Glossar

Operativer Geschäftsbetrieb - in der Bank-IT: SOC, IT-Betrieb, Fachbereiche, Anwendungseigner. Beantwortet das WIE: Wie wird die Vorgabe der 2. Linie technisch umgesetzt?

Steuerungs- und Kontrollfunktion - in der Bank-IT: CISO/ISO, IKT-Risikomanagement, Compliance, Datenschutz. Beantwortet das WAS: Welche Vorgaben gelten, welche Risiken werden akzeptiert?

Zwei-Faktor-Authentisierung - Spezialfall der MFA mit genau zwei Faktoren. Wird oft synonym verwendet, technisch ist MFA der Oberbegriff.

Unabhängige Prüfungsfunktion - berichtet direkt an Vorstand und Aufsichtsrat. Beantwortet das OB: Funktionieren 1. und 2. Linie wirklich?

Supply-Chain-Vorfall vom März 2023. Lazarus-nahe Akteure kompromittierten den VoIP-Software-Hersteller 3CX. Was den Fall einzigartig machte: 3CX war SELBST Opfer einer früheren Kompromittierung (X_TRADER-Trading-Software) — eine "Double Supply Chain".

Wörtlich „durch Luft getrennt" - ein System hat keine Netzwerk- verbindung zur Außenwelt. Lange als ultimative Sicherheits-Maßnahme gesehen, bis Stuxnet zeigte: USB-Sticks und Wartungstechniker überbrücken auch die beste Lücke.

Annual Loss Expectancy - jährlich erwarteter Schaden eines Risikos. Berechnet als ALE = SLE x ARO.

Klassische Schutzsoftware, die Schadsoftware anhand von Signaturen erkennt. Allein heute nicht mehr ausreichend, in Banken meist durch EDR/XDR ergänzt oder ersetzt.

Advanced Persistent Threat - ein zielgerichteter, langanhaltender Angriff, meist staatlich gefördert, mit hohem technischen und organisatorischen Aufwand.

APTs zeichnen sich durch monatelange Vorbereitung, mehrstufige Eindringung und tiefe Tarnung im Zielnetz aus. Banken zählen zu den klassischen Zielen, siehe Lazarus Group (Bangladesh Bank Heist 2016) oder Carbanak.

Russische staatliche APT-Gruppe, vermutlich dem Auslandsgeheimdienst SVR zugeordnet. Bekannt für DNC-Hack 2016, SolarWinds 2020 und mehrere Angriffe auf westliche Regierungen. Eine der versiertesten staatlichen Gruppen weltweit.

Annual Rate of Occurrence - jährliche Eintrittsrate eines Risikos (z.B. 0,5 bedeutet "alle 2 Jahre einmal").

Advanced Research Projects Agency Network - das Vorgänger-Netz des heutigen Internets, 1969 vom US-Verteidigungsministerium gestartet. Verband zuerst vier Universitätsrechner, später hunderte. 1988 vom Morris-Worm zum Absturz gebracht.

Das ARPANET (ausgesprochen "Ar-Pa-Net") war das erste paketvermittelte Netzwerk und damit der direkte Vorgänger des Internets. Gestartet 1969 von der DARPA (Defense Advanced Research Projects Agency), verband es zunächst vier US-Universitäten (UCLA, Stanford, UC Santa Barbara, University of Utah). Bis Ende der 1980er war es auf mehrere hundert Knoten gewachsen — Universitäten, Forschungseinrichtungen und Militärstützpunkte. 1983 wurde TCP/IP eingeführt, was den Übergang zum globalen Internet einleitete. Das ARPANET wurde 1990 offiziell eingestellt, weil das zivile Internet seine Aufgaben übernommen hatte. Für die IT-Sicherheit ist es historisch bedeutsam, weil hier der erste globale Schadcode (Creeper 1971) entstand, das erste Antivirenprogramm (Reaper) entwickelt wurde und der Morris-Worm 1988 zeigte, dass vernetzte Systeme angreifbar sind.

Ein schützenswertes Gut der Organisation - Daten, Systeme, Prozesse, Reputation oder Personal. Erst wenn ein Asset benannt ist, kann sinnvoll über Risiko gesprochen werden.

Annahme, dass ein Angreifer bereits im Netz ist. Statt nur auf Prävention zu setzen, wird zusätzlich auf Detection und Eindämmung optimiert - ein zentrales Prinzip von Zero Trust.

Bank-aufsichtsrechtlicher Begriff für die Übertragung von Bank-Aktivitäten an externe Dienstleister. Geregelt in MaRisk AT 9 und BAIT Kapitel 9, ergänzt durch DORA-Pflichten zum Drittparteien-Risikomanagement.

Auslagerung ist der bank-aufsichtsrechtliche Begriff für die Übertragung von Aktivitäten oder Prozessen an ein anderes Unternehmen, die ansonsten von der Bank selbst erbracht würden. Geregelt in MaRisk AT 9, BAIT Kapitel 9 und ergänzt durch DORA Art. 28-44 für IKT-Drittparteien. Anforderungen umfassen: schriftlicher Vertrag mit definierten Mindestklauseln, Risikobewertung vor und während der Auslagerung, Auditrechte, klare Exit-Strategie, Anzeige bei der BaFin bei wesentlichen Auslagerungen. Cloud-basierte AI-Werkzeuge (z. B. Code-Review als SaaS) fallen 2026 fast immer unter den Auslagerungs-Rahmen — auch wenn sie als „Tool" gekauft werden. Das unterscheidet sie nicht von klassischen IT-Diensten wie Hosting oder Managed-Services. Die regulatorische Schärfe ist seit DORA höher, weil kritische IKT-Drittanbieter (CTPP) direkt der ESA-Aufsicht unterliegen können.

Schutzziel: Ist der angegebene Absender / Akteur tatsächlich echt? Wird in Banken durch digitale Signaturen, MFA, geprüftes SWIFT-Handshake sichergestellt.

Schulung der Mitarbeiter, um Phishing, Social Engineering und unsichere Verhaltensweisen zu erkennen. In Banken durch BAIT/DORA Pflicht - die wirksamste Maßnahme gegen den Faktor Mensch.

Awareness-Training (Security Awareness Training) ist die strukturierte Schulung aller Mitarbeiter, um Sicherheitsrisiken zu erkennen und richtig zu reagieren. In Banken ist es durch BAIT (AT 4.4) und DORA Art. 13 verbindlich vorgeschrieben - mindestens jährlich, dokumentiert, mit Teilnahme-Tracking. Typische Inhalte: Phishing-Erkennung (Absender-Domain, Lookalike-URLs, Druck-Mittel), Social Engineering am Telefon, Umgang mit USB-Sticks, Passwort-Hygiene, sichere Heimarbeit, Meldewege für verdaechtige Vorfälle. Moderne Programme arbeiten mit simulierten Phishing-Mails (das eigene IT-Security-Team verschickt regelmäßig Test-Mails an die Belegschaft) und messen Klick-Raten als KPI. Ohne wirksames Awareness-Training wären auch die teuersten technischen SchutzMaßnahmen wertlos: 80-90% aller erfolgreichen Angriffe beginnen mit einem Klick eines Mitarbeiters.

Sehr technisches AWS-spezifisches Cloud-Sicherheits-Zertifikat. Beste Wahl, wenn die Bank AWS strategisch nutzt. Erfordert AWS-Vorkenntnisse.

Hintertür - versteckter Zugang in einer Software oder einem System, oft vom Angreifer nachträglich eingebaut, manchmal auch bewusst vom Hersteller belassen. Ermöglicht späteren Zugriff ohne reguläre Authentifizierung.

Bundesanstalt für Finanzdienstleistungsaufsicht - die deutsche Finanzaufsicht. Konkretisiert das KWG durch Rundschreiben (MaRisk, BAIT) und ist für DORA-Institute zuständige Behörde nach DORA Art. 46.

Bankaufsichtliche Anforderungen an die IT - BaFin-Rundschreiben, das die IT-spezifischen MaRisk-Anforderungen detailliert. Wird Ende 2026 ausser Kraft gesetzt - DORA loest sie ab. Bis dahin gilt eine Uebergangsfrist.

BAIT gliedert sich in 11 Themenbereiche: IT-Strategie, IT-Governance, Informationssicherheit (AT 5), Identitäts- und Berechtigungsmanagement (AT 7), Operativer IT-Betrieb (AT 7.2), Anwendungs-Entwicklung, Auslagerung (AT 9), Notfallmanagement, Kritische Infrastrukturen, IT-Projekt- und Änderungsmanagement, Datenmanagement. Wichtig zum aktuellen Status (Stand 2026): Mit Inkrafttreten von DORA (17.01.2025) ueberschneiden sich die BAIT-Anforderungen erheblich mit der EU-Verordnung. Die BaFin hat angekuendigt, BAIT zum Jahresende 2026 ausser Kraft zu setzen - DORA + die DORA-RTS/ITS uebernehmen den Rahmen. Bis dahin gilt eine Uebergangsfrist, in der beide nebeneinander Anwendung finden. Im Zweifel hat DORA als EU-Verordnung Vorrang.

Cyber-Bankraub im Februar 2016. Die Lazarus-Gruppe (Nordkorea-Bezug) infiltrierte die Zentralbank von Bangladesch und versuchte über gefälschte SWIFT-Nachrichten 951 Millionen US-Dollar von einem Konto bei der Federal Reserve zu transferieren. 81 Mio. tatsächlich abgezweigt.

Der berühmteste Bank-Cybervorfall der jüngeren Geschichte und ein Standard-Lehrbeispiel für Defense in Depth. Die Lazarus-Gruppe verbrachte fast ein Jahr im Bank-Netz, studierte die SWIFT-Workflows, manipulierte die SWIFT-Client-Software und führte den Angriff über das bangladeschische Wochenende aus. Ein einziger Tippfehler ("fandation" statt "foundation") in einer der Empfänger-Adressen löste eine Compliance-Prüfung bei der Deutschen Bank als Korrespondenzbank aus und stoppte die restlichen 870 Mio. US-Dollar. 60 Mio. der entwendeten 81 Mio. verschwanden über Casinos in Manila.

Business Continuity Management - Disziplin, die sicherstellt, dass kritische Geschäftsprozesse auch in Krisen weiterlaufen oder kontrolliert wieder anlaufen.

Business Continuity Plan - das konkrete Plandokument zu BCM, das Rollen, Eskalationswege und Wiederanlauf-Schritte für einen definierten Krisenfall festlegt.

Business Email Compromise - eine Betrugsmasche, bei der Angreifer sich als CEO, CFO oder Geschäftspartner ausgeben und ungewöhnliche Überweisungen anweisen.

Eine der teuersten Betrugsformen weltweit. Das FBI schätzt den weltweiten Schaden seit 2016 auf über 50 Milliarden US-Dollar. KI-gestützte BEC mit Stimm-Imitaten ("Vishing") ist seit 2023 Realität.

Ein potenzielles Ereignis oder eine Aktion, die einem Asset Schaden zufügen kann. Die Bedrohung ist das WAS - unabhängig davon, ob die Bank verwundbar ist.

Business Impact Analysis - die systematische Bewertung, welche Geschäftsprozesse wie kritisch sind und wieviel Ausfall in welchem Zeitraum tolerierbar ist. Liefert die Eingangsgrößen für RTO, RPO und Recovery-Priorisierung im BCM.

Netzwerk aus tausenden bis Millionen kompromittierter Systeme, die zentral ferngesteuert werden. Wird für DDoS, Spam-Versand, Credential-Stuffing oder Krypto-Mining missbraucht.

Systematisches Durchprobieren aller möglichen Passwörter oder Schlüssel. Heute meist als "Credential Stuffing" mit gestohlenen Passwortlisten.

Bundesamt für Sicherheit in der Informationstechnik - IT-Sicherheitsbehörde des Bundes mit Sitz in Bonn. Erstellt Standards, warnt bei Schwachstellen, berichtet jährlich zur Lage.

Cloud Computing Compliance Criteria Catalogue des BSI. Anforderungen für Cloud-Audits in 17 Themenbereichen. Wird in Banken zunehmend als Cloud-Vertrauensanker genutzt.

