In den vergangenen drei Jahrzehnten spielte die Kryptografie im Finanzdienstleistungssektor meist nur eine untergeordnete Rolle. Sicherheits- und PKI-Teams kümmerten sich still und leise darum, und Compliance-Abteilungen befassten sich nur selten damit. Diese Ära ist vorbei. Die Einhaltung der kryptografischen Vorschriften gemäß NYDFS Part 500 ist nun ein Thema, das Prüfer direkt ansprechen – unter Androhung von Geldstrafen und persönlicher Haftung.
Teil 500 steht nicht für sich allein. Er tritt gemeinsam mit DORA, dem überarbeiteten PCI DSS und einer breiteren Welle präskriptiver kryptografischer Vorschriften in Kraft. Die Regulierungsbehörden bewegen sich weg von weit gefassten Formulierungen wie „angemessene Sicherheitsmaßnahmen“ hin zu präzisen, durchsetzbaren Anforderungen. In New York ist dieser Wandel bereits abgeschlossen: Die zweite Novelle wurde am 1. November 2023 verabschiedet und wird bis zum 1. November 2025 schrittweise umgesetzt. Alle Übergangsfristen sind abgelaufen. Seit dem 1. November 2024 lässt § 500.15 – mit nur wenigen Ausnahmen – keinen Ersatz für die Verschlüsselung nicht öffentlicher Informationen zu, die über externe Netzwerke übertragen werden.
Dieser Leitfaden erläutert, für wen Teil 500 gilt, welche kryptografischen Kontrollmaßnahmen darin genannt werden und welche Nachweise Sie bereits heute vorlegen können sollten.
Was ist NYDFS Teil 500 und für wen gilt er?
NYDFS 23 NYCRR Teil 500 ist die Cybersicherheitsverordnung des New Yorker Finanzdienstleistungsministeriums (NYDFS). Sie legt grundlegende Sicherheitsverpflichtungen für regulierte Finanzdienstleistungsunternehmen fest, wobei Verschlüsselung, Multi-Faktor-Authentifizierung und jährliche Zertifizierung ausdrücklich genannt werden.
Sein Geltungsbereich ist weiter gefasst, als viele Teams erwarten. Teil 500 gilt für jede Organisation, die im Rahmen einer New Yorker Lizenz, Registrierung, Satzung oder einer ähnlichen Genehmigung tätig ist, unabhängig davon, wo sich ihr Hauptsitz befindet oder ob sie auch von anderen Behörden reguliert wird. Der Geltungsbereich richtet sich nach der Lizenz, nicht nach der Adresse.
Ein kurzer Überblick über die Entwicklung der Regelung
Teil 500 wurde erstmals im Jahr 2017 verabschiedet und war die erste umfassende staatliche Cybersicherheitsverordnung für Finanzinstitute. Mit der zweiten Novelle wurde er grundlegend überarbeitet; sie trat am 1. November 2023 in Kraft und wird bis zum 1. November 2025 schrittweise umgesetzt.
Diese schrittweise Einführung ist aus einem Grund von Bedeutung: Sie ist abgeschlossen. Alle Bestimmungen der geänderten Vorschrift sind nun in vollem Umfang in Kraft, sodass kein Spielraum mehr besteht, kryptografische Kontrollmaßnahmen als künftige Aufgabe zu behandeln.
Wer gilt als betroffene Einrichtung?
Ein betroffenes Unternehmen ist jede Bank, jeder Versicherer, jeder zugelassene Kreditgeber oder jedes Kryptowährungsunternehmen, das der Aufsicht der NYDFS unterliegt. Wenn Ihre Organisation über eine New Yorker Lizenz, Registrierung oder Gründungsurkunde verfügt, fällt Teil 500 wahrscheinlich auch für Sie, selbst wenn sich Ihr Hauptsitz in einem anderen Bundesstaat oder Land befindet.
Dieser lizenzbasierte Geltungsbereich überrascht viele Teams. Ein Unternehmen kann seinen Sitz weit entfernt von New York haben und dennoch aufgrund einer einzigen Genehmigung den gesamten Umfang der kryptografischen Verpflichtungen gemäß Teil 500 erfüllen müssen.
