Seit dem 17. Januar 2025 gilt DORA (Digital Operational Resilience Act) verbindlich für alle regulierten Finanzinstitute in der EU, also auch für jede Bank, bei der du täglich Finanzierungen einreichst. Das Gesetz verpflichtet sie, ihre digitalen Prozesse, IT-Abhängigkeiten und die Risiken aus externen Tools und Dienstleistern systematisch zu dokumentieren und zu steuern.
Eine DORA-Prüfung bekommst du selbst nicht. Du bist aber Teil der Prozesskette, und das wirst du im Alltag zunehmend merken. Deine Bankpartner erwarten mehr Prozessstabilität, mehr Nachvollziehbarkeit und schnellere Auskünfte.
Das Wichtigste in Kürze
- DORA gilt seit 17.01.2025 verbindlich für alle regulierten Finanzinstitute in der EU. Banken müssen ICT-Risiken, Drittparteien-Abhängigkeiten und Ausfälle systematisch dokumentieren (EU-Verordnung 2022/2554).
- Medienbrüche und fehlende Systemintegration verlängern Bearbeitungszeiten, und auf diese Schwachstellen werden Banken unter DORA-Druck stärker achten.
- Für Vermittler stellen sich drei Fragen: Ist euer Prozess stabil, wenn ein Tool ausfällt? Sind Zuständigkeiten klar nachvollziehbar? Lässt sich der Vorgangsstatus schnell und ohne Rückfrage ermitteln?
Was DORA für Banken bedeutet – und warum das dich als Vermittler betrifft
Für Banken ist DORA ein neuer Dauerstandard und kein einmaliges Compliance-Projekt. Laut EU-Verordnung 2022/2554 müssen ICT-Risiken laufend gemanagt, Ausfälle gemeldet und Drittparteien-Abhängigkeiten offengelegt werden. Ab Januar 2026 startet außerdem das DORA-Oversight-Framework für kritische ICT-Drittanbieter, also für Cloud-Anbieter, Softwarehäuser und Dienstleister, die für Banken systemrelevant sind. Banken werden deshalb genauer hinsehen, mit wem sie zusammenarbeiten und wie stabil diese Partner arbeiten.
In Einreichungen, Kooperationsgesprächen und der täglichen Arbeit mit Banksachbearbeitern gewinnen drei Fragen an Gewicht:
- Läuft euer Prozess stabil, auch wenn ein Tool ausfällt?
- Sind Zuständigkeiten und Datenflüsse klar nachvollziehbar?
- Kann man den Status eines Vorgangs schnell und ohne Rückfrage ermitteln?
Kannst du sie nicht beantworten, merkst du das an mehr Rückfragen, langsameren Einreichungen und weniger belastbaren Kooperationen.
Der typische Vermittler-Stack: historisch gewachsen, strukturell angreifbar
Die meisten Büros arbeiten mit einem Setup, das über Jahre gewachsen ist: CRM, E-Mail, Messenger, eine Dateiablage, mehrere Bankportale, ein Kalender. Daran ist zunächst nichts falsch. Schwierig wird es bei den Übergaben zwischen diesen Tools, die nirgends dokumentiert sind. Medienbrüche, manuelle Prüfschritte und fehlende Systemintegration verlängern die Durchlaufzeit eines Vorgangs, und auf solche Muster werden Banken unter DORA-Druck stärker achten.
Im Alltag führt das immer wieder zu denselben Problemen:
- Dokumente liegen in mehreren Versionen vor – welche ist final und bank-ready?
- Zuständigkeiten sind mündlich geregelt – bis jemand im Urlaub ist oder das Büro wächst.
- Fällt ein Tool aus, stoppt der Prozess genau dort, wo das Tool saß.
- Statusfragen landen beim Berater, weil der Vorgang selbst keinen aktuellen Status trägt.
Mit DORA werden diese Schwächen teurer, weil Banken und ihre Partner mehr Wert auf Stabilität, Nachvollziehbarkeit und klare Prozesse legen.
Drei konkrete Risiken, die du aktiv angehen solltest
Die drei häufigsten strukturellen Risiken im Vermittler-Stack sind nicht neu. DORA macht sie für Bankpartner aber sichtbarer und damit für dich relevanter. Die BaFin nennt in ihrer Orientierungshilfe zu IKT-Risiken beim Einsatz von KI (Dezember 2025) eine hohe Datenqualität als wesentliche Voraussetzung für den Einsatz von KI in Finanzunternehmen. Sinngemäß gilt das auch für die Prozessinfrastruktur von Vermittlern als Teil der Prozesskette, etwa für eine nachvollziehbare Datenhaltung.
