DORA-Prüfpaket · Teil 2 von 8
Einordnung nach DORA
IKT-Dienstleistung ohne kritische oder wichtige Funktion: die Gründe und die Grenze zu Ihrem Netz
Stand: 14. November 2026 · Beschützerbox GmbH, Großbeerenstr. 11, 10963 Berlin
Für Ihre Bank ist Beschützerbox ein IKT-Drittdienstleister und das Kunden-WLAN eine IKT-Dienstleistung: Es gehört in Ihr Informationsregister, und der Vertrag braucht die Mindestinhalte nach Art. 30 Abs. 2 DORA. Ob das Kunden-WLAN eine kritische oder wichtige Funktion unterstützt, beurteilt Ihr Haus (Art. 28 Abs. 4 DORA). Unsere Einschätzung lautet nein; die Fakten dafür stehen in diesem Paket.
1. Auf einen Blick
| Rolle von Beschützerbox | Telekommunikationsanbieter für den Internetzugang Ihrer Kunden, bei der Bundesnetzagentur gemeldet (Registriernummer 15/029) |
|---|---|
| Nach DORA | IKT-Drittdienstleister (Art. 3 Nr. 19). Das Kunden-WLAN ist eine IKT-Dienstleistung (Art. 3 Nr. 21): ein digitaler Dienst, der dauerhaft bereitsteht, samt Firmware und Support für die Box. |
| Informationsregister | Eintrag nötig (Art. 28 Abs. 3), Art der Leistung S10 „Telekommunikationsanbieter“; alle Angaben im Dienstleisterprofil (Teil 1) |
| Kritische oder wichtige Funktion | nach unserer Einschätzung nein, Gründe in Abschnitt 2 |
| Vertrag | Mindestinhalte nach Art. 30 Abs. 2 DORA (Checkliste in Teil 7); die zusätzlichen Inhalte nach Art. 30 Abs. 3 nur bei einer kritischen oder wichtigen Funktion |
| Auslagerung nach MaRisk (AT 9) | nein. Als IKT-Dienstleistung, die dem IKT-Drittparteienrisikomanagement nach Art. 28 bis 30 DORA unterliegt, fällt das Kunden-WLAN nicht in den Anwendungsbereich von AT 9 MaRisk (Erläuterung zu AT 9 Tz. 1, Fassung vom 30. Juni 2026). |
2. Warum keine kritische oder wichtige Funktion
Kritisch oder wichtig ist nach Art. 3 Nr. 22 DORA eine Funktion, deren Ausfall die finanzielle Leistungsfähigkeit, die Solidität oder die Fortführung der Geschäftstätigkeiten und Dienstleistungen erheblich beeinträchtigen würde. Ebenso eine Funktion, deren gestörte oder ausbleibende Leistung die Einhaltung der Zulassungsbedingungen oder sonstiger Pflichten nach dem Finanzdienstleistungsrecht erheblich beeinträchtigen würde. Für das Kunden-WLAN trifft beides aus diesen Gründen nicht zu:
- Fällt das Kunden-WLAN aus, haben Ihre Kunden in der Geschäftsstelle kein WLAN. Zahlungsverkehr, Beratung am Bankarbeitsplatz, Ihre IT und die Einhaltung Ihrer Zulassungspflichten hängen nicht daran.
- Über die Box laufen keine Daten aus Ihrem Banknetz. Ihre Kunden nutzen das Kunden-WLAN mit eigenen Geräten, Ihre Mitarbeitenden arbeiten im Banknetz. Gestützt wird damit die Ausstattung der Geschäftsstelle und Service für Kunden vor Ort, keine Bankdienstleistung.
- Wer das Kunden-WLAN manipuliert, kann die Bankverbindungen Ihrer Kunden nicht mitlesen: Online-Banking und Banking-Apps verschlüsseln ihre Verbindungen selbst Ende zu Ende (TLS); das Kunden-WLAN ist für sie nur Transportweg, wie jedes andere öffentliche WLAN.
- Beschützerbox hat keinen Zugang zu Ihrem Banknetz. Die Box hängt mit einem Kabel an einem eigenen Port oder Segment Ihrer Firewall, das nur Verbindungen ins Internet zulässt. Wer gar kein fremdes Gerät im Filialnetz haben will, schließt sie an einen eigenen DSL- oder Mobilfunkanschluss an.
- Die Leitung bleibt für den Bankbetrieb frei: Auf Wunsch begrenzt unser Support die Bandbreite der Box.
