Digitale Souveränität ist jetzt ein Vorstandsrisiko: Was DORA und die EZB für Krypto-Buchhaltungssoftware bedeuten
Eine neue KPMG-Analyse in Zusammenarbeit mit der Europäischen Zentralbank betrachtet digitale Souveränität nicht als Nischen-Compliance-Übung, sondern als eine Kernstrategie-Fähigkeit für regulierte Finanzinstitute. Das am 6. Juli 2026 veröffentlichte Papier argumentiert, dass Banken – und davon abgeleitet jedes von der EZB beaufsichtigte Unternehmen – in der Lage sein müssen, kritische Technologieabhängigkeiten zu verstehen, zu kontrollieren und gegebenenfalls zu beenden. Für Wirtschaftsprüfungsgesellschaften, die Finanzkunden beraten, CFOs, die Krypto-Treasury-Funktionen betreiben, und alle Organisationen, die zur Erfüllung regulatorischer Verpflichtungen auf digitale Asset-Buchhaltungssoftware angewiesen sind, hat diese Rahmung direkte und unmittelbare Auswirkungen.
Was KPMG und die EZB tatsächlich gesagt haben
Die Analyse positioniert digitale Souveränität als eine Risikomanagement-Disziplin und nicht als eine Technologiebeschaffungspräferenz. Europas Finanzinstitute sind stark von einer kleinen Anzahl globaler Cloud-, Software- und KI-Plattformen abhängig, um Kernbankfunktionen in großem Maßstab bereitzustellen. Diese Konzentration schafft Effizienz, aber auch Single Points of Failure und die Gefährdung durch geopolitische oder rechtliche Entwicklungen außerhalb der EU-Reichweite.
Das Papier stellt klar, dass digitale Souveränität nicht erfordert, dass Institute alle Technologien internalisieren oder nicht-europäische Anbieter meiden. Erforderlich ist vielmehr, dass Abhängigkeiten sichtbar, kontrolliert und – entscheidend – umkehrbar sind. Ein Institut, das eine kritische Drittparteienbeziehung nicht ohne Betriebsunterbrechung beenden kann, hat laut Papier seine Souveränität bereits aufgegeben.
Die regulatorische Mindestanforderung: DORA und der EZB-Cloud-Leitfaden
Die harte rechtliche Basis für EU-regulierte Banken findet sich in zwei Instrumenten. Erstens dem Digital Operational Resilience Act (DORA), der von Instituten verlangt, glaubwürdige Ausstiegspläne für kritische IKT-Drittdienstleister zu unterhalten. Zweitens dem überarbeiteten EZB-Leitfaden zum Cloud-Outsourcing, der Aufsichtserwartungen für das Konzentrationsrisikomanagement bei der Cloud-Beschaffung festlegt. Zusammen bedeuten diese Instrumente, dass digitale Souveränität nicht nur eine strategische Aspiration ist; sie ist bereits in aufsichtliche Prüfprogramme eingebettet.
Über diese beiden Anker hinaus identifiziert KPMG eine breitere politische Architektur, die in die gleiche Richtung drängt: den Digital Markets Act, das novellierte deutsche Wettbewerbsrecht, das EU Tech Sovereignty Package, den vorgeschlagenen Cloud and AI Development Act, Chips Act 2.0 und die EU-Open-Source-Strategie. Keines dieser Instrumente schafft einzeln eine neue Verpflichtung für jedes Unternehmen, aber gemeinsam signalisieren sie einen klaren aufsichtlichen Willen. Vorstände und Prüfungsausschüsse, die digitale Souveränität als ein zukünftiges Anliegen behandeln, liegen laut Papier bereits hinter der Kurve.
Warum Krypto-Buchhaltungssoftware von dieser Analyse betroffen ist
Wirtschaftsprüfungsgesellschaften und CFOs, die digitale Asset-Portfolios verwalten, verlassen sich routinemäßig auf Drittplattformen für die Transaktionserfassung, Ledger-Abstimmung, Kostenbasisberechnung und regulatorische Berichterstattung. Diese Plattformen fallen genau in die Kategorie der kritischen IKT-Dienste, die das KPMG/EZB-Papier adressiert. Wenn ein Anbieter in den Monatsabschlussprozess, die Prüfungsspur oder den Steuererklärungsworkflow eingebettet ist, dann birgt ein erzwungener oder ungeplanter Ausstieg aus diesem Anbieter genau das Betriebs- und Regulierungskontinuitätsrisiko, das der Rahmen zu managen versucht.