Unternehmen der Klasse A und die zusätzliche Hürde
Die größten betroffenen Unternehmen werden als Unternehmen der Klasse A eingestuft und unterliegen strengeren Auflagen. Zusätzlich zu den grundlegenden Verschlüsselungs- und Authentifizierungsanforderungen müssen Unternehmen der Klasse A unabhängige Prüfungen, die Verwaltung privilegierter Zugriffe sowie Maßnahmen zur Erkennung und Reaktion auf Endpunktbedrohungen umsetzen.
Wenn Ihre Einrichtung die Schwellenwerte der Klasse A erfüllt, erwarten die Prüfer neben allen Anforderungen, die an kleinere betroffene Unternehmen gestellt werden, konkrete Nachweise für diese verstärkten Kontrollmaßnahmen.
Warum jetzt mehr auf dem Spiel steht als je zuvor
Die NYDFS hat wegen Verstößen gegen Cybersicherheitsvorschriften Geldstrafen in Höhe von bis zu 30 Millionen Dollar verhängt. Das allein verändert bereits die Diskussion, doch der zweite Verfassungszusatz fügte noch etwas Schärferes hinzu: die persönliche Verantwortung.
Die jährliche Bescheinigung über die Einhaltung der Materialvorschriften muss sowohl vom ranghöchsten Führungskraft des betroffenen Unternehmens als auch von dessen CISO unterzeichnet werden. Sie ist jedes Jahr bis zum 15. April fällig, und die Begleitunterlagen müssen fünf Jahre lang aufbewahrt werden. Durch die doppelte Unterschrift wird der Status der kryptografischen Kontrolle zu einer offiziellen Bestätigung durch zwei namentlich genannte Führungskräfte, die durch fünf Jahre lang aufbewahrte Nachweise untermauert wird. Diese bleibt nicht beim Sicherheitsteam.
Die wesentlichen kryptografischen Anforderungen gemäß NYDFS Teil 500
Teil 500 behandelt das Thema Kryptografie anhand mehrerer miteinander verknüpfter Kontrollbereiche. Jeder dieser Bereiche entspricht einem Nachweis, den ein Prüfer überprüfen kann. Die folgenden Unterabschnitte sind nach dem „Answer-First“-Prinzip aufgebaut, sodass sich jede Anforderung leicht herausarbeiten und umsetzen lässt.
§ 500.15: Verschlüsselung nicht öffentlicher Informationen
Gemäß Abschnitt 500.15 müssen nicht öffentliche Informationen sowohl im Ruhezustand als auch während der Übertragung verschlüsselt werden. Ist eine Verschlüsselung im Ruhezustand nicht durchführbar, muss der CISO wirksame Ausgleichskontrollen schriftlich genehmigen, und diese Genehmigung muss mindestens einmal jährlich überprüft werden.
Die Verschlüsselung während der Übertragung über externe Netzwerke bietet nicht dieselbe Flexibilität. Da es für Daten, die über externe Netzwerke übertragen werden, keinen Ausgleichsmechanismus gibt, ist die Vorgabe klar: Die Daten müssen verschlüsselt werden.
Abschnitt 500.11: Sicherheit bei externen Dienstleistern
Die betroffenen Unternehmen sind dafür verantwortlich, nicht nur ihre eigenen Cybersicherheitsrisiken, sondern auch die von Dritten zu steuern. Gemäß Abschnitt 500.11 bedeutet dies, dass sie Richtlinien für externe Dienstleister vorlegen müssen, die die Sorgfaltspflicht und vertragliche Schutzmaßnahmen regeln.
Diese vertraglichen Schutzmaßnahmen erstrecken sich auch auf kryptografische Verfahren. Anbieter sollten an Mindestanforderungen an die Sicherheit, Meldepflichten bei Sicherheitsverletzungen sowie Kontrollmaßnahmen in Bezug auf Verschlüsselung und Zugriff – einschließlich der Multi-Faktor-Authentifizierung – gebunden sein. Ihre kryptografische Sicherheit hängt nun von Nachweisen ab, die Sie von den Anbietern einholen können, und nicht mehr nur von Ihrer eigenen Umgebung.
Abschnitt 500.12: Mehrfaktor-Authentifizierung für jeden Systemzugriff
Gemäß § 500.12 ist eine Multi-Faktor-Authentifizierung für jede Person vorgeschrieben, die auf ein Informationssystem zugreift, unabhängig von ihrer Rolle, ihrem Standort oder dem verwendeten Gerät. Seit dem 1. November 2025 gilt diese Vorschrift allgemein und ist nicht mehr auf den Fernzugriff oder den privilegierten Zugriff beschränkt.
