DORA Experten in Frankfurt

2nd LoD/Change the Bank (CtB)

• CtB: Externer Berater und Workstream Lead zur Behebung von Feststellungen der BaFin nach einer Sonderprüfung im IT-Bereich in der 2nd LoD, Leitung des Arbeitspakets zur Überarbeitung des ICT Risk Management & ICT Asset Classification gemäß DORA Kapitel 2, der Prozesse für Strukturanalyse, Schutzbedarfe und Kontrollbewertungen (4 FTEs).

• Durchführung verschiedener Endkundenprojekte im Bereich Server- und Netzwerk-Infrastruktur in Time, Quality und Budget.
• Projekt 1: Firewall-Erneuerung, Ablösung einer ASA-Firewall durch eine Fortinet-Firewall bei einem Autozulieferer.
• Projekt 2: Umzug der File-Services von dedizierten Servern an 5 Außenstandorten in ein zentrales Managed File Service inkl. DHCP, Directory- und Print-Services sowie Decommissioning der alten Domain Controller.
• Projekt 3: Erneuerung der Netzwerk-Infrastruktur in der Zentrale und an Außenstandorten eines Logistikunternehmens sowie Überführung der LAN-, WLAN- und Firewall-Umgebungen in einen Managed Network Service.
• Projekt 4: Network Renewal, Erneuerung der Core- und Access-Switches in der Zentrale eines Medizintechnikunternehmens und Überführung in einen Managed Network Service.
• Projekt 5: Firewall-Erneuerung, Ablösung einer ASA-Firewall durch eine Fortinet-Firewall bei einer Stadt.
• Umgebung: ASA- und Fortinet-Firewalls, Cisco-Netzwerkkomponenten, ITSM Heat/Ivanti, Confluence.

Projekt, strategische Beratung – Aufbau der Data Strategy und Data Governance Policy für die Niederlassung Deutschland, Kunde (Privatbank Julius Bär, Hauptsitz Zürich), März 2026 – bis heute

• Konzeption und Verhandlung der Datenstrategie mit den wichtigsten Stakeholdern sowie Einholung des Sign-offs durch den Vorstand (strategische Beratung) – in diesem Rahmen regulatorische Beratung zur Datenregulierung in der EU und speziell für Deutschland. Die Datenstrategie umfasst: Data Lifecycle Management: data capture, data storage, data usage, data retention policy, data quality incident management
• Definition von Meilensteinen und der technischen Machbarkeit zur Implementierung von TOM für die Datenstrategie, Datenqualitätsprüfungen, Metriken und ein Metadateninventar, um die Compliance der Bank mit den Anforderungen von DORA, BCBS239 und MaRisk sicherzustellen.

Projekt Kerndatenänderung, Kunde: (ING Bank, Frankfurt am Main), März – bis Dezember 2025

• Konzeption und Solution Design für neue End-to-End-Prozesse inkl. technischer Schnittstellen
• Definition von Synchronisationslogiken und Datenflüssen zwischen Legacy- und Zielsystemen (Dekommissionierung von Legacy-Systemen)
• Analyse und Validierung von Datenmodellen
• Stakeholder-Kommunikation mit Produktverantwortlichen, Feature Engineers, UX Designern und operativen Einheiten zur Entscheidungsfindung
• Analytics und Impact-Einschätzungen, z. B. zur Bewertung von Folgeeffekten und regulatorischen Anforderungen
• Dokumentation und Kommentierung technischer und fachlicher Anforderungen zur Unterstützung der Umsetzung in agilen Squads

Projekt Digitalisierung einer Usergruppe, Kunde: (ING Bank, Frankfurt am Main), als Interim Product Owner, Jan. 2025 – bis heute

• Mitgestaltung von Grundlagenentscheidungen zur Datenarchitektur und Prozesslogik im Kontext von historisierten Daten und Login-Funktionalität für User
• Entwicklung fachlicher Lösungskonzepte für die Migration zum Zielsystem, inkl. Systemintegration und Datenflüsse
• Unterstützung bei Analytics und Impact-Analysen, insbesondere zur Auskunftsfähigkeit gegenüber Ermittlungsbehörden
• Aktive Abstimmung mit Stakeholdern aus verschiedenen Squads zur Entscheidungsfindung und Sicherstellung regulatorischer Anforderungen
• Erstellung von Testszenarien für operative Teams und Backend-Systeme im Bereich API-Management unter Verwendung von Postman und Bruno.

