DORA verändert den Blick auf den Fernzugriff
Mit dem Digital Operational Resilience Act (DORA) hat die Europäische Union einen verbindlichen Rahmen geschaffen, um die digitale Widerstandsfähigkeit des Finanzsektors nachhaltig zu stärken. Banken, Versicherungen, Zahlungsdienstleister und deren ICT-Dienstleister müssen künftig nachweisen, dass ihre IT-Systeme auch unter außergewöhnlichen Bedingungen sicher, verfügbar und kontrollierbar bleiben.
Dabei geht es längst nicht mehr ausschließlich um Firewalls oder Virenschutz. DORA betrachtet die gesamte digitale Infrastruktur und stellt insbesondere den sicheren Zugriff auf kritische Systeme in den Mittelpunkt. Jeder Administrator, jeder externe Dienstleister und jeder Wartungstechniker, der auf produktive Systeme zugreift, wird Teil der Sicherheitsstrategie eines Unternehmens.
Viele Organisationen verlassen sich dabei noch immer auf klassische VPN-Lösungen. Diese haben über viele Jahre zuverlässig funktioniert, wurden jedoch für eine IT-Welt entwickelt, in der Netzwerke klar voneinander getrennt waren und Vertrauen innerhalb des Unternehmens als selbstverständlich galt. Heute sehen die Anforderungen grundlegend anders aus.
DORA fordert Kontrolle statt Netzwerkzugriff
Eine der wichtigsten Botschaften von DORA lautet: Unternehmen müssen jederzeit nachvollziehen können, wer auf welche Systeme zugreift, warum dieser Zugriff erfolgt und wie sich Risiken wirksam begrenzen lassen.
Genau hier geraten klassische VPN-Konzepte zunehmend an ihre Grenzen. Ein VPN verbindet nicht nur einen Benutzer mit einer einzelnen Anwendung, sondern erweitert in vielen Fällen das Unternehmensnetzwerk bis auf das Endgerät des Mitarbeiters oder externen Dienstleisters. Selbst wenn Berechtigungen eingeschränkt werden, entsteht häufig ein deutlich größerer Netzwerkzugriff als für die eigentliche Aufgabe erforderlich wäre.
Damit widerspricht dieses Konzept zunehmend dem Prinzip der minimalen Berechtigung und einer modernen Zero-Trust-Architektur. DORA verlangt dagegen eine Infrastruktur, bei der Zugriffe gezielt begrenzt, eindeutig nachvollziehbar und kontinuierlich kontrolliert werden können.
Zero Trust wird zur neuen Grundlage moderner Zugriffsarchitekturen
Zero Trust bedeutet nicht, jedem Benutzer grundsätzlich zu misstrauen. Vielmehr wird jede Verbindung unabhängig vom Standort oder Netzwerk immer wieder überprüft und ausschließlich für genau den Zweck freigegeben, der tatsächlich erforderlich ist.
Genau an dieser Stelle setzt Kyvion Secure Access an.
Anstatt einen Benutzer in das Unternehmensnetzwerk einzubinden, stellt Kyvion ausschließlich den Zugriff auf die freigegebene Ressource bereit. Der Anwender öffnet lediglich seinen Browser und erhält Zugriff auf den vorgesehenen Windows-Server, Linux-Server, SSH-System oder die freigegebene Webanwendung. Das Unternehmensnetzwerk selbst bleibt vollständig verborgen.
Dadurch reduziert sich die Angriffsfläche erheblich. Es müssen keine zusätzlichen Netzwerksegmente freigegeben werden, keine VPN-Clients installiert und keine eingehenden Firewall-Ports geöffnet werden. Der Zugriff erfolgt gezielt, nachvollziehbar und ausschließlich auf die Ressourcen, die zuvor ausdrücklich freigegeben wurden.
Externe Dienstleister werden zum Sicherheitsrisiko – wenn der Zugriff falsch umgesetzt wird
DORA legt einen besonderen Schwerpunkt auf Drittanbieter und externe ICT-Dienstleister. Unternehmen bleiben auch dann verantwortlich, wenn Wartungsarbeiten, Administration oder Softwarepflege von externen Partnern durchgeführt werden.
Gerade hier zeigt sich häufig ein Schwachpunkt klassischer Fernzugriffslösungen. Externe Administratoren erhalten oftmals weitreichende VPN-Zugänge, obwohl sie lediglich einen einzelnen Server oder eine bestimmte Anwendung warten müssen. Jede zusätzliche Netzwerkberechtigung erhöht jedoch das Risiko einer Kompromittierung oder einer lateralen Bewegung innerhalb der Infrastruktur.