Vom BSI zertifizierter IS-Revisor - speziell für IT-Grundschutz-Prüfungen. Besonders relevant für Förderbanken und KRITIS-Betreiber. Pendant zum CISA für die deutsche BSI-Welt.

Methodik des BSI für Informationssicherheit. Bietet detaillierte Bausteine ("IT-Grundschutz-Kompendium") als praktische Umsetzung der ISO 27001 für den deutschsprachigen Raum.

Vom BSI zertifizierter Berater für IT-Grundschutz-ISMS. In Förderbanken und öffentlich-rechtlichen Banken hoch angesehen, im privaten Sektor weniger bekannt. 8 Tage Kurs plus Prüfung.

Pufferüberlauf - eine klassische Schwachstelle, bei der ein Programm mehr Daten in einen Speicherbereich schreibt als vorgesehen. Der überschüssige Teil überschreibt benachbarten Code und kann fremden Befehl ausführen.

Der Buffer-Overflow ist eine der ältesten und wirkungsvollsten Schwachstellen-Klassen. Wenn ein Programm Daten in einen Speicher- Puffer schreibt, ohne dessen Größe zu prüfen, schreibt es bei zu großen Eingaben über die Puffergrenze hinaus. In diesem überschriebenen Bereich liegen oft Rücksprung-Adressen oder andere Programm-Anweisungen. Ein Angreifer kann das nutzen, um eigenen Code auf dem Rechner auszuführen. Bekannte Vorfälle: Morris-Worm 1988 (fingerd), Code Red 2001, Heartbleed 2014. Moderne Compiler und Betriebssysteme schützen mit Stack-Canaries, ASLR und DEP - aber neue Varianten entstehen weiter.

Command-and-Control - der Server, über den ein Angreifer mit seiner platzierten Schadsoftware kommuniziert (Befehle senden, Daten abziehen). C2-Verkehr ist ein klassischer Detection-Punkt im SIEM.

Cloud Computing Compliance Criteria Catalogue - vom BSI 2016 eingeführt, seit 2020 als C5:2020 weiterentwickelt. Standard-Audit- Kriterium für Cloud-Anbieter in deutschen Banken. Microsoft, AWS, Google haben C5-Testate für ihre EU-Rechenzentren.

Im Juli 2019 exfiltrierte eine ehemalige AWS-Mitarbeiterin 100 Mio. Datensätze der US-Bank Capital One. Angriffsvektor: Misskonfiguration einer AWS Web Application Firewall ermöglichte Server-Side Request Forgery. Strafe: 80 Mio. US-Dollar durch das US-OCC.

APT-Gruppe (auch Anunak/FIN7), die zwischen 2013 und 2018 über 100 Banken weltweit angriff und insgesamt rund 1 Mrd. US-Dollar entwendete. Methoden: monatelange Aufklärung interner Bank-Prozesse, SWIFT-Manipulation, ATM-Cash-Out auf Befehl.

Klassisches Sicherheitsmodell: harte Außenmauer (Perimeter), dahinter wird allem vertraut. Heute überholt - Lieferketten-Angriffe und Insider umgehen den Perimeter, weshalb Banken zu Zero Trust wechseln.

Certified Cloud Security Professional von (ISC)² - anbieter-neutrales Cloud-Sicherheits-Zertifikat. Gut als Ergänzung zum CISSP bei Multi-Cloud-Bank.

Certified Ethical Hacker - Zertifikat des EC-Council. Weniger technisch tief als OSCP, dafür breiter und für HR-Filter bekannt. Beste Aufwand-Nutzen-Relation im Pentest-Bereich.

Chief Executive Officer - Vorstandsvorsitzender bzw. Geschäftsführer. In der Bank-Hierarchie das oberste Mitglied der Geschäftsleitung. Im IT-Security-Kontext oft Ziel von CEO-Fraud — gefälschten Anweisungen an Mitarbeiter, scheinbar vom CEO selbst.

Betrugsmasche, bei der Angreifer sich als CEO oder Vorstand ausgeben und untergebene Mitarbeiter (oft in der Buchhaltung) zu Eilüberweisungen auf fremde Konten überreden. Seit 2023 oft mit Deepfake-Anrufen.

CEO-Fraud ist eine Spezialform des Business Email Compromise (BEC) und gehoert zu den teuersten Betrugsformen weltweit. Klassischer Ablauf: Der Angreifer recherchiert wochenlang die Organisationsstruktur (LinkedIn, Geschäftsberichte, Social Media), faelscht eine E-Mail aus der CEO-Adresse (oder vergleichbar aussehende Lookalike-Domain) an die Buchhaltung und bittet um eine "vertrauliche, eilige" Überweisung wegen einer angeblichen Akquisition. Seit 2023 oft kombiniert mit Deepfake-Anrufen oder Video-Calls (siehe Hongkong-Fall Februar 2024: 25 Mio USD Verlust durch Deepfake-Video-Call mit gefaelschtem CFO). Gegenmittel: striktes Vier-Augen-Prinzip bei größeren Überweisungen, telefonische Rueckbestaetigung über bekannte Nummern (nicht über die Nummer in der E-Mail), Awareness-Training für Buchhaltung und Sekretariate.

Computer Emergency Response Team - Synonym zu CSIRT. Der Begriff ist markenrechtlich an die Carnegie Mellon University gebunden, CSIRT ist die generische Form.

Chief Financial Officer - Finanzvorstand. Verantwortet Buchhaltung, Controlling, Treasury und Reporting. Bei Cyber-Vorfällen relevant für finanzielle Schadensbewertung und Kommunikation mit Investoren. Bei CEO-Fraud-Angriffen oft Ziel oder gefälschter Absender.

Die drei klassischen Schutzziele der Informationssicherheit: Confidentiality (Vertraulichkeit), Integrity (Integrität), Availability (Verfügbarkeit).

Die CIA-Triade ist das zentrale Modell der ISO 27000-Familie. Banken erweitern sie typischerweise um Authentizität, Verbindlichkeit und Zurechenbarkeit (BSI-Sicht).

Chief Information Officer - Vorstand für Informationssysteme. Verantwortet die IT-Strategie und in vielen Banken auch den IT- Betrieb. Abgrenzung zum CTO ist bankspezifisch: CIO eher Anwendungen und Geschäftsprozesse, CTO eher Infrastruktur und Plattformen.

Certified Information Systems Auditor - ISACA-Zertifikat für interne IT-Revision. In MaRisk-/DORA-Prüfungen explizit erwartet, Standard für 3. Linie. 5 Jahre Audit-Erfahrung Voraussetzung.

Certified Information Security Manager - ISACA-Zertifikat mit Fokus Governance, Risk Management, Incident Response. Goldstandard für 2L-Senior-Rollen in deutschen Banken. 5 Jahre Erfahrung Voraussetzung.

Chief Information Security Officer - Top-Verantwortliche/r für Informationssicherheit, in der Bank Teil der 2. Linie. Im deutschen Sprachraum auch als ISMS-Manager oder ISB bezeichnet.

Der CISO ist die höchste IT-Sicherheitsrolle einer Bank und in der Regel der 2. Linie zugeordnet. Aufgaben: Strategie und Vorgaben für das ISMS, Berichterstattung an Vorstand und Aufsicht, Eskalationsinstanz bei kritischen Vorfällen. In kleinen Banken oft in Personalunion mit dem ISO; in größeren Häusern eigene Funktion mit Stab.

Certified Information Systems Security Professional - breites Generalist-Zertifikat von (ISC)² über 8 Domänen. Voraussetzung: 5 Jahre Erfahrung in 2 Domänen. Hartes 3h-Examen, weltweit anerkannt.

Autonomes oder semi-autonomes System auf Basis eines LLM, das Programmcode lesen, schreiben, ausführen und debuggen kann. Seit 2025 Standard-Werkzeug; in der Security-Welt sowohl für Vulnerability-Discovery als auch für Exploit-Entwicklung genutzt.

Coding Agents sind LLM-basierte Systeme, die über den reinen Textgenerierungs-Modus hinausgehen: Sie können Werkzeuge bedienen (Dateisystem, Compiler, Debugger, Testlaeufe), iterativ Code ändern und ihr Vorgehen auf Basis der Ergebnisse anpassen. Anbieter und Frameworks 2026 umfassen Claude Code, Cursor, GitHub Copilot Workspace, Devin, Aider und viele weitere. In der Security-Welt ist die für Banken relevante Lesart: Was ein Coding Agent für einen Entwickler an Hebel bedeutet, bedeutet derselbe Coding Agent auch für einen Angreifer. Die Werkzeuge sind nicht moralisch ausgerichtet, sondern leistungsneutral. Das ist ein Kernpunkt der strukturellen Asymmetrie: Coding Agents senken Angreifer-Aufwand staerker, weil Angreiferarbeit weniger organisationsgebunden ist als Verteidigungsarbeit.

Ersatz-Maßnahmen, wenn die eigentliche Schutzmaßnahme (z. B. Patch) gerade nicht verfügbar ist. Beispiele: WAF-Regel gegen ein bekanntes Exploit-Pattern, vorübergehende Netzwerksegmentierung, erhöhtes Monitoring. In jedem DORA-Audit ein Standardthema.

Einstiegs-Zertifikat ohne Erfahrungs-Voraussetzung. In USA Standard, in Deutschland weniger bekannt aber solider Beleg für IT-Sicherheits-Grundwissen. Ideal für Quereinsteiger.

Chief Operating Officer - Vorstand für operative Geschäftsführung. In Banken oft verantwortlich für IT-Betrieb und Backoffice. Bei DORA-Vorfällen wichtige Eskalationsstufe für die Betriebs-Seite.

Capital Requirements Directive - EU-Richtlinie zur Eigenkapital- ausstattung von Banken (aktuell CRD VI). Setzt zusammen mit der CRR die Basel-III-Standards in EU-Recht um. Relevant für IT- Sicherheit nur indirekt über die Governance-Anforderungen.

Automatisierter Anmelde-Versuch mit Listen aus früheren Datenpannen. Funktioniert, weil viele Nutzer dieselben Passwörter auf mehreren Diensten verwenden. Wichtigste Gegenmaßnahmen: MFA, Bot-Schutz, Rate-Limiting auf Login-Endpunkten.

Certified in Risk and Information Systems Control - ISACA-Zertifikat mit Schwerpunkt IT-Risikomanagement. Sehr passend für IKT-Risikomanager nach DORA, etwas operativer als CISM.

Chief Risk Officer - Vorstandsverantwortliche/r für das gesamte Risikomanagement der Bank. Führt typischerweise die 2. Linie und berichtet direkt an CEO und Aufsichtsrat.

Die wenigen Vermögenswerte einer Organisation, deren Verlust oder Kompromittierung existenzgefährdend wäre. In Banken typisch: Kernbankensystem, Zahlungsverkehr, Online-Banking, Kunden-PII.

Crown Jewels (englisch für „Kronjuwelen") bezeichnet die Handvoll wirklich kritischer Vermögenswerte einer Organisation — Systeme, Datenbanken oder Prozesse, deren Ausfall oder Kompromittierung existenzbedrohend wäre. Die Identifikation der Crown Jewels ist der wichtigste Schritt einer ehrlichen Risikoanalyse: Ohne diese Klarheit verteilt sich die Verteidigungsanstrengung gleichmässig über alle Systeme, statt sich auf die kritischen zu konzentrieren. Für eine deutsche Bank typische Crown Jewels: Kernbankensystem (Buchungen, Salden), Zahlungsverkehr (SEPA, SWIFT, Echtzeit), Online-Banking-Frontend (Reputations- und Kontinuitätsrisiko), Kunden-PII (DSGVO und Reputation), Krypto-Schlüssel-Material (Vertraulichkeit aller anderen Systeme). In der AI-getriebenen Bedrohungslage werden Crown Jewels noch wichtiger, weil Mikrosegmentierung und gezielte Härtung sich um sie herum bauen lassen — auch wenn der Rest der Infrastruktur unter Druck steht.

Capital Requirements Regulation - EU-Verordnung mit unmittelbarer Wirkung in allen Mitgliedstaaten (aktuell CRR III). Kern der europäischen Bankenaufsicht. Im IT-Kontext wichtig als Quelle für das "operationelle Risiko", in das IKT-Risiken zählen.