- Der Ausstieg braucht keinen Umbau: Die Box abzustecken genügt (Teil 6).
3. Wo das Kunden-WLAN an Ihr Netz grenzt
-
WLAN der Box eigenes Kundennetz mit Client-Isolation -
Tunnel mit WireGuard verschlüsselt, über Ihren Internetanschluss -
Unsere Server in Rechenzentren von Hetzner in Deutschland -
Internet mit unseren IP-Adressen
Direkt über Ihren Anschluss gehen nur die Namensauflösung (DNS) und Streamingdienste, die Sie im Portal freischalten. Für Banken empfehlen wir, die Streaming-Freischaltung ausgeschaltet zu lassen. Fällt die Verbindung zu unseren Servern aus, sperrt die Box den Zugang, statt Ihre Kunden über Ihren Anschluss weitersurfen zu lassen.
Ausgehend braucht die Box HTTPS zu Adressen unter beschuetzerbox.de und beschuetzerbox.gmbh, den WireGuard-Tunnel (UDP) zu unseren Servern, die Namensauflösung (DNS) und die Uhrzeit von öffentlichen Zeitservern (NTP). Die eigene Adresse am Anschluss bezieht sie ab Werk per DHCP; Verbindungen in das übrige Banknetz braucht sie nicht.
4. Worauf Beschützerbox zugreift
| Ihr Banknetz | keiner (Abschnitte 2 und 3). |
|---|---|
| Die Box | Unser Support kann sich zur Fehlersuche über den verschlüsselten Tunnel auf die Box schalten. Von Ihrem Netz aus bietet die Box keinen Zugang zur Verwaltung an. |
| Verkehr Ihrer Kunden | läuft verschlüsselt bis zu unseren Servern und von dort ins Internet. Den Verkehr, den wir für Ihre Kunden ins Internet weiterleiten, protokollieren wir nicht. |
| Daten Ihrer Bank | Vertrags- und Rechnungsdaten, Konten im Portal, Einstellungen der Boxen und die Adresse für Ausfallmeldungen; bei der Box 4 Pro mit Vorschaltseite außerdem Zugangscodes und Anmeldedaten Ihrer Kunden, die wir in Ihrem Auftrag speichern |
| WireGuard-Zugang | kein Gerät von uns in Ihrem Netz: Ihre Firewall baut den Tunnel auf. Erzeugt Ihre IT das Schlüsselpaar selbst, kennen wir nur den öffentlichen Schlüssel. |
5. Für Ihre Prüfung vor Vertragsschluss
Art. 28 Abs. 4 DORA verlangt vor Vertragsschluss fünf Prüfungen. Die Fakten dazu:
| a) Kritische oder wichtige Funktion? | nach unserer Einschätzung nein (Abschnitt 2) |
|---|---|
| b) Aufsichtsrechtliche Bedingungen | Vertragspartner mit Sitz in Deutschland, deutsches Recht (AGB § 10.3). Der Internetzugang läuft über Server in Deutschland (AGB § 3.1), auch das Portal steht dort; die übrigen Dienstleister und ihre Orte nennt Teil 4. Die Mindestinhalte des Vertrags prüfen Sie mit Teil 7; die Vertragsanlage dazu ist Teil 8. |
| c) Risiken, auch Konzentrationsrisiko | Ein Ausfall trifft nur das Kunden-WLAN. Abhängigkeiten: die Rechenzentren von Hetzner in Deutschland (Tunnel-Server; Portal und Listen-Server in Falkenstein) und die Nameserver von Cloudflare, über die die Box die Serverliste und das Portal findet (Teil 4). Notfälle und Ausstieg in Teil 6. |
| d) Eignung des Dienstleisters | Dienstleisterprofil (Teil 1), Maßnahmen und Prüfliste für Ihren eigenen Test (Teil 3); seit 2015 bei der Bundesnetzagentur gemeldet und an die Schutz- und Meldepflichten des TKG gebunden (Teil 5). |
| e) Interessenkonflikte | Am Kunden-WLAN verdienen wir den vereinbarten Preis. Das Surfen Ihrer Kunden protokollieren wir nicht. |
Geltungsbereich: Dieses Paket beschreibt das Kunden-WLAN mit der Beschützerbox 4, der Beschützerbox 4 Pro oder dem WireGuard-Zugang für Ihre eigene Firewall. Ein Gateway, das zusätzlich Netze Ihres Hauses trennt, ordnen wir mit Ihrer IT gesondert ein.
