Drei Bewerber, drei Gespräche
Drei Personen aus den Vorgänger-Modulen, alle vor einem Vorstellungs- gespräch in der nächsten Woche:
- Tobias — der Berufseinsteiger aus Modul 11, bewirbt sich auf
eine
SOC - Sandra — Risk Manager seit drei Jahren in der Förderbank, bewirbt
sich auf eine Senior-2L-Rolle in einer mittelgroßen Geschäftsbank.
Zweites Gespräch mit dem
CISO - Frank — 48 Jahre, langjähriger IT-Auditor, wechselt in eine Beratungs-Karriere mit DORA-Schwerpunkt. Pitch-Gespräch beim Partner einer Banken-Beratung.
Alle drei haben fachlich Lehrmaterial gewälzt, üben Antworten, denken über Beispiele aus der Praxis nach. Genau dabei hilft dieses Modul: typische Bewerbungsfragen mit Musterantworten, Bonus-Tipps und häufigen Fallen.
Die drei Bewerbungs-Phasen
Banken haben in der Regel drei Gesprächsstufen für IT-Security- Rollen. Du kannst dich pro Stufe gezielt vorbereiten:
- Stufe 1 HR-Recruiter Telefon-Vorgespräch (30 Min): Werdegang, Motivation, Gehaltsvorstellung, Verfügbarkeit. Allgemein, kein Fach.
- Stufe 2 Team-Lead Fachgespräch (60-90 Min): Fragen aus deiner Linie, mindestens ein Praxis-Szenario, Diskussion über bestehende Tools/Prozesse.
- Stufe 3 CISO / Vorstand Pitch-Gespräch (45 Min): Strategische Fragen, Rolle der 2L/3L, Erwartungsklärung. Nur bei Senior- und Führungsrollen.
- Optional Probetag Halber bis ganzer Tag im Team. In Banken seltener, im Beratungsumfeld häufig — gegenseitige Passungsprüfung.
In Stufe 1 fragt niemand nach
Fragen für die 1. Linie — Tobias bereitet sich vor
Tobias bewirbt sich auf eine SOC-Tier-2-Stelle. Erwartet werden Fach- kenntnisse zu Detection, Erstreaktion und Eskalation. Hier vier typische Fragen mit Musterantworten:
Schrittweise Verifikation, nicht „Bauchgefühl”. Erst die
Trefferquelle prüfen (welche Rule hat gefeuert, mit welcher
Konfidenz), dann den Kontext (Asset-Kritikalität, Tageszeit,
Nutzer-Verhalten), dann die Indicators of Compromise (IoCs) gegen
Threat-Intel-Feeds. Erst wenn mehrere unabhängige Indikatoren
zusammenpassen, eskaliere ich an Tier-3 oder
Konkretes Beispiel nennen: „Letzte Woche hatte ich einen PowerShell- Alarm — sah erst wie Mimikatz aus, war aber ein legitimer Admin-Job außerhalb der dokumentierten Wartungsfenster. Ich habe das mit dem Admin verifiziert und das Wartungsfenster nachgepflegt.”
Nicht „Ich vertraue meinem Bauchgefühl” sagen. Auch nicht „Ich eskaliere immer sofort” — das zeigt Unsicherheit und überlastet das CSIRT.
Drei parallele Schritte: (1) Asset-Inventar abfragen — wo ist
die Bibliothek/Software im Einsatz, in welcher Kritikalität?
(2) Kompensierende Kontrollen vorschlagen — WAF-Regel,
IDS-Signatur, erhöhtes
Erwähnen: die Trennung zwischen WAS (2L bestimmt was nötig ist) und WIE (1L setzt es um) — siehe Three Lines of Defense.
Nicht sagen „Ich patche sofort”. Vorschnelles Patchen in Produktion ohne Tests kann mehr kaputt machen als die Schwach- stelle selbst — und überschreitet deine 1L-Rolle.
Sieben Phasen: Recon, Weaponization, Delivery, Exploitation, Installation, Command & Control, Actions on Objectives. Idealerweise bricht man so früh wie möglich — am besten in Delivery (durch E-Mail-Filter, Mitarbeiter-Awareness) oder Exploitation (durch Patches, EDR). Je weiter rechts in der Kette, desto teurer wird die Eindämmung. Heutige Realität: viele Angriffe werden erst bei Command & Control entdeckt, weil ungewöhnliche Verbindungen auffallen.
Hinweis auf MITRE ATT&CK als detailliertere Taxonomie. Plus: moderne Angriffe sind oft kein lineares Kill-Chain-Muster mehr, sondern parallel und iterativ.
Reihenfolge falsch oder Phasen weggelassen. Vor allem nicht Recon vergessen — das passiert oft Wochen vor dem ersten technischen Hit und ist die wichtigste „Frühwarn-Phase”.