Computer Security Incident Response Team - Spezialisten-Team, das erkannte Vorfälle ab Schwere S2/S3 übernimmt, eindämmt, forensisch aufklärt und nach DORA meldet.

Chief Technology Officer - Technik-/IT-Vorstand. In Banken oft verantwortlich für IT-Architektur, Plattformen und Innovation. Klassische Gegenspielerin der 2. Linie: CTO will Geschwindigkeit, 2L will Risikoabsicherung — kein Konflikt, aber ständiges Aushandeln.

Critical Third-Party Provider - durch DORA Art. 31 eingeführte Kategorie für IKT-Drittanbieter, die für viele Finanzunternehmen kritisch sind. Werden von den ESAs benannt und unterliegen direkter EU-Aufsicht.

Common Vulnerabilities and Exposures - öffentliche Datenbank bekannter Software-Schwachstellen, betrieben von MITRE/CISA. Jede Schwachstelle bekommt eine eindeutige ID (z. B. CVE-2023-34362 für MOVEit). Standard-Referenz in jedem Patch-Management.

Common Vulnerability Scoring System - standardisierte 0-10-Bewertung einer Schwachstelle. Ab 9,0 gilt eine Schwachstelle als "kritisch" und ist DORA-relevant.

Sieben-Phasen-Modell von Lockheed Martin (2011), das den Ablauf eines gezielten Angriffs beschreibt: Recon → Weaponize → Deliver → Exploit → Install → C2 → Action on Objectives. In jeder Phase kann ein Verteidiger eingreifen.

Schadcode, der gezielt von staatlichen Akteuren zur Sabotage oder Aufklärung eingesetzt wird. Stuxnet (2010) gilt als erste anerkannte Cyberwaffe, NotPetya (2017) als erste, die einen Multi-Milliarden- Kollateralschaden weltweit verursachte.

Phase eines Angriffs, in der Daten aus dem Zielnetz hinaus transportiert werden. Erkennung über DLP-Systeme, ungewöhnliche Upload-Volumina, neue C2-Verbindungen.

Distributed Denial of Service - massenhafte Anfragen aus tausenden kompromittierten Systemen (Botnet) sollen einen Dienst überlasten und unerreichbar machen.

Bekannte Bank-Fälle: Estland 2007 (DDoS gegen Banken und Behörden), Operation Ababil 2012-2013 (US-Großbanken HSBC, BoA, Wells Fargo), NZX New Zealand Stock Exchange 2020.

KI-generierte Audio- oder Video-Imitation einer realen Person. Seit ca. 2023 reif genug für gezielte CEO-Fraud-Angriffe: ein gefälschter Vorstands-Anruf bittet die Buchhaltung um eine Eilüberweisung. Schwer von echten Anrufen zu unterscheiden.

Verteidigung in mehreren Schichten: Wenn eine Schutzlinie versagt, fangen die nächsten den Angriff ab. Zentrales Architektur-Prinzip der IT-Sicherheit, in MaRisk und BAIT explizit gefordert.

Das Prinzip stammt ursprünglich aus dem mittelalterlichen Burgenbau: Erst der Wassergraben, dann die Außenmauer, dann der Wachturm, dann die Tür mit Riegel - jede Schicht alleine ist überwindbar, aber alle zusammen halten den Angreifer auf oder verlangsamen ihn so, dass die Verteidiger reagieren können. In der IT bedeutet das: keine einzelne Schutzmaßnahme reicht aus, sondern mehrere Schichten greifen ineinander.

Die Disziplin, in SIEM und EDR neue Erkennungsregeln zu schreiben, zu testen und zu pflegen. Häufiger Schwerpunkt eines Tier-3-SOC- Mitarbeiters. Orientiert sich am MITRE-ATT&CK-Framework, sodass jede Detection einer konkreten Technique zugeordnet werden kann.

Data Loss Prevention - Sammelbegriff für Werkzeuge, die unautorisierten Datenabfluss erkennen oder verhindern. Klassische Anwendung: Mail-Anhänge mit Kundendaten an externe Empfänger blockieren.

Demilitarisierte Zone - eine Netzwerk-Zone zwischen dem öffentlichen Internet und dem internen Netz. Web-Server, E-Mail-Gateways und VPN- Endpoints sitzen dort. Auch wenn sie kompromittiert werden, hat der Angreifer noch keine Verbindung ins Backend.

Digital Operational Resilience Act - EU-Verordnung 2022/2554 (verbindlich seit 17.01.2025). Vereinheitlicht IT-Resilienz-Anforderungen für alle Finanzunternehmen in der EU.

DORA löst in vielen Bereichen die nationalen IT-Anforderungen (BAIT) ab. Kernthemen: IKT-Risikomanagement (Art. 5-15), IKT-Vorfallmanagement und Meldepflichten (Art. 17-23), Resilienz-Tests inkl. Threat-Led Penetration Testing (Art. 24-27), IKT-Drittparteienrisiko (Art. 28-30), Informationsaustausch (Art. 45). Meldefristen: 4h initial, 24h Update, 72h Final-Bericht.

Erpressungs-Doppelpack moderner Ransomware: Daten werden NICHT NUR verschlüsselt, sondern vorher gestohlen. Bezahlt das Opfer nicht, werden die Daten veröffentlicht. Seit ca. 2020 Standard bei großen Gruppen wie LockBit, Conti, Cl0p.

Erste Stufe einer mehrstufigen Schadsoftware: ein kleines Programm, das nach erfolgreichem Initial Access weitere Komponenten ("Payload") nachlädt.

Datenschutz-Grundverordnung (EU 2016/679) - regelt Verarbeitung personenbezogener Daten. Schnittstelle zur IT-Sicherheit über Art. 32 ("Sicherheit der Verarbeitung") und Art. 33 (Datenpannen-Meldung).

European Banking Authority - die EU-Bankenaufsicht mit Sitz in Paris. Eine der drei ESAs, zuständig für Banken-Regulierung. Erstellt RTS/ITS für DORA und MiFID, die in der gesamten EU verbindlich sind.

Endpoint Detection and Response - Nachfolger des klassischen Antivirus. Erkennt Verhaltensmuster statt nur Signaturen, ermöglicht Forensik und Rollback nach einem Angriff.

Exposure Factor - der prozentuale Anteil des Asset-Werts, der bei einem Ereignis verloren geht. Bei einem 4-Stunden-Online-Banking-Ausfall gehen z. B. nicht 100 % verloren, sondern nur die Buchungen, die in dieser Zeit aufliegen.

Filterung des AUSGEHENDEN Netzwerkverkehrs — nicht alles, was aus einem System raus will, darf raus. Hat 2021 viele Log4j-Infektionen blockiert, weil der Schadcode keine Verbindung zum Command-Server aufbauen konnte.

Egress-Filtering bezeichnet die strikte Kontrolle ausgehender Verbindungen aus einer Umgebung — typischerweise per Firewall, Proxy oder Cloud-Security-Gateway. Konzeptuell die Umkehrung des klassischen Perimeter-Denkens, das vor allem auf eingehenden Verkehr achtet. Wirksam, weil viele moderne Angriffe nach dem Erstzugriff einen ausgehenden Kanal brauchen — zum Command-Server, zum DNS-Tunnel, zum Datenabfluss. Beruehmtes Beispiel: Die Log4j-Welle Ende 2021. Viele Unternehmen hatten verwundbare Anwendungen, wurden aber nicht kompromittiert, weil die ausgehende Verbindung des Exploit-Codes durch Egress-Filter blockiert wurde. Die Vulnerability war vorhanden, aber nicht ausnutzbar. In der AI-getriebenen Lage 2026 wird Egress-Filtering wichtiger, weil Patching nicht mehr schnell genug ist und kompensierende Kontrollen ein größeres Gewicht bekommen. Praktische Bank-Umsetzung: Allow-Lists pro Anwendung statt globaler Internet-Ausgang, DNS-Filterung gegen bekannte C2-Domains, Anomalie-Erkennung im Volumen.

EU-Verordnung 910/2014 zu elektronischer Identifizierung und Vertrauensdiensten. Definiert die qualifizierte elektronische Signatur (QES), die der eigenhändigen Unterschrift gleichgestellt ist.

European Insurance and Occupational Pensions Authority - die EU-Versicherungsaufsicht mit Sitz in Frankfurt. Eine der drei ESAs, zuständig für Versicherungen und betriebliche Altersversorgung.

Jedes Endgerät, das mit dem Netz verbunden ist: Laptop, Server, Smartphone, Tablet. Endpoints sind die häufigsten Eintrittspunkte für Angriffe - daher die hohe Bedeutung von EDR-Software.

European Supervisory Authorities - die drei EU-Aufsichtsbehörden für den Finanzsektor: EBA (Banken), ESMA (Wertpapiere), EIOPA (Versicherungen). Gemeinsam zuständig für DORA-Standards und die Aufsicht über CTPPs.

European Securities and Markets Authority - die EU-Wertpapieraufsicht mit Sitz in Paris. Eine der drei ESAs, zuständig für Wertpapierfirmen, Handelsplätze, Rating-Agenturen und Markt-Infrastruktur.

Exploit für eine Schwachstelle im Windows-SMB-Protokoll, ursprünglich von der NSA entwickelt und gesammelt. 2017 von der Shadow-Brokers- Gruppe veröffentlicht und kurz darauf in WannaCry und NotPetya massenhaft missbraucht.

EU-Verordnung 2024/1689 zur Regulierung von Künstlicher Intelligenz. In Kraft seit 01.08.2024, Hochrisiko-Pflichten gelten ab 02.08.2026. Erste umfassende AI-Regulierung weltweit.

Der EU AI Act (Verordnung 2024/1689) ist die erste umfassende gesetzliche Rahmenregelung für Künstliche Intelligenz weltweit. Er klassifiziert AI-Systeme nach Risiko in vier Stufen: verboten (seit 02.02.2025), Hochrisiko (Pflichten ab 02.08.2026), begrenztes Risiko (Transparenzpflicht) und minimales Risiko (frei). Verbotene Praktiken umfassen u. a. Social Scoring durch Behörden, manipulative Techniken und bestimmte biometrische Überwachung. Hochrisiko-Systeme brauchen Konformitätsbewertung, technische Dokumentation, Logging, menschliche Aufsicht und ein Risikomanagement-System. Für Banken relevant: defensive AI-Systeme können je nach Konfiguration unter die Hochrisiko-Klassifizierung fallen, insbesondere bei autonomen Entscheidungen mit Auswirkung auf Mitarbeiter. Aufsicht in Deutschland: Bundesnetzagentur und Landesdatenschutzbehörden, koordiniert mit dem AI Office der Europäischen Kommission. Das ist eine zusätzliche Aufsicht zur BaFin, nicht eine ersetzende.

Vorab geplantes Vorgehen, wie eine Bank im Notfall einen Drittanbieter verlässt - inkl. Datenrückgabe, Datenlöschung, Übergabe an alternativen Anbieter. DORA Art. 30 macht Exit-Strategien zur Vertrags-Pflicht.

Stück Software oder Anleitung, das eine bekannte Schwachstelle aktiv ausnutzt — zum Beispiel um Code auf einem fremden System auszuführen. Unterschied zur Vulnerability: die Vulnerability ist die Lücke, der Exploit ist das Werkzeug.

Ein Exploit ist der konkrete Code oder Mechanismus, der eine Vulnerability in eine Wirkung übersetzt — Codeausfuehrung, Privilegieneskalation, Datenausleitung. Vor 2024 war Exploit-Bau fachliches Handwerk: Memory-Layouts verstehen, Heap-Spraying, Sandbox-Escapes, Schutzmechanismen wie ASLR und DEP umgehen. Diese Fähigkeiten setzten jahrelange Spezialisierung voraus. Mit AI-Coding-Agents 2026 wird Exploit-Entwicklung zunehmend automatisiert — Anthropic dokumentierte im April 2026 in einer Firefox-Reproduktion 181 funktionierende Exploits aus einer einzigen Anweisung (gegenüber 2 beim Vorgängermodell). Das ist der Hebel hinter der Time-to-Exploit-Verschiebung von Monaten auf Stunden. Bank-Konsequenz: Patching alleine reicht nicht mehr — es braucht zusätzlich kompensierende Kontrollen für das Fenster zwischen CVE-Veröffentlichung und ausgerolltem Patch (Mikrosegmentierung, Egress-Filtering, virtuelles Patching per WAF).