Dies ist keine theoretische Sorge. Die Konzentration der Krypto-Buchhaltungssoftware unter einer kleinen Anzahl von Anbietern, von denen viele außerhalb der EU ansässig sind, bedeutet, dass die vom Papier beschriebene geopolitische Gefährdung – einschließlich Datenresidenz, rechtlicher Zugriffsanfragen und vertraglicher Durchsetzung – direkt auf Krypto-Finanzfunktionen zutrifft.
Datenresidenz und Entscheidungsrechte
Das KPMG-Papier führt eine nützliche Unterscheidung zwischen EU-basierter Hosting und echter Souveränität ein. Die Lokalisierung von Daten innerhalb der EU-Grenzen erfüllt für sich genommen den Rahmen nicht, wenn der Anbieter einseitige Rechte behält, Workloads zu verschieben, Verschlüsselungsstandards zu ändern, Datenzugriffsmodelle zu verändern oder den Vertrag kurzfristig zu kündigen. Für Unternehmen, die digitale Asset-Buchhaltungssoftware verwenden, sind die relevanten Fragen, ob Transaktionsdaten in einem portablen Format extrahiert werden können, ob das Support-Modell des Anbieters eine betriebliche Abhängigkeit schafft, die nicht schnell aufgelöst werden kann, und ob die vertraglichen Bedingungen dem Kunden echte Prüfungs- und Ausstiegsrechte einräumen.
KI-Modelle und die neue Abhängigkeitsebene
KPMG hebt speziell den Aufstieg der KI als einen Faktor hervor, der das Risiko der digitalen Souveränität vertieft. Wenn KI-Modelle Kreditentscheidungen, Compliance-Warnungen oder Transaktionsklassifikationen beeinflussen, muss das Institut nicht nur verstehen, wo die zugrundeliegenden Daten liegen, sondern auch welches Modell, trainiert auf welchen Daten, Ergebnisse produziert, die regulierte Prozesse speisen. Für Krypto-Buchhaltungs- und AML-Funktionen, bei denen die Klassifikation von On-Chain-Aktivitäten zunehmend KI-gestützt ist, fügt dies eine neue Due-Diligence-Ebene hinzu, die Unternehmen in ihren IKT-Risikoregistern unter DORA dokumentieren müssen.
Der Sieben-Bereiche-Aktionsrahmen
KPMGs Papier skizziert sieben Aktionsbereiche für Institute, die einen pragmatischen Weg zur digitalen Souveränität suchen. Während sich das Papier an Banken richtet, lässt sich die Logik sauber auf die Governance-Herausforderungen übertragen, denen jedes regulierte Unternehmen mit wesentlichen Krypto-Finanzoperationen gegenübersteht.
Klassifikations- und Platzierungslogik
Der erste praktische Schritt ist die Klassifikation: Mapping von Anwendungen, Datensätzen und Prozessen nach Kritikalität, regulatorischer Sensitivität, Datenvertraulichkeit, Substituierbarkeit und Ausstiegsmachbarkeit. Für ein CFO-Büro bedeutet dies, den Krypto-Buchhaltungssoftware-Stack auf die gleiche Weise zu kategorisieren, wie eine Bank ihr Kernbanksystem kategorisieren würde. Ist die Plattform kritisch für den Abschlussprozess? Werden Transaktionsdaten ausschließlich vom Anbieter gehalten? Was ist der realistische Migrationszeitplan, wenn die Beziehung endet?
Die Klassifikation treibt dann Platzierungsentscheidungen. Das Papier argumentiert, dass eine EU-basierte Bereitstellung für kritische Dienste angemessen sein kann, aber für sich genommen nicht ausreicht. Kontrollrechte, Support-Abhängigkeiten, Verschlüsselungs-Governance und Portabilität müssen zusammen mit der Geografie bewertet werden.
