- DORA verpflichtet Banken zur umfassenden Dokumentation von IKT-Assets einschließlich Standort und Funktionen.
- Die Verordnung ist technologieneutral und erlaubt flexible Implementierungen je nach Informationsbedarf und Risiko.
- Drahtlose Technologien wie RFID und BLE ermöglichen automatisierte, skalierbare Asset-Transparenz auf verschiedenen Ebenen.
- Eine mehrstufige Architektur kombiniert passive Identifikation mit aktiver Präsenz- und Standorterfassung für kritische Vermögenswerte.
DORA stellt höhere Anforderungen an die Art und Weise, wie europäische Banken und Finanzinstitute ihre IKT-Anlagen identifizieren, dokumentieren und schützen. RFID, NFC, BLE, UWB und IoT-Tracking über große Entfernungen können Teile dieser physischen Anlagenüberwachung automatisieren, doch nicht jede Anlage erfordert dieselbe Technologie oder denselben Grad an Standortdaten.
DORA konkretisiert das ICT Asset Management
Seit dem 17. Januar 2025 gilt das EU-Gesetz zur digitalen operativen Widerstandsfähigkeit (DORA) im gesamten europäischen Finanzsektor. Sein Geltungsbereich erstreckt sich über Cybersicherheitssoftware und Netzwerke hinaus auf die IKT-Ressourcen, von denen Finanzdienstleistungen abhängen.
Die dazugehörige Delegierte Verordnung (EU) 2024/1774 macht die Anforderungen an das Asset-Management besonders konkret. Finanzunternehmen müssen Aufzeichnungen führen, die unter anderem eine eindeutige Kennung für jedes IKT-Asset, dessen physischen oder logischen Standort, dessen Klassifizierung, dessen Eigentümer sowie die von ihm unterstützten Geschäftsfunktionen oder Dienste enthalten.
Auch die physische Sicherheit ist Teil des Regelwerks. Finanzinstitute müssen Maßnahmen zum Schutz von IKT-Ressourcen innerhalb und außerhalb ihrer Räumlichkeiten ergreifen und den physischen Zugang zu Bereichen kontrollieren, in denen sich IKT- und Informationsressourcen befinden.
All dies bedeutet jedoch nicht, dass Banken RFID-, Bluetooth- oder Echtzeit-Ortungssysteme einsetzen müssen. DORA ist technologieneutral.
Die operative Frage lautet daher anders: Wie kann ein Finanzinstitut Informationen über physische IKT-Ressourcen korrekt, aktuell und überprüfbar halten, ohne einen zusätzlichen manuellen Verwaltungsaufwand zu verursachen?
Nicht jedes ICT-Asset braucht Echtzeit-Lokalisierung
Ein Laptop, eine Serverkomponente, ein mobiles Gerät oder ein anderes IKT-Asset muss nicht unbedingt als sich bewegender Punkt auf einer Karte erscheinen.
Die Sichtbarkeit von Beständen kann von der einfachen Identifizierung bis hin zur kontinuierlichen Verfolgung reichen. Je nach Anwendungsfall muss ein Finanzinstitut möglicherweise wissen, um welchen Bestand es sich handelt, ob er noch vorhanden ist, ob er einen definierten Kontrollpunkt passiert hat, wo er sich derzeit befindet oder wer ihn in Verwahrung hat.
Diese Fragen erfordern unterschiedliche Ebenen drahtloser Transparenz.
Passives UHF-RFID (auch RAIN-RFID genannt) kann eine große Anzahl von mit Tags versehenen Assets identifizieren und automatisierte Bestandsaufnahmen oder die Erkennung an Kontrollpunkten unterstützen, ohne dass Batterien in den Tags erforderlich sind. HF-RFID und NFC unterstützen die gezielte Identifizierung im Nahbereich.
Die Identifizierung ist jedoch nicht auf RFID beschränkt. Auch Bluetooth Low Energy (BLE) kann aktive Tags oder Geräte identifizieren. Durch BLE-Advertising können Geräte ihre Anwesenheit gegenüber der Scan-Infrastruktur bekanntgeben, wodurch sich BLE für die aktive Identifizierung von Vermögenswerten und die Anwesenheitserkennung eignet. Mit zusätzlicher Infrastruktur und Ortungsmethoden können dieselben BLE-Tags auch Näherungserkennung, Zonenerkennung oder Ortungsdienste unterstützen.