Unix-Dienst der frühen 1980er, der auskunfteilte, welche Benutzer gerade an einem Rechner angemeldet sind. Enthielt 1988 den Buffer-Overflow, den der Morris-Worm zur Verbreitung nutzte.

US-Cybersecurity-Firma (seit 2021 zu Mandiant umfirmiert), bekannt für Threat-Intelligence und Incident Response. 2020 selbst Opfer eines APT29-Angriffs — und entdeckte dabei die SolarWinds-Supply- Chain-Kompromittierung.

Global Information Assurance Certification - Zertifizierungs-Familie des SANS Institute mit über 40 spezialisierten Zertifikaten (GSEC, GCIH, GCFA, GCIA, …). Sehr praktisch orientiert, in Bank-1L hoch angesehen.

GIAC Certified Incident Handler - SANS-Zertifikat speziell für CSIRT-Mitglieder und SOC-Tier-2/3. Fokus auf Erkennung, Eindämmung und Forensik realer Angriffe.

GIAC Security Essentials - das Generalist-Zertifikat von SANS. Sechs-Tage-Kurs plus Prüfung, sehr hands-on. Kosten ca. €8.500 inkl. SANS-Kurs.

Steuerung und Aufsicht - umfasst Strategie, Verantwortlichkeiten, Berichtswege und Kontrollmechanismen. Im Bank-IT-Kontext besonders durch DORA Art. 5 und MaRisk geregelt.

Governance, Risk, Compliance — Sammelbegriff für die Disziplin, Steuerung, Risikomanagement und Regelkonformitaet in einer Organisation integriert zu betreiben. Bank-IT-Sicherheit ist immer auch GRC-Arbeit.

GRC steht für Governance, Risk Management und Compliance — drei eng verschraenkte Disziplinen, die in der Bank-IT typischerweise in der 2. Verteidigungslinie zusammengeführt werden. Governance bezeichnet die Festlegung von Verantwortlichkeiten, Strategien und Kontrollen; Risk Management die Identifikation, Bewertung und Steuerung von Risiken; Compliance die Einhaltung externer Vorgaben (KWG, MaRisk, BAIT, DORA, DSGVO). In der Praxis manifestiert sich GRC in Policies, Risiko-Registern, Kontroll-Frameworks, Audit-Trails und Reporting-Prozessen. AI-gestützte GRC-Werkzeuge in 2026 können Routineaufgaben wie Policy-Abgleiche, Evidence-Sammlung für Audits oder Delta-Analysen bei Regulierungs-Updates erheblich beschleunigen — die menschliche Verantwortung für Entscheidungen bleibt aber.

Bewusst praeparierter Köder — Server, Datenbank oder Konto, das so aussieht wie ein lohnendes Ziel, aber nur dazu da ist, Angreifer zu locken und zu erkennen. Jede Interaktion ist per Definition verdaechtig.

Ein Honeypot ist ein bewusst angreifbares System, das in die Produktivumgebung eingebettet ist, aber keinen legitimen Zweck hat. Gerät ein Angreifer hinein, ist seine bloße Anwesenheit das Signal — es gibt keinen legitimen Grund, dieses System zu beruehren. Damit sind Honeypots eine der wenigen Erkennungsmethoden, die nicht auf Signaturen oder bekannten Mustern beruhen, sondern auf der Logik der Verteidiger-Topologie. Typische Bank-Beispiele: ein vermeintlich ungeschütztes Datenbank-Backup, ein Schein-Mitarbeiterkonto mit lockendem Privilegien-Profil, eine vermeintliche Verwaltungs-API. Moderne Honeypot-Plattformen werden zunehmend AI-gestützt deployed, um realistisch wirkende Inhalte und Verhaltensmuster zu erzeugen. Wichtig: Honeypots ergaenzen klassische Detection, sie ersetzen sie nicht.

Kleinster Honeypot-Verwandter — ein praepariertes Datum (Datei, ZugangsSchlüssel, Datensatz), das nur dazu da ist, beim Zugriff Alarm zu schlagen. Hat niedrigere Betriebskosten als ein voller Honeypot-Server.

Ein Honeytoken ist die granularste Form der Decoy-Verteidigung: ein einzelnes praepariertes Artefakt — eine Datei mit lockendem Namen, ein AWS-ZugangsSchlüssel ohne reale Berechtigungen, ein falscher Datenbank-Eintrag — dessen jegliche Nutzung Alarm ausloest. Honeytokens skalieren erheblich besser als klassische Honeypots: eine Bank kann tausende davon in echten Repositorys, S3-Buckets, Datenbanken oder Confluence-Seiten verteilen. Beruehmtes Beispiel: Canarytokens (Thinkst) bieten kostenlose Honeytokens für verschiedene Szenarien an. In Banken besonders wertvoll für die Erkennung von Insider Threats und Lateral Movement nach erfolgreichem Initial Access. Wichtig: Token müssen so platziert sein, dass legitime Nutzer sie nicht zufällig auslösen — sonst wird das Signal verrauscht.

Hardware Security Module - physisches Gerät, das kryptographische Schlüssel sicher speichert und Operationen mit ihnen durchführt. In Banken Pflicht für SWIFT, PIN-Verarbeitung und qualifizierte Signaturen.

Heating, Ventilation and Air Conditioning - die Klima-, Lüftungs- und Heizungstechnik eines Gebäudes. In der IT-Sicherheit relevant, weil moderne HVAC-Systeme oft im selben Netz wie Geschäfts-IT hängen. Beim Target-Hack 2013 kamen Angreifer über den HVAC-Dienst- leister ins Bank-Netz.

Infrastructure as a Service - Cloud-Modell, bei dem nur die physische Infrastruktur (Server, Storage, Netzwerk) vom Anbieter kommt. Betriebssystem, Middleware, Anwendungen verantwortet die Bank.

Identity and Access Management - verwaltet Identitäten und ihre Berechtigungen. Pflicht-Disziplin in jeder Bank, in BAIT AT 7 explizit geregelt.

Internal Capital Adequacy Assessment Process - jährlicher Prozess, in dem eine Bank ihren Kapitalbedarf an alle wesentlichen Risiken kalibriert. Operationelles IT-Risiko ist Teil davon.

Industrial Control Systems - umfasst SPS (Speicherprogrammierbare Steuerungen), SCADA-Systeme und alles, was Produktionsanlagen steuert. Hauptziel von Stuxnet 2010 und Triton/Trisis 2017.

Institute of Internal Auditors - weltweiter Berufsverband der internen Revisoren. Hat in den 1990ern das Three-Lines-of-Defense-Modell geprägt und 2020 zum "Three Lines Model" weiterentwickelt.

Informations- und Kommunikationstechnik - der Sammelbegriff, mit dem DORA, MaRisk und BaFin die gesamte IT-Welt einer Bank meinen: Systeme, Anwendungen, Netzwerke, Geräte. Bewusst breiter als nur "IT", weil er Kommunikations- und Telekommunikations-Infrastruktur einschließt.

DORA-Begriff für ein Ereignis, das Sicherheit oder Funktion einer Bank-IKT-Komponente beeintraechtigt. Bei „schwerwiegender" Klassifizierung Meldepflicht an die BaFin innerhalb von 4 Stunden (DORA Art. 19).

IKT-Vorfall ist der DORA-Begriff für ein einzelnes Ereignis oder eine Reihe verbundener Ereignisse, die ungeplant von der Bank erkannt werden und die Sicherheit von Netzwerk- oder Informationssystemen beeintraechtigen. DORA unterscheidet zwischen „IKT-Vorfall" und „schwerwiegender IKT-Vorfall" - letzterer triggert die Meldepflicht. Kriterien für „schwerwiegend" sind in der RTS zur Klassifizierung von IKT-Vorfällen (Verordnung 2024/1772) festgelegt: Anzahl betroffener Kunden, Dauer, geografische Reichweite, Datenverlust, wirtschaftliche Auswirkung, Reputationsschaden, Auswirkung auf kritische Funktionen. Meldefristen nach Art. 19: Erstmeldung in 4 Stunden nach Klassifizierung, Zwischenbericht in 72 Stunden, Abschlussbericht in einem Monat. In der 9-Stunden-Welt der Time-to-Exploit-Kennzahl sind diese Fristen knapp - ein AI-orchestrierter Angriff kann von Initial Access bis Datenabfluss innerhalb von Minuten ablaufen.

E-Mail-Wurm vom Mai 2000 mit Betreff "ILOVEYOU" und VBScript-Anhang. Verbreitete sich in 24 Stunden weltweit, Schaden rund 10 Mrd. USD. Lehrstunde in Social Engineering: niemand klickt auf "Bitte öffnen Sie diese Datei", aber jeder klickt auf "Ich liebe dich".

Die Schadenshöhe, wenn ein Risiko eintritt. Im Risiko-Reporting der 2. Linie typisch in Stufen: niedrig / mittel / hoch / sehr hoch oder als Geldbetrag bei großen Risiken.

Hauptverantwortlicher für die Bearbeitung eines IS-Vorfalls — koordiniert das CSIRT, hält Kontakt zur 2L (CISO) und entscheidet über Eskalation. Tritt typischerweise erst ab S2/S3 in Aktion.

Das Risiko, das ein Asset trägt, BEVOR irgendwelche Schutzmaßnahmen wirken. Wichtig für die Frage: Wieviel Risiko ist überhaupt da?

Die erste erfolgreiche Kompromittierung im Zielsystem - Phase 4 der Cyber Kill Chain bzw. MITRE ATT&CK Tactic TA0001. Typische Vektoren: Spear-Phishing, Schwachstellen in öffentlich erreichbaren Diensten, gestohlene Anmeldedaten, Supply Chain.

Bedrohung durch Personen mit legitimen Zugriff: Mitarbeiter, Dienstleister, Praktikanten. Schwer zu erkennen, oft mit hohem Schaden.

Berühmte Fälle: Hervé Falciani / HSBC SwissLeaks 2008, Edward Snowden / NSA 2013, Bradley Birkenfeld / UBS 2008. Schutz durch Trennung von Pflichten, Vier-Augen-Prinzip, Privileged Access Management und Verhaltens-Monitoring.

Unabhängige Prüfungsfunktion der Bank (3. Linie). Prüft die Wirksamkeit von 1. UND 2. Linie, berichtet direkt an Vorstand und Aufsichtsrat. In MaRisk AT 4.4 und DORA Art. 6 verankert.

Indicator of Compromise - ein technisches Indiz, das auf einen erfolgten oder laufenden Angriff hinweist (z.B. eine Schad-IP, ein Datei-Hash).

Internet of Things - jede Art vernetzter Alltagsgeräte: Kameras, Türschlösser, Sensoren, Klimaanlagen. In Banken oft als unsichere Eintrittspunkte unterschätzt - der Target-Hack 2013 lief über die Klimaanlage.

Identifiziertes Auftreten eines System-, Dienst- oder Netzwerkzustands, der auf eine mögliche Verletzung der IS-Richtlinie hindeutet — z.B. fehlgeschlagener Login, AV-Alert, ungewöhnliche Netzwerkaktivität.

Ein oder mehrere unerwünschte IS-Ereignisse, bei denen eine signifikante Wahrscheinlichkeit besteht, dass der Geschäftsbetrieb beeinträchtigt wird — z.B. bestätigte Malware, kompromittierte Konten.

Informations-Sicherheits-Beauftragter - deutsche Bezeichnung für die Rolle, die international als CISO oder modern als ISMS-Manager bezeichnet wird. Häufig in Banken mit BSI-IT-Grundschutz-Tradition.