1. Konzentrationsrisiko: alles hängt an einem Tool
Laufen Kommunikation, Dokumente und Vorgangsdaten über denselben Kanal und fällt dieser Kanal aus, steht dein Büro still. DORA spricht Konzentrationsrisiken ausdrücklich im Zusammenhang mit Cloud-Dienstleistern und IT-Drittparteien an. Für deinen eigenen Stack gilt dieselbe Logik. Ein Single Point of Failure ist ein operatives Risiko für den ganzen Prozess, auch wenn er technisch harmlos aussieht.
2. Fehlende Nachvollziehbarkeit: wer hat wann was gesendet?
Ein Banksachbearbeiter fragt, welche Unterlagen zu welchem Zeitpunkt vorlagen. Kannst du das in drei Minuten beantworten, oder durchsuchst du dafür E-Mail-Threads, Messenger-Verläufe und eine Dateiablage gleichzeitig? Unter DORA-Druck werden Banken zunehmend Partner mit strukturierten, schnell abrufbaren Prozessen bevorzugen. Wer das liefern kann, hat in der Zusammenarbeit einen konkreten Vorteil.
3. Keine Exit-Strategie für Tools und Daten
Verlierst du Vorgangsdaten, wenn du ein Tool wechselst? Müssen Kunden ihre Unterlagen dann neu einreichen? Aufseher stellen Banken diese Frage zur Drittparteien-Abhängigkeit, und indirekt betrifft sie zunehmend auch die Partner im Einreichungsprozess. Ohne Antwort trägst du ein strukturelles Risiko, das mit wachsendem Volumen teurer wird.
Fünf pragmatische Schritte für einen DORA-resilienten Prozess
Ein Compliance-Handbuch brauchst du dafür nicht. Fünf klare Entscheidungen reichen, um die wesentlichen Risiken anzugehen und deinen Prozess nachvollziehbarer zu machen, ohne zusätzlichen Overhead.
Schritt 1: Tool-Landkarte erstellen
Schreib alle Tools auf, die Kundendaten oder Vorgänge berühren, und ordne sie in vier Kategorien. Das sind das System of Record (wo liegt der offizielle, aktuelle Stand eines Vorgangs?), Kommunikation (E-Mail, Messenger, Telefon), Dokumente und Signatur sowie Spezial-Workflows wie Terminbuchung, Marketing oder Reporting. Die wichtigste Regel: Pro Vorgang, pro Dokument und pro Status gibt es genau eine gültige Quelle. Jede zweite Quelle führt zu Versionschaos.
Schritt 2: Status lebt im Vorgang, nicht im Kopf
Am meisten Stabilität bringt die Entscheidung, wo Status, Aufgaben und Dokumente zentral geführt werden. Ein neues Tool ist dafür zweitrangig. Ist diese Frage geklärt, kannst du Tools austauschen, ohne dass der Prozess zusammenbricht. Kein Vorgang ohne aktuellen Status, kein Dokument ohne Zustand (fehlt / da / geprüft / bank-ready) und keine offene Aufgabe, die nur im Kopf des Beraters existiert.
Schritt 3: Für jedes Tool Owner, Zweck und Exit definieren
Zu jedem Tool in deinem Stack brauchst du drei Antworten. Wer ist verantwortlich, wenn etwas schiefgeht? Wofür nutzen wir es, und wofür nicht? Wie kommen wir heraus, wenn wir das Tool wechseln oder es wegfällt? Die Fragen klingen einfach. In den meisten Betrieben stellt sie trotzdem niemand, bis ein Tool ausfällt oder ein Mitarbeiter das Büro verlassen hat.
Schritt 4: Einen einfachen Plan für den Ausfall definieren
Eine IT-Abteilung ist dafür nicht nötig. Es reicht eine klare Routine für den Fall, dass ein Tool nicht erreichbar ist. Wer ist verantwortlich? Wie arbeiten wir in der Zwischenzeit weiter? Was halten wir am Vorgang fest, damit nichts verloren geht? Der Plan passt auf eine Seite. Er muss aber schriftlich vorliegen, damit ihn im Ernstfall niemand erst erfinden muss.
Schritt 5: Eine einzige Kennzahl für Resilienz
Miss, wie lange es dauert, bis dein Büro nach einem Tool-Ausfall wieder vollständig arbeitsfähig ist. Diese Zahl zu kennen und zu verbessern, ist greifbarer Fortschritt. Kannst du sie benennen, bist du Betrieben voraus, die Prozessresilienz noch nicht messen.
