www.itsicherheit-online.com Heft im Heft IT-Sicherheit in der Banken- und Finanzwelt Business-Continuity Warum E-Mail-Archivierung Teil der IT-Strategie sein sollte Marktüberblick Relevante Hersteller/Dienstleister und ihre Angebote

Inhalt 2 Editorial 4 Warum E-Mail-Archivierung im Bankensektor Teil der IT-Strategie sein sollte Business-Continuity ist mehr als nur ein Backup Anbieter 6 Ganzheitliches Management- system und internes Kontroll- system (IKS) nach BaFin VAIT bei der HanseMerkur Krankenversicherung AG 7 Sicher und einfach: biometrische Authentifizierung für Banken 8 „Security as a Service“ als wirksamer Hebel zum besseren IT-Schutz von Banken 10 Sicher aufbewahrt, schnell gefunden: Professionelle E-Mail- Archivierung für Banken SPECIAL_2/2023 IT-SICHERHEIT IN DER BANKEN- UND FINANZWELT 3 Bild: Ar_TH - stock.adobe.com, Who is Danny - stock.adobe.com

sowie der Europäischen Aufsichtsbehörde für das Versiche- rungswesen und die betriebliche Altersvorsorge (EIOPA) zu berücksichtigen. Im Zuge eines Vertragsabschlusses mit einem SaaS-An- bieter empfiehlt es sich, einen zusätzlichen Auftragsverarbei- tungsvertrag (AVV) abzuschließen, um den Anforderungen des Artikels 28 DSGVO nachzukommen. Dieser ist erforderlich, wenn personenbezogene Daten im Auftrag an Dritte („Auf- tragsverarbeiter“) weitergegeben und verarbeitet werden. Business-Continuity: Backups sind nicht genug Vom Gesetzgeber vorgeschriebene Regularien sind jedoch nicht die einzigen Aspekte, die Unternehmen im Bankensek- tor in ihrer Informationsmanagementstrategie bedenken sollten. Ebenso empfiehlt es sich, potenzielle Systemausfälle aufgrund von Problemen mit der hauseigenen IT-Infrastruk- tur, Ausfälle aufseiten von IT-Service-Providern, Anwender- fehler, Manipulation durch das absichtliche Löschen von Da- ten sowie die immer häufiger vorkommenden Cyber-Angriffe zu berücksichtigen. Diese Risiken können nicht nur den allge- meinen Geschäftsbetrieb beeinträchtigen, sondern ebenfalls zu einem erheblichen Datenverlust führen – einschließlich geschäftskritischer und sensibler E-Mail-Inhalte wie Rech- nungen, Angebote oder Verträge. Kreditinstitute, Kapitalanla- gegesellschaften, Leasinggesellschaften und sonstige Unter- nehmen des Bankensektors – dazu zählen im Übrigen auch Unternehmen aus dem Versicherungswesen – sollten daher eine entsprechende Lösung implementieren, um im Ernstfall eine umfangreiche Wiederherstellung betroffener Daten vor- nehmen zu können. Ansonsten drohen ihnen unter anderem juristische Konsequenzen, da entsprechende Aufsichtsbehör- den prüfen, ob Datenschutzvorgaben und Aufbewahrungs- pflichten eingehalten wurden. Wenig überraschend: Bei ei- nem schwerwiegenden Ausfall des E-Mail-Servers ist die Wahrscheinlichkeit hoch, dass dies nicht der Fall ist. Oftmals gehen Unternehmen davon aus, dass ein Backup- System ausreicht, um sich vor einem Datenverlust zu schüt- zen und die Geschäftskontinuität zu wahren. Das ist jedoch ein Trugschluss. Ein Backup-System legt in vordefinierten, regelmäßigen Abständen Kopien der E-Mail-Daten bezie- hungsweise des ganzen E-Mail-Servers in der Cloud oder auf einem anderen externen Speichermedium ab. Neue Datenbe- stände, die nach einem durchgeführten Backup entstanden sind, werden erst im darauffolgenden Backup-Zyklus gesi- chert und sind bis zu diesem Zeitpunkt dem Risiko ausge- setzt, dauerhaft verloren zu gehen. Ein erfolgreiches Backup kann den E-Mail-Server wieder verfügbar machen, ist aber keine Garantie für eine lückenlose Wiederherstellung des his- torischen E-Mail-Bestandes. Im Sinne der Disaster-Recovery mag dies für die akute Wiederherstellung von Daten