Der Begriff ISB stammt aus dem BSI-IT-Grundschutz und wird vor allem in Behörden, KRITIS-Betreibern und DACH-Banken mit deutscher Aufsichts-Tradition verwendet. Funktional weitgehend identisch mit CISO. In modernen Banken oft parallel zu CISO/ISMS-Manager-Rollen, manchmal als Synonym, manchmal mit fokussiertem BSI-/KRITIS-Bezug.

Information Security Management System - das Gesamtsystem aus Richtlinien, Prozessen und Rollen, mit dem eine Organisation Informationssicherheit managt. Zentrale Disziplin der 2. Linie.

Information Security Officer - operative Sicherheitsverantwortliche/r, Schnittstelle zwischen 1. und 2. Linie. Nicht zu verwechseln mit der ISO-Norm 27001.

Internationale Norm für Business Continuity Management Systems. Beschreibt, wie eine Organisation den Geschäftsbetrieb in Krisen aufrechterhält.

ISO 27001 Lead Auditor - Pendant zum Lead Implementer, fokussiert auf Prüfung statt Aufbau. Wichtig für externe Auditoren und Berater.

ISO 27001 Lead Implementer - befähigt zum Aufbau und Betrieb eines ISMS nach ISO 27001. 5 Tage Kurs plus Prüfung (PECB/BSI/TÜV). Schneller Win für 2L, weltweit anerkannt.

Internationale Norm für ISMS. Definiert die Anforderungen, gegen die sich eine Organisation zertifizieren lassen kann. Standard in der globalen Banken-Welt.

Schwesternorm zu ISO 27001. Liefert die 93 Controls (organisatorisch, personell, physisch, technisch), aus denen Annex A der ISO 27001 besteht. Praxis-Leitfaden, nicht zertifizierbar.

Norm für IT-Sicherheits-Risikomanagement. Beschreibt, wie eine Organisation Risiken identifiziert, bewertet, behandelt und überwacht. Pendant zu BSI 200-3.

Cloud-spezifische Erweiterung zu ISO 27002. Liefert zusätzliche Controls für Cloud-Service-Provider und Cloud-Kunden. In Banken zunehmend Bestandteil von Cloud-Audits.

Cloud-spezifische Datenschutz-Erweiterung. Behandelt den Schutz personenbezogener Daten in Public-Cloud-Umgebungen. Hilft beim DSGVO-Nachweis bei Cloud-Auslagerungen.

Norm für IKT-Kontinuitätsmanagement. Beschreibt, wie IT- und Telekommunikations-Systeme nach Störungen wieder anlaufen. Bindeglied zwischen ISO 22301 (BCM) und der IT-Welt.

Mehrteilige Norm für Netzwerksicherheit. Behandelt Architektur, Firewalls, VPN, WLAN, Fernzugriff. Technisches Pendant zu ISO 27002.

Dreiteilige Norm für Vorfallmanagement. Beschreibt den Lifecycle von IT-Sicherheitsvorfällen (Plan, Detect, Assess, Respond, Learn) inkl. CSIRT-Rollen. Direkter Bezug zu DORA-Meldefristen.

Mehrteilige Norm für Lieferantensicherheit. Behandelt Anforderungen an die Steuerung von IKT-Drittparteien. Direkter Bezug zu DORA Art. 28-44 und BAIT AT 9.

Erweiterung von ISO 27001 um ein Privacy Information Management System (PIMS). Hilft beim Nachweis der DSGVO-Konformität.

Informationstechnik - der Sammelbegriff für alles, was Geschäftsdaten verarbeitet: Büroarbeitsplätze, Server, Datenbanken, Anwendungen, Netzwerke, Cloud-Dienste. In Banken steht IT klassisch für die „Office-Welt" der Mitarbeiter — Lohnbuchhaltung, E-Mail, Office, aber auch Kernbankensysteme und Online-Banking.

Der Begriff IT (Information Technology) wurde 1958 in einem Harvard- Business-Review-Artikel geprägt und ist heute der globale Standard für „alles, was Geschäftsdaten verarbeitet". Im Bank-Kontext meint IT konkret: Office-Anwendungen (Outlook, Word, Excel), Kernbankensysteme (z. B. SAP, Avaloq, Finacle), Online-Banking, Datenbanken, Server, Netzwerke und Cloud-Dienste. Bewusst abgegrenzt wird IT von OT (Operational Technology), das sich auf Steuerungs- und Industrietechnik bezieht — Fabriken, Kraftwerke, Versorgungs- anlagen. Die Trennung kam in den 2000er-Jahren auf, als klar wurde, dass IT-Risiko-Methoden nicht 1:1 auf Maschinensteuerungen anwendbar sind. Stuxnet 2010 zeigte gleichzeitig, dass die Trennung in der Praxis durchlässig ist: USB-Sticks und Wartungstechniker überbrücken jede Air-Gap-Mauer. In modernen Banken überlappen IT und OT zunehmend — Smart-Building-Technik, Klimaanlagen mit IP-Anbindung, vernetzte Türschlösser. Eine gute IT-/OT-Sicherheitsstrategie behandelt beide Welten als getrennte, aber gleichermaßen schutzwürdige Domänen mit klaren Übergangs-Kontrollen.

Praktische Sammlung des BSI mit 111 Bausteinen zu konkreten IT-Sicherheitsmaßnahmen. Operationalisiert die BSI-200er-Standards für den Tagesbetrieb.

Implementing Technical Standard - technische Durchführungsstandards der EU. Legen Formate, Vorlagen und Verfahren fest, mit denen die Anforderungen von Verordnungen praktisch umgesetzt werden.

Société-Générale-Trader, der zwischen 2006 und 2008 unautorisierte Positionen bis 50 Mrd. Euro aufbaute. Realisierter Verlust: 4,9 Mrd. Euro - einer der größten Insider-Schäden der Bankengeschichte. Standardbeispiel für unzureichendes Privileged Access Management.

Privilegien werden nicht dauerhaft, sondern nur on demand und für eine begrenzte Zeit gewährt (typisch 30-120 Minuten). Mit Begründungstext, Vorgesetzten-Freigabe und Session-Recording. Kern- Bestandteil von modernem PAM.

Risiko, dass zu viele kritische Funktionen einer Bank an einem einzelnen Anbieter (oder einer kleinen Gruppe) hängen. DORA Art. 29 verlangt eine Bewertung VOR jedem Vertragsschluss.

Eine Bank, die für eine andere Bank Konten und Zahlungen in einer fremden Währung abwickelt. Bei internationalen Überweisungen sind oft mehrere Korrespondenzbanken hintereinander geschaltet. Beim Bangladesh-Bank-Heist stoppte die Deutsche Bank als Korrespondenzbank einen Teil der gefälschten Überweisungen wegen eines Tippfehlers.

Key Risk Indicator - eine Messgröße, die frühzeitig auf eine Veränderung im Risikoprofil hinweist (z.B. Anzahl offener kritischer Schwachstellen, mittlere Patch-Zeit, Phishing-Klick-Rate).

Kritische Infrastrukturen - Sektoren mit besonderer Bedeutung für Staat und Gesellschaft (Energie, Wasser, Finanzen, Gesundheit usw.). In Deutschland durch BSI-KritisV reguliert; viele KRITIS-Pflichten fallen für Banken seit DORA in den DORA-Rahmen.

Kreditwesengesetz - das Grundgesetz für Banken in Deutschland. § 25a verlangt eine "ordnungsgemäße Geschäftsorganisation" inklusive angemessenem Risikomanagement.

Phase eines Angriffs, in der der Angreifer von einem ersten kompromittierten System auf weitere Systeme im Netz wandert. Wird durch Netzwerksegmentierung und Zero Trust massiv erschwert.

Staatlich gestützte Hacker-Gruppe mit Verbindung zu Nordkorea. Verantwortlich u.a. für den Bangladesh Bank Heist 2016, den Sony Pictures Hack 2014 und WannaCry 2017.

Prinzip der geringsten Berechtigung: jeder Account, jeder Service, jede Anwendung bekommt nur die Rechte, die für die jeweilige Aufgabe nötig sind. Eckpfeiler von IAM, PAM und Zero Trust.

Rechtsgrundsatz: ein spezielleres Gesetz geht einem allgemeineren vor. Im Cyber-Kontext: DORA ist Lex specialis zu NIS2 - DORA-Institute sind vom NIS2-Anwendungsbereich ausgenommen, melden aber NIS2-konform über DORA.

Die Eintrittswahrscheinlichkeit eines Risikos. Zusammen mit dem Impact bildet sie die zwei Dimensionen der klassischen Risiko-Matrix.

Angriffstechnik, bei der ausschließlich Bordmittel des Zielsystems benutzt werden (PowerShell, WMI, Sysinternals, Office-Macros) statt eigener Schadsoftware. Sehr schwer zu erkennen, weil keine fremden Binaries auf der Festplatte landen. APT-Klassiker.

Large Language Model - ein auf großen Textmengen trainiertes KI-Modell, das Sprache versteht und erzeugt. In der IT-Security seit 2024 Werkzeug auf beiden Seiten: Vulnerability-Discovery, Exploit-Entwicklung und automatisierte Verteidigung.

Large Language Models (LLMs) sind KI-Modelle, die auf sehr großen Textkorpora trainiert wurden und in der Lage sind, natuerliche Sprache zu verstehen, zu erzeugen und in begrenztem Umfang zu reasoning-aehnlichen Schritten zu nutzen. Bekannte Vertreter sind GPT-Modelle (OpenAI), Claude (Anthropic), Gemini (Google) und Open-Source-Modelle wie Llama. In der IT-Security 2026 sind LLMs das Fundament von Coding-Agents, Vulnerability-Discovery-Werkzeugen (Big Sleep, XBOW, Mythos) und defensiven Systemen (Triage-Assistenten, GRC-Automatisierung). Die strukturelle Wirkung für die IT-Security ist nicht „LLMs können Dinge, die Menschen nicht können", sondern „LLMs senken die Personal- und Zeitkosten für Taetigkeiten, die Menschen können, drastisch". Genau das ist der Mechanismus hinter der AI Vulnerability Storm-Diskussion.

IS-Vorfall mit erheblichen negativen Auswirkungen auf Geschäft, Reputation, Finanzen oder Compliance. In Banken typisch der Auslöser für DORA-Meldepflicht und Vorstands-Eskalation.

Mindestanforderungen an das Risikomanagement - BaFin-Rundschreiben, das § 25a KWG konkretisiert. Trifft jede deutsche Bank.

Eine technische oder organisatorische Vorkehrung, um ein Risiko zu reduzieren - z.B. Zwei-Faktor-Authentisierung, Vier-Augen-Prinzip, Patch-Management, Mitarbeiter-Schulung.

Multi-Faktor-Authentisierung - Anmeldung erfordert mindestens zwei unabhängige Faktoren (Wissen + Besitz oder Wissen + Biometrie). Heute Mindeststandard für privilegierte Konten in jeder Bank.

Microsofts Cloud-Suite. In deutschen Banken meist eine wesentliche Auslagerung im Sinne von MaRisk AT 9 / DORA - weil Teams und Exchange Online die tägliche Kernkommunikation tragen und SharePoint zentrale Dokumentenablage ist.

Die schiere Breite der Suite macht M365 zur typischen wesentlichen Auslagerung mit allen DORA Art. 30-Pflichten: Verträge mit den acht Pflichtinhalten, Audit-Rechte, Exit-Strategie, BSI C5-Testat.

Microsoft Cybersecurity Architect Expert - der praktischste Cloud-Schein für M365-zentrierte Banken. Erfordert eine andere Microsoft-Zertifizierung als Vorbedingung.

Netzwerksegmentierung auf Workload-Ebene: jeder einzelne Service bekommt eine eigene Policy. Operationalisiert Zero Trust im Netzwerk.

Massachusetts Institute of Technology - private Forschungsuniversität in Cambridge (Massachusetts, USA). Eine der weltweit führenden technischen Hochschulen, Geburtsort vieler IT-Sicherheits-Konzepte und Heimat des MIT CSAIL (Computer Science and Artificial Intelligence Laboratory).