Auch die Methode spielt eine Rolle. Die Leitlinien des NYDFS vom Juli 2025 haben die Position des DFS noch verschärft und SMS- sowie Push-basierte Authentifizierung als schwächere Optionen eingestuft, die einer sorgfältigen, risikobasierten Begründung bedürfen. Eine zertifikatsbasierte, phishingresistente MFA bietet Ihnen eine höhere Sicherheit und eine eindeutigere Antwort bei Audits.
Abschnitt 500.7: Befugter Zugriff und Schlüsselverwaltung
Abschnitt 500.7 verknüpft die Verwaltung privilegierter Zugriffsrechte mit der Ausstellung kryptografischer Zugangsdaten. In der Praxis bedeutet dies, dass für die Administratoren, die Schlüssel und Zertifikate ausstellen und verwalten, das Prinzip der geringsten Berechtigungen durchgesetzt wird.
Die Personen, die kryptografische Berechtigungsnachweise ausstellen oder widerrufen können, verfügen über erhebliche Macht über Ihre Vertrauensbasis. Teil 500 sieht vor, dass diese Macht abgegrenzt, kontrolliert und nachgewiesen wird.
§ 500.13: Bestandsaufnahme der Vermögenswerte und Zertifikate
Abschnitt 500.13 schreibt ein vollständiges, genaues und dokumentiertes Verzeichnis der Informationssysteme vor, was ein Bestandsverzeichnis der Vermögenswerte einschließlich Zertifikaten und kryptografischem Schlüsselmaterial mit denselben Anforderungen beinhaltet. Insbesondere muss das Verzeichnis die Zertifikate und Schlüssel umfassen, die Systeme unterstützen, in denen nicht öffentliche Informationen gespeichert sind.
Was man nicht sehen kann, kann man auch nicht schützen oder zertifizieren. Ein aktuelles Bestandsverzeichnis, das mit Systemen für nicht öffentliche Informationen verknüpft ist, bildet die Grundlage, auf der die übrigen kryptografischen Kontrollmaßnahmen beruhen.
Abschnitt 500.8: Sichere Anwendungsentwicklung
Abschnitt 500.8 bindet kryptografische Kontrollmaßnahmen in die sichere Entwicklung ein. Bei internen Anwendungen, die nicht öffentliche Informationen verarbeiten, umfasst dies die Integration von Kontrollmaßnahmen zur Codesignierung in den Entwicklungslebenszyklus.
Die Anforderung erstreckt sich auch nach außen. Betroffene Unternehmen benötigen Verfahren zur Bewertung und Prüfung der Sicherheit extern entwickelter Anwendungen, die sie nutzen, damit Code von Drittanbietern derselben Prüfung unterzogen wird wie interne Entwicklungen.
§ 500.17: Nachweis der jährlichen Zertifizierung
Abschnitt 500.17(b) bildet die Grundlage für die Zertifizierung durch doppelte Unterschrift. Um den unterzeichnenden CEO und CISO zu unterstützen, benötigen die Teams ein umfassendes Nachweispaket zum Status der kryptografischen Kontrollen.
Die Zusammenstellung dieses Pakets sollte nicht jedes Jahr im April zu einer hektischen Angelegenheit werden. Erst eine einheitliche, aktuelle Übersicht über den Status von Verschlüsselung, MFA, Bestandsaufnahme und Zugriffskontrolle macht die Zertifizierung stichhaltig.
Vorbereitung auf die Prüfung: Fragen, die die Prüfer stellen werden
Der beste Weg, um zu prüfen, ob Sie bereit sind, besteht darin, die Fragen so zu beantworten, wie es ein Prüfer tun würde. Wenn Sie jede dieser Fragen heute mit Belegen beantworten können, sind Sie bestens vorbereitet.
- Werden nicht öffentliche Informationen sowohl im Ruhezustand als auch während der Übertragung verschlüsselt, und werden alle vom CISO genehmigten Ausgleichsmaßnahmen dokumentiert und jährlich überprüft? Falls nicht, erfüllen Sie die Voraussetzungen für eine Ausnahmegenehmigung?
- Gilt die MFA seit dem 1. November 2025 für jede Person, die auf ein Informationssystem zugreift? Falls schwächere Verfahren verwendet werden, können Sie dann nachweisen, wo diese zum Einsatz kommen, und dies schriftlich begründen?