aus- reichen, ist jedoch nicht konform mit rechtlichen Vorgaben, die eine vollständige und revisionssichere Aufbewahrung voraussetzen. Zwar sollten Unternehmen im Bankensek- tor Backup-Lösungen in ihrer Business-Continuity-Strategie selbstverständlich einplanen, sie brauchen ergänzend aber noch eine weitere Lösung, die E-Mails revisionssicher vor- hält, bewahrt und dauerhaft verfügbar macht – und das Roland Latzel ist Senior Director of Marketing bei der MailStore Software GmbH. SPECIAL_2/2023 IT-SICHERHEIT IN DER BANKEN- UND FINANZWELT 5 unter Berücksichtigung von datenschutzrechtlichen Rah-menbedingungen.Revisionssichere E-Mail-Archivierung Eine professionelle, unabhängige E-Mail-Archivierungs-lösung bietet sich als Ergänzung zu herkömmlichen Backup-Systemen an. Sie erstellt kontinuierlich Kopien von einzelnen E-Mails samt Anhängen und speichert diese lückenlos, revi-sionssicher und über einen langen Zeitraum hinweg in einem zentralen Archiv.Professionelle E-Mail-Archivierungslösungen bieten die Möglichkeit, je nach Bedarf zwischen verschiedenen strate-gischen Archivierungsansätzen zu wählen. Wenn die rechts-konforme E-Mail-Archivierung im Vordergrund steht, ist die Journalarchivierung die beste Archivierungsoption. Wenn die Entlastung des E-Mail-Servers das Hauptziel ist, ist die Archi-vierung von Postfächern in Verbindung mit definierbaren Löschregeln die bessere Wahl. Auch eine Kombination beider Ansätze ist möglich, sodass Unternehmen des Bankensektors von beiden Archivierungsansätzen profitieren und die E-Mail-Archivierungslösung als unverzichtbaren Teil ihrer IT-Strate-gie einsetzen können.Ein weiterer Vorteil ist, dass die Einsicht in und der Zugriff auf das Archiv auch bei Ausfall des E-Mail-Dienstes möglich ist. Hier erweisen sich Such- und Exportfunktionen besonders im Rahmen von Compliance-Audits oder in Rechtsstreitigkei-ten (Stichwort „E-Mail als Beweis vor Gericht“) als hilfreich. Auch Mitarbeiter können je nach Konfiguration E-Mail-Be-stände eigenständig durchsuchen und Daten bei Bedarf in ein Standardformat exportieren oder wiederherstellen. Dafür müssen sie keine Anfragen mehr an die IT-Abteilung stellen.FazitEine E-Mail-Archivierungslösung unterstützt Unterneh-men in stark regulierten Branchen dabei – wie in diesem Fall Unternehmen des Bankensektors als Teil der Finanzbranche – rechtlichen und damit auch datenschutzrechtlichen Anforde-rungen nachzukommen. Sie kann die vollständige und re-visionssichere Aufbewahrung aller relevanten E-Mails über mehrere Jahre hinweg gewährleisten – Mitarbeiter und Prü-fer gleichermaßen können kontinuierlich auf den gesamten archivierten E-Mail-Bestand zugreifen. Diese Vollständigkeit ist ein wichtiger Baustein jeder Business-Continuity-Strategie. Daher sollte eine professionelle E-Mail-Archivierungslösung, ergänzend zu Backup- und Security-Lösungen, in keinem Unternehmen fehlen. n

– ADVERTORIAL – Sicher und einfach: biometrische Authentifizierung für Banken Autor: Stephan Schweizer O nlinebanking wird bei Bankkunden immer beliebter. Im Jahr 2022 lag der Anteil der Personen, die ihre Bank­ geschäfte über das Internet abwickelten, bei rund 49 Prozent. Sicherheit ist dabei das wichtigste Thema für die Kunden. In einer Studie von SurePay in Zusammenarbeit mit dem ECC Köln gaben knapp 50 Prozent der Befragten an, dass sie einen Wechsel in Betracht ziehen würden, wenn sie sich bei ihrem Finanzinstitut nicht sicher fühlen. Wichtig ist den Kunden auch, dass die Anmelde­ und Transaktionsprozes­ se möglichst reibungslos funktionieren. Ein wichtiger Bereich ist dabei die Kundenauthentifizierung. Hier gibt es einige Herausforderungen, die aber