Das MIT wurde 1861 in Boston gegründet und ist heute (Stand 2026) unter den Top-3-Universitäten weltweit im Bereich Informatik und Ingenieurwissenschaften. Für die IT-Sicherheit ist das MIT in mehrfacher Hinsicht historisch relevant: Hier wurde der Begriff „Hacker" in seiner ursprünglichen, positiven Bedeutung geprägt (MIT Tech Model Railroad Club, 1960er). Die Kerberos-Authentisierung, die heute in jedem Active Directory steckt, wurde am MIT entwickelt. Robert Tappan Morris (Morris-Worm 1988) war zur Tatzeit Doktorand an der Cornell University, lehrt aber seit den 1990ern als Professor am MIT. Adi Shamir (das „S" in RSA) und Ron Rivest (das „R") sind ebenfalls MIT-Professoren. Das MIT betreibt mit dem CSAIL eines der größten universitären Forschungslabore für IT-Sicherheit, Kryptographie und KI weltweit. Veröffentlicht regelmäßig wegweisende Arbeiten zu Themen wie Post-Quanten-Kryptographie, KI-Sicherheit und formale Verifikation.

Man-in-the-Middle - Angreifer schaltet sich zwischen zwei Kommunizierende und kann Datenverkehr lesen oder verändern. Klassische Abwehr: TLS mit geprüfter Zertifikatskette.

Wissensdatenbank des MITRE-Instituts mit 14 Angriffs-Tactics und mehreren hundert Techniques. Industriestandard für Detection-Engineering, Threat Hunting und Tabletop-Übungen.

Der erste Wurm mit globaler Wirkung. 1988 vom Cornell-Doktoranden Robert Tappan Morris freigesetzt, befiel 10 % des damaligen Internets und legte Universitäten und Behörden lahm. Auslöser für die Gründung des ersten CERT-Coordination-Centers.

Industrielle Zero-Day-Ausnutzung von Mai/Juni 2023. Die Cl0p- Ransomware-Gruppe nutzte CVE-2023-34362 (CVSS 9,8) in der File- Transfer-Software MOVEit Transfer. Über 2.500 Organisationen weltweit betroffen, darunter Deutsche Bank, Aon, AXIS, Postbank Schweiz — oft indirekt über Dienstleister.

Managed Security Service Provider - externer Dienstleister, der SOC, EDR, SIEM und Detection-Engineering als Service anbietet. In kleineren Banken und Förderbanken oft die einzige wirtschaftliche Option für 24/7-Überwachung.

Ein MSSP betreibt sicherheitsrelevante IT-Dienste im Auftrag der Bank — typischerweise als 24/7-Service mit eigenen Schichtteams. Im DACH-Raum sind T-Systems, Atos, NTT/Dimension Data, Computacenter und Sopra Steria die größten Anbieter, daneben spezialisierte Häuser wie Suresecure, ti&m oder Orange Cyberdefense. Aus DORA-Sicht ist ein MSSP fast immer ein „IKT-Drittdienstleister" nach Art. 28 — und wenn er SOC-Leistungen für eine kritische Funktion erbringt, eine wesentliche Auslagerung mit allen Vertragspflichten nach Art. 30 (Audit-Rechte, Reversibilität, Sub-Outsourcing-Klausel). Wichtig: Die Bank bleibt verantwortlich für Klassifizierung, DORA-Meldung und Krisenkommunikation — der MSSP liefert Detection und Tier-1/2-Reaktion, aber nicht die regulatorische Entscheidung.

Mutual TLS - beidseitige TLS-Authentisierung: nicht nur der Server weist sich gegenüber dem Client aus (wie bei normalem HTTPS), sondern auch der Client gegenüber dem Server. Kern-Werkzeug für Zero-Trust- Service-zu-Service-Kommunikation.

Mean Time To Detect - mittlere Zeit zwischen Eintritt eines Vorfalls und seiner Erkennung. Zentraler KRI im SOC; das Branchen-Mittel lag 2024 bei rund 200 Tagen, in reifen Banken-SOCs unter 24 Stunden.

Mean Time To Repair (oder Recover) - mittlere Zeit von der Erkennung einer Störung bis zur Wiederherstellung. Standard-KRI im IT-Betrieb.

Aufteilen des Netzes in voneinander getrennte Zonen, damit ein Angreifer in einer Zone nicht automatisch alle anderen erreicht. Verhindert laterale Bewegung.

National Health Service - das öffentliche Gesundheitssystem Großbritanniens. 2017 von WannaCry massiv getroffen, was die Welt erschreckte: Krankenhäuser mussten OP-Termine absagen, Kranken- akten waren unerreichbar. NHS ist seitdem Standard-Beispiel für die humanen Folgen schlechter IT-Sicherheit.

EU-Richtlinie 2022/2555 zur Cybersicherheit kritischer und wichtiger Einrichtungen. Schwesterregelung zu DORA, für Banken aber meist nur subsidiaer relevant (DORA hat Vorrang).

Wiper-Angriff vom Juni 2017, getarnt als Ransomware. Über eine kompromittierte ukrainische Buchhaltungssoftware verbreitet, traf er weltweit Konzerne (Maersk, Beiersdorf, Merck). Weltschaden über 10 Mrd. USD. Erster vom Weißen Haus offiziell als Cyber-Kriegsführung bezeichneter Angriff.

National Security Agency - US-amerikanischer Auslandsgeheimdienst für Signals Intelligence. Sammelte über Jahre Zero-Day-Exploits (EternalBlue u.a.), die 2017 durch die Shadow Brokers geleakt wurden und WannaCry/NotPetya antreiben.

Die NSA (National Security Agency) ist der größte US-Geheimdienst, zuständig für Signals Intelligence (SIGINT) und Cyber-Operationen gegen auslaendische Ziele. Hauptsitz: Fort Meade, Maryland. Die NSA ist für die IT-Sicherheit in mehrfacher Hinsicht relevant: Sie unterhält das größte bekannte Arsenal an Zero-Day-Exploits weltweit (2013 von Snowden teilweise enthuellt), entwickelte den VerSchlüsselungs-Standard AES mit, betreibt das Information Assurance Directorate (heute Cybersecurity Directorate) für defensive Cyber-Operationen. Der historisch großen Schaden anrichtende Vorfall: 2016/2017 wurden durch die Hackergruppe "Shadow Brokers" gestohlene NSA-Werkzeuge veröffentlicht, darunter der EternalBlue-Exploit. Wenige Monate später nutzten WannaCry und NotPetya genau diese Lecks für milliardenschwere Schaeden - ein eindrucksvolles Beispiel, warum das Horten von Schwachstellen durch staatliche Akteure systemisch gefaehrlich ist.

Operative Security - im Bank-Sprachgebrauch das Team in der 1. Linie, das die Sicherheit im täglichen Betrieb umsetzt: SOC, IT-Betrieb mit Sicherheitsfokus, Endpoint-Verantwortliche.

Nicht zu verwechseln mit dem militärischen "Operations Security"-Begriff. In der Bank meint opSec die Hands-on-Sicherheits-Aufgaben in der 1. Linie - im Gegensatz zur steuernden 2. Linie (CISO/ISMS-Manager/ISB). Dazu zählen SOC-Analysten, CSIRT-Mitglieder, Server-/Netzwerk-Admins mit Security-Fokus, Endpoint-Verantwortliche. Das Team beantwortet das WIE, nicht das WAS.

Offensive Security Certified Professional - 24-Stunden-Hands-on-Examen, Penetration-Testing-Fokus. In Banken nur für Red-Team/Pentester relevant, aber dort hoch angesehen.

Open Source Intelligence — die Sammlung und Auswertung öffentlich verfügbarer Informationen über ein Ziel (LinkedIn-Profile, Domain-Daten, Frontend-Quelltext, Konferenzbeitraege). Erste Phase der meisten Angriffsketten.

OSINT (Open Source Intelligence) bezeichnet die strukturierte Auswertung öffentlich zugänglicher Informationsquellen. Für einen Angreifer typische Quellen: WHOIS-Daten, DNS-Einträge, TLS-Zertifikatstransparenz, Subdomain-Enumeration, GitHub-Repositories mit versehentlich veröffentlichten Konfigurationen, LinkedIn-Profile (Wer arbeitet wo, wer ist Administrator), Konferenzfolien (Welche Technologien werden eingesetzt), Frontend-Quelltext (Welche Bibliotheken in welchen Versionen). OSINT ist nicht illegal — es nutzt rein öffentliche Informationen. In der AI-Aera 2026 wird OSINT massiv beschleunigt: Was früher Tage handischer Recherche brauchte, erledigt ein Coding-Agent in Minuten und mit höherer Vollständigkeit. Verteidigungs-Konsequenz in der Bank: kontinuierliches Attack-Surface-Management statt jährlicher Pentests.

Operational Technology - Steuerungstechnik in Industrie und Infrastruktur (Maschinen, Sensoren, Anlagen). Im Gegensatz zur IT (Office, Server) klassisch isoliert. Stuxnet bewies 2010, dass die Trennung in der Praxis durchlässig ist.

Platform as a Service - Cloud-Modell, bei dem auch Betriebssystem und Middleware vom Anbieter kommen. Die Bank entwickelt und betreibt nur die eigene Anwendung.

Privileged Access Management - speziell die Verwaltung von privilegierten Konten (Admins, Service-Accounts). Nutzt Just-in-Time-Zugriffe, Vier-Augen-Prinzip und Session-Recording.

Geordnetes Einspielen von Sicherheits-Updates. Eine der wichtigsten Maßnahmen überhaupt - die meisten großen Vorfälle nutzten bekannte, ungepatchte Schwachstellen.

Plan-Do-Check-Act - der kontinuierliche Verbesserungs-Zyklus, der allen ISMS-Standards (ISO 27001, BSI 200-1) zugrunde liegt. Auch als "Deming-Kreis" bekannt.

Kommerzielle Spyware der israelischen NSO Group, an staatliche Käufer verkauft. Basiert auf einer Kette von iOS- und Android-Zero- Days, kann ein Smartphone ohne Klick des Nutzers vollständig übernehmen. Citizen Lab und Amnesty Tech haben Einsätze gegen Journalisten dokumentiert.

Die Außengrenze eines Unternehmensnetzes — die Schicht zwischen „drinnen" (eigenes Netz, vertrauenswürdig) und „draußen" (Internet, fremdes Netz). Klassisch geschützt durch Firewall, VPN-Gateway, Reverse Proxy.

Der Perimeter ist das Sicherheits-Konzept der 90er und 2000er: ein klar definierter Außenwall (Firewall, DMZ, VPN-Gateway), hinter dem sich alle eigenen Systeme befinden — und die innerhalb dieses Walls einander grundsätzlich vertrauen („castle and moat", Burg mit Wassergraben). Funktionierte solange der Mitarbeiter im Büro saß und nur über das Firmen-LAN ins Netz ging. Mit Cloud, SaaS, Home- Office und Mobile wurde der Perimeter so durchlässig, dass er heute als Hauptverteidigung NICHT mehr ausreicht. Die moderne Antwort ist *Zero Trust* — die Annahme, dass auch das Innennetz nicht vertrauens- würdig ist, und jedes Zugriffsereignis einzeln authentisiert und autorisiert werden muss. Trotzdem bleibt der Perimeter ein wichtiger erster Filter: viele Massenangriffe scheitern schon dort, bevor sie überhaupt eine Anwendung erreichen.

Verankerung eines Angreifers im System, sodass er auch nach Reboot, Update oder Reinigung wieder zugreifen kann. Klassische Techniken: Registry-Run-Keys, geplante Aufgaben, Service-Account-Übernahme, WMI-Subscriptions. MITRE ATT&CK Tactic TA0003.

Versuch, durch gefälschte E-Mails, Webseiten oder Nachrichten an Zugangsdaten oder Geld zu kommen. Klassischer Einstieg in größere Angriffsketten.

Public Key Infrastructure - System für die Ausstellung und Verwaltung digitaler Zertifikate. Grundlage von TLS, digitalen Signaturen, MFA mit Hardware-Token.

Vorab dokumentierter Handlungsleitfaden für einen bestimmten Vorfalltyp — z.B. "Playbook: Ransomware-Vorfall", "Playbook: DDoS-Angriff". Definiert Schritte, Verantwortliche, Eskalations-Trigger.

