DORA und dein Depot: Was die neue EU-Regulierung für Neobroker, Datensouveränität und deine Steuerpflicht bedeutet
Seit Januar 2025 gilt DORA für über 22.000 Finanzunternehmen in der EU, auch für Trade Republic, Scalable Capital und Krypto-Plattformen. Ein konkreter Vergleich zeigt, wer deine Daten wie verarbeitet, wo regulatorische Graubereiche entstehen und was du als Privatanleger jetzt konkret tun kannst.
WonderFunds Team8 Min. Lesezeit
Teilen
Deine Daten sind sicher. Keine Bankverbindung nötig.Mehr erfahren →
Seit Januar 2025 gilt DORA, der Digital Operational Resilience Act, für über 22.000 Finanzunternehmen in der EU. Darunter fallen nicht nur Großbanken und Versicherer, sondern auch Neobroker, Krypto-Plattformen und Crowdfunding-Anbieter. Wer als Privatanleger glaubt, das sei ein reines Institutionenthema, liegt falsch. Die Regulierung verändert gerade still und leise, wie dein Broker mit deinen Daten umgeht, welche Drittanbieter er einbindet und ob du als Nutzer davon überhaupt etwas mitbekommst.
Was DORA eigentlich regelt (und was nicht)
DORA ist keine Datenschutzverordnung im klassischen Sinne. Es geht um die digitale Widerstandsfähigkeit von Finanzunternehmen gegen IT-Störungen, Cyberangriffe und Systemausfälle. Die Verordnung baut auf fünf Säulen auf: ICT-Risikomanagement, Meldepflichten bei IT-Vorfällen, regelmäßige Belastungstests, das Management von Drittanbieter-Risiken und der Informationsaustausch zwischen Institutionen.
Der Clou: Anders als frühere EU-Richtlinien muss DORA nicht erst in nationales Recht umgesetzt werden. Die Verordnung gilt direkt, in allen Mitgliedstaaten, ohne Spielraum für Abschwächung. Und die Strafen bei Verstößen sind empfindlich: bis zu 10 Prozent des globalen Jahresumsatzes, dazu öffentliche Rügen, Management-Sperren und im Extremfall der Entzug der Lizenz.
Für Retail-Investoren ist vor allem die vierte Säule relevant: das Drittanbieter-Risikomanagement. Denn genau dort trifft die Regulierung auf deinen Alltag als Anleger.
Die vierte Säule trifft deinen Broker
Jeder Broker und jede Anlageplattform nutzt externe IT-Dienstleister. Cloud-Hosting, Zahlungsabwicklung, Identitätsprüfung, Kursversorgung. Bisher war die Aufsicht über diese Lieferketten eher lax. DORA ändert das grundlegend.
Finanzunternehmen müssen jetzt ein Register of Information führen, in dem sämtliche IT-Drittanbieter dokumentiert sind. Für jeden Anbieter braucht es eine LEI (Legal Entity Identifier), die Beschreibung der gelieferten Services, eine Kritikalitätseinstufung, Angaben zu Datenspeicherorten und Subunternehmer-Ketten. Das klingt nach Bürokratie. Ist es auch. Aber es erzwingt erstmals Transparenz darüber, wer eigentlich Zugriff auf welche Daten hat.
Und hier wird es für dich als Anleger konkret: Wenn Trade Republic zum Beispiel einen Cloud-Anbieter in den USA nutzt und dort Transaktionsdaten verarbeitet, muss das dokumentiert und der Aufsicht gemeldet werden. Wenn Scalable Capital für die Depotführung auf die Baader Bank setzt und die wiederum eigene IT-Zulieferer hat, entsteht eine Kette, die DORA jetzt lückenlos abbilden will.
Welche Plattformen echte Datensouveränität bieten
Das könnte dich auch interessieren
Lass uns konkret werden. Wir haben uns angeschaut, wie die gängigsten Anlage-Tools in Deutschland mit deinen Daten umgehen, und zwar nicht aus Marketingsicht, sondern regulatorisch.
Trade Republic
Trade Republic ist eine lizenzierte Wertpapierhandelsbank mit BaFin-Aufsicht. Dein Depot liegt bei der Deutschen Bank (früher HSBC). Die App nutzt Bankverknüpfungen für Einzahlungen und sammelt detaillierte Nutzungsdaten. Unter DORA muss Trade Republic seine gesamte IT-Lieferkette offenlegen und regelmäßig testen. Was das für dich bedeutet: Du gibst deine Daten an ein komplexes Netz aus Drittanbietern weiter, von dem du als Nutzer wenig siehst.
