Modul 8 - Three Lines of Defense in der Bank

Eine Phishing-Mail wandert durch alle drei Linien

Es ist Mittwoch, 9:14 Uhr. Eine Sachbearbeiterin in der Kreditabteilung der xbank bekommt eine perfekte Phishing-Mail — vermeintlich vom CEO, der sie um eine schnelle Überweisung bittet. Sie klickt nicht. Sie meldet. Was jetzt passiert, durchläuft alle drei Linien der Bank in den nächsten Stunden:

1. 9:18 — SOC-Tier-1 sieht den Click-Trace im Mail-Filter. Klassifiziert nach Standard-Playbook als „verdächtig, kein Schaden”. Operative Bearbeitung — 1. Linie.

2. 9:32 — CSIRT übernimmt, isoliert das Mail-Postfach präventiv, scannt das Endgerät. Auch 1. Linie, höhere Eskalationsstufe.

3. 11:00 — CISO wird informiert. Schaut sich den Vorfall im Lichte der bestehenden IS-Vorgaben an: „Hat unsere Phishing-Awareness-Schulung den Klick verhindert? Brauchen wir technische Verschärfungen?” — und entscheidet über eine Risk-Acceptance bzw. eine Maßnahmen-Eskalation. Steuerung — 2. Linie.

4. 3 Monate später — Interne Revision prüft im Routine-Audit den Fall, schaut ob die Lessons Learned eingearbeitet wurden, und ob die IS-Vorgaben tatsächlich in der 1L gelebt werden. Wirksamkeitsprüfung — 3. Linie.

5. Im Quartalsbericht geht der Vorfall an Vorstand und ggf. an die BaFin. Externe Aufsicht.

Eine einzige Phishing-Mail, fünf Stationen, drei klare Linien — und genau diese Aufgabenteilung ist das Thema dieses Moduls.

Das Three-Lines-Model im Überblick

Die zentrale Erkenntnis steckt in den drei Wörtern WAS / WIE / OB.

WAS / WIE / OB — die drei Fragen

In jeder Audit-Situation, in jedem Vorstandsgespräch, in jeder Eskalationsdiskussion läuft die Antwort auf eine dieser drei Fragen hinaus:

Erste Linie: Operative Sicherheit

Die 1. Linie ist der operative Geschäftsbetrieb. In der Bank-IT gehören dazu:

• SOC-Teams (Tier 1, 2, 3)
• IT-Betrieb (Server-, Netzwerk-, Datenbank-Administratoren)
• Anwendungseigner (Business-Owner einer Anwendung)
• Fachbereiche (Kreditgeschäft, Zahlungsverkehr, Marktfolge)
• opSec-Team — der gängige Sammelbegriff für die operative Sicherheits-Praxis: SOC-Analysten, CSIRT-Mitglieder und Admins mit Security-Fokus.

Aufgaben der 1. Linie

• Risiko-Eigentum für die eigene operative Tätigkeit
• Operative Kontrollen im Tagesgeschäft (Vier-Augen-Prinzip, Schichtwechsel-Übergabe, Logbuch-Einträge)
• Detection & Response auf operativer Ebene (SOC-Tier 1, CSIRT)
• Umsetzung der Vorgaben aus der 2. Linie
• Berichterstattung an die 2. Linie über Status, Vorfälle, KRIs

Beispiele für 1L-Tätigkeiten

• Patch einspielen und dokumentieren
• Phishing-Mail klassifizieren und behandeln
• Mitarbeiter-Account onboarden / offboarden (RBAC, MFA)
• Vier-Augen-Freigabe einer Auslagerungs-Operation
• ATM-Wartung, Konfigurations-Änderung, Server-Reboot
• Monatliche Berechtigungs-Rezertifizierung

Die 1. Linie ist keine Mauer gegen Risiken, sondern ihre erste operative Bewältigung.

Zweite Linie: Risikomanagement & Compliance

Hier liegt die Steuerungs- und Kontrollfunktion — die Welt, in der 2nd-Line-Risikomanager und CISOs ihre Tagesarbeit machen.

Aufgaben der 2. Linie

Wer ist in der Bank 2. Linie?