Wie HYPOFY einen DORA-resilienten Prozess im Alltag abbildet
Ob ein Tool-Stack fragil oder stabil ist, hängt davon ab, ob Status, Aufgaben und Dokumente zentral geführt werden oder über mehrere Kanäle verstreut sind. In HYPOFY läuft beides zusammen. Der Vorgang ist die Single Source of Truth, mit Dokumentenstatus, Aufgabenlogik, Kunden-App-Zugang und klaren Verantwortlichkeiten je Phase.
Für deine Prozessresilienz heißt das:
- Kunden liefern Unterlagen geführt über die Kunden-App, und kein Dokument geht in einem E-Mail-Thread unter.
- Vorgänge haben jederzeit einen klaren Dokumentenstatus (fehlt, da, geprüft, bank-ready), sichtbar intern und für den Kunden.
- Zuträger sind sauber am Vorgang zugeordnet und mit Status geführt, ohne Pingpong zwischen Tools.
- Phasenwechsel erzeugen automatisch Aufgaben mit Owner und Deadline. Den Stand liefert das System, du musst ihn nicht von Hand recherchieren.
Eine DORA-Compliance-Lösung ist das nicht. Es ist aber ein stabiler, nachvollziehbarer Prozess, wie ihn Banken 2026 indirekt bevorzugen werden, und er entlastet deinen Alltag ohnehin. HYPOFY ist dabei als unabhängiger Technologiepartner ohne Poolinteressen oder eigenes Vermittlungsgeschäft gebaut. Kundendaten werden nicht für Eigenvertrieb genutzt.
Wenn du sehen willst, wie HYPOFY Prozesslogik und Integrationen als Plattform denkt: HYPOFY Plattform Preise und Setup-Optionen passend zu Teamgröße und Volumen: HYPOFY Preise
Fazit: DORA ist kein Extra-Thema, sondern ein Stresstest für deinen Prozess
Der 20.11.2026 ist ein Stichtag für §34k GewO. Das DORA-Oversight-Framework greift ab Januar 2026. Beide Entwicklungen zeigen in dieselbe Richtung: Banken werden Partner bevorzugen, deren Prozesse stabil und nachvollziehbar sind und nicht an einzelnen Tools hängen. Strukturierst du das früh, erwartet dich kein Compliance-Berg. Du bekommst einen ruhigeren Prozess, weniger Rückfragen und eine messbar bessere Einreichungsqualität.
Häufig gestellte Fragen
Was bedeutet DORA 2026 konkret für Baufinanzierungsvermittler im Alltag?
DORA gilt seit 17.01.2025 und zwingt Banken zu strengerem ICT-Drittparteien-Risikomanagement. Für dich heißt das indirekt: mehr Fragen zu Tool-Sicherheit, Ausfallschutz, Datenflüssen und Verantwortlichkeiten. Verteilst du Vorgänge und Dokumente über viele Tools, wird die Nachweisführung aufwendig. Mit einem klaren System-Setup (Single Source of Truth, Rollen, Logs) kannst du jederzeit Auskunft geben, auch bei Prüfungen.
Welche ersten Schritte machen meinen Tool-Stack „DORA-resilient“, ohne den Vertrieb zu bremsen?
Fang mit einer Tool-Landkarte an: Welche Systeme berühren Kundendaten, Dokumente, Kommunikation und Bankprozesse? Lege dann pro Tool Owner, Zweck, Datenfluss, Berechtigungen und Exit-Plan fest. Dazu kommen Mindeststandards wie Incident-Kontakt, Backup/Recovery-Nachweis, SLA und Audit-Rechte. Ein jährliches Review (oder eines beim Tool-Wechsel) hält das aktuell. So sinkt das Ausfallrisiko, und der Vertrieb läuft weiter wie gewohnt.
Warum hilft ein System-CRM bei Outsourcing-/Cloud-Fragen der Banken?
Ein System-CRM bündelt Vorgang, Dokumente, Status und Aufgaben in einer Quelle. Fragen, die durch DORA aufkommen (Datenflüsse, Verantwortlichkeiten, Wiederanlauf, Protokolle), beantwortest du dadurch schneller, weil nichts in E-Mail-Threads oder Schattenlisten hängt. Außerdem lassen sich klare Rollen und Nachvollziehbarkeit festlegen. Du pflegst weniger doppelt, siehst mehr, und die Prozesse halten auch bei höherem Lead-Volumen.