- Ihre Bestandsaufnahme 500.13 erfasst die Gültigkeitsdauer von Zertifikaten für Informationssysteme. Kann sie Ihnen anzeigen, auf welche Zertifikate diese Systeme angewiesen sind und wann diese ablaufen?
- Werden Genehmigungen für Ausgleichsmaßnahmen und andere Feststellungen des CISO dokumentiert und mindestens einmal jährlich überprüft?
- Gibt es bei Unternehmen der Klasse A Belege für unabhängige Prüfungen, die Verwaltung privilegierter Zugriffe und die EDR-Abdeckung?
- Werden die Belege für die jährliche Zertifizierung für die vorgeschriebenen fünf Jahre aufbewahrt?
Blick in die Zukunft: Post-Quanten-Bereitschaft am Horizont
Die Arbeit, die Sie im Zusammenhang mit der Zertifikats- und Schlüsselverwaltung gemäß den Abschnitten 500.13 und 500.15 leisten, zahlt sich noch in einer weiteren Hinsicht aus: Sobald die zugrunde liegenden Standards RSA und ECC nicht mehr akzeptieren, gilt dies auch für Abschnitt 500.15. Somit bildet Ihre Arbeit auch die Grundlage für Krypto-Agilität und Post-Quanten-Bereitschaft – eine Richtung, in die mittlerweile fast jedes Framework steuert.
Um es klar zu sagen: Die Post-Quantum-Migration ist derzeit keine Anforderung gemäß Teil 500. Das NIST hat jedoch einen Zeitplan für den Übergang veröffentlicht, wonach die derzeitigen Algorithmen bis zum Jahr 2030 auslaufen sollen, und die Anforderungen an die Bestandsaufnahme, die Sie bereits erfüllen, sind genau das, worauf eine zukünftige Migration abhängt. Die jetzt durchgeführten Bestandsaufnahmen sind mit Terminen für die nächsten Schritte verknüpft.
Wie „ Keyfactor “ bei der Einhaltung der kryptografischen Vorschriften gemäß NYDFS Part 500 hilft
Keyfactor entspricht direkt den oben genannten Kontrollbereichen gemäß Teil 500, sodass Sie jede Anforderung erfüllen und die von den Prüfern erwarteten Nachweise erstellen können.
- Nachweis der jährlichen Zertifizierung (500.17): AgileSec fasst den Status der kryptografischen Kontrollen in einem auditfähigen Paket zusammen.
- Verschlüsselung und zertifikatsbasierte MFA (500.15, 500.12): EJBCA stellt die Zertifikate für die Verschlüsselung und die Phishing-sichere Authentifizierung aus und verwaltet diese.
- Sichere Anwendungsentwicklung (500.8): SignServer integriert Kontrollen zur Codesignierung in Ihre Entwicklungspipeline.
- Privilegierter Zugriff, Schlüsselverwaltung und Bestandsaufnahme (500.7, 500.13): Keyfactor Command bietet kontinuierliche Transparenz über Zertifikate und Schlüssel und sorgt für eine kontrollierte Ausstellung.
Diese Tools sind in der „ Keyfactor Trust Control Plane“ vereint, einem zentralen System, das alle kryptografischen Ressourcen überwacht, analysiert, bereitstellt, koordiniert und verwaltet. Das Ergebnis ist eine zentrale Anlaufstelle, über die sich die von jedem Framework geforderten Nachweise bereitstellen lassen.
Fazit: ein Programm, kein Projekt
Die Einhaltung der Vorschriften gemäß Part 500 ist keine Aufgabe, die man einmal erledigt und dann ad acta legt. Und obwohl diese Vorschrift nicht vorschreibt, welcher Algorithmus zu verwenden ist, schreibt sie vor, dass zwei namentlich genannte Führungskräfte die von Ihnen getroffene Wahl unterzeichnen müssen und dass Sie die Dokumentation fünf Jahre lang aufbewahren müssen. Das ist zwar keine technologische Vorgabe, aber es ist eine Anforderung, dass Sie jederzeit genau wissen müssen, welche Kryptografie Sie tatsächlich einsetzen.
Unternehmen, die ihr System auf diese Weise aufbauen, können jede neue Anforderung leichter umsetzen – ganz gleich, ob es sich dabei um eine staatliche Vorschrift, eine Vorgabe eines Kartennetzwerks oder eine Regierungsverordnung handelt. Die nächste Anforderung trifft auf eine Infrastruktur, die ihr bereits gerecht wird.
