentrationen bei allen wesentlichen Risiken zu berücksichtigen. Dazu gehören auch die operationellen Risiken, zu denen die IKT-Risiken zählen.
Wo entstehen Konzentrationsrisiken?
Konzentrationsrisiken entstehen in fünf Dimensionen; sichtbar werden sie erst, wenn die Abhängigkeiten an einer Stelle zusammengeführt sind:
| Dimension | Beispiel |
|---|---|
| Anbieter | ein Dienstleister trägt mehrere kritische Funktionen |
| Technologie | eine Plattform oder ein Produkt liegt unter vielen Prozessen |
| Standort | ein Rechenzentrum oder eine Region ist gemeinsamer Ausfallpunkt |
| Person | das Wissen über ein kritisches System liegt bei einer einzigen Fachkraft |
| Kette | verschiedene Dienstleister nutzen denselben Vorlieferanten |
Verdeckte Konzentration sitzt beim Vorlieferanten
Die verdeckte Konzentration liegt eine Ebene tiefer: Drei formal unabhängige Dienstleister können auf derselben Infrastruktur, demselben Rechenzentrum oder demselben Netzbetreiber aufsetzen. Eine Zwei-Anbieter-Strategie auf einem gemeinsamen Vorlieferanten erzeugt Kosten, aber keine Unabhängigkeit.
Unterauftragnehmer und ihre Standorte gehören deshalb in die Bestandsaufnahme. Wie redundante Zonen bei einem einzigen Cloud-Anbieter technische Redundanz, aber keine Unabhängigkeit schaffen, untersucht der Beitrag Konzentrationsrisiko in der Cloud.
Was verlangt Art. 29 DORA?
Art. 29 DORA verlangt von Finanzunternehmen eine vorläufige Bewertung des IKT-Konzentrationsrisikos, bevor sie einen Vertrag über IKT-Dienstleistungen zur Unterstützung kritischer oder wichtiger Funktionen schließen. Verankert ist sie in der Risikobewertung vor Vertragsschluss nach Art. 28 Abs. 4 Buchst. c. Zu prüfen ist:
- ob der Vertrag zu einem IKT-Drittdienstleister führt, der nicht ohne Weiteres ersetzbar ist (Art. 29 Abs. 1 Buchst. a);
- ob mehrere solcher Verträge mit demselben oder eng verbundenen Dienstleistern bestehen würden (Buchst. b);
- welche Vorteile und Risiken eine Unterauftragsvergabe hat, besonders bei Unterauftragnehmern in einem Drittland, und ob lange oder komplexe Ketten die Überwachung beeinträchtigen (Abs. 2);
- welche Grenzen das Insolvenzrecht des Dienstleisters und die dringende Wiederherstellung der eigenen Daten setzen (Abs. 2).
Nutzen und Kosten alternativer Lösungen, etwa verschiedener Dienstleister, sind dabei abzuwägen. Obergrenzen setzt DORA bewusst nicht: Erwägungsgrund 67 hält starre Obergrenzen oder strenge Beschränkungen für ungeeignet, weil sie die Geschäftstätigkeit und die Vertragsfreiheit beeinträchtigen können.
Auf Sektorebene richtet Kapitel V Abschnitt II (Art. 31 bis 44) einen Überwachungsrahmen für kritische IKT-Drittdienstleister ein. Die europäischen Aufsichtsbehörden haben im November 2025 eine erste Liste solcher Anbieter veröffentlicht. Wie Art. 29 in das übrige Drittparteienmanagement eingebettet ist, beschreibt der DORA-Leitfaden.
Ablösedauer und Ersetzbarkeit machen Konzentration messbar
Ein Konzentrationsrisiko lässt sich mit fünf Kennzahlen je Anbieter einordnen:
| Kennzahl | Frage dahinter |
|---|---|
| kritische oder wichtige Funktionen je Anbieter | Wie viele Funktionen fallen gemeinsam aus? |
| Ersetzbarkeit am Markt | Gibt es überhaupt einen anderen Anbieter? |
| Ablösedauer | Wie lange dauert eine Umstellung tatsächlich? |
| Anteil der Datenbestände | Welcher Teil der Daten liegt bei diesem Anbieter? |
| erprobte Alternative | Gibt es eine getestete Exit-Strategie? |
Die Ablösedauer zeigt mehr als der Marktanteil des Anbieters, wenn man sie mit der tolerierbaren Ausfallzeit aus der Business-Impact-Analyse vergleicht. Für Finanzunternehmen liefert das Informationsregister nach Art. 28 Abs. 3 DORA die Vertragsbasis, weil es Vereinbarungen für kritische oder wichtige Funktionen gesondert ausweist.
Welche Maßnahmen senken ein Konzentrationsrisiko?
Fünf Maßnahmen senken ein Konzentrationsrisiko:
- mehrere Anbieter, wo die Leistung austauschbar ist und die Unabhängigkeit bis zu den Vorlieferanten reicht;
- Portabilität als Anforderung in Auswahl und Vertrag: offene Formate, dokumentierte Schnittstellen, Datenherausgabe;
- vorbereitete Exit-Strategien für die Anbieter mit dem größten Gewicht;
- getrennte Standorte und Übertragungswege bei der Infrastruktur;
- Vertretungsregelungen und Dokumentation gegen personelle Konzentration.
Mehrere Anbieter bringen eigene Risiken: mehr Schnittstellen, mehr Zugänge, uneinheitliche Sicherheitsniveaus. Ein einzelner Anbieter kann deshalb die bessere Wahl sein, wenn ein benannter Risikoeigentümer die Konzentration kennt, bewertet und bewusst akzeptiert.
Wie Rizzqo Konzentrationen im Asset-Register abbildet
Rizzqo bildet Konzentrationsrisiken über das Asset-Register ab: Jeder Dienstleister ist ein unterstützendes Asset, verknüpft mit den Prozessen, Informationen und Diensten, die von ihm abhängen. Abhängigkeitsbeziehungen verbinden ihn mit seinen Vorlieferanten. Wie viele primäre Assets an einem Anbieter hängen, steht damit im Register. Das unterstützende Asset übernimmt die Vertraulichkeitseinstufung und das Merkmal für personenbezogene Daten der primären Assets, die es trägt.
Das Konzentrationsrisiko selbst bewertet der Risikoeigentümer mit Eintrittswahrscheinlichkeit in Prozent und Auswirkung in Euro über eine konfigurierbare Matrix. Maßnahmen wie eine Exit-Strategie laufen als Aufgaben; ihre geplante Risikominderung wird reserviert und bei Abschluss angerechnet.