UWB kommt zum Einsatz, wenn eine deutlich präzisere kontinuierliche Ortung erforderlich ist. Für Vermögenswerte, die sich außerhalb eines Gebäudes oder zwischen Standorten bewegen, können GNSS, WLAN-Ortung sowie LPWAN- oder Mobilfunkverbindungen die Sichtbarkeit über die lokale Einrichtung hinaus erweitern.
Die geeignete Technologie hängt daher nicht von DORA selbst ab, sondern davon, was die Bank tatsächlich über die einzelnen Asset-Klassen wissen muss.
HID: Von passiver Identifikation zu BLE Asset Visibility
HID veranschaulicht, wie verschiedene Ebenen der Asset-Transparenz innerhalb eines Portfolios nebeneinander bestehen können.
Für die passive Bestandsverfolgung und Bestandsaufnahme bietet HID RFID-Tags und Lesegerätetechnologien in den Frequenzbereichen LF, HF und UHF/RAIN RFID an. Für die aktive Verfolgung stellt HID ein auf Bluetooth Low Energy basierendes RTLS mit sowohl zonengestützten als auch objektbasierten Ansätzen bereit.
Diese Unterscheidung ist wichtig. Passives RFID kann sinnvoll sein, wenn eine Bank Vermögenswerte identifizieren, Bestandsaufnahmen beschleunigen oder diese an definierten Lesepunkten erfassen möchte. BLE-Tags können ihre Anwesenheit aktiv melden und, in Kombination mit der erforderlichen RTLS-Infrastruktur, Zonen- oder Standortinformationen bereitstellen.
Dies deutet auf eine mehrstufige Architektur hin: passive Identifikation dort einsetzen, wo Bestandsinformationen ausreichen, und aktive BLE-Ortung dort, wo kontinuierlich aktualisierte Anwesenheits- oder Standortdaten einen zusätzlichen betrieblichen Mehrwert schaffen.
deister electronic verbindet Assets mit autorisierten Nutzern
Der Standort ist nicht immer die wichtigste Information. In vielen Bankprozessen kann die Nachvollziehbarkeit eine größere Rolle spielen.
Die proxSafe-Systeme von deister electronic kombinieren RFID-basierte Identifikation mit kontrollierten Schränken und Schließfächern. Autorisierte Nutzer identifizieren sich, bevor sie auf Schlüssel oder wertvolle Geräte zugreifen, während Entnahme- und Rückgabevorgänge automatisch protokolliert werden. Die Plattform stellt zudem Berichte für Audit- und Compliance-Zwecke bereit.
proxSafe®
proxSafe® vereinfacht und sichert Schlüsselmanagement durch RFID-Technologie und zentrale Softwareintegration.
Bei in solchen Systemen gelagerten Geräten lautet die entscheidende Frage: Wer hat welches Objekt entnommen und wann wurde es zurückgegeben?
deister unterstützt zudem die kontrollierte Lagerung von Geräten und Wertgegenständen sowie die zentrale Verwaltung über mehrere Standorte hinweg.
Für Finanzinstitute könnte dieser Ansatz überall dort relevant sein, wo gemeinsam genutzte IT-Geräte, Schlüssel oder andere sensible Gegenstände an autorisierte Mitarbeiter ausgegeben werden.
Dies verdeutlicht einen weiteren wichtigen Punkt: Die Sichtbarkeit physischer Vermögenswerte ist nicht unbedingt gleichbedeutend mit ihrer Ortung. Manchmal liefert ein zuverlässiges Verwahrungsprotokoll die nützlicheren Informationen.
RFID für Identifikation, Inventur und Checkpoints
Mehrere andere „Think WIoT“-Anbieter befassen sich mit der Ebene zwischen manueller Bestandsaufnahme und kontinuierlichem RTLS.
IDCRAFT bezieht IT-Geräte ausdrücklich in seine Anwendungen zur Bestandsverfolgung ein. Das Unternehmen bietet HF/NFC- und UHF/RAIN-RFID-Technologien an und beschreibt komplette RFID-Architekturen, die Tags, Lesegeräte, Middleware und die Integration in übergeordnete Systeme umfassen.
