Die besten Datenräume
im September 2026

1. Der Markt im September 2026

Der deutsche Markt für virtuelle Datenräume hat sich in den vergangenen zwei Jahren deutlich differenziert. Neben den etablierten deutschen Spezialisten sind schlanke, EU-gehostete Werkzeuge mit transparenter Preisliste hinzugekommen, die moderne Produkt­standards in den Markt bringen - insbesondere in den Bereichen Setup-Geschwindigkeit, Analytik und KI-Unterstützung bei Due Diligence.

Dieses Ranking konzentriert sich bewusst auf sieben Anbieter, die vollständig deutsch sind: deutscher Hauptsitz, ausschließliches oder primäres Hosting in Deutschland und ein deutschsprachiges Support- und Vertriebsteam. Vom EU-gehosteten Deal-Room-Spezialisten Papermark aus München über den Enterprise-Anbieter Brainloop bis zur Sealed-Cloud-Plattform idgard deckt das Feld unterschiedliche Zielgruppen und Budget-Rahmen ab.

Für den deutschen Markt ist das doppelt relevant: Die zunehmende Aufmerksamkeit für Datensouveränität und DSGVO-Konformität macht Hosting-Standorte zu einem harten Auswahlkriterium. Anbieter mit ausschließlich deutschem Hosting haben hier strukturelle Vorteile gegenüber Lösungen, deren Datenverarbeitung primär außerhalb der EU stattfindet.

International etablierte Tools wie Datasite, Intralinks oder Firmex spielen auf dem deutschen Markt zwar ebenfalls eine Rolle, werden hier aber bewusst ausgeklammert: Sie betreiben ihre Infrastruktur oder ihren Hauptsitz außerhalb Deutschlands und bilden ein eigenes Marktsegment, das wir in den Datasite- und Intralinks-Alternativen separat einordnen.

Ein zweiter Trend prägt die Ausgabe September 2026: Regulatorik wird konkreter. Mit dem Digital Operational Resilience Act (DORA), der seit Januar 2025 für Finanzunternehmen in der EU gilt, rücken Auslagerungs- und Drittanbieter-Risiken stärker in den Fokus. Wer im Finanzumfeld einen Datenraum betreibt, muss heute genauer dokumentieren, wo Daten liegen, wer sie verarbeitet und wie der Anbieter im Ernstfall reagiert. Das verschiebt die Auswahlkriterien weg von reinen Funktionslisten hin zu Nachweisbarkeit, Hosting-Standort und Vertragsqualität.

2. Was ein Datenraum ist und wann man ihn braucht

Ein virtueller Datenraum (Virtual Data Room, kurz VDR) ist eine Cloud-Plattform, über die vertrauliche Dokumente kontrolliert und nachvollziehbar an einen definierten Empfängerkreis freigegeben werden. Der Unterschied zu gewöhnlichem Filesharing liegt nicht in der Ablage, sondern in der Kontrolle: granulare Berechtigungen pro Person oder Gruppe, lückenlose Audit-Logs, Wasserzeichen, der Widerruf von Zugriffen und oft strukturierte Frage-Antwort-Prozesse (Q&A). Ein Datenraum dokumentiert, wer wann welches Dokument wie lange gesehen hat - eine Eigenschaft, die in rechtlich heiklen Situationen zum entscheidenden Beweismittel werden kann.

Gebraucht wird ein Datenraum immer dann, wenn Außenstehende geordnet und sicher Einblick in sensible Unterlagen bekommen müssen. Die typischen Anlässe:

• M&A und Unternehmensverkäufe: Beim Verkauf oder Zukauf von Unternehmen prüfen Käufer im Rahmen der Due Diligence Verträge, Bilanzen, Personal- und Rechtsthemen. Der Datenraum bündelt diese Unterlagen und protokolliert die Einsichtnahme.
• Due Diligence allgemein: Ob Finanz-, Legal-, Tax- oder Commercial-Due-Diligence - jeder Prüfungs-Workstream braucht kontrollierten Zugriff auf abgegrenzte Dokumentenbereiche.
• Fundraising und Kapitalrunden: Startups und wachsende Unternehmen teilen Pitch-Decks, Finanzpläne, Cap Tables und Verträge mit Investoren - idealerweise per Link, mit Analytik darüber, wer wie intensiv gelesen hat.
• Immobilien-Transaktionen: Bei Asset- und Share-Deals werden Grundbuchauszüge, Mietverträge, Gutachten und Instandhaltungshistorien strukturiert bereitgestellt.
• Rechts- und Compliance-Abteilungen: Kanzleien, Steuerberater und Wirtschaftsprüfer nutzen wiederverwendbare Räume für Mandate, in denen das Mandantengeheimnis und revisionssichere Protokolle zentral sind.

Für den deutschen und DACH-Markt kommen spezifische Anforderungen hinzu. Die DSGVO verlangt einen Auftragsverarbeitungsvertrag (AVV) nach Art. 28 und macht den Serverstandort zu einem harten Kriterium: Hosting in der EU oder ausschließlich in Deutschland vermeidet die rechtliche Grauzone, in die US-Cloud-Anbieter durch das Schrems-II-Urteil geraten sind. ISO/IEC 27001 ist der De-facto-Standard für Informationssicherheit; für Banken, Versicherer und Behörden kommt das BSI-C5-Testat des Bundesamts für Sicherheit in der Informationstechnik hinzu. Finanzunternehmen müssen seit Januar 2025 zusätzlich die DORA-Vorgaben zur digitalen Betriebsstabilität und zum Management von Drittanbieter-Risiken berücksichtigen - was die Wahl eines Anbieters mit nachweisbarer Compliance und klaren Verträgen weiter aufwertet.

11. DORA und NIS-2 im H2 2026: Anforderungen für Datenraum-Betreiber

Mit dem zweiten Halbjahr 2026 rücken zwei europäische Regulierungsvorhaben für Datenraum-Nutzer in den operativen Fokus: der Digital Operational Resilience Act (DORA) und die NIS-2-Richtlinie. Beide verändern, was Unternehmen von ihren IKT-Drittanbietern nachweislich fordern müssen.

DORA: Konkrete Anforderungen für Finanzunternehmen

DORA gilt seit dem 17. Januar 2025 für Finanzunternehmen in der EU. Im H2 2026 führen BaFin, Österreichs FMA und die Schweizer FINMA erste prüfungsbasierte Kontrollen durch. Für die Datenraum-Auswahl bedeutet das in der Praxis vier konkrete Anforderungen nach Art. 30 DORA:

1. Sub-Prozessor-Register: Der Anbieter muss eine vollständige, aktuelle Liste seiner Sub-Auftragsverarbeiter vorlegen. Stichpunkt Schrems II: kein Sub-Prozessor mit US-Jurisdiction ohne TIA.
2. Exit-Klausel: Der Vertrag muss eine geordnete Übergabe der Daten innerhalb einer definierten Frist ermöglichen. Mindestangabe: Format, Frist und Kosten der Datenrückgabe.
3. RTO/RPO-Angabe: Recovery Time Objective und Recovery Point Objective müssen vertraglich festgelegt sein. Für regulierte Betriebe empfehlen Aufsichtsbehörden RTO unter 4 Stunden für kritische Systeme.
4. Auditrecht: Das Finanzunternehmen muss das Recht haben, den Anbieter selbst oder durch Beauftragte zu prüfen. Cloud-basierte Anbieter können Sammelaudits oder Third-Party-Zertifikate (ISO 27001, SOC 2 Type II) als Äquivalent anbieten.

Unter den sieben geprüften Anbietern erfüllen Papermark, idgard und Brainloop diese Anforderungen am vollständigsten. Papermarks Self-Hosting-Option erlaubt Finanzdienstleistern zusätzlich, den VDR auf eigener Infrastruktur zu betreiben und damit das IKT-Drittanbieterrisiko im Sinne von DORA zu eliminieren.