Scalable Capital
Ähnliches Bild. Scalable arbeitet mit der Baader Bank als Depotbank. Die Plattform bietet ETF-Sparpläne ab 1 Euro und Robo-Advisor-Portfolios. Die IT-Architektur umfasst mehrere Cloud-Anbieter und Datenverarbeiter. Unter DORA steigt der Dokumentationsaufwand erheblich. Als Nutzer hast du keinen Einblick in das Register of Information, das ist für die Aufsicht bestimmt, nicht für dich.
ING DiBa
Die ING ist eine Vollbank mit eigener Banklizenz. Dein Depot, dein Girokonto, dein Tagesgeld: alles unter einem Dach. Das reduziert die Drittanbieter-Kette, aber eliminiert sie nicht. Auch die ING nutzt externe IT-Dienstleister für Kernprozesse. Der Vorteil: Als Vollbank unterliegt sie bereits umfangreicher Aufsicht. DORA verschärft das, aber die Grundstruktur existiert.
Dezentrale Plattformen wie Uniswap
Hier wird es spannend. Uniswap ist ein dezentrales Protokoll auf der Ethereum-Blockchain. Es gibt keinen zentralen Betreiber im klassischen Sinn. DORA richtet sich an regulierte Finanzunternehmen, und Krypto-Asset-Dienstleister fallen ausdrücklich in den Anwendungsbereich. Aber ein Smart Contract auf einer Blockchain ist kein Unternehmen mit LEI und Geschäftsführer.
Die regulatorische Grauzone ist enorm. Wenn du über Uniswap Token tauschst, gibt es kein IT-Drittanbieter-Register, keine Meldepflicht bei Vorfällen und keinen Ansprechpartner für die BaFin. Das kann man als Freiheit sehen. Oder als Risiko. Und, wichtig: Die deutsche Abgeltungssteuer gilt trotzdem. Gewinne aus Krypto-Trades sind nach einem Jahr Haltedauer steuerfrei, darunter fallen sie unter dein persönliches Einkommensteuerniveau. Das Finanzamt interessiert sich nicht dafür, ob du über die Sparkasse oder über ein dezentrales Protokoll gehandelt hast.
DORA betrifft über 22.000 Finanzunternehmen in der EU, darunter Banken, Versicherer, Neobroker und Krypto-Dienstleister. Verstöße können mit bis zu 10 % des globalen Jahresumsatzes bestraft werden.
Die Abgeltungssteuer kennt keinen Datenschutz
Egal welche Plattform du nutzt: 25 Prozent Abgeltungssteuer plus Soli (insgesamt 26,375 Prozent, ohne Kirchensteuer) fallen auf Kapitalerträge an. Bei deutschen Brokern wird das automatisch abgeführt. Bei ausländischen Plattformen bist du selbst verantwortlich, das in der Steuererklärung über die Anlage KAP anzugeben.
Ehrlich gesagt, das ist der langweiligste Teil dieses Artikels. Aber er ist entscheidend. Denn die Verlockung, über ausländische oder dezentrale Plattformen zu handeln und dabei die Steuerpflicht zu "vergessen", ist real. Und die Konsequenzen sind es auch.
Seit 2023 tauschen EU-Staaten über den Common Reporting Standard (CRS) automatisch Kontodaten aus. Seit 2024 gilt zusätzlich DAC8, die Meldepflicht für Krypto-Transaktionen. Dein Finanzamt in Düsseldorf oder München weiß also unter Umständen mehr über dein Binance-Konto als du denkst.
Tipp
Führe ein einfaches Transaktionslog, wenn du über ausländische oder dezentrale Plattformen investierst. Datum, Kaufpreis, Verkaufspreis, Gebühren. Das spart dir Stunden bei der Steuererklärung und schützt dich vor Schätzungsbescheiden des Finanzamts. Ein simples Spreadsheet reicht.
Für Broker bedeutet das: Ein DORA-Compliance-Programm, das Anfang 2025 ausreichte, reicht 2026 möglicherweise nicht mehr. Regulatoren erwarten keine Sanierungspläne, sondern belastbare Nachweise. Live-Tests, dokumentierte Lieferketten, auditierbare Prozesse.
Was heißt das für dich? Kurzfristig: wahrscheinlich nichts Spürbares. Dein Trade Republic Login funktioniert wie immer. Aber hinter den Kulissen sortieren sich die Plattformen neu. Einige werden Drittanbieter wechseln, andere ihre IT-Architektur umbauen. Und manche kleinere Anbieter werden sich fragen, ob der Compliance-Aufwand die Marge noch rechtfertigt.
Konzentrationsrisiko: Wenn alle denselben Cloud-Anbieter nutzen
Ein Punkt, der in der öffentlichen Diskussion kaum vorkommt: DORA zwingt Finanzunternehmen, ihre Konzentrationsrisiken bei IT-Anbietern zu bewerten. Wenn 80 Prozent der europäischen Neobroker auf AWS laufen und AWS einen mehrstündigen Ausfall hat, betrifft das nicht eine Firma, sondern den halben Markt.