gelöst werden können. Stolpersteine bei der Authentifizierung Bei der Authentifizierung gibt es bei vielen, aber nicht bei allen Banken Probleme. So setzen nicht alle Finanzinstitute auf die aktuelle Form der passwortlosen Authentifizierung nach dem aktuellen und international anerkannten FIDO­Standard. Viele nutzen noch das mTAN­Verfahren oder Hardware­Token. Beides ist weder für die Sicherheit noch für die Benut­ zerfreundlichkeit ideal. Ähnliches gilt für Sicherheitsmaßnahmen, die nach dem Login­Prozess etabliert werden. Hierzu zählen insbesondere kontextbasierte Verifika tio­ nen wie Device Fingerprint oder verhaltensbiometrische Merkmale. Die Sicherheitssysteme der Banken müssen in der Lage sein, diese Merk male auszuwerten und bei Abweichungen zum Beispiel durch eine erneute Authentifizierung einzugreifen. Solche Sicherheitsmaßnahmen, die beim Login eines Kunden oder während der Kontositzung implementiert wer­ den, setzen nur die Hälfte der großen Banken ein. Zu groß ist die Angst vor False Positives, die zur ungerechtfertigten Sperrung von Kundenkonten führen können. . m o c . e b o d a k c o t s - e e d a r r a P : d l i B Diese Angst ist jedoch unbegründet, da durch ein sicheres und FIDO­kon­ formes Login die zusätzlichen Maßnahmen weniger streng ausfallen kön­ nen. Diese greifen dann nur bei extremen Abweichungen. Das Kundener­ lebnis wird dadurch nicht beeinträchtigt. Ein reibungsloses Kundenerlebnis und hohe Sicherheit sind kritische Er­ folgsfaktoren für Banken. Eine schlechte User Experience kann ausreichen, um 20 Prozent der eigenen Kunden dauerhaft zu verlieren. Eine gute User Experience wird daher heute von den Kunden erwartet – fehlt sie, ist das für die Banken ein handfester Wettbewerbsnachteil. Dies liegt zum einen am Mangel an qualifiziertem Personal. Zum anderen wird gerade im Bankensektor häufig Individualsoftware eingesetzt, um den hohen Sicherheitsanforderungen gerecht zu werden. Doch meist ge­ hen die bankinternen Richtlinien noch deutlich über die regulatorischen Anforderungen hinaus. Dies führt dazu, dass der Aufwand den Nutzen übersteigt. Entsprechend schwierig ist es, die so entstandenen, sehr si­ cheren, aber auch extrem abgeschotteten Datensilos zu öffnen, um bei­ spielsweise neue Dienstleistungen anbieten zu können. Herausforderungen für die Modernisierung abbauen Banken und Finanzinstitute können es sich auf Dauer nicht leisten, die Modernisierung ihrer Software zu vernachlässigen. Die Lösung liegt im Einsatz modularer CIAM­Software. In den letzten Jahren ist das Angebot in diesem Bereich stark gewachsen und wird von externen Dienstleistern entwickelt. Sie bieten den Banken die notwendige Sicherheit, können aber „out of the box“ eingesetzt werden, ohne dass unzählige Erweite­ rungen programmiert werden müssen. Das vereinfacht Release­Zyklen und eilige Upgrades, wie sie zum Beispiel zur Behebung einer Sicherheits­ lücke notwendig sein können. So steht einer reibungslosen Customer Journey nichts mehr im Wege. n Kontaktinfo: Nevis Security AG Birmensdorferstrasse 94 8003 Zürich Tel.: +41(0)43.50806-81 marketing@nevis.net www.nevis.net SPECIAL_2/2023 IT-SICHERHEIT IN DER BANKEN- UND FINANZWELT 7