Härtung bestehender Infrastruktur und Open-Source-Disziplin
Das Papier empfiehlt den selektiven Einsatz von Open-Source-Tools, um die Anbieterabhängigkeit zu verringern, stellt dabei jedoch eine klare Bedingung: Open Source stärkt die Souveränität nur, wenn das Institut die interne Fähigkeit hat, es sicher über seinen gesamten Lebenszyklus zu betreiben. Das bedeutet klare Eigentümerschaft, strukturiertes Patch-Management, proaktives Schwachstellenmanagement und ausreichendes technisches Know-how, um Komponenten über die Zeit zu warten und zu härten. Unternehmen, die Open-Source-Krypto-Buchhaltungstools ohne diese operativen Fähigkeiten einsetzen, können die Lizenzabhängigkeit reduzieren, während sie gleichzeitig das Betriebs- und Sicherheitsrisiko erhöhen.
Reklassifikation unter geopolitischer Belastung
Das Papier fordert Institute ausdrücklich auf, die neue geopolitische Risikolandschaft zu analysieren und Vermögenswerte entsprechend neu zu klassifizieren. Für Wirtschaftsprüfungsgesellschaften und CFOs bedeutet dies, dass das IKT-Risikoregister für Krypto-Finanzinfrastruktur kein statisches Dokument sein sollte. Es sollte in Bezug auf aktuelle geopolitische Entwicklungen überprüft werden, einschließlich Sanktionsregimen, Datenlokalisierungsgesetzen in Drittländern und Änderungen der Eigentümerstruktur oder Gerichtsbarkeit eines Anbieters.
Bilanzielle und Prüfungsimplikationen
Der Rahmen der digitalen Souveränität überschneidet sich auf zwei Arten mit den Rechnungslegungspflichten, die Buchhaltungsfachleute verfolgen müssen.
Going-Concern- und Kontinuitätsangaben
Wenn die Fähigkeit eines Unternehmens, prüfbare Finanzunterlagen zu erstellen, von einer einzigen Drittplattform abhängt, für die kein glaubwürdiger Ausstiegsplan existiert, stehen Prüfer und Ersteller vor einer Angabefrage. DORAs Ausstiegsplan-Anforderung ist im Kern eine Going-Concern-Sicherung für Betriebsprozesse. Wenn diese Sicherung nicht nachgewiesen werden kann, muss das Fehlen eines brauchbaren Notfallplans möglicherweise in den Risikoangaben im Jahresabschluss widergespiegelt werden, insbesondere für Unternehmen, die wesentliche Mengen digitaler Assets halten oder verarbeiten.
IKT-Risikoregister und ISAE 3402 / SOC 2 Assurance
Wirtschaftsprüfungsgesellschaften, die Assurance über Krypto-Finanzprozesse erbringen, werden zunehmend die digitale Souveränitätsposition der von ihren Kunden verwendeten Digital-Asset-Buchhaltungssoftware bewerten müssen. DORA-Subunternehmeranforderungen bedeuten, dass sich das IKT-Drittparteienrisikorahmenwerk des Kunden nun auch auf die Softwareanbieter erstreckt, die regulierte Berichterstattung versorgen. Prüfer sollten erwarten, dokumentierte Ausstiegspläne, Datenportabilitätsnachweise und vertragliche Prüfungsrechte als Teil des Kontrollumfelds zu sehen, das sie bestätigen sollen.
Für eine breitere Sicht darauf, wie Aufsichtsbehörden die IKT- und Berichtsinfrastruktur europäischer Finanzinstitute stresstesten, vgl. EBA 2027 Stresstest zu IFRS 9 und COREP/FINREP-Überarbeitung, der zusammen mit der digitalen Souveränitätsagenda Teil desselben aufsichtlichen Vorstoßes zu betrieblicher und finanzieller Resilienz ist.
Praktische Schritte für Wirtschaftsprüfungsgesellschaften und CFOs
Der Aufruf zum Handeln aus dem KPMG-Papier übersetzt sich in eine kurze Reihe konkreter Prioritäten für Finanz- und Compliance-Experten, die krypto-bezogene Technologieabhängigkeiten verwalten.
