E-Mail-Infrastruktur für Banken und Fintech unter DORA, PSD3 und dem Markenidentitätsdiebstahl-Problem

Derzeit nicht. Die erste Charge von CTPP-Designationen wurde von den ESAs im November 2025 herausgegeben und bestand aus den allergrößten Cloud- und IT-Services-Anbietern. Unsere Größe erreicht die CTPP-Schwelle nicht. Was das praktisch bedeutet: unter DORA Art. 28 ist Ihre Bank für das Drittparteienregister verantwortlich; unter Art. 30 muss der Vertrag die spezifischen Klauseln enthalten, die DORA erfordert; unter Art. 19 ist Ihre Bank der Melder an die zuständige Behörde. Wir liefern die technischen Vorfallsdaten innerhalb einer Stunde; Sie liefern den aufsichtsseitigen Bericht.

Authorize Hosting ist eine schwedisch-inkorporierte Entität (Stockholm, gegründet 2003) ohne US-Eigentum in der Unternehmenskette. Primärinfrastruktur in Stockholm, Sekundär in Frankfurt. Es gibt keinen Transfer in die USA in irgendeinem normalen Mail-Flow, und die Instabilität des EU-US-Data-Privacy-Frameworks gilt nicht für unsere Kette.

Für deutsche und österreichische Banken, die DSGVO + BDSG-neu unterliegen, beseitigt dies die Notwendigkeit für eine Datentransfer-Folgenabschätzung (DTIA) gegen US-Provider. Der AVV schließt US-Unterauftragsverarbeiter explizit aus.

Banken haben typischerweise mehr Sendestreams, als ihnen bewusst ist: die transaktionale Post der Core-Banking-Plattform, die Service-Benachrichtigungen des CRMs, die Marketing-Automation, das Reporting der Vermögensverwaltungsabteilung, der separate Stream der Corporate Banking-Abteilung, die interne Post des HR-Systems, die verschiedenen Office-Microsoft-365- / Google-Workspace-Tenants. Ein 50-Stream-Inventar ist üblich für eine Tier-2-Bank.

Die Progression: erste 30 Tage bei p=none mit DMARC-Reporting. Die meisten Banken entdecken 5-10 Streams, die nicht sauber authentifizieren. Wir arbeiten mit den internen Teams, um jeden zu beheben, dann p=quarantine für weitere 30 Tage. Finaler Wechsel zu p=reject. Gesamtdauer: typischerweise 90-120 Tage.

Die DORA-Art.-19-Uhr für größere ICT-bezogene Vorfälle: Erstmeldung innerhalb von 24 Stunden nach Bewusstwerden, Zwischenbericht innerhalb von 72 Stunden, Abschlussbericht innerhalb von 30 Tagen (erweiterbar auf 90). Banken in unserer Pricing-Stufe erhalten eine Stockholm-Bereitschaftsrotation mit benannten Ingenieuren. Kritische Vorfälle lösen Antwort innerhalb einer Stunde während EU-Geschäftszeiten aus; außerhalb der Geschäftszeiten 2-3 Stunden.

Was wir nicht tun, ist die Meldung in Ihrem Namen bei der zuständigen Behörde einzureichen. Das ist die regulatorische Verantwortung der Bank.

Zwei Effekte, über verschiedene Zeithorizonte. Sofort-Effekt: BIMI erfordert DMARC bei p=reject als Voraussetzung. p=reject erreichen stoppt direkten Domain-Spoofing (Mail gesendet von der Domain Ihrer Bank). Das Phishing, das nach BIMI-Deployment durchkommt, ist Lookalike-Domain-Phishing, das schwieriger einzurichten und für Kunden leichter zu erkennen ist.

Langzeit-Effekt: Kunden lernen wirklich, das Logo zu suchen, aber es dauert 6-18 Monate konsistenter visueller Präsenz. Die dokumentierte EU-Finanzinstitutsfallstudie von 2025 zeigte Kundenverhaltensänderung bei sechs Monaten — Kunden begannen Nachrichten ohne das Logo als verdächtig zu melden.

Zwei Patterns. SMTP-Relay-Pattern: Ihr ESP (SFMC, Adobe, Selligent, Acoustic, oder ein anderer) behält seine UI, seinen Campaign Builder, seine Segmentierung. Was sich ändert, ist, wo die Mail rausgeht. Statt der geteilten Infrastruktur des ESPs authentifiziert der ESP an unser SMTP-Relay, und die Mail geht auf unseren dedizierten IPs unter Ihrer Domain raus.

Direkt-API-Pattern: für transaktionale Post speziell — Kontoauszugsversand, Zahlungsbestätigungen, 2FA-Codes — bauen Banken oft direkt gegen unsere HTTP-API oder unser SMTP-Relay von der Core-Banking-Plattform aus, indem sie den marketingorientierten ESP komplett umgehen.

DORA Art. 26 erfordert TLPT (threat-led penetration testing) für bedeutende Finanzentitäten mindestens alle drei Jahre. Der TLPT-Umfang kann ICT-Dritte einschließen, deren Störung die Bank meaningfully betreffen würde — was die E-Mail-Infrastruktur einschließen kann, wenn das transaktionale Mail-Volumen der Bank signifikant ist.

Für Banken in der Tier-1-Pricing-Stufe nehmen wir an TLPT-Engagements als Drittpartei im Umfang teil. Wir bieten kontrollierte Testumgebungen, Dokumentation unseres Perimeters und die technische Verbindung für das Red Team während des Testfensters.