• Konzeption und globale Einführung von Sensitivity Labels (Vertraulichkeitskennzeichnungen) zur automatisierten Klassifizierung und Verschlüsselung geschäftskritischer Daten.
• Definition und Rollout von Data Loss Prevention (DLP)-Richtlinien zum Schutz von IP und personenbezogenen Daten über Endgeräte, Exchange, SharePoint, Teams und Non-Microsoft-Clouds hinweg.
• Einrichtung von Insider-Risk-Management-Richtlinien zur Erkennung und Eindämmung von exzessiven Datenabflüssen und riskantem Nutzerverhalten.
• Umsetzung von DSGVO- und Aufbewahrungsanforderungen durch automatisierte Retention Policies und strukturiertes Records Management.
• Technische Begleitung von Rechtsabteilungen bei internen und externen Untersuchungen mittels eDiscovery (Standard/Premium) und Content Search.
• Kontinuierliche Optimierung des Sicherheits- und Compliance-Niveaus durch Auswertung des Microsoft Compliance Managers und Schließen von Lücken (Regelwerke wie ISO 27001, NIS-2)

• Betreuung des TPA-Managers und eines Teams von 10 Claims Operation Assistenten.

• Entwicklung und Implementierung von Prozessen und Arbeitsabläufen mit Guidewire von Grund auf zusammen mit europäischen Schaden-Teams in allen Geschäftsbereichen.

• Etablierung von Service-Level-Agreements (SLAs) und detaillierten Key Performance Indicators (KPIs) mit neuen Business-Intelligence-(BI)-Berichten, Zahlungs- und Leistungsanalysen.

• Entwicklung, Steuerung und Analyse von über 50 strategischen, operativen und IT-Initiativen, um digitalen Wandel und KI-Automatisierung im Zahlungsverkehr voranzutreiben und gleichzeitig die regulatorische Compliance nach DORA, DSGVO, ACM und BAIT MaRisk zu gewährleisten.

• Steigerung der Kundenzufriedenheitswerte um 80 %.

• Gewinnung und Mentoring von marktführendem operativem und TPA-Personal.

• Nachweisliche starke Stakeholder-Führung und schnelle Entscheidungsfindung.

• Anerkennung von nationalen, notifizierenden Stellen
• Erstellung von Cybersecurity-Kompetenzgutachten
• EU-Funkanlagen-Richtlinie (Radio Equipment Directive)

• Projektleiter Steuerung der Novellierung ISO 27001:2022 (Zertifizierung von ISO 27002:2013 auf ISO 27002:2022) inkl. GAP-Analyse, Projektplanung, Vorbereitung interner und externer Audits sowie Erstellung und Pflege der erforderlichen Dokumentationen.
• Koordination der Anpassung bestehender Maßnahmen und Implementierung neuer Maßnahmen gemäß Anforderungen der neuen Norm sowie kontinuierliche Überwachung und Anpassung der Maßnahmen.
• Regelmäßige Berichterstattung an das Management über Fortschritt und Risiken.
• Senior Consultant Begleitung von Auditprüfungen mit Fokus auf kritische Infrastrukturen (KRITIS), inkl. Behebung von Findings, Erstellung bzw. Anpassung von Nachweisdokumenten und Ergänzung von Providerverträgen.
• Senior Consultant Überprüfung sämtlicher Liefergegenstände und Verantwortlichkeiten des IT-Providers gemäß bestehendem Vertrag: Identifikation von über 1500 Deliverables & Obligations (D&O), Aufbau eines D&O-Trackers (Claim Register) und gemeinsame fachliche Überprüfung mit den Service-Ownern für diverse Leistungsscheine (u. a. IT Service Management, Arbeitsplatz- und Druckservices, Anwendungs- und Desktop-Services, Endgerätemanagement, E-Mail inkl. Archivierung, Fileservices, Softwarepaketierung, -zertifizierung, -verteilung).
• Senior Consultant Anpassung von Leistungsschnitten in bestehenden Leistungsscheinen zur Ermöglichung einer End-to-End-Service-Verantwortung des Providers, inkl. Identifikation und Analyse von Use Cases, Prozessanalyse und -optimierung (Incident, Problem, Change) sowie Erfassung und Dokumentation sämtlicher Softwareprodukte in LeanIX und Dokumentation im Contract Change.
• Fokussierte Services: Managed Software Service, Anwendungs- und Desktop-Service, Arbeitsplatz- und Druckservices, Webserver Service, Container Service, M365, SAP/Oscare, Output-Managementsysteme (OMS), Telefonie- und Omnikanal-Management-Service.
• Projektleiter Steuerung eines Benchmarks auf Basis des bestehenden IT-Vertrags, inkl. Koordination des gesamten Benchmark-Prozesses zwischen Benchmarker, IT-Provider und Kunde, Review der Benchmark-Ergebnisse sowie Vorbereitung und Durchführung von Preisverhandlungen mit dem IT-Provider.

