Modul 2 - Schutzziele & Grundbegriffe

Es ist 4:23 Uhr, dein Telefon klingelt

Du bist neu im IT-Risikomanagement der xbank, dritter Tag im Job. Deine Rufbereitschaft hat heute zum ersten Mal Bestand. Die Stimme am anderen Ende ist die Schichtleitung des SOC (Security Operations Center): “Wir sehen ungewöhnliche Aktivität auf dem SWIFT-Gateway. Ich glaube, wir haben einen Vorfall.”

Du hast 30 Sekunden, um zu entscheiden, ob du den CISO (Chief Information Security Officer) weckst oder erst noch abwartest. Was du jetzt brauchst, ist nicht Code, nicht Tools, nicht Regulatorik - sondern das Vokabular dieser Welt. Du musst sofort verstehen können, ob es um Vertraulichkeit, Integrität oder Verfügbarkeit geht. Ob die Bank verwundbar ist oder nur eine Bedrohung sieht. Ob der Schaden bereits eingetreten ist oder noch droht.

Genau dieses Vokabular liefert dir Modul 2.

Die CIA-Triade - die drei klassischen Schutzziele

Wenn du in der Welt der Informationssicherheit nur drei Buchstaben kennen dürftest, dann wären es CIA: Confidentiality, Integrity, Availability. Sie stehen in jedem Lehrbuch, in der ISO 27000-Familie, im BSI IT-Grundschutz, in jedem zweiten Audit-Report. Sie sind der kleinste gemeinsame Nenner der Branche.

Confidentiality - Vertraulichkeit

Wer darf was sehen? Vertraulichkeit ist verletzt, sobald Informationen in die Hände von Personen geraten, die sie nicht haben sollten - egal ob absichtlich oder versehentlich.

Integrity - Integrität

Sind die Daten so, wie sie sein sollen? Integrität ist verletzt, wenn Informationen unbefugt verändert werden - sei es durch Manipulation, Übertragungsfehler oder Software-Bug.

Availability - Verfügbarkeit

Komme ich rechtzeitig dran? Verfügbarkeit ist verletzt, sobald Daten oder Systeme nicht erreichbar sind, wenn man sie braucht. Der Klassiker: DDoS-Angriffe, Hardware-Ausfälle oder schlicht eine schiefgelaufene IT-Migration.

Erweiterte Schutzziele - was die CIA nicht abdeckt

Die CIA-Triade ist klassisch, aber für Banken nicht ausreichend. Spätestens seit dem BSI IT-Grundschutz und konkret in jeder MaRisk-Prüfung wirst du auch diese drei treffen:

Authentizität (Authenticity)

Ist der angebliche Absender / Akteur tatsächlich echt? Eine perfekt erhaltene und verschlüsselte Nachricht ist wertlos, wenn sie nicht vom angegebenen Absender stammt. Genau hier scheiterte Bangladesh Bank: Die SWIFT-Nachrichten waren technisch in Ordnung, aber sie kamen nicht vom legitimen Operator.

In Banken erreicht durch:

• Multi-Faktor-Authentisierung (MFA) beim Login
• Digitale Signaturen bei Buchungsfreigaben
• SWIFT-Handshakes bei Inter-Bank-Kommunikation
• eIDAS-konforme qualifizierte Signatur bei Vertragsabschluss

Verbindlichkeit (Non-Repudiation)

Kann der Absender sein Handeln nachträglich abstreiten? Wenn ein Bank-Mitarbeiter eine Überweisung freigibt, muss die Bank im Zweifel beweisen können, dass es genau dieser Mitarbeiter war - nicht jemand mit seinem Passwort, nicht ein Kollege, nicht später manipulierte Logs.

Verbindlichkeit ist die Vorbedingung jeder forensischen Aufklärung. Kein Audit-Log, keine Aufklärung. Kein Vier-Augen-Prinzip mit getrennten Identitäten, keine sauberen Verantwortlichkeiten.

Zurechenbarkeit (Accountability)

Wer hat es getan? Eng verwandt mit Verbindlichkeit, aber breiter: Es geht darum, jede Aktion auf einen handelnden Akteur zurückzuführen - einschließlich technischer Akteure (Service-Accounts, Skripte). In jedem SIEM-System (Security Information and Event Management) ist die Zurechenbarkeit das oberste Designziel.

Die vier Begriffe, die nie verwechselt werden dürfen

In keinem Risiko-Meeting kommst du um diese vier Begriffe herum. Wer sie durcheinanderwirft, redet aneinander vorbei oder schlimmer: trifft falsche Entscheidungen.

