xbank Academy für IT-Security
Modul 10 · 35 Minuten

Modul 10 - Praxis-Szenarien & Rollenspiele

Vier echte 2L-Entscheidungssituationen — CEO-Fraud, SLA-Bruch, Critical-CVE und Cloud-Migration. Mit Quiz, Auflösung und Varianten für kleine, mittlere und große Banken.

Ein Tag in der 2. Linie der xbank

Es ist Mittwoch, 08:30 Uhr. Sandra, Senior-Risikomanagerin in der 2. Linie der X-Förderbank, öffnet ihren Laptop und sortiert die E-Mails. Vier Themen werden ihr heute über den Schreibtisch gehen — und alle vier verlangen eine 2L-Entscheidung, dokumentiert, nachvollziehbar, regulatorisch sauber.

Was du in den letzten neun Modulen gelernt hast, wendest du jetzt in echten Bank-Situationen an. Pro Szenario gibt es eine Entscheidungs-Frage, die Auflösung mit Bewertung jeder Option, und eine Bank-Größen-Variante — denn was in einer Großbank mit eigenem SOC selbstverständlich ist, läuft in einer Förderbank mit ausgelagertem MSSP ganz anders.

Szenario 1 — CEO-Fraud-Phishing

Setup

09:14 Uhr — Die Vorstandssekretärin Frau Berger ruft im SOC an. Sie hat eine E-Mail von „Dr. Meyer” erhalten — dem Vorstand für Förderprogramme — mit dem Betreff „Eilüberweisung Tochtergesellschaft Brüssel, vertraulich”. Inhalt: 480.000 € auf ein belgisches Konto, Begründung „Zukauf einer Beteiligung, Abstimmung mit Aufsichtsrat erfolgt, Zahlung muss heute raus, ich bin in Sitzung nicht erreichbar.” Die Absender-Adresse lautet mertens@x-bank-foerderung.de — die korrekte Domain wäre x-bank.de. Der E-Mail-Header zeigt eine SPF-Soft-Fail-Warnung.

Sandra wird von Tier-2 informiert. Ein klassischer Phishing-Verdacht mit hohem Schadenpotenzial — typischer CEO-Fraud.

Zusammenspiel 1. und 2. Linie — wie es konkret läuft
  1. 09:14 1L SOC Tier-1 erkennt verdächtige Header bei Mail an Vorstandssekretariat, eröffnet Ticket.
  2. 09:18 1L SOC Tier-2 verifiziert: SPF-Soft-Fail, Domain-Spoofing nachgewiesen, IoCs gegen Threat-Intel geprüft.
  3. 09:22 1L → 2L SOC eskaliert an Risikomanagement — Phishing mit hohem Schadenpotenzial.
  4. 09:24 2L Sandra klassifiziert als IS-Vorfall (noch nicht schwerwiegend), Dokumentation gestartet.
  5. 09:25 2L → 1L Treas. Anweisung: 480 k€-Zahlungsfreigabe in SAP-Treasury temporär sperren.
  6. 09:28 1L Treasury Zahlungssperre gesetzt — Schaden operativ verhindert.
  7. 09:35 2L Echten Dr. Meyer am Mobiltelefon erreicht. Identität intakt, Mail bestätigt als CEO-Fraud.
  8. 10:10 2L → 1L Awar. Awareness-Team beauftragt: bank-weite Warnung an alle Vorstandssekretariate.
1. Linie (operativ) 2. Linie (Risiko) Vorstand / Aufsicht Übergabe zwischen Linien

Vertiefung: Phishing als Angriffstechnik in Modul 3, Vorfallmanagement-Prozess in Modul 9.

Szenario 2 — SLA-Bruch bei Microsoft Exchange Online

Setup

11:20 Uhr — Sandra bekommt den monatlichen Auslagerungs-Bericht ihres CTPP-Officers auf den Tisch. Microsoft Exchange Online hat in den letzten 6 Monaten zweimal die vertraglich vereinbarte 99,9 %-Verfügbarkeits-SLA verfehlt — einmal mit knapp 4 Stunden Ausfall im Februar (weltweiter MFA-Service-Ausfall) und einmal mit über 6 Stunden im April. In beiden Fällen war die xbank betroffen: Tausende Mitarbeiter konnten nicht auf E-Mail zugreifen, im April zusätzlich Teams nicht erreichbar.

Microsoft ist nach interner Klassifizierung eine wesentliche Auslagerung und damit ein CTPP nach DORA Art. 28-44. Frage: Wie reagiert die 2. Linie?

