Kaum eine Branche ist so stark reguliert wie der Finanzsektor. Dafür steht auch der Digital Operational Resilience Act – kurz: DORA – zur Stärkung der Resilienz von Finanzunternehmen. Ein weit verbreiteter Blind Spot ist jedoch das Datenbank-Monitoring, obwohl es das Fundament dafür bildet, der Verordnung und den darin festgelegten Regulierungen gerecht zu werden.

Seit Januar 2025 verlangt DORA von Finanzunternehmen in der EU, Änderungen an IKT-Systemen kontrolliert und kontinuierlich aufzuzeichnen, zu testen, zu genehmigen, zu implementieren und zu verifizieren. Trotzdem erhält die Datenbankebene bei vielen Instituten deutlich weniger Aufmerksamkeit als Netzwerke, Cloud-Infrastruktur oder Anwendungssoftware. Manche Institute fallen bei einem DORA-Audit nicht wegen eines Sicherheitsvorfalls durch, sondern weil sie nicht nachweisen können, wie ihre Datenbanken verwaltet werden, was teure, ungeplante Sanierungsprogramme nach sich zieht. Ohne Visibilität lässt sich keine belastbare Governance herstellen, und ohne Governance keine wirksame Kontrolle. Datenbank-Monitoring ist damit nicht nur ein operatives Werkzeug, sondern die Grundvoraussetzung dafür, DORA-Anforderungen zu erfüllen, Bußgelder zu vermeiden und die Resilienz schrittweise zu steigern.

Visibilität: Was man nicht sieht, kann man nicht überwachen.

Voraussetzung für erfolgreiches Monitoring ist allerdings zunächst eine vollständige, abteilungsübergreifende Übersicht über den eigenen Datenbankbestand, egal ob er sich on premises oder in der Cloud befindet. Es ist unabdingbar, dass Unternehmen beispielsweise wissen, welche SQL-Server-Instanzen sie überhaupt betreiben. Zudem ist eine belastbare Baseline dafür zu evaluieren, welcher Zustand als »normal« einzustufen ist. Dynamic Management Views, Extended Events und Query Store liefern auf T-SQL-Ebene detaillierte Informationen zu Abfragen, Wartezeiten und Ressourcenverbrauch. Ergänzt um Perfmon- und WMI-Daten für CPU-, I/O- sowie Speicherauslastung entsteht ein Bild davon, welches Verhalten für einen bestimmten Server typisch ist. Erst dadurch können Unternehmen Abweichungen via Monitoring erkennen und Benchmarks für Datenbanken definieren. Diese Fähigkeit, anomale Aktivität in IKT-Systemen zu identifizieren, fordert DORA in Artikel 10 ausdrücklich.

Governance: Von Sichtbarkeit zu Nachweisbarkeit.

DORA verlangt zudem in Artikel 9 Absatz 4 (e) Belege dafür, wer was wann und warum geändert hat, ob es getestet und von wem es genehmigt wurde. Eine reine Dokumentation genügt nicht, denn für Auditoren zählt nur, was sich bei einer Prüfung auch beweisen lässt. Ein einfacher Selbsttest besteht darin, sich anzuschauen, ob das Datenbankteam auf Anfrage kurzfristig zeigen kann, welche wesentlichen Änderungen an den Datenbanken kürzlich stattgefunden haben, wer sie genehmigt hat, wo sie ausgerollt wurden und wie das Testing aussah. Muss das Team diese Evidenz erst manuell rekonstruieren, ist die Kontrolle nicht zuverlässig, sondern nachträgliche Detektivarbeit. Durch Monitoring, das diese Daten kontinuierlich und automatisiert erfasst, entsteht diese Evidenz direkt während des Betriebs und nicht erst, wenn ein Audit ansteht. Darüber hinaus müssen Unternehmen aber auch eine Dokumentation pflegen, in der Stakeholder für alle Datenbanken, deren jeweilige Konfiguration und Zugriffsrechte auf sensible Daten festzuhalten sind. Das liefert die Grundlage, auf der die in Artikel 5 des DORA verlangte Verantwortlichkeit des Managements für IKT-Risiken überhaupt operationalisiert werden kann.

Datenbank-Monitoring ist eine Grundvoraussetzung für Finanzunternehmen, die DORA-Vorschriften zu erfüllen.