Die Aufsicht kann verlangen, dass ein Broker seine Cloud-Infrastruktur diversifiziert. Das klingt vernünftig, treibt aber die Kosten. Und diese Kosten landen irgendwann beim Kunden, sei es über höhere Gebühren oder eingeschränkte Services.
Für einen Privatanleger mit 50.000 Euro im ETF-Depot bei einem einzigen Broker stellt sich eine ähnliche Frage: Was passiert, wenn dieser Broker tagelang offline geht? Dein Geld ist durch die Einlagensicherung (100.000 Euro für Bankeinlagen) und die Sondervermögen-Regelung für ETFs geschützt. Aber Zugriff hast du trotzdem nicht. Und genau dieses Szenario will DORA eigentlich verhindern.
Was "Datensouveränität" regulatorisch wirklich bedeutet
Der Begriff wird inflationär gebraucht, meistens ohne klare Definition. Regulatorisch betrachtet heißt Datensouveränität: Du weißt, wo deine Daten liegen, wer Zugriff hat und kannst diesen Zugriff kontrollieren.
Bei einem klassischen Broker wie der Consorsbank liegen deine Daten auf Servern der BNP Paribas Gruppe, irgendwo in Europa. DORA zwingt die Consorsbank, diese Datenspeicherorte der Aufsicht zu melden. Dir gegenüber besteht diese Pflicht nicht, das regelt die DSGVO separat, und dort hast du ein Auskunftsrecht.
Bei einer dezentralen Plattform liegen deine Transaktionsdaten auf einer öffentlichen Blockchain. Jeder kann sie sehen, sofern er deine Wallet-Adresse kennt. Das ist maximal transparent, aber null kontrollierbar. Und weil auch nicht-EU-Unternehmen, die mit EU-Finanzinstitutionen arbeiten, DORA-konform sein müssen, entsteht ein Spannungsfeld, das die Regulierung noch nicht aufgelöst hat.
Wer wirklich die Kontrolle über seine Finanzdaten behalten will, muss akzeptieren, dass kein Tool und keine Plattform das allein leisten kann. Es braucht eine bewusste Entscheidung: Welche Daten teile ich mit wem, und welche behalte ich für mich? Manche Anleger führen deshalb parallele Aufzeichnungen, unabhängig von jeder App und jedem Broker. Kein glamouröser Ansatz, aber einer, der funktioniert.
DORA und MiFID II: Doppelte Regulierung, halbe Klarheit
Für dich als Anleger: Die regulatorische Komplexität steigt, aber die Schutzmechanismen auch. Dein Broker muss jetzt nachweisen, dass seine Systeme einem gezielten Cyberangriff standhalten. Dass seine Drittanbieter geprüft sind. Dass er einen Notfallplan hat, der tatsächlich funktioniert, nicht nur auf dem Papier.
Wie du als Anleger reagieren kannst
Konkret gibt es drei Dinge, die du tun kannst, ohne dein gesamtes Anlageverhalten umzukrempeln:
Erstens: Frag deinen Broker, wo deine Daten gespeichert werden. Du hast ein DSGVO-Auskunftsrecht. Nutze es. Die meisten Broker haben dafür ein Standardformular, und die Antwort kommt innerhalb von 30 Tagen.
Zweitens: Dokumentiere deine eigenen Finanzdaten unabhängig. Ein Export deiner Transaktionshistorie als CSV, lokal gespeichert, gibt dir eine Kopie, die von keinem Cloud-Ausfall betroffen ist.
Drittens: Diversifiziere nicht nur dein Portfolio, sondern auch deine Infrastruktur. Wenn dein gesamtes Vermögen über einen einzigen Broker läuft, bist du von dessen IT-Resilienz abhängig. Zwei Depots bei unterschiedlichen Anbietern (zum Beispiel eins bei der ING und eins bei Scalable) reduzieren dieses Klumpenrisiko.
Was wir aus DORA lernen (ob wir wollen oder nicht)
DORA zwingt die Finanzbranche, ihre digitale Lieferkette ernst zu nehmen. Das ist überfällig. Für Privatanleger ist die Verordnung kein Grund zur Panik, aber ein guter Anlass, das eigene Setup zu überdenken.
Die unbequeme Wahrheit: Vollständige Datensouveränität gibt es in einem regulierten Finanzsystem nicht. Jeder Broker, jede Bank, jede Plattform teilt Daten mit Dienstleistern, Aufsichtsbehörden und Steuerbehörden. Was du kontrollieren kannst, ist der Grad der Weitergabe und deine eigene Dokumentation. Und manchmal ist die beste Finanz-App ein gut gepflegtes Spreadsheet auf deiner eigenen Festplatte.