Kyvion Secure Access verfolgt einen deutlich restriktiveren Ansatz. Externe Dienstleister erhalten ausschließlich Zugriff auf die freigegebene Ressource. Das interne Netzwerk bleibt unsichtbar, zusätzliche Systeme sind weder erreichbar noch sichtbar. Dadurch lassen sich Wartungsarbeiten sicher durchführen, ohne die gesamte Infrastruktur unnötigen Risiken auszusetzen.
Kritische Infrastrukturen benötigen einen besonderen Schutz
Besonders sensible Bereiche wie Active Directory, Zertifizierungsstellen, Backup-Systeme oder andere Tier-0-Infrastrukturen stehen im Fokus jeder Sicherheitsstrategie. Ein erfolgreicher Angriff auf diese Systeme kann den gesamten Geschäftsbetrieb gefährden.
Für genau solche Umgebungen bietet der Reverse Agent von Kyvion Secure Access einen entscheidenden Vorteil. Der Agent wird innerhalb des geschützten Netzwerks installiert und baut ausschließlich eine ausgehende Verbindung zum Kyvion Secure Access Gateway auf. Eingehende Firewall-Freigaben oder geöffnete Ports sind nicht erforderlich.
Dieses Architekturprinzip reduziert die Angriffsfläche erheblich und unterstützt Unternehmen dabei, besonders kritische Systeme konsequent von externen Angriffsmöglichkeiten abzuschirmen.
Nachvollziehbarkeit wird zur Pflicht
Ein weiterer Schwerpunkt von DORA ist die lückenlose Dokumentation sicherheitsrelevanter Aktivitäten. Unternehmen müssen in der Lage sein, Zugriffe auf kritische Systeme nachvollziehbar zu dokumentieren und bei Bedarf auszuwerten.
Kyvion Secure Access unterstützt dieses Ziel durch eine zentrale Sitzungsverwaltung mit Protokollierung der Zugriffe. Administratoren erkennen, welcher Benutzer wann auf welches Zielsystem zugegriffen hat und wie lange die Sitzung aktiv war. In Kombination mit rollenbasierten Berechtigungen, Microsoft Entra ID, Active Directory, SAML oder einer Multi-Faktor-Authentifizierung entsteht eine moderne Zugriffsplattform, die Transparenz und Sicherheit miteinander verbindet.
DORA ist keine neue Firewall – sondern eine neue Denkweise
Der größte Irrtum besteht darin, DORA als weiteres Compliance-Projekt zu betrachten. Tatsächlich beschreibt die Verordnung einen grundlegenden Wandel im Umgang mit digitalen Risiken.
Nicht mehr das Netzwerk steht im Mittelpunkt, sondern die Identität des Benutzers, der kontrollierte Zugriff auf einzelne Ressourcen und die Fähigkeit, auch in Krisensituationen sicher weiterarbeiten zu können. Unternehmen, die ihre Fernzugriffsstrategie bereits heute an diesen Grundsätzen ausrichten, schaffen nicht nur eine bessere Ausgangsbasis für regulatorische Anforderungen, sondern erhöhen gleichzeitig ihre Widerstandsfähigkeit gegenüber Cyberangriffen.
Kyvion Secure Access ersetzt dabei keine DORA-Compliance-Lösung. Die Plattform unterstützt Unternehmen jedoch bei der Umsetzung zahlreicher technischer Anforderungen, die DORA an einen sicheren, nachvollziehbaren und resilienten Fernzugriff stellt. Gerade für Banken, Versicherungen, Finanzdienstleister und deren IT-Partner entsteht dadurch eine moderne Alternative zu klassischen VPN-Konzepten, die Sicherheit, Benutzerfreundlichkeit und Zero-Trust-Prinzipien miteinander verbindet.
Fazit
DORA macht deutlich, dass klassischer Fernzugriff neu gedacht werden muss. Wer heute noch auf weitreichende VPN-Verbindungen setzt, erhöht häufig unnötig die Angriffsfläche seiner IT-Infrastruktur. Moderne Sicherheitskonzepte beschränken sich dagegen auf den tatsächlich benötigten Zugriff, dokumentieren sämtliche Aktivitäten und reduzieren Risiken konsequent nach dem Prinzip der geringsten Berechtigung.
Mit Kyvion Secure Access steht Unternehmen eine browserbasierte Zero-Trust-Lösung zur Verfügung, die zentrale technische Anforderungen moderner DORA-Strategien unterstützt – ohne offene Firewall-Ports, ohne klassische VPN-Clients und ohne unnötige Netzwerkfreigaben.