Zusammenspiel 1. und 2. Linie — wie es konkret läuft
  1. Tag 1 1L OpSec Monats-Verfügbarkeitsbericht zeigt zweite M365-SLA-Verfehlung in 6 Monaten.
  2. Tag 1 1L → 2L CTPP-Officer reicht Bericht an Risikomanagement weiter.
  3. Tag 2 2L Sandra erkennt Trend — Bedrohungs-/Risikolage hat sich geändert, nicht mehr Routine.
  4. Tag 2 2L Lieferanten-Risikobewertung im Auslagerungsregister: Status grün → gelb.
  5. Tag 3 2L → Vorstand Vorstandsvorlage: Risikoeinschätzung + Empfehlung „Multi-Cloud-Konzept evaluieren".
  6. Tag 3 2L BaFin-Anzeigepflicht geprüft (Art. 18) — Begründung „nicht meldepflichtig" dokumentiert.
  7. Tag 7 Vorstand Beschluss: Multi-Cloud-Konzept aufnehmen, 1L mit Erarbeitung beauftragt.
  8. Tag 8 2L → 1L IT Sandra übergibt Auftrag mit Risiko-Anforderungen ans IT-Architektur-Team (WAS-Vorgabe).
1. Linie (operativ) 2. Linie (Risiko) Vorstand / Aufsicht Übergabe zwischen Linien

Vertiefung: CTPP-Konzept und Auslagerungs-Lebenszyklus in Modul 7, Three Lines of Defense in Modul 8.

Szenario 3 — Critical-CVE und der Geschäftskonflikt

Setup

14:05 Uhr — Eine SecOps-Meldung trudelt ein: CVE-2026-1138 — eine Remote-Code-Execution-Schwachstelle in einer weit verbreiteten Java-Logging-Bibliothek. CVSS-Score: 9.8. Public-Exploit verfügbar. Bei der xbank ist die Bibliothek in 14 Anwendungen verbaut, darunter zwei kritische: das Förderportal (kundenfacing) und die Treasury-Berechnungs-Engine.

Der IT-Betrieb (1. Linie) reagiert: „Patching am Förderportal nach dem Quartalsabschluss am 30.06. Vorher zu riskant — Förderportal ist im Hochbetrieb wegen Jahresprogramm-Aufrufen, ein Patch-Fehler würde wochenlang öffentlich-rechtliche Verfahren lahmlegen.” Das wäre drei Wochen ohne Patch auf einer exploit-fähigen Critical-Schwachstelle. Sandra wird einbezogen.

Zusammenspiel 1. und 2. Linie — wie es konkret läuft
  1. Tag 1 1L OpSec Vulnerability-Scan findet CVE-2026-1138 (CVSS 9.8) in 14 Anwendungen, Public-Exploit verfügbar.
  2. Tag 1 1L IT-Betrieb Empfiehlt Patch-Verschiebung am Förderportal um 3 Wochen — Geschäftsrisiko Quartalsabschluss.
  3. Tag 1 1L → 2L Eskalation an Sandra: Patch-Verzögerung auf Critical-CVE.
  4. Tag 1 2L Risiko neu bewertet: ohne kompensierende Kontrollen nicht hinnehmbar.
  5. Tag 1 2L → 1L OpSec Anforderung (WAS): WAF-Regel gegen bekanntes Exploit-Pattern, IDS-Signatur, erhöhtes SIEM-Monitoring.
  6. Tag 2 1L OpSec Umsetzung (WIE): WAF-Regel aktiv, IDS-Signatur deployed, SIEM-Watchlist erweitert.
  7. Tag 2 2L → Vorstand Risiko-Akzeptanz-Vorlage mit Datum und kompensierenden Kontrollen vorbereitet.
  8. Tag 3 Vorstand IT-Vorstand zeichnet Risiko-Akzeptanz schriftlich.
  9. Tag 21 1L IT-Betrieb Nach Quartalsabschluss: Patch eingespielt, Wirksamkeit verifiziert.
  10. Tag 22 2L Risiko-Register zurück auf grün, Audit-Akte geschlossen.
1. Linie (operativ) 2. Linie (Risiko) Vorstand / Aufsicht Übergabe zwischen Linien

Vertiefung: Schwachstellen-Behandlung und Patch-Management in Modul 4, WAS-WIE-OB-Logik in Modul 8.

Szenario 4 — Cloud-Migration des Vertriebs-CRM

Setup

16:30 Uhr — Eine Vorstandsvorlage landet auf Sandras Tisch: Der Förder-Vertrieb möchte das interne CRM (Maklerverwaltung, Kreditberater-Mappen, kein direkter Kundenkontakt) durch Salesforce Financial Services Cloud ersetzen. Begründung: moderne Workflows, mobile Nutzung, Integration mit Marketing- Automation. Vertragsvolumen 380 k€/Jahr, Laufzeit 5 Jahre.

Die Vorlage soll im nächsten Vorstandstermin in 5 Werktagen beschlossen werden. Sandra wird gebeten, das 2L-Risiko-Votum beizusteuern. Frage: Welche Aspekte muss sie prüfen?