• CISO (Chief Information Security Officer)
• ISO (Information Security Officer — operative Stufe unter dem CISO)
• IKT-Risikomanagement (oft eigenes Team unter dem CRO)
• Compliance (regulatorische Themen, MaRisk, DORA, MaComp)
• Datenschutzbeauftragte/r (DSB, DSGVO)
• Auslagerungs-Beauftragte/r (BAIT/DORA-Drittparteien-Steuerung)

Trennung von der 1. Linie ist Pflicht

In jeder größeren Bank ist die organisatorische Trennung der 2L vom operativen Geschäft eine harte Vorschrift — geregelt in MaRisk und DORA Art. 5/6. Die ISO/CISO darf nicht gleichzeitig die operative Verantwortung für die zu prüfenden Systeme tragen. Wäre sie/er sonst im Zweifel der eigene Prüfer.

In kleinen Banken (Sparkassen, kleine Privatbanken) gibt es teilweise Personalunion mit klaren funktionalen Trennungen — aber auch das ist regelmäßig Audit-Thema.

Typische 2L-KRIs

In der monatlichen Risiko-Berichterstattung an Vorstand und Aufsicht:

• Anzahl offener kritischer Schwachstellen (CVSS ≥ 9, > 30 Tage)
• MTTD und MTTR für sicherheitsrelevante Vorfälle
• Phishing-Klick-Rate aus simulierten Awareness-Kampagnen
• Anteil privilegierter Konten ohne MFA
• Anzahl ausstehender Risk-Acceptances
• Audit-Findings-Status (offen / in Bearbeitung / abgeschlossen)
• DORA-Vorfälle: Klassifizierungen, Meldezeiten

Dritte Linie: Interne Revision

Die Interne Revision ist die unabhängige Prüfungsfunktion — sie prüft die Wirksamkeit sowohl der 1. als auch der 2. Linie.

Was die Revision macht — und was nicht

Wichtige Eigenschaften der 3L

• Unabhängigkeit: berichtet direkt an Vorstand und Aufsichtsrat, nicht an den CRO oder CISO
• Risikoorientierter Audit-Plan: jährlich, abgestimmt mit Vorstand
• Folgeprüfungen (Follow-up): Mängel werden weiterverfolgt, Schließungs-Status berichtet
• Audit-Berichte: Klar strukturiert, mit Findings, Risiko-Bewertung, Maßnahmen-Empfehlungen

Die 3L ist kein Berater — und das ist wichtig. Wer einmal eine Maßnahme empfiehlt, wird später nicht mehr unabhängig prüfen können, ob sie wirkt. Genau diese Unabhängigkeit ist regulatorisch verpflichtend.

Außerhalb des Modells: Externe Aufsicht & Wirtschaftsprüfer

Formal sind sie nicht Teil des Three-Lines-Models — in der Bank-Praxis aber omnipräsent:

Mit ihnen redet typischerweise die 2. Linie — sie ist die Hauptansprechpartnerin für externe Prüfer. Die 1. Linie liefert operative Belege, die 3. Linie ihre eigenen Audit-Berichte.

Eskalationspfade in der Praxis

Wenn etwas Risikorelevantes passiert, muss klar sein, wer wann an wen eskaliert. Sonst verliert die Bank in der Krise die ersten — entscheidenden — Stunden.

In jeder ordentlichen Bank ist dieser Pfad vorab im IS-Notfallplan definiert und mit allen Beteiligten geübt.

Was tun bei Konflikten zwischen 1L und 2L?

Konflikte sind die Regel, nicht die Ausnahme. Klassische Streitgegenstände:

• Ressourcen vs. Anforderung: 1L hat zu wenig Personal, 2L will trotzdem Termin halten
• Pragmatismus vs. Vorgabe: 1L sagt „so geht das in der Realität nicht”, 2L hält die Vorgabe ein
• Zeitdruck vs. Sorgfalt: Vorstand will Migration schnell, 2L besteht auf Sicherheits-Tests

Der saubere Weg

Rückblick: Welche Linie hat versagt?

Bangladesh Bank Heist 2016 — Lehre aus drei Linien

Lehre: Drei Linien helfen nur, wenn alle drei aktiv sind. Bei Bangladesh haben alle drei in unterschiedlichem Maße versagt — die 1L durch unzureichende Detektion, die 2L durch fehlendes Monitoring der eigenen Vorgaben, die 3L durch zu lange Audit-Lücken.

Capital One 2019 — wenn die 3L recht hatte, aber nicht gehört wurde

Im Capital-One-Fall (siehe Modul 4) gab es einen Audit-Bericht der 3L mit Hinweis auf WAF-Konfigurationsrisiken — aber die Empfehlung wurde nicht umgesetzt. Das war keine Detection-Lücke, sondern eine Eskalations-Lücke: die 3L hatte gesehen, was die 1L tat, aber die 2L hatte die Risk Acceptance nicht dokumentiert und der Vorstand wusste nichts davon.

