DORA Art. 28–29 · Methode und Vergleichswerte

IKT-Konzentrationsrisiko nach DORA messen

Kurz gesagt

IKT-Konzentrationsrisiko entsteht, wenn mehrere IKT-Dienste, von denen Sie abhängen, auf demselben Anbieter laufen oder auf Anbietern, die schwer ersetzbar sind. Zur Messung bilden Sie jeden IKT-Drittdienst aus Ihrem Informationsregister auf die Infrastruktur ab, auf der er tatsächlich läuft (Hosting, CDN, DNS, Land), berechnen je Ebene den Herfindahl-Hirschman-Index (HHI), wiederholen das für die Dienste, die kritische oder wichtige Funktionen unterstützen, und markieren die Anbieter, die die Europäischen Aufsichtsbehörden als kritisch benannt haben (CTPPs). Ein HHI über 2.500 in einer Ebene heißt: Ein oder zwei Anbieter tragen den Großteil Ihrer Dienstleister.

Was DORA verlangt

Art. 28 Abs. 3: Informationsregister

Finanzunternehmen führen ein Register aller vertraglichen Vereinbarungen über IKT-Dienstleistungen mit Drittanbietern, auf Einzel-, teilkonsolidierter und konsolidierter Ebene.

Art. 29 Abs. 1: Konzentrationsprüfung vor Vertragsschluss

Vor einem Vertrag über IKT-Dienstleistungen, die kritische oder wichtige Funktionen unterstützen, prüft das Unternehmen, ob er zu einem nicht leicht ersetzbaren Anbieter führt oder zu mehreren Vereinbarungen mit demselben oder eng verbundenen Anbietern.

Art. 29 Abs. 2: Unterauslagerungsketten

Ist Unterauslagerung möglich, wägt das Unternehmen Nutzen und Risiken der Kette ab, auch bei Anbietern mit Sitz in einem Drittland.

Art. 28 Abs. 8: Exit-Strategien

Für Dienste, die kritische oder wichtige Funktionen unterstützen, sind Exit-Strategien zu dokumentieren und auf Plausibilität zu testen.

Die Methode in fünf Schritten

Dienste auflisten
Nehmen Sie jeden IKT-Drittdienst aus Ihrem Informationsregister, mit Markierung der Dienste für kritische oder wichtige Funktionen. Für die Messung genügen Domains.
Jeden Dienst auf seine Infrastruktur abbilden
Lösen Sie die öffentlichen Endpunkte auf und erfassen Sie Hosting-Anbieter und Region, CDN, DNS-Betreiber und Auslieferungsland aus DNS-, Routing- (ASN) und Zertifikatsdaten. Bewahren Sie den Rohbeleg je Zeile auf.
HHI je Ebene berechnen
Je Ebene den Anteil jedes Anbieters an Ihren Diensten (in Prozent) quadrieren und die Quadrate addieren. Das Ergebnis reicht von nahe 0 (zersplittert) bis 10.000 (ein Anbieter trägt alles).
Für kritische Dienste wiederholen
Konzentration unter den wenigen Diensten hinter kritischen oder wichtigen Funktionen wiegt schwerer als im Gesamtbestand. Denselben Index für diese Teilmenge berechnen und Anbieter auflisten, die zwei oder mehr kritische Dienste tragen.
CTPPs, Rechtsraum und Beleg markieren
Anbieter auf der ESA-Liste kritischer IKT-Drittdienstleister (18. November 2025) kennzeichnen, Drittland-Bezug vermerken und jede Zeile als bestätigt (öffentliche Quelle), technisches Indiz oder Annahme einstufen.

Rechenbeispiel

Zehn Dienstleister: sechs laufen auf AWS, zwei auf Microsoft Azure, zwei auf Google Cloud. Anteile 60 %, 20 %, 20 %. HHI = 60² + 20² + 20² = 3.600 + 400 + 400 = 4.400: hoch. Unterstützen drei der sechs AWS-Dienstleister kritische Funktionen, ist AWS für diese Funktionen ein Single Point of Failure, obwohl jeder Dienstleistervertrag für sich unabhängig aussieht.

So lesen Sie den Index

unter 1.500niedrig

1.500 – 2.500mittel

über 2.500hoch

Bänder wie in den US Horizontal Merger Guidelines 2010, die unsere Berichte verwenden. Die Merger Guidelines 2023 nennen Märkte über 1.800 hoch konzentriert. DORA schreibt keinen Index vor; der HHI ist ein nachvollziehbarer Weg, die Prüfung nach Art. 29 zu belegen.