Asset - der Wert

Ein Asset ist alles, was die Bank schützen will, weil es Wert hat. Das geht weit über “Server” und “Datenbank” hinaus:

• Daten: Kundendaten, Transaktionsdaten, Modelle, Quellcode
• Systeme: SWIFT-Gateway, Online-Banking, Buchhaltungs-Backend
• Prozesse: Zahlungsverkehr, Kreditvergabe, Reporting
• Reputation: das Vertrauen der Kunden in die Bank
• Personal: Schlüsselmitarbeiter, Know-how

Ohne ein klar benanntes Asset ist jede Risiko-Diskussion sinnlos. Risiko WORAN?

Bedrohung - das WAS

Eine Bedrohung ist ein potenzielles Ereignis, das einem Asset Schaden zufügen könnte. Wichtig: Eine Bedrohung existiert unabhängig davon, ob die Bank verwundbar ist.

Beispiele: Ransomware-Angriff, Insider-Datenexport, Stromausfall, Naturkatastrophe, gezielter APT-Angriff einer staatlichen Gruppe, Mitarbeiter-Fehler.

Schwachstelle - das WIE

Eine Schwachstelle ist eine Lücke im Schutzsystem der Bank, die eine Bedrohung ausnutzen kann. Schwachstellen sind das, was die Bank kontrollieren kann - im Gegensatz zur Bedrohung, die “von außen” kommt.

Beispiele: ungepatchter Server, fehlende Vier-Augen-Prüfung, schwach konfiguriertes IAM, unzureichendes Log-Monitoring, Mitarbeiter ohne Phishing-Training.

Risiko - der Erwartungswert

Risiko = Eintrittswahrscheinlichkeit x Schadenshöhe. Es ist nicht das Ereignis selbst, sondern die Erwartung an Schaden, die wir aus Bedrohung und Schwachstelle ableiten.

Risiko quantitativ - die Zahlen hinter den Worten

Auch wenn in der Bank-Praxis qualitative Risiko-Matrizen überwiegen (“niedrig / mittel / hoch / sehr hoch”), solltest du die quantitative Berechnung kennen. Sie hilft dir, Augenmass für die Größenordnungen zu entwickeln.

Die klassische Formel:

Ein durchgespieltes Beispiel: 4-Stunden-Ausfall des Online-Bankings

Stelle dir vor, du sollst das Risiko eines Online-Banking-Ausfalls bewerten. Folgende Annahmen:

Der erwartete jährliche Schaden aus diesem einen Risiko liegt also bei 5 Millionen Euro. Das ist die Zahl, gegen die jede Schutzmaßnahme verglichen werden muss: Wenn eine Hochverfügbarkeitslösung 2 Mio EUR pro Jahr kostet und das ARO auf 0,1 reduziert (also alle 10 Jahre statt alle 2), sinkt das ALE auf 1 Mio EUR. Das Geschäft lohnt sich:

Inhärentes Risiko, Maßnahmen und Restrisiko

Jedes Risiko durchläuft in der Bewertung drei Stufen:

1. Inhärentes Risiko

Das Risiko, das das Asset trägt, wenn man alle Schutzmaßnahmen wegdenkt. Es ist die ehrliche Antwort auf “Wieviel Risiko steckt überhaupt drin?”

Beispiel: Ein SWIFT-Gateway ohne jede Authentisierung, ohne Logging, ohne Vier-Augen-Prinzip - das inhärente Risiko ist katastrophal hoch.

2. Maßnahmen (Controls)

Was die Bank tut, um das Risiko zu reduzieren:

• Präventive Maßnahmen verhindern den Eintritt (z.B. Patching, MFA)
• Detektive Maßnahmen erkennen den Eintritt (z.B. SIEM, Anomalie-Erkennung)
• Korrektive Maßnahmen begrenzen den Schaden (z.B. Backups, Kill-Switch)

In jedem Audit wird genau diese Trennung gefragt: “Welche Art Maßnahme ist das? Präventiv, detektiv oder korrektiv?“

3. Restrisiko

Das Risiko, das nach allen Maßnahmen übrig bleibt. Restrisiko ist nie Null. Selbst die beste Bank kann nicht jedes Ereignis ausschließen - und wenn doch, wäre die Bank wahrscheinlich auch nicht mehr profitabel.

Risikoappetit und Risikotoleranz - wer entscheidet wieviel?