NIS-2: Betreiber kritischer Infrastrukturen

Die NIS-2-Richtlinie ist in Deutschland seit Oktober 2024 durch das NIS2UmsuCG umgesetzt. Im H2 2026 führt das BSI die ersten Registrierungs- und Meldepflicht-Prüfungen durch. Für Unternehmen in den kritischen Sektoren (Energie, Verkehr, Bankwesen, Finanzmarkt, Gesundheit, Trinkwasser, digitale Infrastruktur) gilt: der Datenraum-Anbieter muss als IKT-Dienstleister dokumentiert und im Risikomanagement berücksichtigt sein. Konkret:

• Nachweis der Netz- und Informationssicherheitsmaßnahmen des Anbieters (ISO/IEC 27001 als Mindestanforderung)
• Incident-Reporting-Kette: der Anbieter muss erhebliche Vorfälle dem betroffenen Unternehmen innerhalb von 24 Stunden melden
• Cyber-Risikokonzept: der Einsatz des Datenraums muss im unternehmensweiten Cyber-Risikomanagement nach Art. 21 NIS-2 erfasst sein

Wer als Betreiber kritischer Infrastruktur einen Datenraum wählt, sollte explizit nach dem Incident-Response-Prozess, dem Patch-Management und der Ausfallsicherheit des Anbieters fragen. Anbieter mit BSI-C5-Testat (Brainloop, idgard) erfüllen die NIS-2-Anforderungen strukturell am besten.

12. Marktentwicklungen im zweiten Halbjahr 2026

Der deutsche VDR-Markt zeigt im zweiten Halbjahr 2026 drei prägende Tendenzen: steigende Nachfrage durch anhaltend hohe Unternehmensinsolvenzen, erstmals strukturierte DORA-Enforcement-Reviews durch die BaFin und eine wachsende Reife des KI-Einsatzes, die Marketing-Versprechen durch prüfbare Produktfunktionen ablöst.

Insolvenzwelle als VDR-Wachstumstreiber

Nach dem Rekordhoch der Unternehmensinsolvenzen in Deutschland im Jahr 2025 hält die erhöhte Insolvenzquote 2026 an. Für den VDR-Markt bedeutet das strukturell wachsende Nachfrage: Insolvenzverwalter, Eigenverwaltungsteams nach StaRUG, Gläubigerausschüsse und Sanierungsberater benötigen sichere, strukturierte Datenräume für Assetverkäufe, Gläubigerkommunikation und Closing-Dokumentation. netfiles hat dieses Segment mit dedizierten Insolvenz-Workflows früh adressiert. Papermark überzeugt durch schnelles Onboarding ohne Mindestlaufzeit — ideal für kurze Insolvenzprozesse, bei denen Transaktionsgeschwindigkeit oft entscheidend ist.

DORA-Enforcement: Von Richtlinien zu Nachweisen

Seit dem Inkrafttreten des Digital Operational Resilience Act (DORA) am 17. Januar 2025 führen nationale Aufsichtsbehörden einschließlich der BaFin 2026 erstmals strukturierte Enforcement-Reviews durch. Der Fokus liegt nicht mehr auf der Frage „Haben Sie eine Richtlinie?", sondern auf dem Nachweis: „Können Sie die operative Resilienz belegen?" Für VDR-Nutzer im Finanzsektor bedeutet das konkret: Der Anbieter muss ein aktuelles Sub-Prozessor-Register vorhalten, einen AVV mit expliziten Austrittsklauseln bereitstellen und nachweisbare RTO/RPO-Werte dokumentieren. Papermark, netfiles, idgard und Brainloop erfüllen diese Anforderungen. Bei Anbietern ohne deutsches Hosting ist eine Transfer-Impact-Assessement nach Art. 46 DSGVO zu empfehlen.