Sind Sie bereit herauszufinden, wie gut Sie die Anforderungen von Part 500 erfüllen? Fordern Sie eine Demo an, um Ihre Kryptografie-Transparenz zu bewerten und auditfähige Nachweise zu erstellen.
Haben Sie Fragen zu NYDFS Teil 500? Wir haben die Antworten.
Was ist NYDFS Teil 500?
NYDFS 23 NYCRR Teil 500 ist die Cybersicherheitsverordnung des New Yorker Finanzdienstleistungsministeriums (NYDFS). Sie legt Sicherheitsverpflichtungen für regulierte Finanzunternehmen fest und nennt dabei ausdrücklich Verschlüsselung, Multi-Faktor-Authentifizierung und jährliche Zertifizierung.
Wer muss Teil 500 einhalten?
Banken, Versicherer, lizenzierte Kreditgeber und Unternehmen im Bereich virtueller Währungen, die der Aufsicht der NYDFS unterliegen. Der Geltungsbereich ist nicht an einen Standort gebunden: Jede Organisation, die im Rahmen einer New Yorker Lizenz, Registrierung oder Gründungsurkunde tätig ist, fällt darunter, unabhängig davon, wo sich ihr Hauptsitz befindet oder welchen anderen Vorschriften sie unterliegt.
Ist Teil 500 des NYDFS bereits vollständig in Kraft getreten?
Ja. Die zweite Novelle trat am 1. November 2023 in Kraft und wurde bis zum 1. November 2025 schrittweise umgesetzt. Alle Übergangsfristen sind abgelaufen, sodass alle geänderten Anforderungen nun vollständig durchsetzbar sind.
Was schreibt Teil 500 hinsichtlich der Verschlüsselung vor?
Abschnitt 500.15 schreibt die Verschlüsselung nicht öffentlicher Daten im Ruhezustand und während der Übertragung vor. Ist eine Verschlüsselung im Ruhezustand nicht durchführbar, muss der CISO Ausgleichsmaßnahmen schriftlich genehmigen und diese Genehmigung mindestens einmal jährlich überprüfen.
Welche Anforderungen an die Multi-Faktor-Authentifizierung (MFA) gelten gemäß Teil 500?
Abschnitt 500.12 schreibt eine Multi-Faktor-Authentifizierung für jede Person vor, die auf ein Informationssystem zugreift. In den Leitlinien des NYDFS vom Juli 2025 werden SMS- und Push-basierte Verfahren als weniger sicher eingestuft, während zertifikatsbasierte, phishing-resistente MFA-Verfahren bevorzugt werden.
Was ist ein Unternehmen der Klasse A gemäß Teil 500?
Unternehmen der Klasse A sind die größten betroffenen Unternehmen. Sie haben in jedem der letzten beiden Geschäftsjahre einen Bruttojahresumsatz von mindestens 20 Mio. US-Dollar erzielt und entweder mehr als 2.000 Mitarbeiter oder einen Umsatz von mehr als 1 Mrd. US-Dollar. Unternehmen der Klasse A sind zu unabhängigen Prüfungen, zur Verwaltung privilegierter Zugriffe sowie zur Erkennung und Reaktion auf Endpunktbedrohungen verpflichtet – es gelten jedoch keine zusätzlichen Verschlüsselungsanforderungen. § 500.15 gilt für alle betroffenen Unternehmen gleichermaßen.
Welche Sanktionen drohen bei Nichteinhaltung?
Die NYDFS hat wegen Verstößen gegen die Cybersicherheit Geldstrafen in Höhe von bis zu 30 Millionen US-Dollar verhängt. Die Vorschrift sieht zudem eine persönliche Verantwortlichkeit vor, die durch eine jährliche Bescheinigung mit doppelter Unterschrift – unterzeichnet vom obersten Geschäftsführer und dem CISO – gewährleistet wird.
Wann ist die jährliche Zertifizierung durch das NYDFS fällig?
Die Zertifizierung der Einhaltung der Vorschriften ist jedes Jahr am 15. April fällig. Sie muss vom ranghöchsten Geschäftsführer und dem CISO unterzeichnet werden, wobei die entsprechenden Belege fünf Jahre lang aufzubewahren sind.