Vergleichswerte: was wir gemessen haben

221 IKT-Dienste der Art, wie sie im Drittparteienbestand eines Finanzunternehmens vorkommen (Zahlungsverkehr und Fintech, Identität und Sicherheit, Unternehmenssoftware, Produktivität und Zusammenarbeit, Kommunikations-APIs), kartiert vom 27. Oktober 2026 bis 1. November 2026. Aggregierte Werte; kein Dienst und kein Institut wird genannt.

Ebene	Beobachtbar	HHI	Bewertung	Größte Anteile
Hosting-Anbieter	122 / 221	3 163	hoch	Amazon Web Services 54 % · Google Cloud 11 % · Microsoft Azure 10 %
CDN	137 / 221	3 133	hoch	Cloudflare 47 % · Amazon CloudFront 23 % · Akamai 17 % · Fastly 7 %
DNS-Betreiber	221 / 221	1 775	mittel	AWS Route 53 37 % · Cloudflare 18 % · Google Cloud DNS 6 % · Akamai Edge DNS 5 %
Auslieferungsland	121 / 221	6 540	hoch	US 80 % · AT 9 % · DE 5 %

Was die Zahlen zeigen

46 % der Dienste hängen in mindestens einer Ebene von Amazon Web Services ab (Hosting, CloudFront oder Route 53); 67 % von AWS oder Cloudflare.
75 % der Dienste mit beobachtbarem Hosting laufen auf AWS, Google Cloud oder Microsoft Azure, allesamt Konzerne auf der CTPP-Liste der ESAs.
Cloudflare trägt 47 % der beobachtbaren CDN-Nutzung, steht aber nicht auf der CTPP-Liste vom 18. November 2025: ein Konzentrationspunkt außerhalb der EU-Überwachung, den eine Prüfung Dienstleister für Dienstleister nicht zeigt.
80 % der beobachtbaren Endpunkte werden aus den USA ausgeliefert; das zählt für die Drittland-Abwägung nach Art. 29 Abs. 2.

Bei vielen Diensten verdeckt ein CDN das Hosting; die Hosting-Anteile beschreiben daher den beobachtbaren Teil. DNS mit mehreren Betreibern zählt als eigene Kombination, der DNS-Index ist also eine Untergrenze. Nur öffentliche Infrastruktur: Verträge und nicht offengelegte Unterauslagerungen sind von außen nicht sichtbar.

Ihr eigenes Register messen

Kostenloser Lieferanten-Scan →

Bis zu 300 Dienstleister-Domains einfügen und die Konzentration je Ebene in Minuten sehen.

Musterbericht →

So sieht der vollständige Bericht aus (fiktive Bank). Für Ihre eigene Liste $50.

Institutspaket →

Wir bereiten die Liste aus Ihrem Register-Export auf, messen nach 30 und 90 Tagen erneut und liefern die Prüferunterlage. Ab 1.500 USD.

Fragen

Was ist IKT-Konzentrationsrisiko nach DORA?

DORA definiert es als Exponierung gegenüber einzelnen oder mehreren verbundenen kritischen IKT-Drittdienstleistern, die einen Grad an Abhängigkeit schafft, sodass deren Nichtverfügbarkeit oder Ausfall die Erbringung kritischer oder wichtiger Funktionen gefährden oder andere nachteilige Auswirkungen, einschließlich hoher Verluste, verursachen könnte (Art. 3 Nr. 29 der Verordnung (EU) 2022/2554).

Ab welchem HHI gilt eine Ebene als konzentriert?

Übliche Bänder: unter 1.500 niedrig, 1.500 bis 2.500 mittel, über 2.500 hoch (US Horizontal Merger Guidelines 2010); die Merger Guidelines 2023 setzen die Schwelle für hoch konzentriert bei 1.800. DORA nennt keinen Zahlenwert.

Reicht ein Fragebogen an die Dienstleister?

Fragebögen erfassen, was Dienstleister angeben. Konzentration sitzt oft eine Ebene unter dem Vertrag: mehrere Dienstleister auf derselben Cloud, demselben CDN oder DNS-Betreiber. Die Außenmessung zeigt diese gemeinsame Ebene mit datiertem Beleg je Zeile; Vertragsdaten ersetzt sie nicht.

Muss ich auch nicht-kritische Dienstleister messen?

Art. 29 zielt auf Dienste für kritische oder wichtige Funktionen, das Informationsregister umfasst aber alle IKT-Vereinbarungen. Beides zu messen zeigt, ob ein Anbieter, der viele kleine Dienstleister trägt, auch einen kritischen trägt.

Wie oft sollte man messen?

Das Register wird jährlich zum Stichtag 31. Dezember gemeldet. Dienstleister wechseln unterjährig ihr Hosting; eine Wiederholungsmessung vor dem Stichtag und nach größeren Dienstleisterwechseln hält die Bewertung aktuell.