Artikel 9 ist Teil des in Artikel 6 geforderten Rahmens für das IKT-Risikomanagement. Zwei Bestimmungen betreffen unmittelbar die Verwaltung von Zugangsdaten. Artikel 9(4)(c) verpflichtet Finanzunternehmen, den physischen und logischen Zugang zu IKT-Werten auf das zu beschränken, was für legitime und genehmigte Funktionen erforderlich ist — das Least-Privilege-Prinzip als Rechtspflicht. Artikel 9(4)(d) verlangt darüber hinaus Verfahren für starke Authentifizierungsmechanismen auf Basis einschlägiger Standards sowie den Schutz kryptografischer Schlüssel.
In der Praxis bedeutet das laut dem Beitrag: Multi-Faktor-Authentifizierung ist verpflichtend. Der Verweis auf „einschlägige Standards" zielt auf FIDO2/WebAuthn — den derzeit am weitesten verbreiteten Standard, der gegen Adversary-in-the-Middle-Phishing-Kits resistent ist, die SMS- und TOTP-basierte MFA in Echtzeit umgehen können. Auch wenn Werkzeuge für Privileged Access Management (PAM) nicht ausdrücklich genannt werden, decken sich ihre Funktionen — Sitzungsaufzeichnung, Just-in-Time-Zugriff und Vaulting privilegierter Zugangsdaten — mit den in Artikel 9 beschriebenen „dedizierten Kontrollsystemen". Die Technischen Regulierungsstandards von EBA und ESMA konkretisieren diese Vorgaben weiter.
Durch die Brille der operativen Widerstandsfähigkeit betrachtet, erzeugt eine kompromittierte Zugangsberechtigung kein abgegrenztes Sicherheitsereignis, sondern eine anhaltende, unsichtbare Bedrohung der Betriebskontinuität: Der Angreifer bewegt sich seitlich durchs Netz, weitet Rechte aus und kartiert kritische Systeme, während er als legitimer Nutzer erscheint.
Wie das in der Realität aussieht, zeigt laut dem Beitrag der Einbruch in das nationale Bankkontenregister Frankreichs im Januar 2026. Ein Angreifer erlangte die Zugangsdaten eines einzelnen Beamten mit Zugriff auf Ficoba, die interministerielle Datenbank über sämtliche in Frankreich eröffneten Bankkonten. Allein über dieses eine Konto extrahierte er Daten zu 1,2 Millionen Bankkonten, darunter IBANs, Namen und Adressen der Kontoinhaber sowie Steueridentifikationsnummern. Das System wurde abgeschaltet, der Betrieb des Registers gestört und der Vorfall an die französische Datenschutzbehörde CNIL gemeldet. Technisches Können war nicht erforderlich. Ein Vorfall dieser Größenordnung würde unter DORA die Meldepflichten nach Artikel 19 auslösen: eine Erstmeldung binnen vier Stunden nach Klassifizierung (spätestens 24 Stunden nach Entdeckung), einen Zwischenbericht binnen 72 Stunden und einen Abschlussbericht binnen eines Monats.
Kapitel V von DORA erstreckt die Pflichten ausdrücklich auf IKT-Drittparteienrisiken. Als europäisches Referenzbeispiel nennt der Beitrag den Santander-Einbruch im Mai 2024: Angreifer nutzten von Snowflake-Mitarbeitern gestohlene Zugangsdaten, um auf eine Datenbank mit Kunden- und Mitarbeiterdaten in Spanien, Chile und Uruguay zuzugreifen. Die Zugangsdaten waren Monate zuvor durch Infostealer-Malware auf Rechnern von Auftragnehmern abgegriffen worden; keines der betroffenen Snowflake-Konten hatte MFA aktiviert. Institute müssen vertraglich gleichwertige Authentifizierungsstandards von ihren Dienstleistern fordern und deren Einhaltung prüfen.
Der Beitrag skizziert vier Kontrollbereiche: phishing-resistente MFA auf Basis von FIDO2/WebAuthn statt SMS oder TOTP, Least-Privilege-Zugriff mit Just-in-Time-Vergabe und sofortiger Deaktivierung von Konten beim Offboarding, das Vaulting aller Zugangsdaten in einem verschlüsselten Tresor sowie kontinuierliche Überwachung mit automatischen Warnungen bei auffälligem Anmeldeverhalten. Als Produkt der Autorenfirma wird Passwork beworben — ein nach ISO/IEC 27001 zertifizierter, selbst gehosteter Passwortmanager mit exportierbaren, manipulationssicheren Protokollen.