Das
Konkrete Zahl nennen: 4h Erstmeldung, 72h Zwischenmeldung, 1 Monat Abschlussbericht. Zeigt, dass man die DORA-Fristen kennt.
Nicht behaupten, das SOC mache die Meldung selbst. Das verrät, dass du die WAS-WIE-Trennung nicht verstanden hast — Disqualifikation für Senior-Tier-2-Rollen.
Fragen für die 2. Linie — Sandras Senior-Gespräch
Sandra geht in die zweite Runde — der
1. Linie ist operativ — sie macht die Sicherheit (SOC,
IT-Betrieb,
Praxisbeispiel: bei einer Critical-CVE definiert 2L die Anforderung „kompensierende Kontrolle muss bis Patch existieren”, 1L entscheidet technisch (WAF-Regel oder Snort-Signatur), 3L prüft nachher, ob die Risiko-Akzeptanz dokumentiert war.
Nicht „die 2. Linie kontrolliert die 1. Linie” sagen — das ist eine 3L-Aufgabe. Verwechslungen mit Audit-Funktion sind in Bank-Interviews ein klassischer Killer.
Eine Auslagerung gilt als wesentlich, wenn ein Ausfall die
Erbringung kritischer oder wichtiger Funktionen der Bank
erheblich beeinträchtigen würde. Typische Beispiele: SOC-Auslagerung
an
Hinweis auf DORA Art. 30 (Vertragspflichten für wesentliche Auslagerungen): Audit-Rechte, Sub-Outsourcing-Klausel, Exit-Strategie, Datenort EU. Plus: die Bewertung wird mindestens jährlich überprüft.
Nicht erst nach Vertragsabschluss bewerten. Die Wesentlichkeits- bewertung muss vor der Vorstandsentscheidung stehen — sonst fehlt die Verhandlungsmacht und die Art.-30-Klauseln stehen nicht im Vertrag.
Risiko-Neubewertung statt Aktionismus. Drei Schritte: (1) Lieferanten-Risikobewertung im Auslagerungsregister aktualisieren (z. B. grün → gelb), (2) Vorstandsvorlage mit Risikoeinschätzung und ggf. Multi-Cloud-Option als Risikominderung, (3) Prüfung der BaFin-Anzeigepflicht, wenn die Auslagerung kritisch ist und der Ausfall meldepflichtig sein könnte (DORA Art. 18). Pönale gehört der Vertragsabteilung, nicht der 2. Linie.
Konkretes Szenario: „Microsoft hat zweimal in 6 Monaten Exchange Online SLA gerissen — bei einer Bank mit M365-Abhängigkeit ist das nicht mehr Routine, das ist ein Trend, der eskaliert werden muss.”
Nicht „Vertrag kündigen, anderen Anbieter suchen” sagen. Das klingt nach Aktionismus, ist bei Hyperscalern selten realistisch und ignoriert das eigentliche 2L-Mandat: Risiko bewerten und steuern, nicht operativ entscheiden.
Vier Kategorien: (1) Vorfälle — Anzahl, Schwere, Status der offenen. (2) Schwachstellen — kritische und hohe, Patching-SLA- Quote. (3) Auslagerungs-Risiken — Status pro CTPP, Eskalationen. (4) ISMS-Reife — Audit-Findings offen/geschlossen, anstehende Zertifizierungen. Wichtig: Trends statt nur Momentaufnahmen — der Vorstand will Richtung, nicht nur Zustand.
MTTD (Mean Time to Detect) und MTTR (Mean Time to Respond) als KRIs nennen. Plus: Ampel-System für die schnelle Übersicht in der Vorstandsvorlage.
Nicht den Vorstand mit zu viel Detail überfordern. „Vier oder fünf Kennzahlen, die wirklich wichtig sind” ist die richtige Antwort — nicht „wir haben 47 KRIs”. Reife heißt Auswahl, nicht Vollständigkeit.
Fragen für die 3. Linie / Beratung — Franks Pitch
Frank wechselt aus der Internen Revision in eine Banken-Beratung mit
Risiko-orientiert, nicht checklisten-basiert. Zwei Eingaben:
(1) das Risiko-Inventar der 2. Linie — wo sind die größten
Restrisiken? (2) die regulatorischen Pflichtthemen — was
erwartet die
Erwähnen: das IIA-Modell (Institute of Internal Auditors) der risiko-basierten Prüfungsplanung. Plus: Rotation der Schwerpunkte über 3–5 Jahre, sodass alle relevanten Themen mindestens einmal geprüft werden.
Nicht jedes Jahr das gleiche prüfen — das ist Compliance-Schauspielerei, nicht Revision. Auch nicht „wir prüfen, was die 2L empfiehlt” — das untergräbt die Unabhängigkeit.
