Wie ein gescheitertes DORA-Audit dieses Frankfurter Fintech 2,3 Millionen Euro kostete

„Wir müssen Ihnen mitteilen, dass Ihre Organisation als nicht konform mit dem Digital Operational Resilience Act eingestuft wurde ...“

Thomas K. erinnert sich noch genau an den Moment, als er diese E-Mail der BaFin las. Es war ein Dienstagmorgen. Er war CISO eines 120-Mitarbeiter-Zahlungsdienstleisters in Frankfurt — ein Fintech, das pro Quartal Milliarden an Transaktionen abwickelt.

Sie glaubten, compliant zu sein. Sie hatten Richtlinien. Sie hatten einen Berater, der 180.000 € pro Jahr kostete. Sie hatten sogar einen Ordner — einen echten Aktenordner — mit ihrer „DORA-Readiness-Dokumentation“.

Es reichte nicht.

Das Audit deckte 23 kritische Lücken auf: fehlende Nachweise für ICT-Risikobewertungen, keine automatisierte Vorfallmeldung, Drittanbieterverträge ohne die vorgeschriebenen Resilienzklauseln und keinerlei Aufzeichnungen zu bedrohungsgeleiteten Penetrationstests.

„Das Schlimmste war nicht das Bußgeld. Es war der Anruf unseres größten Bankkunden, der uns mitteilte, die Geschäftsbeziehung ‚auf Eis zu legen‘, bis wir die Compliance nachweisen können. Dieser eine Anruf kostete uns 1,8 Mio. € Jahresumsatz.“

— Thomas K., CISO, Frankfurt

Die versteckten Kosten von „Gut-genug“-Compliance

Falls die Geschichte von Thomas extrem klingt, bedenken Sie Folgendes: Laut der Europäischen Bankenaufsichtsbehörde weisen 73 % der EU-Finanzunternehmen weiterhin wesentliche Lücken in ihrer DORA-Compliance auf — selbst nach dem Stichtag im Januar 2025.

Das Problem ist nicht mangelndes Bewusstsein. Jeder CISO, jeder Compliance-Beauftragte kennt DORA. Das Problem ist die Umsetzung.

Hier sind die häufigsten Fehler, die Unternehmen begehen:

• Spreadsheet-Compliance — Hunderte Kontrollen in Excel-Tabellen nachverfolgen, die in dem Moment veraltet sind, in dem sie gespeichert werden
• Beraterabhängigkeit — 150.000–250.000 €/Jahr für Big-4-Berater zahlen, die Aktenordner liefern statt Systeme
• Manuelle Nachweiserhebung — Über 20 Stunden pro Woche mit dem Erstellen von Screenshots und dem Einholen von Nachweisen bei Kollegen verbringen
• Einzel-Framework-Denken — DORA isoliert umsetzen, während sich SOC 2, ISO 27001 und NIS2 zu über 60 % überschneiden

Thomas hat all das versucht. Sein dreiköpfiges Compliance-Team war überlastet. Zwei von ihnen kündigten innerhalb von vier Monaten nach dem gescheiterten Audit.

Dann änderte sich etwas.

Die Entdeckung, die alles veränderte

Thomas war auf einem DORA-Compliance-Workshop in Frankfurt, als ein Kollege einer Münchner Neobank etwas erwähnte, das seine Aufmerksamkeit erregte:

„Wir sind in fünf Wochen von null auf Audit-ready gekommen. Nicht mit Beratern. Mit einer Plattform namens Matproof. Die automatisiert im Grunde 80 % der Arbeit, die wir manuell erledigt haben.“

Skeptisch, aber verzweifelt, informierte sich Thomas noch am selben Abend. Was er fand, überraschte ihn.

Was ist Matproof — und warum ist es anders?

Matproof ist eine Compliance-Automatisierungsplattform, die speziell für EU-regulierte Finanzinstitute entwickelt wurde. Im Gegensatz zu generischen GRC-Tools, die DORA nachträglich ergänzen, wurde Matproof von Anfang an um europäische Regulierungsrahmen herum konzipiert: DORA, NIS2, ISO 27001, SOC 2 und DSGVO.

Das unterscheidet die Plattform grundlegend:

Thomas’ Ergebnisse: Von der Katastrophe zur Audit-Bereitschaft

Thomas meldete sich an einem Montag bei Matproof an. Folgendes geschah:

• Woche 1: 14 Integrationen verbunden (AWS, Okta, Jira, GitHub etc.). Matproof erkannte automatisch 89 % der bestehenden Kontrollen.
• Woche 2–3: Die KI generierte 34 Richtlinien, zugeschnitten auf das Zahlungsverkehrsgeschäft. Das Compliance-Team prüfte und genehmigte sie in Tagen, nicht Monaten.
• Woche 4: Gap-Analyse abgeschlossen. Matproof identifizierte 12 verbleibende Lücken mit schrittweisen Handlungsanweisungen.
• Woche 6: Ein Probe-DORA-Audit bestanden — ohne kritische Feststellungen.

„Ich wünschte, ich hätte Matproof vor dem Audit gefunden. Es hätte uns 2,3 Millionen Euro und zwei gute Mitarbeiter erspart. Jetzt sind wir nicht nur compliant — wir managen Risiken proaktiv, wie es uns vorher nie möglich war.“

— Thomas K., CISO, Frankfurt

Was andere Compliance-Verantwortliche sagen

Wie lange wollen Sie noch warten?

Die BaFin verlangsamt nicht. Allein im Q4 2025 verhängte sie 47 Mio. € an DORA-bezogenen Bußgeldern bei 19 Finanzinstituten. Die EZB hat digitale operationelle Resilienz zur „aufsichtlichen Priorität“ für 2026 erklärt.

Jede Woche, in der Sie mit Compliance-Lücken operieren, sind Sie regulatorischen Maßnahmen, Kundenverlusten und Reputationsschäden ausgesetzt.

Thomas hat gewartet, bis es zu spät war. Das müssen Sie nicht.

Matproof bietet eine kostenlose Compliance-Bewertung, die Ihnen genau zeigt, wo Sie bei DORA, SOC 2, ISO 27001 und NIS2 stehen. Keine Verpflichtung. Kein Verkaufsgespräch. Nur Klarheit.

Die Bewertung dauert weniger als 30 Minuten und liefert Ihnen:

• Ihren aktuellen Compliance-Score über alle relevanten Frameworks
• Eine priorisierte Liste der Lücken mit Handlungsempfehlungen
• Einen geschätzten Zeitplan bis zur Audit-Bereitschaft
• Einen Vergleich Ihres Status mit Branchen-Benchmarks