{"id":34269,"date":"2026-07-24T20:28:29","date_gmt":"2026-07-24T20:28:29","guid":{"rendered":"https:\/\/www.dotcom-monitor.com\/blog\/external-synthetic-monitoring-dora\/"},"modified":"2026-07-24T20:28:29","modified_gmt":"2026-07-24T20:28:29","slug":"external-synthetic-monitoring-dora","status":"publish","type":"post","link":"https:\/\/www.dotcom-monitor.com\/blog\/de\/external-synthetic-monitoring-dora\/","title":{"rendered":"Externes synthetisches Monitoring f\u00fcr DORA Betriebsresilienz"},"content":{"rendered":"

Betriebliche Resilienz \u00b7 ICT-Risikomanagement \u00b7 Finanzdienstleistungen<\/em><\/p>\n

\"Externe
Externes synthetisches Monitoring \u00fcberpr\u00fcft kundenorientierte Dienste von au\u00dferhalb des Netzwerkrands entlang des Pfades, den ein Benutzer folgt.<\/figcaption><\/figure>\n

Das Digital Operational Resilience Act (DORA), Verordnung (EU) 2022\/2554<\/a>, gilt seit dem 17. Januar 2025 f\u00fcr Finanzunternehmen der Europ\u00e4ischen Union. Zu den zentralen Zielen geh\u00f6rt die Anforderung, dass Unternehmen ICT-Vorf\u00e4lle (Informations- und Kommunikationstechnologie) unverz\u00fcglich erkennen und die Verf\u00fcgbarkeit von Diensten, die kritische oder wichtige Funktionen unterst\u00fctzen, aufrechterhalten.<\/p>\n

Um dieses Ziel zu erreichen, ist ein Monitoring erforderlich, das die tats\u00e4chliche Verf\u00fcgbarkeit kundenorientierter Dienste widerspiegelt und nicht nur die interne Systemgesundheit dahinter. Interne Observability-Tools berichten \u00fcber Infrastruktur innerhalb des Unternehmensnetzwerks. Sie best\u00e4tigen nicht, ob ein Dienst von der Position eines externen Nutzers erreichbar und funktionsf\u00e4hig ist. Externes synthetisches Monitoring greift dies auf, indem es skriptgesteuerte Transaktionen gegen Produktionsdienste von au\u00dferhalb des Netzwerks nach einem definierten Zeitplan ausf\u00fchrt.<\/p>\n

Dieser Artikel beschreibt die spezifischen DORA-Verpflichtungen, die sich auf kontinuierliches Monitoring und Erkennung beziehen, und erl\u00e4utert, wie externes synthetisches Monitoring<\/a> und insbesondere die Dotcom-Monitor-Plattform diese erf\u00fcllen.<\/p>\n

DORA-Erkennungs- und Verf\u00fcgbarkeitsverpflichtungen<\/h2>\n

DORA ist ergebnisorientiert und gibt keine Werkzeuge vor. Es schreibt weder ein bestimmtes Monitoring-Produkt noch eine Pr\u00fcffrequenz vor. Es legt Anforderungen an Erkennung, Verf\u00fcgbarkeit und \u00dcberwachung fest, wobei das Monitoring die operative Steuerung ist, durch die mehrere dieser Verpflichtungen erf\u00fcllt werden. Vier Bestimmungen sind am relevantesten.<\/p>\n

Artikel 9 (Schutz und Pr\u00e4vention)<\/strong> verlangt von Finanzunternehmen, die Sicherheit und Funktionalit\u00e4t von ICT-Systemen und -Werkzeugen kontinuierlich zu \u00fcberwachen und zu steuern. Die Verpflichtung ist fortlaufend, was periodische oder manuelle Kontrollen als alleinige Ma\u00dfnahme ausschlie\u00dft.<\/p>\n

Artikel 10 (Erkennung)<\/strong> verlangt Mechanismen, um anomale Aktivit\u00e4ten, einschlie\u00dflich ICT-Netzwerkleistungsprobleme und ICT-bezogene Vorf\u00e4lle, unverz\u00fcglich zu erkennen und potenzielle wesentliche Single Points of Failure zu identifizieren. Artikel 10(2) verlangt zus\u00e4tzlich, dass Erkennungsmechanismen mehrere Kontrollschichten erm\u00f6glichen, Alarmschwellen definieren und automatische Warnungen an das f\u00fcr die Vorfallreaktion verantwortliche Personal enthalten.<\/p>\n

“Finanzunternehmen m\u00fcssen Mechanismen zur unverz\u00fcglichen Erkennung anomaler Aktivit\u00e4ten, einschlie\u00dflich ICT-Netzwerkleistungsproblemen und ICT-bezogenen Vorf\u00e4llen, vorhalten.”
\nDORA, Artikel 10 (Erkennung)<\/cite><\/p><\/blockquote>\n

Artikel 17 und 19 (Vorfallmanagement und Meldung)<\/strong> verlangen einen dokumentierten Prozess zur Verwaltung ICT-bezogener Vorf\u00e4lle und bei als schwerwiegend eingestuften Vorf\u00e4llen eine Benachrichtigung der zust\u00e4ndigen Beh\u00f6rde innerhalb einer von der Aufsichtsbeh\u00f6rde vorgegebenen Frist, die in Stunden und nicht Tagen gemessen wird. Die Geschwindigkeit der Benachrichtigung h\u00e4ngt direkt von der Erkennungsgeschwindigkeit ab.<\/p>\n

Artikel 28 (ICT-Drittanbieterrisiko)<\/strong> verpflichtet Organisationen, das Risiko aus ICT-Drittanbieterdiensten zu verwalten und zu \u00fcberwachen. Unterst\u00fctzt ein Anbieter eine kritische oder wichtige Funktion, f\u00e4llt dessen Verf\u00fcgbarkeit in den \u00dcberwachungsverantwortungsbereich des Unternehmens.<\/p>\n

Aus diesen Bestimmungen folgen f\u00fcnf erforderliche Monitoring-F\u00e4higkeiten: kontinuierliches Monitoring, unverz\u00fcgliche Vorfallerkennung, Verf\u00fcgbarkeitsvalidierung, \u00dcberwachung von ICT-Drittanbietern und Fr\u00fchwarnung bei Dienstverschlechterung. Die Abschnitte unten behandeln jeweils eine F\u00e4higkeit.<\/p>\n

Die Rolle der externen Verifikation<\/h2>\n

Interne Werkzeuge, einschlie\u00dflich Application Performance Management (APM), Server-Metriken und Log-Analyse, \u00fcberwachen Systeme von innerhalb des Netzwerks. Sie berichten genau \u00fcber den Infrastrukturzustand, erkennen aber keine Ausfallarten, die zwischen dem Nutzer und den Servern auftreten. Dazu geh\u00f6ren:<\/p>\n