Ein gutes Finding hat fünf Elemente: Fakt (was wurde festgestellt), Norm (was hätte sein sollen), Auswirkung (welcher Schaden droht), Ursache (warum ist es so) und Empfehlung (was zu tun ist). Ein schwaches Finding nennt nur den Fakt ohne Kontext. Plus: gute Findings sind handhabbar — die Bank kann mit der Empfehlung arbeiten, nicht nur „abnicken”.
Schweregrad-Klassifizierung erwähnen: critical/high/medium/low mit klaren Bewertungskriterien. Plus: zeitliche Vorgabe für die Abarbeitung im Maßnahmen-Tracking.
Findings nicht „aufblasen”. Wenn eine 2L gute Arbeit gemacht hat, gibt es weniger zu finden — das ist kein Versagen der Revision, sondern Erfolg der Linie davor.
Drei Kern-Veränderungen gegenüber MaRisk-Welt: (1) Einheitlicher EU-Rahmen — gleiche Regeln für Banken, Versicherer, Wertpapier- häuser. (2) Strengere CTPP-Steuerung — der Aufseher kann direkt bei kritischen Drittparteien wie Hyperscalern intervenieren. (3) TLPT (Threat-Led Penetration Testing) als Pflichttest für große Institute. Plus: die operative Resilienz wird messbar überprüfbar — nicht mehr nur dokumentiert, sondern erlebt (durch Übungen, Tests, Tabletop).
Konkrete Branchen-Beispiele: was hat KPMG/PwC/EY in letzten 12 Monaten als typische DORA-Mandate gemacht? Zeigt Marktkenntnis.
Nicht in Artikel-Auflistung verfallen („Art. 5, Art. 17, Art. 28…”). Der Mandant will den Business-Impact verstehen, nicht das EU-Glossar.
Ein DORA-Szenario komplett durchgespielt
In Senior-2L-Interviews kommt fast immer eine Szenario-Frage. Hier ein typisches Beispiel mit ausführlicher Antwort:
Erste 30 Minuten (operativ + 2L-Bewertung): Krisenstab über
Bereitschafts-Pager aktivieren. Eskalation an
Stunde 1–4 (Klassifizierung und Meldepflicht): Bewertung
nach
Parallel (Kommunikation): Vorstand informieren, Vorbereitung interner Kommunikation für Montag früh, Vertriebsleitung über Workaround-Optionen instruieren (Notfallprozess analog?). Communication Lead bereitet externe Statements vor — Kunden, Aufsicht, ggf. Presse.
Tag 1–3 (Wiederherstellung und Lessons Learned): Wiederher- stellungsplan vom Anbieter prüfen — wann ist Portal wieder online, wurde Datenintegrität verifiziert? Eigene Forensik prüft seitliche Bewegungen ins Bank-Netz. Post-Incident-Review starten — was kann am Auslagerungs-Vertrag verbessert werden? Ist das Konzentrations- risiko auf diesen einen Anbieter tragbar?
Strukturierte Antwort in Phasen (Minuten / Stunden / Tage) zeigt, dass man das ISO-27035-Vorfallmanagement verstanden hat. Plus: explizit darauf hinweisen, dass 2L hier WAS-Verantwortung hat, aber 1L die operative Umsetzung (Kommunikation mit Anbieter, Forensik vor Ort) macht.
Nicht in „Wir setzen jetzt Plan A in Gang” verfallen — das klingt nach Drehbuch. Personaler wollen sehen, dass du denkst, nicht rezitierst. Auch nicht „die BaFin sofort anrufen” — die regulatorische Meldung läuft schriftlich, über CISO und 2L-Compliance.
Verhaltensfragen — drei Klassiker
Egal welche Linie, Verhaltensfragen kommen in jedem Bank-Interview. Hier drei häufige mit Bank-Bezug:
STAR-Format: Situation, Task, Action, Result. Konkrete Situation aus der Praxis — z. B. der Vorstand wollte eine Patching-Verschiebung aus Geschäftsgründen, du als 2L wolltest kompensierende Kontrollen. Wie hast du argumentiert? Welche Kompromisslösung wurde gefunden? Was war das Ergebnis (Audit-Trail, keine Sicherheitslücke)? Wichtig: respektvoll, nicht konfrontativ. Du arbeitest mit dem Vorstand, nicht gegen ihn.
Reflexion am Ende: Was würdest du heute anders machen? Zeigt Lernfähigkeit. Personaler hassen Bewerber, die nie etwas falsch gemacht haben.
Nicht „Wir haben uns gestritten und ich hatte recht” sagen. Auch nicht „Konflikte vermeide ich grundsätzlich” — das ist eine 2L-Anti-Eigenschaft.