Eine solche Architektur ist besonders relevant, wenn Finanzinstitute manuelle oder barcodebasierte Inventarisierungsprozesse durch automatisierte Identifizierung und Massenauslesung ersetzen wollen.
iDTRONIC nutzt für die Bestandsverfolgung sowohl RFID- als auch IoT-Technologien. Für stationäre RFID-Anwendungen beschreibt das Unternehmen Kontrollpunkt-Erfassungszonen, die logische Bereiche innerhalb einer Einrichtung definieren und überwachen. Für Vermögenswerte, die den lokalen Standort verlassen, nutzen die zugehörigen IoT-Tracking-Lösungen LTE-M- und NB-IoT-Konnektivität.
Dies verdeutlicht einen nützlichen architektonischen Unterschied: Ein fest installiertes RFID-Lesegerät kann dokumentieren, dass ein identifiziertes Objekt einen bestimmten Kontrollpunkt passiert hat, während ein vernetzter aktiver Tracker Informationen über einen wesentlich größeren geografischen Bereich liefern kann.
FEIG ELECTRONIC stellt eine RFID-Lesegerät-Infrastruktur für die automatisierte Identifizierung und das Asset-Management bereit. Je nach Anwendungsfall können mobile HF-RFID-Systeme die kontrollierte Bestandsführung und Objektidentifizierung unterstützen, während eine UHF/RAIN-RFID-Infrastruktur eine Erfassung von Objekten über größere Entfernungen sowie eine automatisierte Asset-Erkennung ermöglicht.
microsensys befasst sich ebenfalls mit mobiler Identifizierung und Dokumentation. Seine mobilen Lösungen zur Datenerfassung nutzen HF/NFC- oder UHF-RFID zur eindeutigen Objektidentifizierung, während der iID DATAcollector Bestandsobjekte, Berechtigungsstufen, Dokumentation und die Integration in bestehende Software- oder Cloud-Umgebungen unterstützt.
Passende Anbieter
Diese Ansätze sind besonders relevant, wenn die primäre Anforderung lautet: „Welche Vermögenswerte sind vorhanden und korrekt dokumentiert?“, anstatt: „Wo genau befindet sich jeder Vermögenswert in jeder Sekunde?“
BLE erweitert Identifikation um Präsenz- und Standortinformationen
BLE kann mehrere Ebenen der Asset-Transparenz abdecken. Im einfachsten Fall sendet ein BLE-Tag in regelmäßigen Abständen ein Signal aus und dient als aktiver drahtloser Identifikator. Mit über ein Gebäude verteilten Empfängern können Erfassungen zudem Transparenz auf Raum- oder Zonenebene bieten.
Bluetooth Channel Sounding, eingeführt mit Bluetooth Core 6.0, erweitert diese Fähigkeit um eine sichere Feinortung. Mithilfe von Phase-Based Ranging (PBR) und Round-Trip Timing (RTT) ermöglicht es eine weitaus präzisere Entfernungsmessung als herkömmliche RSSI-basierte Schätzungen, wobei eine Entfernungsmessung im Zentimeterbereich angestrebt wird.
Channel Sounding misst zwar die Entfernung zwischen Geräten, stellt jedoch kein vollständiges Positionierungssystem dar. Die Bestimmung einer eindeutigen 2D- oder 3D-Position erfordert weiterhin eine geeignete Infrastruktur sowie zusätzliche Referenzinformationen.
Für Banken und Finanzinstitute kann BLE daher die aktive Identifizierung, Anwesenheitserkennung, Zonensichtbarkeit sowie präzisere Entfernungsmessung oder Ortungsdienste unterstützen, vorausgesetzt, batteriebetriebene Tags und die erforderliche Infrastruktur sind für den jeweiligen Anwendungsfall geeignet.
Wenn präzise Lokalisierung wirklich erforderlich ist
Es gibt auch Fälle, in denen Anwesenheits- oder Checkpoint-Informationen nicht ausreichen.
Kathrein Solutions unterscheidet zwischen RFID für die punktuelle Erkennung und RTLS für die kontinuierliche Ortung. In seinem RTLS-Material werden BLE, WLAN und UWB als Indoor-Ortungstechnologien behandelt, wobei sich UWB besonders für Anwendungen eignet, die eine präzise Objektortung erfordern.
Für ein Finanzinstitut wäre eine solche Infrastruktur wahrscheinlich nicht für jeden Monitor, jeden Desktop-Computer oder jeden Standard-Laptop gerechtfertigt.