– ADVERTORIAL – kategorisiert. Er erkennt sensible Informationen, wie beispielsweise eine Kreditkarten­ oder Sozialversicherungsnummer. Der Spam­Filter ver­ wendet dann die Content Disarm and Reconstruction­Technologie (CDR), um alle bösartigen Makros aus den Anhängen zu entfernen und die Datei in ein sicheres PDF­Format zu konvertieren. Das ist besonders nützlich bei der großen Anzahl von Ausweisdokumenten, die eine Bank erhält. Die iQ.Suite gibt Phising und den aktuellen Hacker­Trends, wie bösartige OneNote­Anhänge und Ransomware­E­Mails, die auf intermittierender Verschlüsselung basieren, keine Chance. Wird eine E­Mail als bösartig er­ kannt, wird sie in Quarantäne gestellt und der Empfänger benachrichtigt. Wenn ein Bankangestellter eine E­Mail verschickt, unterliegt diese E­Mail ebenfalls den gleichen hohen Sicherheitsstandards. Zunächst wird die E­Mail durch das Data Loss Prevention Tool analysiert. Anomalien im Datenverkehr, die Art der angehängten Dateien, das Dateivolumen oder verdächtige Textmuster können auf unzulässige Vorgänge hinweisen. Unbefugte Mitarbeiter können so keine vertraulichen Informationen – versehentlich oder absichtlich – versenden. Wenn die E­Mail sauber und sicher ist, wird sie automatisch verschlüsselt, um zu verhindern, dass sie von außen abgefangen und manipuliert werden kann. Der Absender wird durch die iQ.Suite sehr entlastet, da alle Schritte automatisch erfolgen. „Was die iQ.Suite so großartig macht, ist ihr vollautomatischer und selbst­ ständiger Betrieb. Wie ich es gern nenne, ist dies eine ,walk away security‘ – man drückt den Knopf und kann gehen, denn sie funktioniert von selbst. Es besteht kein Bedarf an permanenter Betreuung und Überwa­ chung. Wenn Sie es als Dienstleistung erwerben, müssen Sie es nicht ein­ mal einrichten, da die gesamte Einstellung, Überwachung, Wartung und die Updates von unserem Team übernommen werden. Gleichzeitig haben Sie alle Auswertungen und Statistiken über die Leistung in der Hand, die Sie in Ihre Sicherheitsberichte integrieren und den Aufsichtsbehörden vor­ legen können. Außerdem erkennen Sie die Leistungstrends und Sicher­ heitsschwachstellen, beispielsweise sobald eine bestimmte Abteilung plötzlich mehr kompromittierte E­Mails erhält oder bestimmte Benutzer eine erhöhte Anzahl von E­Mails mit sensiblen Informationen empfan­ gen“, fasst Dingerkus zusammen. n Kontaktinformationen: GBS Europa GmbH Zur Giesserei 19-27B 76227 Karlsruhe Deutschland Tel.: +49 721 4901-0 E-Mail: info@gbs.com Internet: https://www.gbs.com wie zum Beispiel beim Bankspoofing. Dadurch geraten die Banken unfrei­ willig in die Position eines Beteiligten an diesem Betrug und ihre Vertrau­ enswürdigkeit wird beeinträchtigt“, kommentiert Uwe Dingerkus, Service Owner bei der Sicherheitsfirma GBS. Die Stärkung der Sicherheit ist ein Muss, jedoch hat sie bekanntlich ihren Preis. Wir untersuchen einige kritische Faktoren, die berücksichtigt wer­ den müssen. Da ist zunächst die Verschärfung der staatlichen Kontrol­ len über Governance, Compliance und Datenschutz, die die Banken dazu verpflichten, Risiken zu überwachen, den Schutz vor Cyberbedrohungen zu intensivieren und einen umfassenden Überblick sowie eine bessere Kontrolle über alle ihre Sicherheitsmechanismen zu schaffen. Gleichzeitig gibt es (nicht nur) in Deutschland einen Mangel an qualifizierten IT­Fach­ kräften und einen Bedarf an technischem Know­how in verschiedenen Sicherheitsbereichen. Die hohen Bildungs­ und Unterhaltungskosten zur Aufrechterhaltung eines starken Sicherheitsteams kommen erschwerend hinzu. Eigenes Team versus SaaS Eine der Alternativen zum Aufbau eines eigenen Sicherheitsteams ist Security SaaS (Software as a Service). Dies kann mehrere Probleme auf einmal lösen. Unternehmen sind oft besorgt wegen der Kosten für Saas­Lösungen. „Hier geht es nicht um den Vergleich der Anfangskosten, sondern um den Langzeiteffekt sowie die Spanne der erhaltenen Leistungen“, so Dinger­ kus. Ein 24/7­Support für die sofortige Reaktion auf einen Vorfall ist sehr kostenintensiv. SaaS substituiert den Aufbau eines eigenen und teuren IT­ Teams. Ein