Strukturierte Nachbesprechung nach jedem Vorfall - was lief gut, was schlecht, welche Maßnahmen leiten wir ab? Pflichtbestandteil jedes professionellen Incident-Managements und Grundlage für kontinuierliche Verbesserung.

Phase eines Angriffs, in der niedrige Rechte zu höheren ausgeweitet werden (z.B. von normalem User-Account zu Admin). Klassische Antwort: Privileged Access Management und Trennung von Pflichten.

Ransomware-as-a-Service - kommerzielles Geschäftsmodell, bei dem Ransomware-Entwickler ihre Werkzeuge an "Affiliates" vermieten. Industrialisierung der Cybercrime seit etwa 2019.

Erpressungs-Schadsoftware, die Daten verschlüsselt oder Systeme blockiert und Loesegeld für die Wiederherstellung fordert.

Moderne Ransomware-Operationen arbeiten nach dem Prinzip "Double Extortion": Sie verschlüsseln nicht nur, sie stehlen auch Daten und drohen mit Veröffentlichung. Bekannte Akteure: LockBit, Conti, Cl0p, BlackCat.

Remote Access Trojan - Schadsoftware, die einem Angreifer dauerhaften Fernzugriff auf das infizierte System verschafft.

Role-Based Access Control - Berechtigungen werden über Rollen vergeben, nicht über Einzel-Personen. Erleichtert Pflege und Audit-Fähigkeit.

Root Cause Analysis - systematische Analyse der Ursache eines Vorfalls, nicht nur seiner Symptome. Gehört zur fünften ISO-27035-Phase ("Learn") und ist Pflicht für DORA-Abschlussmeldung nach Art. 19.

Das erste Antivirenprogramm der Geschichte, geschrieben 1971 als Antwort auf den experimentellen Creeper-Code. Reaper bewegte sich durch das ARPANET, fand Creeper-Instanzen und löschte sie. Geburts- stunde der Antiviren-Industrie.

Das Risiko, das NACH allen ergriffenen Maßnahmen übrig bleibt. Restrisiko ist nie Null - die Frage ist nur, ob es bewusst akzeptiert wird (Risk Acceptance) oder unbemerkt bestehen bleibt.

Erwartungswert eines unerwuenschten Ereignisses, klassisch berechnet als Eintrittswahrscheinlichkeit mal Schadenshöhe. Risiko ist nicht das Ereignis, sondern unsere Erwartung daran.

In der quantitativen Form: Annual Loss Expectancy (ALE) = SLE x ARO. In der qualitativen Bank-Praxis meist Risiko-Matrix 5x5 mit Klassen wie "niedrig", "mittel", "hoch", "sehr hoch".

Die maximale Höhe an Risiko, die das Top-Management bewusst zu tragen bereit ist. Wird in Banken auf Vorstandsebene festgelegt und ist die Messlatte für alle Eskalationen.

Die Bandbreite, in der das tatsächliche Risiko vom Risk Appetite abweichen darf, ohne dass eskaliert wird. Wenn Appetit = 50 Mio €/Jahr und Toleranz = ±10 Mio €, gilt alles zwischen 40 und 60 Mio € als normal.

Die bewusste Entscheidung des Risiko-Eigentümers, ein Restrisiko zu tragen statt es zu reduzieren. Muss dokumentiert sein (Audit-Pflicht), mit Begründung und Verantwortlichen-Unterschrift.

Schadsoftware, die sich tief im Betriebssystem verankert (Kernel-Ebene), um Spuren zu verbergen und Persistenz zu sichern. Sehr schwer zu erkennen und zu entfernen.

Recovery Point Objective - maximal akzeptierter Datenverlust in Zeiteinheiten (z.B. 4h heißt: Backups müssen mindestens alle 4h gemacht werden).

Remote Shell - Unix-Tool zum Ausführen von Befehlen auf entfernten Rechnern. Authentifizierte über Vertrauenslisten (.rhosts) statt Passwörtern. Heute durch SSH ersetzt. Morris nutzte schwache rsh- Konfigurationen als dritten Verbreitungsweg.

Recovery Time Objective - maximal akzeptierte Wiederanlaufzeit nach einem Ausfall. Wird im Business-Continuity-Plan definiert.

Regulatory Technical Standard - technische Regulierungsstandards der EU. Konkretisieren EU-Verordnungen wie DORA mit verbindlichen Detailanforderungen. Werden von EBA/ESMA/EIOPA entworfen.

Software as a Service - Cloud-Modell, bei dem die komplette Anwendung als Service genutzt wird (z.B. Microsoft 365). Die Bank konfiguriert nur, betreibt aber nichts selbst.

Software Bill of Materials — strukturierte Liste aller Bibliotheken und Komponenten in einer Anwendung. Pflicht-Grundlage für wirksames Vulnerability-Management, weil man nur schützen kann, was man kennt.

Eine SBOM ist eine maschinenlesbare Stückliste aller direkten und transitiven Software-Komponenten einer Anwendung — vergleichbar mit der Stückliste eines Industrieproduktes. Etablierte Formate sind SPDX und CycloneDX. Der praktische Nutzen: Wenn morgen ein neues CVE in einer Bibliothek X auftaucht, beantwortet die SBOM in Sekunden die Frage „Welche unserer Anwendungen verwenden X und in welcher Version?". Ohne SBOM beginnt diese Suche bei Null. Die US-Executive-Order 14028 (2021) und die EU-CRA (2024) machen SBOMs für kritische Software verpflichtend. In der Bank-IT ist sie 2026 eine de-facto Anforderung — sowohl für eigene Entwicklung als auch als vertragliche Forderung an Software-Lieferanten (Kernbanksystem, Frontend-Frameworks, Auswertungs-Tools).

Eine Lücke im Schutzsystem, die eine Bedrohung ausnutzen kann. Schwachstellen sind das WIE des Angriffs.

Spezielle Software-Komponente, in der Passwörter, API-Schlüssel und andere Zugangsdaten verschlüsselt abgelegt werden. Andere Anwendungen holen Secrets zur Laufzeit ab — sie liegen nie im Filesystem oder im Quellcode. Branchen-Standard in Banken seit ca. 2018.

Ein Secrets-Vault (auch „Key-Vault" oder „Password-Vault") ist der Production-Standard für die Verwaltung kritischer Zugangsdaten in Banken-IT. Bekannte Produkte: HashiCorp Vault (Open Source, Enterprise), Azure Key Vault, AWS Secrets Manager, Google Secret Manager, CyberArk Conjur. Die typische Architektur: Eine Anwendung authentisiert sich beim Vault (per Service-Account, mTLS oder Cloud-IAM), bekommt das benötigte Secret zur Laufzeit, hält es nur im Arbeitsspeicher. Vault- Features: automatische Rotation alle 30/60/90 Tage, Audit-Trail jedes Lesezugriffs, Just-in-Time-Privilegien, dynamische DB-Credentials (jeder Aufruf bekommt einen neu generierten User mit nur 5 Min Lebensdauer). Aus DORA-Sicht ist ein Secrets-Vault Stand der Technik: wer DB-Passwörter im Klartext in Config-Files hat, hat in einer Sonderprüfung ein offenes Audit-Finding.

Mail-Server-Software der frühen Unix-Welt. 1988 enthielt sendmail eine Debug-Funktion, die jede E-Mail ungeprüft als Befehl ausführen konnte - der Morris-Worm nutzte das als zweiten Verbreitungsweg.

Hackergruppe unbekannter Identität, die 2016/2017 eine Sammlung gestohlener NSA-Werkzeuge veröffentlichte. Daraus entstand u. a. der EternalBlue-Exploit, der von WannaCry und NotPetya genutzt wurde. Mehrere Veröffentlichungen wurden zum Verkauf angeboten, die letzten aber kostenlos geleakt.

Security Information and Event Management - sammelt und korreliert Logs aus allen Systemen, erzeugt Alarme bei verdächtigen Mustern. Operationelles Werkzeug des SOC.

Single Point of Failure (SPOF) - eine Komponente, deren Ausfall das gesamte System lahmlegt, weil es keinen Ersatz gibt. In jeder DORA-Resilienz-Analyse ein zentrales Suchkriterium.

Ein Single Point of Failure (SPOF) ist eine Komponente in einem System, deren Ausfall das gesamte System unbrauchbar macht - weil es keine Redundanz, kein Backup und kein automatisches Failover gibt. In der Bank-IT sind klassische SPOF-Risiken: eine einzige Internet-Anbindung, ein einzelner Cloud-Provider für kritische Workloads, ein einzelner Admin mit exklusivem Zugang ("Bus-Faktor 1"), oder eine einzelne Sicherheits-Software (siehe CrowdStrike-Vorfall Juli 2024 - auch das Schutzwerkzeug selbst kann SPOF sein). DORA Art. 6 fordert explizit Redundanz und Resilienz für kritische IKT-Funktionen.

Service Level Agreement - vertragliche Vereinbarung über messbare Leistungs-Kennzahlen mit einem Dienstleister: Verfügbarkeit (z. B. 99,9 %), Reaktionszeiten, Wiederherstellungszeiten. Verletzungen lösen meist Pönalen aus und sind in Banken DORA-meldepflichtig, wenn eine wesentliche Auslagerung betroffen ist.

Single Loss Expectancy - erwarteter Schaden bei einmaligem Eintritt. Berechnet als SLE = Asset Value x Exposure Factor.

Server Message Block - das Windows-Netzwerk-Protokoll für Datei- und Druckerfreigaben. Vor Version 3 schlecht abgesichert, mehrere große Angriffe (WannaCry, NotPetya) nutzten SMB-Schwachstellen.

SMS-Phishing - Betrugsnachrichten per SMS oder Messenger. Häufig im Banking-Kontext mit gefälschten Versand-Benachrichtigungen oder angeblichen TAN-Anfragen.

Security Orchestration, Automation and Response - automatisiert Standard-Reaktionen auf Sicherheitsalarme (z.B. automatische Sperrung kompromittierter Konten).

Security Operations Center - 24/7-Team, das Logs, SIEM-Alarme und Anomalien beobachtet, analysiert und auf Vorfälle reagiert. Erste operative Verteidigungslinie.

Ein SOC kann intern aufgestellt sein oder als Managed Service eingekauft. Typische Rollen: SOC-Analyst Tier 1 (Triage), Tier 2 (Vertiefung), Tier 3 (Threat Hunting / Forensik). Banken betreiben SOCs entweder selbst (größere Häuser) oder lagern an spezialisierte Dienstleister aus.

Supply-Chain-Angriff der Gruppe APT29 / Cozy Bear (Russland) von 2020. Kompromittierte den Build-Server des Netzwerk-Management-Anbieters SolarWinds und schmuggelte Schadcode (SUNBURST) in ein offizielles Update. 18.000 Kunden installierten das vergiftete Update, darunter US-Behörden und Fortune-500-Konzerne.

Hochgradig zielgerichtetes Phishing auf einzelne Personen mit recherchierten persönlichen Details. Wesentlich erfolgreicher als Massen-Phishing.

Speicherprogrammierbare Steuerung - der Industrie-Computer, der physische Anlagen steuert (Motoren, Ventile, Pumpen, Heizungen). Hauptziel von Stuxnet 2010. Hardware-naeher als Office-PCs, oft jahrelang nicht gepatcht.

Eine Speicherprogrammierbare Steuerung (SPS, englisch PLC - Programmable Logic Controller) ist ein robuster Industrie-Computer, der physische Prozesse in Echtzeit steuert. Klassische Anwendungen: Fertigungsstrassen, Kraftwerke, Wasserwerke, Klimaanlagen in Rechen-zentren, Aufzuege. SPSen kommen meist von Siemens (SIMATIC S7), Allen-Bradley/Rockwell, Schneider Electric oder Mitsubishi. Sie sind Teil der OT-Welt (Operational Technology) und haben spezifische Sicherheits-Eigenheiten: extrem lange Lebenszyklen (20-30 Jahre), oft ohne Authentifizierung, Patches werden selten eingespielt, weil jede Unterbrechung den Produktionsprozess stoppt. Stuxnet 2010 manipulierte gezielt Siemens-SPSen, die iranische Urananreicherungs-zentrifugen steuerten - und zeigte, dass auch isolierte Industrie-anlagen verwundbar sind. Für Banken relevant: Backup-Rechenzentren haben SPSen für Klima, USV und Brandschutz - ein gezielter Angriff dort kann Kuehlung ausfallen lassen und Server zerstoeren.