Kontrolle: Vom Alarm zur schnellen Reaktion.

Der dritte Schritt auf dem Weg zur DORA-Konformität dreht sich um die Kon-trolle. Sichtbarkeit und Nachweisbarkeit stellen das Fundament dar, doch auch im Echtzeitbetrieb selbst müssen Finanzunternehmen den DORA dringend beachten. Die folgenden drei Monitoring-Disziplinen helfen, der Verordnung gerecht zu werden:

Die Fehlererkennung:
Deadlocks, blockierende Prozesse und lang laufende Queries zählen zu den häufigsten Ursachen für Performance-Probleme und können Datenbanken im schlimmsten Fall vollständig zum Stillstand bringen. SQL-Agent-Alarme, per DBMail oder über andere Kanäle wie Slack oder SMS geroutet und für Wartungsfenster gezielt unterdrückt, sorgen dafür, dass Ereignisse nicht in einer Flut aus Benachrichtigungen untergehen. Wer solche Ereignisse frühzeitig erkennt, adressiert genau die technischen Schwachstellen, deren Vermeidung Artikel 9 Absatz 3 fordert, und liefert zugleich die Anomalieerkennung aus Artikel 10.
Die vorausschauende Kapazitätsplanung:
Speicherplatzmangel ist ein klassischer Auslöser ungeplanter Ausfälle. Finanzunternehmen, die Dateiwachstumsraten monitoren, können leicht vorhersehen, wann eine Partition voll läuft. So müssen sie keine Daten löschen, sondern können prädiktiv agieren und im Zweifel mehr Speicher zur Verfügung stellen – mit den richtigen Tools geht das sogar vollautomatisch und KI-getrieben. Das trägt direkt zur Erfüllung von Artikel 24 Absatz 1 des DORA bei, der von Finanzunternehmen verlangt, Schwächen und Lücken in der operativen Resilienz zu identifizieren.
Die Erkennung von Standardabweichungen:
Unautorisierte oder undokumentierte Änderungen, die außerhalb des formalen Freigabeprozesses vorgenommen werden, sind genau die Lücke, die Artikel 9 Absatz 4 (e) schließen soll. Monitoring, das eine Datenbank kontinuierlich mit ihrem erwarteten Zustand vergleicht, macht solche Abweichungen sichtbar und untersuchbar, statt sie erst bei der nächsten Störung zu entdecken.

Alle drei Disziplinen zusammen liefern die Datenbasis, ohne die Wiederherstellungspläne nach Artikel 11 reine Theorie bleiben: Nur wer weiß, wie ein System sich im Normalzustand verhält und wie schnell Probleme erkannt werden, kann realistische Wiederherstellungszeiten definieren und im Ernstfall auch einhalten.

Doppelnutzen statt Kostenstelle.

Der Fehler in vielen Business Cases ist, Datenbank-Monitoring als reine Compliance-Ausgabe zu behandeln. Tatsächlich liefert dieselbe Investition aber zwei Vorteile: weniger ungeplante Vorfälle und geringeren Aufwand bei der nächsten Prüfung. Visibilität, Governance und Kontrolle sind in diesem Zusammenhang allerdings keine drei getrennten Projekte, sondern aufeinander aufbauende Strategieteile, für die Datenbank-Monitoring die Datengrundlage bildet.

Oliver Stein,
Geschäftsführer DACH
bei Redgate

Illustration: © Siarhei Yurchanka | Dreamstime.com

1872 Artikel zu „Governance Finanz“

Business | Favoriten der Redaktion | Geschäftsprozesse | IT-Security | Künstliche Intelligenz | News | Services | Tipps

KI-Risiken im Griff: Warum Governance über Haftung und Versicherbarkeit entscheidet

17. Oktober 2026

Wer haftet, wenn KI einen Fehler macht? Bitkom-Leitfaden zeigt, wie Unternehmen KI-Risiken erkennen, steuern und absichern können [1]. Mit der wachsenden Autonomie künstlicher Intelligenz steigen nicht nur Effizienzpotenziale, sondern auch Haftungs-, Sicherheits- und Reputationsrisiken. Ein aktueller Bitkom-Leitfaden zeigt, wie Unternehmen KI-Schäden systematisch bewerten, Kontrollmechanismen etablieren und Versicherungslücken erkennen können. Für Entscheider wird damit klar:…