Wo Konzentration entsteht
Konzentration ist selten das Ergebnis einer Entscheidung. Sie wächst, weil ein bewährter Anbieter weitere Aufgaben übernimmt, weil eine Plattform sich als praktisch erweist oder weil Konsolidierung Kosten spart. Jeder einzelne Schritt ist begründbar; das Ergebnis wird trotzdem selten bewertet.
| Dimension | Typische Ausprägung |
|---|---|
| Anbieter | ein Dienstleister trägt mehrere kritische Funktionen |
| Technologie | eine Plattform, ein Produkt oder ein Protokoll unter vielen Prozessen |
| Standort | Rechenzentrum, Betriebsstätte oder Region als gemeinsamer Ausfallpunkt |
| Personen | Wissen über ein kritisches System liegt bei einer einzigen Person |
| Kette | verschiedene Dienstleister nutzen denselben Vorlieferanten |
| Kunden und Märkte | wirtschaftliche Abhängigkeit von wenigen Abnehmern |
Die versteckte Form
Am schwersten zu erkennen ist die Konzentration eine Ebene tiefer. Drei formal unabhängige Dienstleister können auf derselben Infrastruktur, demselben Rechenzentrum oder demselben Netzbetreiber aufsetzen. Eine Zwei-Anbieter-Strategie, die auf einem gemeinsamen Vorlieferanten ruht, erzeugt Kosten, aber keine Unabhängigkeit.
Deshalb gehören Unterauftragnehmer und deren Standorte in die Bestandsaufnahme. Ohne diese Angaben lässt sich Konzentration nicht beurteilen, sondern nur vermuten.
Messen statt schätzen
Brauchbare Ausgangsgrößen sind: Anzahl und Bedeutung der kritischen Funktionen je Anbieter, Substituierbarkeit der Leistung am Markt, geschätzte Umstellungsdauer, Anteil der Datenbestände bei einem Anbieter sowie die Frage, ob es überhaupt eine getestete Alternative gibt. Aus diesen Größen entsteht eine Rangfolge, die Diskussionen erdet, auch wenn sie auf Schätzungen beruht.
Der entscheidende Kennwert ist meist nicht der Marktanteil des Anbieters, sondern die Zeit, die eine Ablösung tatsächlich benötigen würde.
Was die Finanzaufsicht daraus macht
Im Finanzsektor ist das Thema reguliert. DORA, die Verordnung (EU) 2022/2554 über die digitale operationale Resilienz im Finanzsektor, behandelt das Konzentrationsrisiko bei Dienstleistern der Informations- und Kommunikationstechnik (IKT) als eigenen Betrachtungsgegenstand innerhalb des Drittparteienrisikos. Zusätzlich richtet die Verordnung in Kapitel V, Abschnitt II (Artikel 31 bis 44) einen Überwachungsrahmen für kritische IKT-Drittdienstleister ein: Anbieter, deren Ausfall den Finanzsektor als Ganzes treffen würde, werden auf europäischer Ebene überwacht. Die europäischen Aufsichtsbehörden haben im November 2025 eine erste Liste solcher Anbieter veröffentlicht.
Der Gedanke dahinter ist übertragbar: Konzentration ist auch dann ein Risiko, wenn jedes einzelne Unternehmen sie für sich beherrschbar hält.
Was hilft
- Mehrere Anbieter dort, wo die Leistung austauschbar ist – aber nur, wenn die Unabhängigkeit bis in die Vorlieferanten reicht.
- Portabilität als Anforderung in Auswahl und Vertrag: offene Formate, dokumentierte Schnittstellen, Datenherausgabe.
- Vorbereitete Exit-Strategien für die Anbieter mit dem größten Gewicht.
- Getrennte Standorte und Übertragungswege bei Infrastruktur.
- Vertretungsregelungen und Dokumentation gegen personelle Konzentration.
Konzentration ist nicht immer ein Fehler
Ein einziger, sehr guter Anbieter kann sicherer sein als vier mittelmäßige, und Mehr-Anbieter-Strategien erzeugen eigene Risiken: mehr Schnittstellen, mehr Zugänge, uneinheitliche Sicherheitsniveaus. Die Anforderung lautet daher nicht, Konzentration zu vermeiden, sondern sie zu kennen, zu bewerten und die Entscheidung mit einem benannten Risikoeigentümer bewusst zu treffen.