• Gründete und leitete eine Cybersecurity-Beratungsfirma, die sich auf virtuelle CISO-Dienstleistungen für Kunden aus den Bereichen Finanzen, SaaS und kritische Infrastruktur spezialisiert.
• Beriet Führungsteams zu Cyberrisiken, regulatorischer Compliance (DORA, NIS2, ISO 27001) und Vorfallvorsorge.
• Entwickelte und implementierte Sicherheitsprogramme von Grund auf und erzielte messbare Reifegradsteigerungen.
• Lieferte maßgeschneiderte Risikoanalysen, Richtlinien und Cloud-Sicherheitsleitfäden (AWS, Azure).
• Skalierte das Geschäft durch Kundengewinnung, Partnerschaften (Vanta, AWS usw.) und ein Netzwerk erfahrener Berater.

• Allgemeine CTO-Verantwortlichkeiten (Architekturdesign, operative Einrichtung, externe Laufzeitanalyse des Produkts, Investorenbeteiligung, regulatorische Compliance)
• Aufsicht der Softwareentwicklung (tiefgehende Implementierungsarbeit) sowie Workflow-Design
• Produkt-Mitinhaberschaft
• Technik/Tools/Frameworks: proprietäre Software (Java, JavaScript), Kubernetes, Postgres, MinIO, Ollama (intern), mehrere xAI-APIs (extern), OpenTofu (Terraform), Keycloak, Kafka, Prometheus, ELK Stack, GitHub, GitHub Workflows, Argo CD, ISO 27001, BSI-ISM, EU AI Act

Leitung des DORA-basierten Programms für operative Resilienz bei Jefferies durch Stärkung der ICT-Risikogovernance, des Kontroll-Designs und der regulatorischen Bereitschaft in zentralen Technologie- und Auslagerungsbereichen. Zusammenarbeit mit Führungskräften, um regulatorische Vorgaben in pragmatische Governance-, Reporting- und Prüfprozesse für ein globales Investmentbanking-Umfeld zu übersetzen.

• Entwickelte das Enterprise Register of Information (DORA Art. 28.3) zur Einhaltung regulatorischer Anforderungen.
• Definierte und implementierte ICT-Risikobereitschaft und Toleranzwerte im Einklang mit dem Global Operational Risk Framework und stärkte so die Entscheidungsfindung und Governance der Risikoakzeptanz.
• Steigerte die Prüfungsbereitschaft, indem über 50 IT- und Informationssicherheitsrichtlinien überprüft und neu formuliert wurden, was Klarheit, Verantwortlichkeiten und Kontrollausrichtung verbesserte.
• Beaufsichtigte das Programm zum Testen der operativen Resilienz (inklusive Penetrationstests) und verfolgte die Beseitigung von Schwachstellen bis zum Abschluss, wodurch die Kontrollsicherheit gestärkt und offene Befunde reduziert wurden.
• Brachte über 10 konzerninterne Vereinbarungen in Einklang mit den DORA-Regelstandards.
• Verbesserung der Entscheidungsfindung auf Führungsebene durch ein unternehmensweites ICT Risk Dashboard mit KPIs/KRIs.

• Analyse und Konzeption fachlicher Anforderungen für ein KI-basiertes Prognosemodell im (XRP-)Krypto-Trading zur Unterstützung von Handelsentscheidungen.

• Identifikation, Klassifikation und Validierung relevanter Input-Quellen.

• Konzeption und Durchführung fachlicher Tests zur Überprüfung der Daten- und Modellqualität.

• Analyse des regulatorischen Umfelds für den Einsatz von Robo-Advisors im Krypto-Bereich.

• Die Ablösung des bisherigen Archivsystems (Dokumentenmanagementsystem – DMS) auf Host Basis ist weit vorangeschritten.
• Das interne Audit soll dazu dienen die Qualitätsansprüche des Hauses sicherzustellen.
• DSGVO
• ISO 27001 ff.
• BSI
• DORA
• Regulatorik Patientendaten
• Host / Cloud / S3 / Container / Hoch Skalierbar / Nuxeo
• Budget: 50.000
• Team: 1

• Begleitung einer global systemrelevanten „Brexit-Bank“ bei der Beantragung einer Banklizenz und Umsetzung regulatorischer Anforderungen in den Themen IT und Auslagerung sowie bei der Umsetzung von DORA

• Lokale Umsetzung von DORA im Rahmen eines gruppenweiten DORA-Programms mit Fokus auf Drittparteienrisikomanagement, Incident-/Problemmanagement, Informationsregister

• Abgleich der regulatorischen IT-Anforderungen der MaRisk/BAIT mit den Anforderungen der Gruppe der „Brexit-Bank“ und Behebung von Lücken sowie aller Prüfungsfeststellungen in der IT