Vendor Due Diligence: über den Sicherheitsfragebogen hinaus
Standard-Sicherheitsfragebögen für Anbieter erfassen die Cybersicherheitslage, übersehen jedoch typischerweise die vom Papier identifizierten Souveränitätsdimensionen. Eine überarbeitete Due-Diligence-Vorlage für Krypto-Buchhaltungssoftware sollte Fragen ergänzen zu: Datenportabilitätsformaten und Export-APIs; vertraglichen Ausstiegsfristen und Kündigungsunterstützungsverpflichtungen; der eigenen Abhängigkeit des Anbieters von Subunternehmern in Nicht-EU-Gerichtsbarkeiten; der Governance von KI-Modellen, wo Klassifikations- oder Alarmierungsfunktionen KI-gestützt sind; und dem geografischen Umfang von Strafverfolgungs- oder Regulierungszugriffsrechten, denen der Anbieter unterliegt.
Unternehmen, die ihre AML-Tools bewerten, sollten auch unsere frühere Analyse zur Blockchain-Analyse-Anbieterbewertung für die AML-Compliance konsultieren, die verwandte Konzentrations- und Output-Qualitätsrisiken in der Chain-Analyse-Schicht behandelt.
Ausstiegsplanung als lebendiges Dokument
DORA verlangt, dass Ausstiegspläne glaubwürdig, nicht theoretisch, sind. Für eine Krypto-Finanzfunktion bedeutet ein glaubwürdiger Ausstiegsplan einen dokumentierten, getesteten Prozess zur Migration historischer Transaktionsdaten, Kostenbasisaufzeichnungen und Prüfungsspuren auf eine alternative Plattform innerhalb eines definierten Zeitrahmens. Dieser Plan sollte mindestens jährlich überprüft und unter realistischen Szenarien getestet werden, einschließlich Anbieterinsolvenz, regulatorischem Entzug der Zulassung und geopolitisch bedingter Dienstaussetzung.
Berichterstattung an Vorstand und Prüfungsausschuss
Das KPMG-Papier identifiziert digitale Souveränität als ein Konzentrationsrisikothema auf Vorstandsebene. Für CFOs bedeutet dies, dass der Krypto-Finanztechnologie-Stack im IKT-Risikoabschnitt der Vorstandsberichterstattung erscheinen sollte, wobei Souveränitätsmetriken neben den bekannteren Cybersicherheits- und Business-Continuity-Indikatoren stehen. Prüfungsausschüsse, die digitale Asset-Operationen überwachen, sollten das Management ausdrücklich fragen, ob kritische Krypto-Buchhaltungssoftwarebeziehungen dokumentierte Ausstiegspläne haben, die DORA-Standards erfüllen.
Die bereits in der gesamten EU laufende MiCA-Lizenzierungsdurchsetzung, zuletzt veranschaulicht durch MiCA-Lizenzierungsdurchsetzung in Belgien, fügt eine weitere Dimension hinzu: Unternehmen, die aufgrund eines regulatorischen oder geopolitischen Ereignisses den Zugang zu einem konformen CASP oder einer Buchhaltungsplattform verlieren, müssen im Voraus wissen, wohin sie als nächstes gehen.
Was als nächstes passiert
Das KPMG-Papier ist ein Beratungsdokument, kein verbindliches Instrument. Es hat jedoch erhebliches Gewicht als Koproduktion mit dem EZB-Büro, und seine Empfehlungen spiegeln die Sprache der technischen Durchführungsstandards von DORA und der aufsichtlichen Prioritäten der EZB für 2026 und darüber hinaus genau wider. Institute, die dies als Signal für eine bevorstehende Prüfungsfokussierung behandeln, anstatt als freiwilligen Best-Practice-Leitfaden, lesen das aufsichtliche Umfeld richtig.
Für Wirtschaftsprüfungsgesellschaften und CFOs ist der kurzfristige Kalenderpunkt eine Überprüfung der im Einsatz befindlichen Krypto-Buchhaltungssoftware und Digital-Asset-Buchhaltungssoftware der Organisation anhand der im Papier beschriebenen Klassifikations- und Platzierungskriterien. Diese Überprüfung sollte ein dokumentiertes Ergebnis liefern: ein Register kritischer IKT-Abhängigkeiten, eine Bewertung des Souveränitätsrisikos für jede und einen Ausstiegsplan, wo das Risiko als wesentlich eingestuft wird. Diese Arbeit jetzt zu erledigen, bevor sie von einer Aufsichtsbehörde oder einem externen Prüfer angefordert wird, ist genau die Art proaktiver Governance, die die EZB sucht.