externes Serviceteam verfügt bereits über zahlreiche Experten mit tiefgreifenden Kenntnissen in allen relevanten Sicherheitsbereichen. Dadurch erhalten die Kreditinstitute auch einen Zugang zu erweiterten Technologien, welche das Sicherheitsniveau der Banken deutlich erhöhen. Ein weiteres Kosteneinsparungspotenzial von SaaS ist die Flexibilität, die Services zu ändern oder zu skalieren. Es wird nur die Leistung bezahlt, die tatsächlich genutzt wird. Mit den bevorstehenden Vorschriften, insbeson­ dere DORA, die mehr Audits und Pentests voraussetzt, erweist sich die Transparenz als ein entscheidendes Kriterium für die Sicherheitsreife einer Bank. Die Überwachung der Performance einzelner Sicherheitsmaßnah­ men durch zentral verwaltete Analysetools und Dashboards verschafft daher den nötigen Überblick. Der Verwaltungsaufwand und die Gefahr durch Supply­Chain­Angriffe werden durch die Bereitstellung mehrerer Sicherheitsfunktionen von einem Drittanbieter verringert. Praxisbeispiel für eine E-Mail Security SaaS Wie ein SaaS­Produkt in der Praxis funktionieren kann, erläutert Uwe Dingerkus am Beispiel von iQ.Suite, eine GBS­Lösung für umfassende E­Mail­Sicherheit. Die iQ.Suite bietet mehrstufigen Schutz vor jeder Art von Malware und Spam, welche von eingehenden E­Mails stammen, und verhindert dabei, mithilfe von Verschlüsselungen und Kontrollen gegen den Verlust von sensiblen Daten, den Missbrauch von Daten. Wenn eine infizierte E­Mail bei der Bank eingeht, wird sie von der iQ.Suite in Echtzeit mit bis zu vier namhaften Scannern geprüft. Die E­Mail wird, durch Spam­Filter, nach dem Inhalt und den internen Richtlinien der Bank SPECIAL_2/2023 IT-SICHERHEIT IN DER BANKEN- UND FINANZWELT 9

– ADVERTORIAL – Rahmenbedingungen verlangen ein ausgeklügeltes Informationsma­ nagement einschließlich einer ordentlichen E­Mail­Archivierung. MailStore Server: was eine E-Mail-Archi- vierungslösung bieten muss Nachdem IT­Entscheider die Rahmenbedingung für die E­Mail­Archi­ vierung gemeinsam mit allen relevanten Stakeholdern wie CISOs/CIOs, Datenschutzbeauftragten oder dem Betriebsrat abgesprochen haben, gilt es, die für ihre Ansprüche beste E­Mail­Archivierungslösung zu finden. MailStore Server verfügt bereits über ein umfangreiches Funktionsreper­ toire, mit dem Banken und Finanzdienstleister die Archivierung sensibler Kommunikation rechtssicher realisieren können: ƒ Revisionssicher, langfristig, individuell: Mit MailStore Server können IT­Mitarbeiter individuelle Archivierungs­ und Löschregeln definieren, die den gesetzlichen Vorgaben zur revisionssicheren und langfristigen Aufbewahrung von E­Mail­Daten entsprechen. ƒ Zugänglich und effizient: Banken und Finanzdienstleister müssen den permanenten Zugriff auf archivierte Daten ermöglichen. Dafür verfügt MailStore Server über eine leistungsstarke Volltextsuche sowie weitere Funktionen, mit denen sich Daten einfach wiederherstellen und expor­ tieren lassen. Dies spielt vor allem in Compliance­, Audit­ und Rechts­ angelegenheiten eine große Rolle. Aber auch sobald ein Kunde seine Auskunftsrechte gemäß DSGVO geltend machen möchte, unterstützt die Suchfunktion bei der schnellen Umsetzung. Zudem können Anwen­ der über die Self­Service­Funktion selbstständig auf ihr persönliches Archiv zugreifen und Daten wiederherstellen, ohne die IT­Abteilung involvieren zu müssen. Somit wird auch die Produktivität der Anwen­ der gesteigert. ƒ Sicher und zertifiziert: MailStore Server nutzt moderne Hash­ und Verschlüsselungsverfahren, um den archivierten Datenbestand vor Manipulation und Verlust zu schützen. Manuelle Änderungen, die ein Mitarbeiter am Archiv vornimmt, werden