Swiss Room · Krimi 6 von 8
Die Compliance-Fassade
Was dieser Krimi zeigt
Warum ISO-Konformität eine Momentaufnahme ist – und DORA ein lebendiges System verlangt. Wenn Shadow IT unkontrolliert bleibt und Zertifizierung Substanz ersetzt.
· © 2026
Der Compliance-Leiter Rafael sass spätabends allein im Meetingraum. Vor ihm: das frisch vorbereitete ISO-27001-Renewal-Dossier. Alles sah perfekt aus – sauber, ordentlich, vollständig.
Er lehnte sich zurück und sagte leise:
„Wenn wir das durchhaben, sind wir endgültig DORA-ready.“
Auf seinem Laptop blinkte ein kleiner Systemhinweis: Unbekanntes Gerät im Netzwerk. Er drückte „Ignorieren“.
Das Basler Cloud-Tech-Unternehmen SkyGate Systems war ein europäischer Hidden Champion: kritische Infrastruktur für Banken, Versicherungen und Zahlungssysteme.
Compliance war auf Hochglanz poliert: Policies aktuell. Audits vollständig. Checklisten makellos. ISO-27001 bestanden – mehrfach. Wachstumsrate: +35 %.
Ein externer Auditor versprach sogar:
„DORA-ready in sechs Wochen.“
Ein Satz, der intern wie ein Ritterschlag wirkte. Doch unter der glatten Oberfläche begann sich eine Schattenwelt zu bilden.
Mitarbeitende installierten Tools über Hintertüren. Bring-Your-Own-Device ohne Richtlinie. Private Laptops ohne Firewall. Der Auditor lagerte technische Scans ungeprüft an einen Sub-Dienstleister aus.
Der Tool-Zoo wuchs wie Schimmel. Wichtige Elemente fehlten:
Logs unvollständig
MFA nur teilweise aktiv
Keine Pen-Tests
Keine Kontrolle der Sub-Kette (Art. 28 DORA)
Self-Reports statt Validierung
Der CISO bemerkte Anomalien im Traffic. Er schob es auf „User-Fehler“. Der Compliance-Leiter notierte zufrieden: ISO Renewal: OK.
Ein Entwicklungsteam installierte ein neues Analyse-Tool – ohne Freigabe. Der IT-Admin warnte:
„Dieses Tool hat bekannte Schwachstellen. Das darf nicht ins Netz!“
Der Compliance-Leiter antwortete:
„Erst das ISO-Renewal abschließen. Danach kümmern wir uns darum.“
Der CISO genehmigte das Tool nach kurzer Sichtung. Kein Deep-Scan. Keine Authentifizierungsprüfung. 36 Stunden Ruhe. Dann wurde die Stille unheimlich.
Ein Angreifer scannte das neue Tool automatisiert. Er fand:
Keine MFA
Fehlende Input-Validierung
Freie API-Endpunkte
Zugriff auf Compliance- und Security-Daten
Einmal drin – überall drin. Keine Alarme. Keine Incident-Response. Kein Reporting innerhalb der geforderten DORA-Zeiträume. Es war ein industrieller Einbruch – und niemand bemerkte ihn.
Sonntag, 06:14 Uhr. Der erste Kunde meldete Störungen. Zwei Stunden später: totale Kompromittierung der Systeme.
Die Cyber-Versicherung verweigerte die Zahlung: „grobe Fahrlässigkeit.“ Der Auditor distanzierte sich. Die BaFin und die FINMA verlangten Erklärungen.
Der interne Auditbericht war vernichtend:
Kein Lizenzmanagement
Kein BYOD-Programm
Kein Sub-Audit (Art. 28)
Keine Pen-Tests
Kein funktionierendes Incident Response
ISO-Konformität: überwiegend Fassade
Der Schaden: 7 Millionen Euro. Der Compliance-Leiter und der CISO traten zurück.
Diesmal brach das Unternehmen nicht – es transformierte.
| 1 | Tool-Inventar erstellen | Vollständige Erfassung aller Tools, Endpunkte und Sub-Aufträge. Ein „Digitaler Hygiene-Scan“ als Pflichtprozess. |
|---|---|---|
| 2 | Automatisierte Scans | Tägliche Schwachstellenscans. Pen-Tests pro Quartal. Real-Time-Alerts bei unbekannten Geräten im Netzwerk. |
| 3 | Shadow-IT-Sprechstunde | CISO, Compliance und Tech gemeinsam. Regelmässiger Austausch darüber, was außerhalb der offiziellen Prozesse läuft. |
| 4 | Policy-Drills | Incident-Response-Simulationen. Onboarding/Offboarding-Tests. BYOD-Checks unter realen Bedingungen. |
| 5 | Reporting skalieren | Automatische 4h/72h-Meldungen. Transparente Provider-Kette. Kein Audit-Report ohne technische Stichprobe. |
Das Ergebnis: Leak gestoppt in 18 Stunden. Regulatorische Strafen verhindert. Neuer Auditvertrag spart 800.000 € pro Jahr. Und: Die Fassade wurde transparent – ohne einzustürzen.
ISO ist eine Momentaufnahme. DORA verlangt ein lebendiges System. Der grösste Fehler war nicht der Tool-Zoo. Es war der Glaube, dass Konformität Sicherheit bedeutet.
SkyGate hatte alle Papiere. Und keine Substanz dahinter. Das ist kein Prüfungsproblem. Es ist ein Organisationsproblem.
NBK Legal ·
Die vorliegende Geschichte ersetzt keine Rechtsberatung.