Das SoA dokumentiert in einer ISO-27001-Zertifizierung, welche der 93 Annex-A-Controls für die Bank anwendbar sind, welche umgesetzt werden und mit welcher Begründung Controls ausgeschlossen werden. Zentrale Audit-Unterlage.

Hochentwickelte Cyberwaffe, vermutlich von US- und israelischen Diensten gemeinsam entwickelt. Sabotierte 2010 die iranische Urananreicherungsanlage Natanz. Erste bekannte Schadsoftware, die Industrieanlagen physisch zerstörte. Nutzte vier Zero-Days gleichzeitig.

Angriff über einen Drittanbieter oder eine Software-Lieferkette (z.B. SolarWinds 2020, MOVEit 2023). Ziel-Organisation wird über einen vertrauenswuerdigen Pfad infiziert.

Society for Worldwide Interbank Financial Telecommunication - globales Banken-Nachrichtennetz, über das Auslandsüberweisungen und Inter-Bank-Kommunikation laufen.

SWIFT verbindet über 11.000 Finanzinstitute weltweit. Nach dem Bangladesh Bank Heist 2016 wurde das verpflichtende SWIFT Customer Security Programme (CSP) eingeführt - jährliche Selbst-Attestierung gegen 19 Pflicht-Sicherheitskontrollen.

Trockenübung mit Krisenstab und CSIRT — ein realistisches Szenario wird am Konferenztisch durchgespielt, Entscheidungen werden geübt, ohne dass echte Systeme betroffen sind. Mindestens jährlich Pflicht nach DORA Art. 24-25.

Die US-Einzelhandelskette Target verlor 40 Mio. Kreditkartendaten an Angreifer, die über den HVAC-Dienstleister (Klimaanlage!) ins Netz kamen. Lektion für Banken: Lieferketten sind Angriffsflächen, auch wenn der Lieferant scheinbar nichts mit IT zu tun hat.

Governance-Modell für die Aufgabenteilung zwischen operativem Geschäft (1. Linie), Risikomanagement/Compliance (2. Linie) und interner Revision (3. Linie). Bis 2020 "Three Lines of Defense".

Kennzahl (TTE): Zeit zwischen Veröffentlichung einer Schwachstelle (CVE) und ihrer ersten dokumentierten Ausnutzung in freier Wildbahn. Von 2,3 Jahren (2018) auf rund 9 Stunden (2026) gefallen.

Time-to-Exploit (TTE) ist eine etablierte Kennzahl in der IT-Security, die misst, wie viel Reaktionszeit Verteidiger zwischen der öffentlichen Bekanntmachung einer Sicherheitslücke und ihrer ersten aktiven Ausnutzung im Netz im Durchschnitt haben. Die Daten werden aus offenen Quellen wie der CISA Known Exploited Vulnerabilities (KEV)-Datenbank, VulnCheck-KEV und XDB (Exploit-DB) gespeist. Der von Sergej Epp (CISO Sysdig) im März 2026 vorgestellte Zero Day Clock zeigt die Entwicklung: ~2,3 Jahre (2018) → ~9 Monate (2022) → ~23 Tage (2025) → ~9 Stunden (2026). Die Verschiebung ist nicht organisatorisch sondern strukturell - AI-gestützte Vulnerability-Discovery und Exploit-Entwicklung sind die wesentlichen Treiber. Für Banken bedeutet die 9-Stunden-Welt, dass klassische BAIT-Quartalsreleasezyklen nicht mehr Mittel der Wahl sind: Schaden-Minimierung (Mikrosegmentierung, Egress-Filter, Containment-Automatisierung) ruekt vor Schaden-Vermeidung.

Threat-Led Penetration Testing - durch DORA Art. 26 für große Banken mindestens alle 3 Jahre vorgeschrieben. Realistische Angriffs-Simulation durch externe Tester, an realer Bedrohungsanalyse ausgerichtet.

Transport Layer Security - Standardprotokoll für verschlüsselte Kommunikation, Nachfolger von SSL. Heute Pflicht für jede Web-Kommunikation.

Third-Party Risk Management — die strukturierte Bewertung und Steuerung von Risiken aus Geschäftsbeziehungen mit Drittanbietern. In Banken durch DORA Art. 28-44 verbindlich gerahmt.

TPRM (Third-Party Risk Management) ist die Disziplin, Risiken aus der Zusammenarbeit mit externen Dienstleistern systematisch zu erfassen, zu bewerten und zu steuern. Klassische Schritte: Onboarding-Fragebogen, Risiko-Klassifizierung, vertragliche Mindestklauseln (Auditrechte, Sub-Outsourcing-Anzeige, Exit-Strategie), kontinuierliches Monitoring, Off-Boarding. Für Banken kodifiziert DORA Art. 28-44 die Anforderungen, ergänzt um die Identifikation kritischer IKT-Drittanbieter (CTPP), die der direkten Aufsicht durch die ESAs unterliegen. In der AI-getriebenen Lage 2026 erweitert sich TPRM um eine zentrale Frage: Setzt der Drittanbieter selbst AI ein, und wenn ja, in welcher Tiefe? TPRM-Fragebögen werden 2026 typisch um AI-Nutzungs-Sektionen erweitert.

Schadsoftware, die sich als nützliches Programm tarnt. Anders als ein Wurm verbreitet sich ein Trojaner nicht selbst - er braucht den Benutzer, der ihn ausführt.

Tactics, Techniques, Procedures - das charakteristische Vorgehen eines Angreifers: WAS er erreichen will (Tactic), WIE er es tut (Technique), in welchen Schritten konkret (Procedure).

Visual Basic Script - eine in Microsoft-Office historisch verbreitete Skriptsprache. Wurde lange für Office-Macro-basierte Malware genutzt (ILOVEYOU 2000, viele Bank-Trojaner). Microsoft hat VBScript ab Windows 11 schrittweise abgeschaltet.

Auch Nicht-Abstreitbarkeit (Non-Repudiation): Der Absender kann sein Handeln nachträglich nicht leugnen. Wird durch qualifizierte elektronische Signatur und Audit-Logs erreicht.

Prinzip, nach dem kritische Entscheidungen oder Transaktionen von mindestens zwei unabhängigen Personen bestätigt werden müssen. In Banken Pflicht für Auslandsüberweisungen, privilegierte Zugriffe und kritische System-Änderungen.

Das Vier-Augen-Prinzip (engl. "Two-Person Integrity" oder "Dual Control") ist eine der aeltesten und wirksamsten Anti-Fraud-Maßnahmen. In Banken kommt es klassisch zum Einsatz bei: größeren Überweisungen (meist ab 50.000 EUR aufwaerts, je nach Hausgrenze), SWIFT-Auslands-transaktionen, privilegierten Admin-Zugriffen auf das Kernbankensystem, Änderungen an Berechtigungen oder Kontostammdaten und kritischen IT-Änderungen (Production-Deployments). Beim Bangladesh-Bank-Heist 2016 war das fehlende oder umgangene Vier-Augen-Prinzip einer der sieben Defense-in-Depth-Schichten, die versagten. MaRisk und BAIT fordern Vier-Augen-Prinzip explizit für privilegierte IT-Funktionen.

Voice-Phishing - Phishing per Anruf. Heute oft KI-gestützt mit Stimm-Imitaten. Im Februar 2024 verlor eine Hongkonger Bank-Filiale 25 Mio USD durch einen Deepfake-Video-Call mit gefälschtem CFO.

Vulnerability Operations — neue Funktion 2025/2026 als Antwort auf kontinuierliche AI-Vulnerability-Discovery. Analog zu DevOps: Vulnerability-Management als kontinuierliche Pipeline statt als Quartals-Lauf.

VulnOps bezeichnet die organisatorische Funktion, die Vulnerability-Management von einer periodischen Aktivität (jährlicher Pen-Test, quartalsweiser CVE-Sweep) zu einer kontinuierlichen Pipeline umstellt. Der Begriff ist 2025 im Lauf der AI-Vulnerability-Storm-Diskussion entstanden, in Analogie zu DevOps in den 2010ern. Eine typische VulnOps-Funktion umfasst: kontinuierliche Discovery (eigener Code, Infrastruktur, Drittkomponenten — getrieben von AI-Agenten), disziplinierte Triage mit definierten Severity-Klassen und Eskalations-SLAs, automatisierte Remediation-Pipelines für routinemäßig patchbare Findings, Mitigation-Playbooks für unpatchbare Lücken (Mikrosegmentierung, WAF-Regeln, temporäre Deaktivierungen), und Metriken die nicht „Anzahl gefundener CVEs" zaehlen, sondern Mean Time to Remediation, Mean Time to Containment und Anteil automatisch behandelter Findings. Organisatorisch typisch zwischen Security-Operations und Engineering verankert (2 bis 5 Personen in einer mittelgroßen Bank).

Web Application Firewall - schützt Web-Anwendungen vor Angriffen wie SQL-Injection, XSS und Server-Side Request Forgery, indem sie eingehenden HTTP-Verkehr filtert und auffällige Muster blockt.

Ransomware-Wurm vom Mai 2017, der die SMB-Schwachstelle EternalBlue nutzte. Infizierte 230.000 Rechner in 150 Ländern, darunter britische NHS-Krankenhäuser und die Deutsche Bahn. Stoppen ließ er sich nur durch einen zufällig gefundenen Kill-Switch.

Spezialform des Spear-Phishings mit Zielen auf C-Level-Führungskräfte (CEO, CFO). Wird oft mit Business Email Compromise (BEC) kombiniert.

Schadsoftware, die Daten unwiederbringlich zerstört - im Gegensatz zur Ransomware, die nur verschlüsselt. Tarnt sich oft als Ransomware, um Spuren zu verwischen. Beispiele: NotPetya 2017, HermeticWiper 2022 (gegen Ukraine).

Sich selbst replizierende Schadsoftware, die sich aktiv über Netzwerke verbreitet - im Gegensatz zum Virus ohne Bindung an eine Wirtsdatei.

Würmer waren historisch die ersten internetweit wirksamen Schadprogramme. Klassisches Beispiel ist der Morris-Worm 1988. Moderne Würmer wie WannaCry oder NotPetya zeigen, dass das Konzept bis heute höchst relevant ist.

Extended Detection and Response - korreliert Telemetrie aus Endpoint, Netzwerk, Cloud und Identity in einer einzigen Plattform. Konvergenz-Trend von EDR + SIEM seit etwa 2020.

Architektur-Modell, das implizites Vertrauen abschafft: Jeder Zugriff wird explizit authentisiert und autorisiert, unabhängig von der Position im Netz. "Never trust, always verify."

Im klassischen Perimeter-Modell war "innen" sicher und "außen" gefährlich. Zero Trust verwirft diese Annahme - auch internes Netz wird als feindlich behandelt. Praktisch umgesetzt durch Mikrosegmentierung, IAM mit geringsten Berechtigungen, kontinuierliche Authentisierung.

Eine Schwachstelle, für die zum Angriffszeitpunkt noch kein Patch existiert. Verteidiger haben "null Tage" Zeit zur Vorbereitung.

Schwachstelle, für die noch kein Patch existiert - der Hersteller hatte „null Tage" zur Reaktion. Zero-Day-Exploits sind in der Underground- Szene wertvoll (5- bis 6-stellige US-Dollar-Beträge) und das Hauptwerkzeug staatlicher Angreifer.

Banking-Trojaner seit 2007, einer der erfolgreichsten der Geschichte. Spezialisiert auf das Kapern von Online-Banking-Sessions: injiziert JavaScript in die Banking-Webseite, manipuliert Kontostände in Echtzeit, fängt TAN-Eingaben ab. Mehrere Hundert Millionen US-Dollar Schaden weltweit.

Schutzziel: Jede Aktion lässt sich auf einen handelnden Akteur zurückführen - einschließlich technischer Akteure (Service-Accounts). Vorbedingung jeder forensischen Aufklärung.