via Audit Log dokumentiert und lassen sich dadurch nachverfolgen. MailStore Server ist zudem unabhängig nach DSGVO und IDW PS 880 zertifiziert und verspricht somit ein hohes Sicherheitsniveau. Kontakt: MailStore Software GmbH Clörather Straße 1–3 • 41748 Viersen (Deutschland) Tel.: +49-(0)2162-50299-0 • Fax: +49 (0)2162-50299-29 E-Mail: sales@mailstore.com www.mailstore.com/de Cloud oder On-Premises? Unternehmen, die eine E­Mail­Archivierungslösung für ihr E­Mail­Ma­ nagement implementieren möchten, müssen sich zunächst entschei­ den, ob sie die Bereitstellung mittels eigener Server umsetzen oder einen Cloud­Service von einem Managed­Services­Provider oder einem der großen Public­Cloud­Anbieter beziehen wollen. Die Kombination von SaaS­Angeboten und Inhouse­Infrastruktur im eigenen Rechenzentrum ist ebenfalls möglich. Cloudbasierte Lösungen haben unter anderem den Vorteil, dass der physische Speicherort der Daten vom eigenen Rechen­ zentrum entkoppelt ist. Sollte es dort zu Zwischenfällen kommen, sind die in der Cloud archivierten Daten nicht betroffen. Ist die Cloud­Lösung dann auch noch redundant ausgelegt, hat man ein sehr sichereres, hoch­ verfügbares System. Aber auch Cloud­Anbieter sind nicht vor Systemaus­ fällen geschützt – als Beispiele wären hier der Brand im Straßburger Rechenzentrum von OVHCloud im Jahr 2021 und der weltweite Ausfall der Hosted­Exchange­Umgebungen des Hosting­Providers Rackspace im Jahr 2022 genannt, Letzteres bedingt durch eine Ransomware­Attacke. Vor dem Hintergrund der DSGVO ist allerdings zu beachten, wo sich die Rechenzentren befinden. Gemäß Artikel 44 ff. EU­DSGVO dürfen perso­ nenbezogene Daten nur dann in ein Drittland übertragen werden, wenn das Datenschutzniveau den Anforderungen der EU entspricht. Dazu kommen noch weitere Regularien der europäischen Bankenaufsicht EBA. Bei einem Vertragsabschluss mit einem SaaS­Anbieter bietet es sich an, einen zusätzlichen Auftragsverarbeitungsvertrag (AVV) abzuschließen, um den Anforderungen des Artikels 28 EU­DSGVO nachzukommen. Dieser ist notwendig, wenn personenbezogene Daten zur Verarbeitung an Dritte weitergegeben werden. Mehr als nur Backup Neben gesetzlichen Vorgaben spricht auch aus der Sicht der Business Con­ tinuity vieles für eine professionelle Archivierungslösung. Unternehmen im Finanzsektor müssen Systemausfälle aufgrund von Problemen mit der hauseigenen Hardware, Ausfälle aufseiten von IT­Service­Providern, Anwenderfehler, Manipulation durch das absichtliche Löschen von Daten sowie die immer häufiger vorkommenden Cyberangriffe berücksichtigen und sich dagegen wappnen. Regelmäßige Backups sind wichtig – doch sie allein reichen nicht aus, um sich umfassend vor Datenverlust zu schützen. Das liegt daran, dass Backups immer zyklisch erfolgen und zu einem bestimmten Zeitpunkt eine Momentaufnahme des Systems abbilden. Neue Daten, die nach dem Backup hinzugekommen sind, werden demzufolge erst im nächsten Zyk­ lus gesichert. So kann es bei einem Systemausfall zu Lücken im Datenbe­ stand kommen. Um die lückenlose Wiederherstellung des historischen E­Mail­Bestandes zu gewährleisten, benötigen Unternehmen zusätzlich noch eine E­Mail­Archivierung, die alle relevanten E­Mails direkt, das heißt, noch vor der Zustellung in die Postfächer, in ein eigens dafür vorge­ sehenes Archiv kopiert und eine vollständige, revisionssichere und lang­ fristige Aufbewahrung der Daten sicherstellt. Nur so können sie rechts­ sicher arbeiten und alle Dokumentationspflichten erfüllen. Dabei ist aber nicht zu vergessen: Auch das Archiv sollte Teil des Backup­Plans sein. SPECIAL_2/2023 IT-SICHERHEIT IN DER BANKEN- UND FINANZWELT 11