Source: KPMG Digital Assets / ECB Office
Häufig gestellte Fragen
Gilt die digitale Souveränität für Wirtschaftsprüfungsgesellschaften oder nur für Banken?
Das KPMG/EZB-Papier richtet sich an EZB-regulierte Banken, aber die zugrundeliegende Risikologik gilt für jede Organisation, die für regulierte Finanzprozesse auf kritische Dritttechnologie angewiesen ist. Wirtschaftsprüfungsgesellschaften, die Finanzinstitute beraten, und CFOs, die Krypto-Treasury- oder Berichtsfunktionen betreiben, sind denselben Konzentrations- und Ausstiegsrisiken ausgesetzt, die das Papier beschreibt. DORA selbst hat einen weiten Anwendungsbereich, der über Banken hinaus auf Finanzunternehmen und ihre IKT-Dienstleister ausgedehnt ist.
Was verlangt DORA speziell für Krypto-Buchhaltungssoftware?
DORA verlangt von den betroffenen Unternehmen, kritische IKT-Drittdienstleister zu identifizieren und für jeden glaubwürdige Ausstiegspläne zu unterhalten. Wenn eine Krypto-Buchhaltungs- oder -Bookkeeping-Plattform in kritische Berichtsprozesse eingebettet ist, qualifiziert sie sich wahrscheinlich als kritischer IKT-Dienst. Unternehmen müssen die Abhängigkeit dokumentieren, das Konzentrationsrisiko bewerten und einen getesteten Ausstiegsplan unterhalten, der Datenportabilität und Migrationszeitpläne umfasst.
Genügt die Datenhosting in der EU, um die Anforderung der digitalen Souveränität zu erfüllen?
Nicht allein. Das KPMG-Papier stellt ausdrücklich fest, dass EU-basierte Operationen keine Souveränität garantieren. Entscheidend ist, ob das Institut Kontrollrechte über seine Daten behält, ob es Daten in einem portablen Format extrahieren und migrieren kann, ob die Verschlüsselung unter der Kontrolle des Instituts steht und ob glaubwürdige vertragliche Ausstiegsoptionen bestehen. Geografie ist einer von mehreren Faktoren.
Wie sollte ein CFO unter diesem Rahmenwerk Open-Source-Krypto-Bookkeeping-Tools angehen?
Open-Source-Tools können die Anbieterabhängigkeit verringern, aber nur, wenn die Organisation die interne Fähigkeit hat, sie sicher über ihren gesamten Lebenszyklus zu betreiben. Das KPMG-Papier knüpft den Souveränitätsvorteil von Open Source an klare Eigentümerschaft, strukturiertes Patch-Management, Schwachstellenmanagement und ausreichendes operationelles Know-how. Ein CFO, der Open-Source-Buchhaltungssoftware für digitale Assets in Betracht zieht, sollte prüfen, ob diese internen Fähigkeiten vorhanden sind, bevor er Open Source als Souveränitätslösung behandelt.
Was sollten Wirtschaftsprüfungsgesellschaften bei der Überprüfung der Vereinbarungen eines Kunden über digitale Asset-Buchhaltungssoftware fragen?
Prüfer sollten Nachweise für dokumentierte Ausstiegspläne, Datenportabilitätstests, vertragliche Prüfungsrechte und eine Bewertung der eigenen Subdienstleisterabhängigkeiten des Anbieters anfordern. Wo KI-Modelle die Transaktionsklassifikation oder Compliance-Alarmierung beeinflussen, sollten Prüfer auch nach der Dokumentation der KI-Modell-Governance fragen. Diese Punkte sollten Teil der IT-General Controls-Überprüfung für jedes Engagement sein, bei dem Krypto-Buchhaltungssoftware die zu prüfenden Finanzberichte oder regulatorischen Meldungen speist.