Sie könnte jedoch für ausgewählte hochwertige, kritische oder häufig bewegte Vermögenswerte relevant sein, bei denen die Kenntnis einer exakten oder kontinuierlich aktualisierten Position einen ausreichenden betrieblichen oder sicherheitsrelevanten Mehrwert schafft.
Vom Gebäude bis zum Remote Asset
Sobald ein Objekt regelmäßig das Bankgebäude oder den Bankcampus verlässt, kommt eine weitere Technologieebene ins Spiel.
Truvami bietet aktive LoRaWAN-Ortungsgeräte an, die GNSS, WLAN-Scan und Bluetooth-Konnektivität kombinieren. Sein „Tag L“ kann beispielsweise Standortinformationen über GNSS und WLAN-Scan erfassen und Ortungs- sowie Statusinformationen über LoRaWAN übertragen.
Das aktuelle Geräteportfolio umfasst Tracker für kleine wertvolle Vermögenswerte, Fahrzeuge, Container und andere mobile Ausrüstung.
Eine solche Architektur wäre für Tausende stationärer Büroobjekte überdimensioniert, verdeutlicht jedoch, wie die Objektsichtbarkeit aufrechterhalten werden kann, wenn ausgewählte Geräte zwischen Filialen, Servicestandorten oder externen Standorten bewegt werden.
truvami
Truvami verbindet Tracking-Hardware mit einer intelligenten Plattform für durchgängige Asset-Transparenz. So können Organisationen Equipment schneller finden, Verluste vermeiden und Abläufe über Standorte, Flotten und wertkritische Außeneinsätze hinweg effizient halten.
Von der DORA-Anforderung zur Wireless-Architektur
Die wichtige Schlussfolgerung ist nicht, dass DORA eine Verpflichtung zur Installation von RFID oder RTLS schafft.
DORA unterstreicht vielmehr die Bedeutung der Pflege zuverlässiger Informationen über IKT-Assets, einschließlich ihrer Identität und ihres physischen oder logischen Standorts. Drahtlose IoT-Technologien können verschiedene Teile dieser Informationskette automatisieren.
Die Architektur sollte daher von den Informationsanforderungen ausgehen:
Identifizierung: Um welche Anlage handelt es sich?
RAIN-RFID, HF-RFID/NFC oder aktive BLE-TagsBestandserfassung und Anwesenheit: Befindet sich das Asset hier?
RAIN-RFID oder BLEBewegung und Zonenerkennung: Hat es einen definierten Bereich betreten oder verlassen?
RAIN-RFID-Checkpoints oder BLE-basierte ZonenerkennungVerwahrung: Wer hat das Objekt derzeit in seinem Besitz?
Kontrollierte Objektlagerung in Kombination mit Benutzer- und ObjektidentifikationStandort im Gebäude: Wo befindet es sich innerhalb des Gebäudes?
BLE-basiertes RTLS oder UWB, je nach erforderlicher OrtungsgenauigkeitFernverfolgung: Wo befindet es sich außerhalb des Geländes?
GNSS- oder WLAN-Ortung in Kombination mit LPWAN- oder Mobilfunkverbindung
Dadurch wird auch ein weit verbreitetes Missverständnis ausgeräumt: RFID dient nicht nur der Identifizierung, und BLE dient nicht nur der Ortung. Beide können sowohl zur Identifizierung als auch zur Anwesenheitserkennung beitragen. BLE kann zudem immer detailliertere Standortinformationen liefern, wenn die entsprechende Ortungsinfrastruktur hinzugefügt wird.
Für europäische Banken und Finanzinstitute sollte das Ziel daher nicht darin bestehen, jedes IKT-Asset kontinuierlich zu verfolgen. Vielmehr geht es darum, den Grad der drahtlosen Erreichbarkeit an die Kritikalität, Mobilität und das Risikoprofil der jeweiligen Asset-Klasse anzupassen.
Dadurch wird DORA von einer rein regulatorischen Diskussion zu einer praktischen Frage im Bereich des drahtlosen IoT: Was muss ein Finanzinstitut über jedes physische IKT-Asset wissen, und welche Technologie kann diese Informationen mit der geringstmöglichen Infrastruktur und Komplexität bereitstellen?
