Zusammenfassung

  • Der Bericht der unabhängigen Aufsicht vom 28. Oktober 2026 hält fest: Der Federal Reserve Board testet Notfallverfahren halbjährlich und pflegt Kontinuitätspläne für Abteilungen. Vollständige technische Wiederherstellungspläne für einzelne Informationssysteme wurden nicht erstellt.
  • Die Gruppe für Intelligence, Insider Risk, and National Security Programs erstellt Geschäftsfolgen- und Prozessanalysen; die IT-Abteilung plant technische Notmaßnahmen. Eine gemeinsame Regel für Koordination und Aktualisierung fehlt. Die meisten Geschäftsfolgenanalysen waren seit 2023 oder früher unverändert.
  • Das Informationssicherheitsprogramm erhielt Reifegrad 2 von 5, unter der föderalen Wirksamkeitsschwelle 4. Geänderte Berechnung und ein neues Bewertungsfeld für Governance beeinflussen Vergleiche mit Vorjahren. Von 17 alten Empfehlungen blieben 13 offen; acht neue nahm der Board an.

Die Abteilung läuft weiter. Welches System zuerst?

Der offizielle Bericht der Aufsicht vom Oktober 2026 betrifft den Board of Governors, der mit sensiblen Finanz- und Aufsichtsdaten arbeitet. Er bewertet nicht jede regionale Federal Reserve Bank. Das deutlichste Problem liegt an der Naht zwischen Geschäftsfortführung und technischer Wiederherstellung. Der Board führt halbjährliche Notfalltests durch und unterhält abteilungsweite Kontinuitätspläne. Für einzelne Informationssysteme fehlen dagegen Pläne mit allen erforderlichen Wiederanlaufdetails.

Ein Abteilungsplan kann erklären, welche Aufgabe unverzichtbar ist. Ein Systemplan muss festlegen, was zuerst zurückkehrt, auf welchen Datenstand es zurückgesetzt wird, welche Ersatzverarbeitung bereitsteht und wie die Wiederherstellung geprüft wird. Die Aufsicht vermisste unter anderem technische Verfahren, Prioritäten je System, Recovery-Point-Ziele, alternative Verarbeitung und konkrete Wiederanlaufaktivitäten. Ein Verantwortlicher erklärte, die Informationen seien in Systemsicherheitsplänen enthalten. Die Prüfer fanden dort die nötigen systembezogenen Verfahren nicht.

Das ist eine andere Feststellung als „es gibt keine Übung“. Es gibt Übungen. Ein Test auf Abteilungsebene kann Zuständigkeiten und Kommunikation erproben, aber er erzeugt kein fehlendes technisches Verfahren. Sobald eine Störung mehrere Systeme gleichzeitig trifft, müssen Menschen die Reihenfolge und den zulässigen Datenstand festlegen. Diese Entscheidung sollte nicht erst fallen, wenn der Notfall die Besprechung eröffnet.

Zwei Aktenstände für dieselbe Priorität

Für Geschäftsfolgenanalysen, Prozessanalysen und allgemeine Kontinuitätsplanung ist die Gruppe Intelligence, Insider Risk, and National Security Programs, IINS, zuständig. Die Division of IT verantwortet technische Notfallplanung. Die Aufsicht fand keine Richtlinie, die Zusammenarbeit, gemeinsame Verantwortlichkeiten und regelmäßigen Abgleich dieser Dokumente festschreibt.

Das Ergebnis lässt sich datieren. Die meisten Geschäftsfolgenanalysen wurden seit 2023 oder früher nicht aktualisiert, mehr als die Hälfte der Prozessanalysen seit 2024 oder früher. Mehrere Prozessänderungen aus dem Jahr 2025 kamen in den passenden Folgenanalysen nicht an. Ein Team kann also mit einer neuen Beschreibung der Aufgabe arbeiten, das andere mit ihrer alten Gewichtung. Zwei Dokumente beanspruchen Aktualität, bis eine Unterbrechung den Widerspruch teuer macht.

Die Aufsicht spricht deshalb von begrenzter Gewissheit, dass kritische Systeme nach einer Störung zuverlässig und rechtzeitig wiederhergestellt werden können. Sie berichtet in diesen Befunden keinen konkreten fehlgeschlagenen Wiederanlauf. Der fehlende Kontrollschritt ist die Verbindung zwischen der Priorität einer Funktion und den technischen Möglichkeiten der Systeme, die sie tragen.

Auch die Systemliste ist nicht vollständig genug. Von 32 Feldern, die der eigene Inventarstandard des Board verlangt, fehlten zehn, darunter Informationsart, Autorisierungsgrenze, Systemverantwortliche und Cloud-Diensttyp. Systeme mit personenbezogenen Daten oder essenziellen Aufgaben wurden teils falsch eingestuft; manche Systeme aus einem anderen Compliance-Werkzeug fehlten im Inventar. Es fehlen zehn Felder, nicht zehn gezählte Systeme. Wer Wiederherstellung nach Abhängigkeiten ordnen will, braucht zunächst eine verlässliche Karte dessen, was existiert.

Eine Zwei auf der Skala ist keine Wiederanlaufprobe

Die offizielle Kurzfassung bewertet die Informationssicherheit 2026 mit Reifegrad 2 von 5: Verfahren sind definiert, aber nicht durchgehend umgesetzt. Die Bundesvorgaben sehen Stufe 4, gesteuert und messbar, als wirksam an. 2024 lautete die Note 4, 2025 die Note 3. Die drei Werte bilden keine unveränderte Messreihe. Die Berechnung wechselte vom häufigsten Einzelwert zum Durchschnitt, Governance wurde ein eigener Prüfbereich, und zusätzliche Schwächen wurden festgestellt. Der heutige Befund steht; ein einfacher Abwärtspfeil durch die Jahre würde ihn verzerren.

Von 17 Empfehlungen aus älteren jährlichen Prüfungen blieben 13 offen. Vier wurden nach Maßnahmen des Board geschlossen. Acht neue Empfehlungen betreffen IT-Aufsicht, Inventar, Ausnahmen bei Mehrfaktoranmeldung, Schwachstellen, laufende Überwachung, Kontinuität und Cloud-Verträge. IT-Leitung und Finanzleitung stimmten den Feststellungen zu und skizzierten Maßnahmen. Eine Zustimmung trägt ein Datum und einen Absender. Der Wiederanlauf einzelner Systeme verlangt danach weitere Arbeit.

Die zentrale Empfehlung verlangt, IINS und IT beim Abgleich von Geschäftsfolgen, Prozessen und technischen Maßnahmen zusammenzubringen und Pläne für jedes System zu fordern. Eine künftige Prüfung könnte datierte, übereinstimmende Analysen, Systemverantwortliche sowie geprüfte Wiederherstellungsschritte vorfinden. Dann wäre die Naht geschlossen. Bis dahin bleibt der Board in der eigentümlichen Lage, den Ausfall regelmäßig zu üben und den Weg zurück zu einem bestimmten System unvollständig zu beschreiben.

Quellen