Ein Jahr CTPP-Liste: Wo die IKT-Dienste, auf die sich Banken verlassen, wirklich laufen
Zusammenfassung
Am 18. November 2025 haben die Europäischen Aufsichtsbehörden 19 kritische IKT-Drittdienstleister (CTPPs) nach DORA benannt. Wir haben gemessen, wo 221 IKT-Dienste, wie sie im Informationsregister eines Finanzunternehmens vorkommen, tatsächlich laufen (Hosting, CDN, DNS, Auslieferungsland), vom 27. Oktober 2026 bis 1. November 2026. Zwei Ergebnisse fallen auf. Erstens: Die Abhängigkeit bündelt sich eine Ebene unter dem Vertragspartner. 67 % der Dienste hängen in mindestens einer Ebene von AWS oder Cloudflare ab. Zweitens: Die Überwachung erfasst das Hosting, nicht aber die vorgelagerte Ebene. 75 % des beobachtbaren Hostings liegen bei CTPP-Hyperscalern, aber 71 % der beobachtbaren CDN-Nutzung laufen über Anbieter außerhalb der Liste.
Kennzahlen
der Dienste hängen in mindestens einer Ebene (Hosting, CDN oder DNS) von AWS oder Cloudflare ab.
148 / 221 · 95 %-KI 61–73 %hängen allein von Amazon Web Services in mindestens einer Ebene ab.
102 / 221 · 95 %-KI 40–53 %des beobachtbaren Hostings liegen bei AWS, Google Cloud oder Microsoft Azure, den drei Hyperscaler-Konzernen auf der CTPP-Liste.
91 / 122 · 95 %-KI 66–81 %der beobachtbaren CDN-Nutzung laufen über Anbieter, die nicht auf der CTPP-Liste stehen (Cloudflare, Akamai, Fastly).
97 / 137 · 95 %-KI 63–78 %der Dienste mit drei sichtbaren Ebenen beziehen Hosting, CDN und DNS vom selben Anbieterkonzern.
24 / 38 · 95 %-KI 47–77 %der beobachtbaren Endpunkte werden aus den USA ausgeliefert.
97 / 121 · 95 %-KI 72–86 %Einheit: ein IKT-Dienst. Prozentwerte beziehen sich auf Dienste, bei denen die Ebene beobachtbar ist; Intervalle sind 95 %-Wilson-Intervalle.
Was das für Art. 28 und 29 DORA bedeutet
Die CTPP-Überwachung verlagert keine Verantwortung
Nach Art. 28 Abs. 1 lit. a bleibt das Finanzunternehmen bei der Nutzung von IKT-Drittdiensten für seine Pflichten voll verantwortlich. Die Überwachung der CTPPs kommt beim Anbieter hinzu; die eigene Konzentrationsprüfung ersetzt sie nicht.
Konzentration liegt unter dem Vertrag
Art. 29 fragt, ob mehrere Vereinbarungen zu demselben oder eng verbundenen Anbietern führen. Verträge schließt man mit dem Dienstleister, die gemeinsame Abhängigkeit ist aber die Cloud, das CDN oder der DNS-Betreiber darunter. Eine Prüfung Dienstleister für Dienstleister zeigt das nicht.
Die vorgelagerte Ebene steht nicht auf der Liste
CDN- und DNS-Betreiber stehen vor den meisten Diensten. Sind sie keine CTPPs, bewertet nur das Institut selbst diese Abhängigkeit, einschließlich des Drittlandbezugs nach Art. 29 Abs. 2.
Methode im Detail: IKT-Konzentrationsrisiko nach DORA messen →
Ihr eigenes Register messen
Kostenloser Lieferanten-Scan →
Bis zu 300 Dienstleister-Domains einfügen und Konzentration je Ebene samt CTPP-Bezug in Minuten sehen.
Musterbericht →
Der vollständige Bericht für eine fiktive Bank. Für Ihre eigene Liste: $50.
Institutspaket →
Aus Ihrem Register-Export aufbereitet, nach 30 und 90 Tagen erneut gemessen, mit Prüferunterlage. Ab 1.500 USD.
Methode
- Stichprobe: 221 aktive Dienste aus fünf Katalogkategorien, die den typischen IKT-Drittparteienbestand eines Finanzunternehmens bilden: Zahlungsverkehr und Fintech, Identität und Sicherheit, Unternehmenssoftware, Produktivität und Zusammenarbeit, Kommunikations-APIs.
- Messung: öffentliche DNS-Einträge, Routing-Daten (ASN) und TLS-Zertifikate der öffentlichen Endpunkte, 27. Oktober 2026 bis 1. November 2026. Anbieter werden nach Konzern gruppiert (z. B. zählen CloudFront und Route 53 als AWS).
- CTPP-Status: Liste der ESAs vom 18. November 2025, auf Konzernebene zugeordnet.
- Unabhängigkeit: keine Kundendaten, keine Verträge, keine Daten eines Finanzunternehmens. Nur aggregierte Werte; kein Dienst und kein Institut wird genannt.
Grenzen
- Bei vielen Diensten verdeckt ein CDN das Hosting: Hosting ist bei 122 von 221 beobachtbar, alle drei Ebenen bei 38. Der Wert von 63 % hat daher ein breites Intervall.
- Die Stichprobe ist ein Katalog verbreiteter Dienste, nicht das Register eines bestimmten Instituts. Ein einzelnes Register kann stärker oder schwächer konzentriert sein.
- Die Außenmessung zeigt, wo ein Dienst läuft, nicht, was im Vertrag steht oder welche Unterauslagerungen nicht offengelegt sind.
Zitiervorschlag
ShadowGraph (3. November 2026): Ein Jahr CTPP-Liste: Wo die IKT-Dienste, auf die sich Banken verlassen, wirklich laufen. Messung 27. Oktober 2026 bis 1. November 2026, n = 221. https://shadowalpha.online/de/studie/dora-ctpp-konzentration-2026
Für Presse und Analysten
Die aggregierte Tabelle je Ebene und die Methodennotiz senden wir auf Anfrage an info@shadowalpha.online. Werte zu namentlich genannten Instituten veröffentlichen oder liefern wir nicht.