ISO 27001 für FinTechs: Sicherheit auf Banken-Niveau

Zwischen dem 9. und 30. März 2026 haben Finanzunternehmen ihr DORA-Informationsregister an die BaFin gemeldet: eine vollständige Aufstellung aller Verträge mit IKT-Dienstleistern, Stichtag 31. Dezember des Vorjahres, bei kritischen oder wichtigen Funktionen bis hinunter zu den Unterauftragnehmern. Wer Software an Banken, Versicherer oder Zahlungsdienstleister verkauft, steht damit namentlich in einem Register, das die Aufsicht liest.

Warum ist ISO 27001 für FinTechs zur Geschäftsgrundlage geworden?

Weil die Regulierung des Kunden auf den Anbieter durchschlägt. Die EU-Verordnung DORA gilt seit dem 17. Januar 2025 und verlangt von Finanzunternehmen, ihre IKT-Drittparteien nachweisbar zu steuern, vertraglich zu binden und der Aufsicht offenzulegen. Das Institut haftet für die Auslagerung, also prüft es den Anbieter.

Wie ernst die Aufsicht das nimmt, zeigt die nächste Stufe. Am 19. November 2025 haben die europäischen Aufsichtsbehörden erstmals kritische IKT-Drittdienstleister benannt, 19 Anbieter darunter AWS, Google Cloud, Microsoft, Oracle, SAP und die Deutsche Telekom. Sie unterliegen jetzt direkter europäischer Aufsicht mit Risikoanalysen, Berichtspflichten und Vor-Ort-Prüfungen, die operative Überwachung startet 2026. Drittparteirisiko ist damit kein Vertragsthema mehr, sondern ein beaufsichtigtes.

Parallel ist ISO 27001 der Nachweis, auf den sich alle berufen. Die ISO-Survey zählt weltweit 96.709 gültige Zertifikate, rund eine Verdopplung gegenüber dem Vorjahr. Seit dem 31. Oktober 2025 gilt allein die Fassung von 2022.

Wer prüft ISO 27001 für FinTechs, und mit welchem Hebel?

Formal prüft die Bank, nicht die Aufsicht. Faktisch prüft die Bank mit dem Maßstab, den ihr die Aufsicht vorgibt. Aus DORA folgen konkrete Vertragsinhalte für Auslagerungen: Zugriffs-, Prüf- und Auditrechte, Regelungen zu Unterauftragnehmern, Vorgaben zu Meldewegen und Wiederherstellungszeiten sowie Ausstiegsstrategien. Wer diese Punkte nicht beantworten kann, wird kein Dienstleister eines regulierten Instituts.

Der Hebel ist damit unmittelbar wirtschaftlich, und er wirkt in beide Richtungen. Ein FinTech muss nicht nur eigene Nachweise liefern, sondern auch Auskunft über seine eigene Kette geben, weil die Angaben im Informationsregister des Kunden landen. Ein anerkanntes Zertifikat verkürzt diesen Teil der Prüfung erheblich, weil es die Fragen einmal und geprüft beantwortet, statt in jedem Vertragsanhang neu.

Welche Risiken adressiert ISO 27001 für FinTechs konkret?

Die Daten sind das Ziel. Konto-, Zahlungs- und Identitätsdaten sind unmittelbar monetarisierbar, weshalb Angreifer den kürzesten Weg dorthin suchen. Der Verizon Data Breach Investigations Report 2025 nennt Zugangsdatenmissbrauch mit 22 Prozent und ausgenutzte Schwachstellen mit 20 Prozent als führende Einstiegsvektoren, letztere mit einem Anstieg von 34 Prozent. An 30 Prozent der Datenpannen war ein Dritter beteiligt, doppelt so viele wie im Jahr davor.

Die Bitkom-Studie „Wirtschaftsschutz 2025“ ordnet den Schaden ein: 289,2 Milliarden Euro, 87 Prozent der Unternehmen betroffen, 59 Prozent sehen ihre Geschäftsexistenz bedroht. Für ein FinTech kommt eine zweite Dimension hinzu: Ein Ausfall ist nicht nur ein technisches Problem, sondern eine Störung im Zahlungsverkehr des Kunden, mit Meldewegen und Fristen. Der Annex A der Fassung 2022 stellt 93 Maßnahmen bereit, aus denen risikobasiert ausgewählt wird, mit Schwerpunkt auf privilegierten Zugriffen, Verschlüsselung, Protokollierung und Betriebskontinuität.

Was leistet ISO 27001 für FinTechs zusätzlich für DORA und SOC 2?

Ein Fundament, mehrere Nachweise. Risikomanagement, Zugriffskontrolle, Lieferantensteuerung, Vorfallbehandlung und Betriebskontinuität verlangt jeder dieser Rahmen. Wer sie einmal ordentlich aufbaut, kann daraus die DORA-Anforderungen seiner Kunden bedienen, ein SOC-2-Testat für das US-Geschäft aufsetzen und die Anforderungen an Zahlungsdaten strukturiert abbilden, statt drei Projekte parallel zu fahren.

Dass der Aufwand marktüblich ist, zeigt die Budgetseite: Unternehmen stecken laut Bitkom inzwischen 18 Prozent ihres IT-Budgets in Sicherheit, gegenüber 9 Prozent im Jahr 2022.

Wie lange dauert ISO 27001 für FinTechs bis zum Zertifikat?

Je nach Reife sind drei bis sechs Monate bis zum Audit realistisch. FinTechs starten technisch selten bei null, weil Verschlüsselung, Zugriffskontrolle und Protokollierung im Produkt bereits stecken. Was fehlt, ist meist die belegbare Struktur: dokumentierte Prozesse, benannte Verantwortlichkeiten, Wirksamkeitsnachweise.

Das externe Audit läuft in zwei Stufen, Dokumentenprüfung und Wirksamkeitsprüfung, danach folgt das Zertifikat mit drei Jahren Gültigkeit und jährlichen Überwachungsaudits. Der wirksamste Hebel bleibt der Geltungsbereich, der die Plattform und die Systeme umfassen sollte, auf die sich die Institute verlassen.

Was steht im Whitepaper?

• Warum wer Banken beliefert deren Regulierung erbt und was daraus für Verträge und Auditrechte folgt
• Fünf Eigenheiten von FinTechs, die die Zertifizierung erschweren, von der regulatorischen Latte bis zur Konzentration bei eigenen Drittanbietern
• Fünf Risikoszenarien aus der Praxis, jeweils mit den passenden Maßnahmen aus dem Annex A
• Was die Norm konkret verlangt, von Kontext und Geltungsbereich bis zu Bewertung und Verbesserung
• Eine Roadmap in sechs Schritten mit realistischer Zeitschätzung bis zum Zertifikat
• Wie ein Fundament ISO 27001, DORA und SOC 2 zugleich trägt, mit einem Praxisbeispiel

Das Whitepaper richtet sich an Geschäftsführungen, CTOs, CISOs sowie Compliance- und Auslagerungsverantwortliche in FinTechs und bei Anbietern von Finanzsoftware. Laden Sie es kostenfrei herunter.