Drei Mechanismen: (1) Struktur — Playbook abarbeiten, nicht improvisieren. (2) Delegation — was muss ICH machen, was kann jemand anders? (3) Pausen — alle 90 Minuten kurze Statusrunde, Tee, Atempause. Vorfälle dauern oft länger als erwartet, Burnout im Krisenstab ist real. Konkret aus eigener Erfahrung: einmal einen Major Incident über 14 Stunden begleitet, danach drei Tage frei genommen — bewusst, nicht aus Notwendigkeit.
Lessons-Learned-Aspekt: nach jedem Vorfall reflektierst du, was gut lief und was nicht. Das zeigt professionelle Reife.
Nicht „Stress macht mir nichts aus” sagen — wirkt unreflektiert und naiv. Auch nicht „Ich brauche immer einen klaren Kopf, deshalb arbeite ich nie über 8 Stunden” — wirkt unflexibel für eine Sicherheits-Rolle.
Ehrlich, knapp, lernorientiert. „Ich hatte X (Burnout, Pflege Angehöriger, Reise, Umschulung), habe in der Zeit Y getan (Lehrgang, Selbststudium, Therapie), und stehe heute Z (gesünder, klarer Karriereziel, neue Skills).” Drei Sätze, fertig. Wenn die Bank das nicht akzeptiert, ist sie nicht die richtige Bank.
Wenn die Lücke einen positiven Aspekt hatte (Zertifikat absolviert, Open-Source-Beitrag, Familien-Phase), kurz erwähnen — aber nicht rechtfertigen.
Niemals lügen oder die Lücke „auffüllen” mit erfundenen Beratungs-Tätigkeiten. Personaler durchschauen das in 90 % der Fälle, und bei Aufdeckung ist deine Bewerbung erledigt.
Was DU fragen solltest — Rückfragen am Ende
Am Ende jedes Gesprächs kommt: „Haben Sie noch Fragen an uns?” Keine zu haben ist disqualifizierend. Hier vier kluge Rückfragen, die Reife signalisieren:
Wenn die 2L unter der IT (also unter dem CIO) sitzt, ist die
Unabhängigkeit eingeschränkt. Die
Konkrete, ehrliche Antworten verraten dir mehr über die Reife der Bank als jede Webseiten-Beschreibung. Wenn die Antwort generisch ist („Wir sind gut aufgestellt”), ist das ein Warnsignal. Wenn die Antwort konkret und selbstkritisch ist („CTPP-Steuerung — wir haben gemerkt, dass unser Auslagerungsregister nicht aktuell genug war”), ist das eine reife Organisation.
Banken mit klarem 100-Tage-Plan sind organisierter als die ohne. Wenn die Antwort vage ist („Sie wachsen rein, fragen Sie viel”), plane mit längerer Einarbeitungszeit und mehr Selbstständigkeit.
Diese Frage entwaffnet die meisten Interviewer kurz — und liefert dann oft die ehrlichsten Antworten. Was war frustrierend? Wer war zu starr? Welche Erwartungen wurden enttäuscht? Du lernst in 60 Sekunden mehr über die echte Kultur als in einer Stunde Hochglanz-Verkauf.
Die fünf Bewerbungs-Regeln
Quiz — Bist du Interview-fit?
Quiz zum Modul
6 Fragen · bestanden ab 67% richtigen Antworten.
1. Du bist 1L (SOC-Tier-2). Im Interview fragt der Team-Lead: „Wann eskalieren Sie an die BaFin?". Was ist die richtige Antwort?
2. Wie sollte eine Antwort auf eine Verhaltensfrage strukturiert sein?
3. Auf die Frage „Wie reagiert 2L auf einen SLA-Bruch?" antwortest du am besten:
4. Welche Rückfrage am Gesprächsende signalisiert echte Reife?
5. Du bewirbst dich auf eine Senior-2L-Stelle und wirst nach einem DORA-Szenario gefragt. Was ist die ideale Antwortstruktur?
6. Welche der folgenden Tipps zur Bewerbung sind richtig? (Mehrere Antworten möglich)
Mehrfachauswahl möglich.
Bitte alle Fragen beantworten, dann wird der Button aktiv.
Zum Lehrgangs-Ende — was du jetzt kannst
Du hast in 12 Modulen das gesamte Vokabular und Strukturwissen durchlaufen, das in der deutschen Bank-IT-Security gebraucht wird:
- Module 1–4 — Grundlagen, Schutzziele, Angriffsarten, Schutz-Architekturen
- Module 5–6 — ISO/BSI-Normen-Welt und Bank-Regulatorik (DORA, MaRisk, NIS2)
- Module 7–9 — Drittparteien, Three Lines of Defense, Vorfallmanagement
- Modul 10 — Vier durchgespielte Praxis-Szenarien aus dem 2L-Alltag
- Module 11–12 — Zertifizierungen, Karrierepfade, Bewerbung