IT-Sicherheit in Banken, wenn eine Anfrage täuschend echt wirkt

Banken und Finanzinstitute sind ein Ziel für Cyberangriffe, weil umgeleitete Überweisungen oder gestohlene Kundendaten schnell Geld bringen. Jeder Ausfall fällt sofort auf und Vertrauen geht schnell verloren. Die Informationssicherheit in Banken hängt deshalb von allen ab, die Zahlungen, Konten oder Kundengespräche betreuen.

Ja, DORA schreibt Security Awareness Training für Banken und andere Finanzunternehmen vor. Nach Art. 13 Abs. 6 entwickeln sie Programme zur Sensibilisierung für IKT-Sicherheit und Schulungen zur digitalen operationalen Resilienz, die für alle Beschäftigten und die Geschäftsleitung verpflichtend sind. Art. 5 Abs. 4 verlangt von den Mitgliedern des Leitungsorgans zusätzlich regelmäßige Schulungen. Anwendbar ist DORA seit dem 17. Januar 2025.

Das BSI-Gesetz, das NIS2 in Deutschland umsetzt, gilt für Banken nur eingeschränkt. Für Finanzunternehmen nach DORA nimmt § 28 Abs. 6 BSIG unter anderem die Vorschriften zu Risikomanagement, Meldepflichten und zur Schulung der Geschäftsleitung aus (§§ 30, 32 und 38 BSIG). An ihre Stelle tritt DORA als speziellere Regelung. Pflichten, die § 28 Abs. 6 nicht nennt, etwa die Registrierung beim BSI, bleiben bestehen.

Mit dem Ende der BAIT wird DORA für alle Banken zum Maßstab für IT-Sicherheit und Schulungen. Die BaFin hat VAIT, KAIT und ZAIT mit Ablauf des 16. Januar 2025 aufgehoben, für Versicherer gilt DORA also schon seit 2025. DORA-pflichtige Institute hat sie zugleich aus den BAIT ausgenommen. Mit Ablauf des 31. Dezember 2026 treten die BAIT vollständig außer Kraft, weil ab dem 1. Januar 2027 weitere Institute DORA anwenden müssen.

Die Maßnahmen zur IT-Sicherheit, die Banken ergreifen sollten, reichen von der Technik bis zum Verhalten der Beschäftigten. Dazu gehören Multi-Faktor-Authentifizierung, getestete Backups, die Steuerung von IKT-Dienstleistern und ein klarer Ablauf für Vorfälle. Regelmäßige Schulungen und Phishing-Simulationen helfen Beschäftigten, Angriffe früh zu erkennen und schnell zu melden.

Mehrere Anbieter helfen, die IT-Sicherheit in Banken und Finanzdienstleistern mit Security Awareness Training und Phishing-Simulationen zu verbessern. Bei der Auswahl lohnt der Blick darauf, ob das Programm auf DORA ausgerichtet ist und ob die Berichte Verhaltensänderung zeigen statt nur abgeschlossener Kurse. International laufen solche Angebote oft unter dem Begriff Financial Services Cyber Security. SoSafe verfolgt den Ansatz des Human Risk Management und misst die Wirkung am Verhalten.

Die Lizenzierung für Finanzgruppen mit mehreren Gesellschaften richtet sich nach der Zahl der Beschäftigten und dem gewählten Paket. Ein Mehrjahresvertrag sichert den Preis für die Laufzeit. Kommen während der Laufzeit Beschäftigte oder Gesellschaften hinzu, stimmen Sie das mit unserem Vertrieb ab. Ein Angebot fordern Sie über unsere Preisseite an.

Dem Vorstand zeigen Sie, dass die Schulung Verhalten ändert, indem Sie messen, was Beschäftigte tun, und nicht, was sie abschließen. Der Human Security Index verbindet Reaktionen auf Simulationen, gemeldete Bedrohungen und Lernfortschritt zu einer Kennzahl. Sie zeigt den Trend und macht sichtbar, welche Teams Unterstützung brauchen. Bei der VR Bank Fulda sank die Interaktion mit Phishing-E-Mails innerhalb von sechs Monaten um 40 %.

Bei Phishing-Simulationen in Banken ist datenschutzrechtlich zu beachten, dass die Ergebnisse personenbezogene Daten der Beschäftigten sind. Wie gezielt Simulationen einzelne Personen ansprechen und wie fein sich Ergebnisse auswerten lassen, begrenzen die DSGVO und das Recht des Beschäftigtendatenschutzes. Stimmen Sie das Programm deshalb vorab mit der oder dem Datenschutzbeauftragten ab und beziehen Sie den Betriebs- oder Personalrat früh ein.

Jede Person braucht pro Lerneinheit nur wenige Minuten Schulungszeit. Eine Lerneinheit dauert ein bis acht Minuten, und ein oder zwei Einheiten im Monat verteilen das Lernen über das Jahr. Das passt besser zu knappen Schulungsbudgets als ein langer Termin und hält das Thema zwischen den Kampagnen präsent.

Ja, SoSafe bereitet Beschäftigte mit Lerninhalten zu Vishing und Voice Cloning auf gefälschte Anrufe und geklonte Stimmen vor. In der interaktiven Vishing-Lektion üben sie einen realistischen Anruf im Browser, ohne eine Telefonnummer anzugeben. Das ist eine Übung innerhalb einer Lektion, die anders als Simulationen per E-Mail oder SMS keine Fehlerquote erfasst.

Ein kleines GRC-Team bekommt das Programm in bis zu zwei Tagen an den Start. Der laufende Betrieb braucht danach ab 15 Minuten pro Woche, denn Kampagnen laufen nach Zeitplan, der Zugang erfolgt über Single Sign-on, und gemeldete Nachrichten landen in einer zentralen Triage-Queue. So bleibt die IT-Sicherheit in Banken auch für kleinere Sicherheitsteams gut zu bewältigen.