Zusammenspiel 1. und 2. Linie — wie es konkret läuft
  1. Wo 1, Mo 1L Vertrieb Vorstandsvorlage Salesforce Financial Services Cloud eingereicht, Entscheidung in 5 Werktagen.
  2. Wo 1, Di 1L → 2L CIO bittet Sandra um Risiko-Votum.
  3. Wo 1, Di 2L DORA-Drittparteien-Prüfung startet — Wesentlichkeit, C5, Exit, Art. 30, Konzentration.
  4. Wo 1, Mi 2L C5-Testat geprüft (vorhanden, aktuell). Wesentlichkeit: nicht-wesentlich, dokumentiert.
  5. Wo 1, Do 2L → 1L Einkauf Vertragsforderungen formuliert: Art.-30-Klauseln, EDSA-Zusatz, Exit-Strategie, Datenort EU.
  6. Wo 1, Fr 2L → Vorstand Risiko-Votum mit fünf Prüfpunkten + Vertragsforderungen an Vorstandsvorlage angehängt.
  7. Wo 2, Mo Vorstand Beschluss pro Salesforce — vorbehaltlich Erfüllung der 2L-Vertragsauflagen.
  8. Wo 2-4 1L Einkauf Verhandelt Art.-30-Klauseln und EDSA-Zusatz mit Salesforce.
  9. Wo 4 2L Vertragstext final geprüft, Risiko-Akte abgelegt im Auslagerungsregister.
1. Linie (operativ) 2. Linie (Risiko) Vorstand / Aufsicht Übergabe zwischen Linien

Vertiefung: Cloud-Spezifika in Modul 7, Regulatorik-Landschaft in Modul 6.

Die fünf Praxis-Regeln aus heute

  • 1

    Parallel handeln, wenn Zeit knapp ist. Forensik, Identitätsprüfung und operativer Schutz laufen gleichzeitig — nicht sequenziell. Die WAS-WIE-Trennung bedeutet nicht, dass die 2L wartet, bis die 1L fertig ist.
  • 2

    Risiko nicht akzeptieren, sondern bewertet annehmen. Wenn ein Risiko nicht behebbar ist (Microsoft-Abhängigkeit, Patch-Verzögerung), schreibt 2L kompensierende Kontrollen vor und dokumentiert die formelle Risiko-Akzeptanz.
  • 3

    Vor Vertragsabschluss, nicht danach. DORA-Prüfungen bei Auslagerungen finden bevor der Vorstand beschließt statt — sonst hat 2L keine Verhandlungsmacht und keine Audit-Grundlage.
  • 4

    Zertifizierungen sind notwendig, nicht hinreichend. Ein C5-Testat ersetzt keine Wesentlichkeitsbewertung. Eine ISO-27001-Zertifizierung ersetzt kein Risikomanagement.
  • 5

    In der Förderbank ist 2L oft Solist. Was in der Großbank ein eigenes Team macht, übernimmt in der Förderbank eine einzelne Person — Sandra trifft alle vier Entscheidungen heute selbst, dokumentiert sie selbst, und vertritt sie selbst gegen Vorstand und Aufsicht.

Quiz — Praxis-Wissen prüfen

Wissens-Check

Quiz zum Modul

6 Fragen · bestanden ab 67% richtigen Antworten.

1. Bei einem CEO-Fraud-Verdacht klingelt das SOC bei dir (2L). Welche Reihenfolge ist die richtige?

2. Microsoft hat in 6 Monaten zweimal die 99,9 %-SLA gerissen. Was ist die richtige 2L-Reaktion?

3. Eine Critical-CVE (CVSS 9.8) ist offen, die 1L will den Patch wegen Quartalsabschluss um drei Wochen verschieben. Was tut 2L?

4. Der Vertrieb will Salesforce einführen. Was gehört zwingend ins 2L-Votum vor der Vorstandsentscheidung?

5. Was unterscheidet die 2L-Praxis in einer Förderbank von der einer Großbank am stärksten?

6. Welche der folgenden Aussagen über die 2L-Rolle sind richtig? (Mehrere Antworten möglich)

Mehrfachauswahl möglich.

Bitte alle Fragen beantworten, dann wird der Button aktiv.

Verzahnung mit den vorherigen Modulen

Modul 10 ist das Anwendungs-Modul. Jedes Szenario zieht Wissen aus mehreren vorherigen Modulen zusammen:

SzenarioHauptverzahnung
CEO-Fraud-PhishingMod. 3 (Angriffsarten), Mod. 9 (Vorfallmanagement)
SLA-Bruch MicrosoftMod. 7 (Drittparteien), Mod. 8 (3LoD)
Critical-CVEMod. 4 (Schutzmechanismen), Mod. 8 (3LoD)
Cloud-MigrationMod. 6 (Regulatorik), Mod. 7 (Drittparteien)

In Modul 11 wechseln wir die Perspektive: weg von „was tut die 2L im Vorfall” hin zu „welche Zertifizierung passt zu welcher Karriere in der Bank-IT-Security?” — von CISSP über CISM bis ISO 27001 Lead Implementer.

Vertiefung im Normen-Handbuch Normen-Referenzhandbuch Die regulatorischen Hintergründe zu DORA Art. 28-30 (Drittparteien), Art. 17-23 (Vorfallmanagement) und MaRisk AT 9 (Auslagerung) findest du im Schwesterwerk — dort jeweils mit Volltext-Auszügen und Praxis-Bezug.