(openPR) Schatten-IT als unterschätztes DORA-Risiko – warum Eigenanwendungen und IDV Banken zunehmend angreifbar machen
Excel-Tools, selbst entwickelte Datenbanken, kleine Automatisierungen in Fachbereichen: Eigenanwendungen und IDV sind aus dem Bankalltag nicht mehr wegzudenken. Genau darin liegt jedoch ein erhebliches Risiko. In vielen Instituten wachsen diese Anwendungen unkontrolliert, ohne klare Governance, ohne vollständige Dokumentation und ohne belastbare Risikoanalyse.
Prüfungen zeigen immer wieder, dass Banken den Überblick verloren haben, welche Anwendungen produktiv genutzt werden, wie kritisch sie sind und wer eigentlich die Verantwortung trägt.
Besonders problematisch ist, dass IDV-Anwendungen häufig außerhalb klassischer IT-Prozesse entstehen. Entwicklungs-, Test- und Freigabeverfahren werden umgangen, Schutzbedarfe nicht sauber festgestellt, Berechtigungen unsauber vergeben. Dadurch entstehen operationelle Risiken, die im Risikomanagement gar nicht oder nur unvollständig abgebildet sind. Kommt es zu Fehlern, Datenverlusten oder Sicherheitsvorfällen, fehlt oft jede Transparenz – und damit auch jede Steuerungsfähigkeit.
Hinzu kommt eine neue Dimension: der Einsatz von KI-basierten Tools wie ChatGPT oder automatisierten Analysehilfen in Fachbereichen. Diese Anwendungen werden genutzt, ohne sie klar zu klassifizieren oder ihre Auswirkungen auf Datenschutz, Informationssicherheit und Auslagerungsrisiken zu bewerten. Viele Institute unterschätzen, dass auch solche Tools Teil der IT-Landschaft sind – mit entsprechenden Anforderungen an Risikoanalyse, Dokumentation und Kontrolle.
Das Fachseminar „DORA-konformer Umgang mit Eigen-Anwendungen & IDV“ am 2. März 2026 setzt genau an diesen Schwachstellen an.
Alexander Rothländer (Bundesbank) zeigt, welche Probleme in der Praxis mit Excel-Anwendungen, IDV-Register und Entwicklungsprozesse bestehen.
Stephan Wirth (NRW.BANK) erläutert, wie IDV-Governance, Informationssicherheit und Datenschutz zusammenwirken müssen, um Risiken beherrschbar zu machen.
Manfred Stäbler (LBBW) zeigt, wie IDV-Register, Lifecycle-Überwachung und Kontrollen im Alltag tatsächlich umgesetzt werden können.
Im Fokus stehen klare IDV-Richtlinien, vollständige Inventare, realistische Risiko- und Schutzbedarfsanalysen sowie prüfungssichere Entwicklungs- und Freigabeprozesse. Die Teilnehmenden erfahren, wie Schatten-IT identifiziert, in bestehende Governance eingebunden und dauerhaft überwacht werden kann – ohne Innovation zu blockieren.
Die zentrale Botschaft ist eindeutig: Eigenanwendungen sind kein Randthema mehr, sondern ein vollwertiges Risikofeld. Institute, die IDV nicht konsequent erfassen und steuern, verlieren Kontrolle über Daten, Prozesse und Risiken. Dieses Seminar zeigt, wie aus unkontrollierter Schatten-IT eine steuerbare, aufsichtsrobuste Anwendungslandschaft wird.
Weitere Informationen und Anmeldung unter:
https://www.akademie-heidelberg.de/seminar/dora-konformer-umgang-mit-eigen-anwendungen-idv