KI im Datenraum: Reife statt Hype

Die KI-Ankündigungen des Jahres 2024 sind 2026 zu produktiven Features geworden. Seitengenaue Betrachtungsanalytik (Papermark), automatische Dokumentenklassifizierung (Drooms NXTintelligence), KI-gestützter Q&A-Assistent und Dokumenten-Chat (Papermark) sind in laufenden Projekten im Einsatz. Für den deutschen Markt gilt dabei ein wichtiger Vorbehalt: KI-Verarbeitung darf bei DSGVO-sensiblen Dokumenten nur auf Servern innerhalb der EU stattfinden und das Modell darf keine Kundendaten für Re-Training verwenden. Papermark verarbeitet in EU-Rechenzentren und deckt die KI-Verarbeitung im Auftragsverarbeitungsvertrag mit ab. Lassen Sie sich beides anbieterunabhängig vertraglich zusichern.

14. DORA-Compliance-Anforderungen für Finanzdienstleister

Seit dem 17. Januar 2025 gilt der Digital Operational Resilience Act (Verordnung EU 2022/2554, DORA) verbindlich für rund 22.000 Finanzunternehmen in der EU, darunter Banken, Versicherungen, Wertpapierfirmen, Zahlungsdienstleister und Krypto-Asset-Dienstleister, die unter BaFin-Aufsicht stehen. DORA überführt das IKT-Risikomanagement von Best Practice in bindendes Recht und hat direkte Auswirkungen darauf, welche Anforderungen ein virtueller Datenraum als IKT-Drittanbieter erfüllen muss.

Art. 28 DORA: IKT-Drittanbieter-Risikomanagement

Art. 28 DORA verpflichtet Finanzunternehmen, vor Vertragsabschluss mit einem IKT-Drittanbieter eine Due-Diligence-Prüfung durchzuführen und diese fortlaufend zu dokumentieren. Für einen virtuellen Datenraum bedeutet das:

1. Vorvertragliche Prüfung: Der Anbieter muss vor Vertragsschluss auf seine Informationssicherheitspraktiken, Zertifizierungen (ISO 27001, SOC 2 Type II, BSI C5) und Referenzen geprüft werden. Die Prüfungsergebnisse sind zu dokumentieren.
2. Register of Information (Art. 28 Abs. 3): Jede IKT-Drittanbieter-Vereinbarung muss in einem maschinenlesbaren Register (xBRL/CSV-Format) erfasst und auf Anforderung der Aufsichtsbehörde eingereicht werden. Die BaFin hat das Einreichungsfenster für 2026 auf den Zeitraum 9. bis 30. März 2026 festgelegt.
3. Laufendes Monitoring: Die vertragliche Beziehung zum VDR-Anbieter muss kontinuierlich überwacht werden, Änderungen beim Anbieter (Zertifizierungsstatus, Eigentümer, Subprozessoren) sind zeitnah im Register zu aktualisieren.
4. Kritische und wichtige Funktionen:Wird der Datenraum für kritische oder wichtige Geschäftsfunktionen eingesetzt (z. B. M&A-Transaktionen für systemrelevante Institute), gelten verschärfte Anforderungen nach Art. 30 DORA, einschließlich erweiterter Auditrechte und konkreter Ausstiegsszenarien.

Art. 30 DORA: Vertragliche Mindestanforderungen

Art. 30 DORA legt fest, welche Klauseln ein Vertrag mit einem IKT-Drittanbieter zwingend enthalten muss. Für Verträge mit VDR-Anbietern sind insbesondere relevant:

• Klare Beschreibung der erbrachten Leistungen und der Daten, die der Anbieter verarbeitet, einschließlich der eingesetzten Subprozessoren (vollständige Sub-Auftragsverarbeiter-Liste).
• Auditrechte: Das Finanzunternehmen (oder ein beauftragter Dritter) muss das Recht haben, den Anbieter zu prüfen. Sammelaudits via Drittanbieter-Zertifikate (ISO 27001, SOC 2 Type II) können als Äquivalent akzeptiert werden.
• Ausstiegsklausel: Der Vertrag muss eine geordnete Auflösung einschließlich Datenrückgabe in einem nutzbaren Format, klarer Fristen und Kosten ermöglichen.
• Verfügbarkeit und Wiederherstellung: RTO (Recovery Time Objective) und RPO (Recovery Point Objective) müssen vertraglich festgelegt sein. BaFin empfiehlt für kritische Systeme RTO unter 4 Stunden.
• Incident-Reporting: Der Anbieter muss wesentliche IKT-Vorfälle innerhalb definierter Fristen melden. Art. 17 DORA verlangt unverzügliche Eskalation erheblicher Störungen; Finanzunternehmen müssen diese an die BaFin weitermelden.

BaFin-spezifische Anforderungen 2026

Die BaFin hat 2026 systematische DORA-Prüfungen aufgenommen und verlangt dabei nachweisliche Resilienz statt dokumentierter Richtlinien:

• BAIT-Übergangsphase: Die Bankaufsichtlichen Anforderungen an die IT (BAIT) gelten bis zum 31. Dezember 2026 parallel zu DORA und werden danach vollständig durch DORA abgelöst. BAIT-konforme Verträge müssen bis Jahresende auf DORA-Konformität überprüft und angepasst werden.
• Vereinfachte Anforderungen (Proportionalitätsprinzip): Kleinere und weniger komplexe Institute können von der BaFin anerkannte vereinfachte DORA-Anforderungen für das IKT-Risikomanagement nutzen.
• KI-Systeme in DORA-Rahmen: Im Januar 2026 hat die BaFin Leitlinien zur Integration KI-basierter Systeme in DORA-konforme IKT-Rahmen herausgegeben. Wer KI-Funktionen eines Datenraums (z. B. KI-Chat, automatische Schwärzung) einsetzt, muss diese in der IKT-Risikoanalyse explizit berücksichtigen.
• TIBER-DE-Tests: Für bedeutende Institute empfiehlt die Bundesbank im Rahmen von TIBER-DE (Threat Intelligence-based Ethical Red Teaming) auch Cloud-gehostete Datenräume in den Testscope einzubeziehen, wenn sie für kritische Funktionen genutzt werden.
• Datensouveränität: BaFin-regulierte Institute müssen sicherstellen, dass VDR-Anbieter EU-Hosting nachweisen können und keine Daten in Drittländer ohne Transfer Impact Assessment (TIA) nach Art. 46 DSGVO weitergeben.

Welche Anbieter DORA-Anforderungen erfüllen

Unter den geprüften Anbietern erfüllt Papermark die DORA-Kernanforderungen besonders vollständig: EU-Hosting in Frankfurt (eu-central-1), ISO/IEC 27001 und SOC 2 Type II als Nachweisgrundlage für Sammelaudits, öffentliche Sub-Auftragsverarbeiter-Liste, signierter AVV nach Art. 28 DSGVO und die einzigartige Self-Hosting-Option für Finanzdienstleister, die das IKT-Drittanbieterrisiko vollständig eliminieren möchten. idgard überzeugt mit Sealed-Cloud-Technologie und BSI-C5-Testat; Brainloop mit BSI C5 und ISAE 3402 für Großbanken und Versicherer. Drooms bietet europäisches Hosting, liefert jedoch keine öffentliche Sub-Auftragsverarbeiter-Liste.

Ein praktikabler DORA-Prüfrahmen für die Datenraum-Auswahl umfasst fünf Kernfragen: Liegt EU-Hosting mit dokumentiertem Rechenzentrumsstandort vor? Gibt es eine öffentliche Sub-Prozessor-Liste? Enthält der Standardvertrag Auditrechte und eine Exit-Klausel? Sind RTO und RPO definiert? Und gibt es eine nachgewiesene Zertifizierung (ISO 27001, SOC 2 Type II oder BSI C5), die als Äquivalent für Sammelaudits akzeptiert werden kann?