Ein Fintech-Engineering-Partner sollte die Anforderungen Ihres konkreten Geschäfts in überprüfbares Systemverhalten übersetzen. „Fintech“ ist keine einheitliche aufsichtsrechtliche Kategorie. Ein Finanzunternehmen, ein IT-Lieferant einer Bank und ein früher Prototyp können unterschiedliche Pflichten und vertragliche Aufgaben haben.
Klären Sie diese Grenze mit Rechts-, Compliance- und Security-Verantwortlichen. Engineering kann Datenflüsse dokumentieren, Kontrollen implementieren und Wiederherstellung erproben. Eine Technologieentscheidung ersetzt weder die Prüfung einer Erlaubnispflicht noch die Bewertung des gesamten Geschäftsmodells.
Zuerst den Anwendungsbereich klären
DORA gilt seit dem 17. Januar 2025 für erfasste Finanzunternehmen. Ein Softwarelieferant kann vertragliche Anforderungen erhalten, ohne dadurch selbst zum Finanzunternehmen zu werden.
Die Bundesbank trennt BAIT und DORA: Institute mit IKT-Risikomanagement nach DORA wurden aus dem BAIT-Anwenderkreis ausgenommen. Die verbleibenden BAIT-Regelungen werden mit Ablauf des 31. Dezember 2026 vollständig aufgehoben. Beide Rahmenwerke gelten deshalb nicht pauschal parallel für jedes Fintech.
Halten Sie Tätigkeit, betroffene Gesellschaft, einschlägige Anforderungen, Systemgrenzen, kritische Dienstleister und die zuständige fachliche Freigabe fest. Offene Rechtsfragen dürfen nicht als bereits beschlossene Abnahmekriterien im Backlog verschwinden.
Systemspezifische Nachweise verlangen
| Bereich | Sinnvoller Engineering-Nachweis |
|---|---|
| Identität und Zugriff | Rechtematrix, negative Zugriffstests, Support-Rollen und Mandantentrennung |
| Vorgangsintegrität | Eindeutige Zustände, Schutz vor Duplikaten, Abgleich und Behandlung von Teilfehlern |
| Änderungen | Nachvollziehbarer Release, Freigabegrenze und Wiederherstellungsweg |
| Vorfälle | Erkennung, Eskalation, Verantwortung für Einstufung und belastbare Timeline |
| Abhängigkeiten | Dienstleisterliste, Datenflüsse, vertragliche Zuständigkeit und Exit-Abhängigkeiten |
| Wiederherstellung | Praktischer Restore und Prüfung des wiederhergestellten Geschäftszustands |
Das sind Themen einer technischen Prüfung, keine Einheitsarchitektur. Ein reines Reporting-Produkt hat andere Fehlerrisiken als ein System, das Zahlungen auslöst.
Meldeprozesse mit Verantwortlichkeiten verbinden
Für schwerwiegende IKT-Vorfälle regelt die Delegierte Verordnung 2025/301 die Meldestufen. Die reguläre Erstfrist beträgt vier Stunden nach Einstufung und spätestens 24 Stunden nach Bekanntwerden; für spätere Einstufung enthält sie eine eigene Regel. Zwischen- und Abschlussbericht knüpfen an die vorangegangenen Meldungen an. Maßgeblich bleiben der konkrete Fall und die Vorgaben der zuständigen Aufsicht.
Engineering muss verlässliche Zeitpunkte sichern, betroffene Dienste und Releases bestimmen und Informationen rechtzeitig bereitstellen. Eine vollautomatische Einstufung ist dafür nicht pauschal vorgeschrieben. Monitoring, Triage, Eskalation, menschliche Entscheidung und ein funktionierender Meldeweg müssen zusammenpassen.
Üben Sie einen Vorfall, bei dem die Hauptansprechperson oder das E-Mail-System ausfällt. Klären Sie Zugriff, Vorbereitung, Freigabe der Kommunikation und den Nachweis des Meldungseingangs. Kundendaten gehören nicht vorsorglich vollständig in gewöhnliche Logs.
Datenverarbeitung über den Hostingstandort hinaus prüfen
EU-Hosting kann eine passende Kundenanforderung oder Betriebsentscheidung sein. Es folgt nicht pauschal aus dem Begriff Fintech. Prüfen Sie Datenarten, Zugriffe, Unterauftragnehmer, Backup-Standorte, Aufbewahrung und Übermittlungen. Der EDPB-Leitfaden zu Drittlandübermittlungen beschreibt die gesonderte Transferprüfung.
Bei Onboarding- oder KYC/AML-Funktionen müssen tatsächliche Pflichten und der freigegebene Prozess feststehen. Testen Sie unvollständige Prüfungen, manuelle Nachbearbeitung, geänderte Nachweise und verweigerten Zugriff. Eine eingekaufte Identifizierungs-API erfüllt nicht automatisch den gesamten regulatorischen Prozess des Kunden.
Die passende technische Verantwortung einkaufen
Verlangen Sie eine relevante Systemdemonstration und eine begrenzte Prüfung der schwierigen Teile. Ein allgemeines Engineering-Team kann eine klar abgegrenzte Komponente unter fachlicher Begleitung umsetzen. Regulatorische Entscheidungen, Geldbewegungen oder komplexe Aufsicht können zusätzliche Spezialkompetenz erfordern. Vereinbaren Sie die Rollen ausdrücklich.
Bei einem vorhandenen Produkt müssen Quellcode und Produktivstand, Account-Inhaberschaft und der nächste sichere Release zusammengeführt werden, bevor laufende Betreuung zugesagt wird. Zur Übergabe gehören bekannte Lücken, nicht nur Diagramme und Zugänge.
H-Studio unterstützt individuelle Software, Backend-Engineering und laufende Betreuung. Definieren Sie technische Lieferobjekte gemeinsam mit Ihren verantwortlichen Beratern. Dieser technische Überblick wurde am 5. November 2026 anhand der verlinkten Quellen geprüft und ersetzt keine Rechts- oder Aufsichtsberatung.