Nicht jedes Restrisiko kann eine Sachbearbeiterin allein akzeptieren. Banken arbeiten mit zwei eng verwandten Begriffen:

Risikoappetit

Die maximale Risikohöhe, die das Top-Management bewusst zu tragen bereit ist. Wird in der Regel auf Vorstandsebene festgelegt und ist die Messlatte für alles, was darunter passiert. Beispiel: “Wir akzeptieren maximal 50 Mio EUR jährlichen Erwartungsschaden aus operationellen IT-Risiken.”

Risikotoleranz

Die Bandbreite, in der das tatsächliche Risiko vom Risikoappetit abweichen darf, ohne dass eine Eskalation nötig wird. Wenn der Appetit bei 50 Mio EUR liegt und die Toleranz bei +/- 10 Mio EUR, dann ist alles zwischen 40 und 60 Mio EUR im normalen Steuerungsbereich. Darüber hinaus muss eskaliert werden.

KRI - Key Risk Indicator

Damit das Top-Management nicht erst durch einen Vorfall sieht, dass die Toleranz gerissen wurde, arbeitet die 2. Linie mit Frühindikatoren - Key Risk Indicators. Klassische KRIs in einer Bank-IT:

• Anzahl offener kritischer Schwachstellen (CVSS >= 9,0) > 30 Tage
• Mittlere Patch-Zeit für kritische Updates (MTTR-Patch)
• Phishing-Klick-Rate aus simulierten Kampagnen
• Anteil privilegierter Konten ohne MFA
• Anzahl ausgelaufener Zertifikate im Jahr

Ein guter KRI ist ein Früh-, kein Spätindikator. Er zeigt, dass das Risikoprofil sich ändert, bevor der Schaden eintritt - im Gegensatz zum KPI, der den Erfolg rückblickend misst.

Der Vorfall um 4:23 Uhr - jetzt mit Vokabular

Lass uns zur Eingangsgeschichte zurückkehren. Der SOC meldet ungewöhnliche Aktivität auf dem SWIFT-Gateway. Mit dem neuen Vokabular kannst du die Lage in 30 Sekunden korrekt einordnen:

• Asset: SWIFT-Gateway, Buchungs-Integrität, Bank-Reputation
• Bedrohung: APT mit möglichem Bezug zur Lazarus-Group (Vermutung)
• Schwachstelle: noch unbekannt — möglicherweise kompromittierter Service-Account oder unautorisierte Änderung am SWIFT-Client
• Risiko: potenziell sehr hoch — inhärentes Schadenpotenzial 9-stellig (siehe Bangladesh Bank 2016)
• Schutzziele: primär Integrität (Buchungen!) und Authentizität (Absender der SWIFT-Nachrichten); sekundär Verbindlichkeit (Audit-Trail)
• Maßnahme jetzt: SWIFT-Gateway temporär isolieren (korrektiv), Forensik-Snapshot, CISO und Vorstand informieren

Das ist genau die Art Lage-Einschätzung, die ein 2nd-Line-Risikomanager liefert. Mit dem CIA-Vokabular und den vier Begriffen Asset / Bedrohung / Schwachstelle / Risiko bist du nicht mehr ratlos - du hast die Sprache deiner Profession.

Tactical Glossar - die Banker-Vokabel-Box

Diese Begriffe wirst du in jedem zweiten Meeting hören. Speichere sie ab, sie kommen im Quiz und in den nächsten Modulen wieder:

Die fünf Merksätze für Modul 2

1. Risiko ist nicht das Ereignis, sondern die Erwartung daran. Wer “wir haben ein Risiko” sagt und das Ereignis meint, macht spätestens beim ersten Audit Probleme.

2. CIA reicht nicht für Banken. Authentizität und Verbindlichkeit sind im Tagesgeschäft genauso entscheidend - jede Buchung lebt davon.

3. Asset, Bedrohung, Schwachstelle, Risiko - vier Wörter, vier verschiedene Dinge. Niemals durcheinanderwerfen, sonst redet ihr im Meeting aneinander vorbei.

4. Restrisiko ist immer da. Was zählt: Ist es bewusst akzeptiert oder unbewusst geblieben? Letzteres fällt jedem Audit auf.

5. Wer von “Risiko” spricht, ohne Wahrscheinlichkeit UND Schadenshöhe zu nennen, hat das Wort nicht verstanden. Ein Risiko ohne diese beiden Dimensionen ist nur ein Bauchgefühl.