Folge: 80 Mio Dollar Strafe vom OCC, zusätzlich 190 Mio Dollar Settlement, CEO musste sich vor dem US-Senat verantworten.

Ein typischer Tag in der 2. Linie

Damit nicht abstrakt bleibt, was in der 2L tatsächlich passiert, hier ein realistischer Wochenarbeitsablauf einer 2nd-Line-Risikomanagerin einer mittelgroßen deutschen Bank:

Montag, 08:30 — Wochenstart

• KRI-Dashboard: über das Wochenende neue offene CVSS-9-Findings?
• Wochenplan: drei Themen — DORA-Reporting-Vorbereitung, Auslagerungs-Risiko-Update, Eskalations-Vorbereitung für CRO-Termin Donnerstag

Dienstag, 10:00 — Sitzung mit 1L IT-Betrieb

• 1L stellt geplanten Patch-Cycle für Q2 vor
• 2L prüft: hält das die Vorgabe „30 Tage für Critical”?
• Diskussion über zwei Anwendungen, die das nicht schaffen
• Ergebnis: Risk Acceptance bis nächste Cycle, dokumentiert

Mittwoch, 14:00 — Audit-Begleitung

• Interne Revision prüft Berechtigungs-Rezertifizierung
• 2L liefert KRI-Berichte, Stichproben, Belege
• Findings besprochen, Maßnahmen mit 1L vereinbart

Donnerstag, 09:00 — Vorstands-Vorbereitung

• Monatsbericht IKT-Risiko: 5 Folien
• Top-3-Risiken: ungepatchte SWIFT-Komponente, Cloud-Migration, gestiegene Phishing-Quote bei Awareness-Test
• Empfehlungen: Maßnahmenplan + zwei Risk Acceptances zur Genehmigung

Donnerstag, 14:00 — CRO-Termin

• Bericht abgegeben, Risk Acceptances unterschrieben

Freitag, 13:00 — DORA-Quartalsmeldung vorbereiten

• Liste aller meldepflichtigen Vorfälle Q1
• Mit Compliance abstimmen
• An BaFin senden

Das ist die Tagesarbeit — kein dramatischer Krisen-Modus, sondern kontinuierliche Steuerung, Beweisführung, Berichtspflicht.

Update 2020: Vom „Three Lines of Defense” zum „Three Lines Model”

Das IIA hat 2020 das ursprüngliche Modell überarbeitet. Wichtigste Änderungen:

• Umbenennung von „Defense” zu „Model” — weil die Defense-Sprache zu militärisch klang und die kooperative Aufgabenteilung überdeckte.
• Stärkere Betonung der Zusammenarbeit zwischen den Linien — nicht Isolierung, sondern abgestimmte Verantwortung.
• Explizite Rolle des Vorstands als ranghöchste Verantwortungsstelle — vorher war das im Modell weniger sichtbar.
• Externe Aufsicht als Bezugspunkt im Modell sichtbar gemacht.

Inhaltlich ist die Aufgabenteilung gleich geblieben: 1L betreibt, 2L steuert, 3L prüft. Aber die Kommunikation und die Kultur haben in der Branche eine andere Färbung bekommen — weniger „Verteidigungslinie”, mehr „arbeitsteiliges Risikomanagement”.

Die fünf Merksätze für Modul 8

1. WAS / WIE / OB sind die drei Wörter des Modells. Wer sie kennt, kennt die Aufgabenteilung — 2L sagt was, 1L sagt wie, 3L sagt ob.

2. Generische Vorgaben statt technischer Detailbefehle. Die 2. Linie formuliert ergebnisorientierte Anforderungen. Sobald sie das technische Wie vorgibt, übernimmt sie auch die Verantwortung — und verlässt ihre Rolle.

3. Trennung der Linien ist Pflicht. MaRisk und DORA verlangen organisatorische Unabhängigkeit von 1L, 2L und 3L. In kleinen Banken in Personalunion möglich, aber funktional zu trennen.

4. Eskalationspfade müssen vorab definiert sein. Wer im Krisenfall nicht weiß, wann er an wen eskaliert, verliert die ersten Stunden — die teuersten.

5. Bedenken anmelden ist das letzte Werkzeug der 2. Linie. Wer nie davon Gebrauch macht, hat das Modell nicht verstanden. Wer ständig davon Gebrauch macht, ist im falschen Job.