Menschliches Risiko im Finanzsektor: Dort, wo das Geld bewegt wird

In einer Bank bewegt sich Geld nicht, weil ein System entscheidet, es zu bewegen. Es bewegt sich, weil ein Mensch mit den richtigen Berechtigungen eine Anweisung für echt hält. Diese eine Tatsache erklärt den größten Teil der heutigen Bedrohungslage im Finanzsektor. Das Internet Crime Complaint Center des FBI (IC3) hat für Business E-Mail Compromise (BEC) über ein Jahrzehnt hinweg Verluste von 55,49 Milliarden US-Dollar erfasst. Nichts davon erforderte, eine Verschlüsselung zu knacken. Alles davon erforderte, einen Menschen zu überzeugen.

Die Regulierung hat reagiert. Seit dem 17. Januar 2025 macht der Digital Operational Resilience Act (DORA) Security-Awareness-Schulungen für fast jedes Finanzunternehmen in der Union zu einer unmittelbar geltenden Rechtspflicht – und nennt die Geschäftsleitung ausdrücklich. Dieser Leitfaden zeigt, warum der Finanzsektor ein eigenes Profil menschlichen Risikos hat, was die Verordnung tatsächlich von Ihren Beschäftigten verlangt und wie Sie ein Programm aufbauen, das die Aufsicht überzeugt und die Belegschaft messbar widerstandsfähiger macht.

Warum Finanzen der kürzeste Weg von Überredung zu Gewinn sind

Phishing gibt es in jeder Branche. Im Finanzsektor kommt es mit eingebauter Auszahlung. Der Verizon Data Breach Investigations Report 2026 ordnet 62 % der Datenschutzverletzungen dem menschlichen Faktor zu. In den meisten Branchen steht ein Angreifer, der einen Mitarbeiter kompromittiert hat, danach aber noch vor einem Verwertungsproblem: Daten, die verkauft, Ransomware, die verhandelt werden muss. In einer Bank, einem Versicherer oder einer Konzern-Treasury ist die manipulierte Person der Verwertungsschritt. Überweisung freigeben, Bankverbindung des Lieferanten ändern, Zahlungslauf starten: Angriff und Auszahlung sind dieselbe Handlung.

Die Zahlen spiegeln diese Konzentration von Wert:

Und die Vorwände werden besser. Finanzteams sehen sich inzwischen Deepfake-Angriffen per Stimme und Video gegenüber, die um laufende Transaktionen herum gebaut sind. Der Versuch gegen Ferrari scheiterte nur, weil eine Führungskraft eine Kontrollfrage stellte, die die geklonte Stimme nicht beantworten konnte. Die US-Finanzaufsicht FinCEN hielt die Entwicklung für ernst genug, um eine eigene Warnung zu Deepfake-Betrug gegen Finanzinstitute zu veröffentlichen. Die Ironie: Nach den meisten technischen Maßstäben ist der Finanzsektor reif – die NIS360-Bewertung der ENISA zählt das Bankwesen zu den cyberreifsten Branchen Europas. Angreifer lesen dieselben Bewertungen. Ist der Perimeter hart, rufen sie im Treasury an.

Im Finanzsektor liegt die menschliche Ebene nicht neben den Kronjuwelen. Sie hält die Schlüssel und führt die Transaktion aus. Deshalb prüft die Aufsicht heute Ihre Menschen und nicht nur Ihre Firewalls.

Was DORA tatsächlich von Ihren Beschäftigten verlangt

DORA (Verordnung (EU) 2022/2554) ist vor allem für IKT-Risikomanagement, Meldung von Vorfällen, Resilienztests und die Regeln zu Drittdienstleistern bekannt. Art. 13 Abs. 6 enthält aber den Satz, der das Awareness-Programm betrifft:

Finanzunternehmen entwickeln Programme zur Sensibilisierung für IKT-Sicherheit und Schulungen zur digitalen operationalen Resilienz als Pflichtmodule in ihren Schulungsprogrammen für das Personal – für alle Beschäftigten und für die Geschäftsleitung, mit einem Komplexitätsgrad, der ihrem jeweiligen Aufgabenbereich entspricht. Der vollständige Text steht auf EUR-Lex.

Drei Eigenschaften machen das strenger als die Awareness-Klauseln, die die meisten Compliance-Teams kennen. Die Schulung ist ausdrücklich verpflichtend – sie ist nicht ein Beispiel für eine angemessene Maßnahme, sie ist die Maßnahme. Sie ist umfassend – „alle Beschäftigten“ lässt keine Ausnahme für den Handelsraum, das Filialnetz oder die Dienstleister in Ihrem Callcenter, und „Geschäftsleitung“ bringt die eigene Schulung des Vorstands in die Akte. Und sie gilt unmittelbar – als Verordnung, nicht als Richtlinie, brauchte DORA keine nationale Umsetzung und bietet nichts von der Verzögerung, die NIS2 in den Mitgliedstaaten gebremst hat. Für viele Gruppen gelten beide Regime gleichzeitig; pragmatisch ist ein einziges Programm, das nach dem strengeren Maßstab gebaut ist.

Die Logik der Aufsicht ist dieselbe, die NIS2-Einrichtungen gerade lernen: Ein Schulungsnachweis ist ein Beleg, und sein Fehlen ist ein Prüfbefund. Nach einem Vorfall ist „Wir haben eine jährliche Schulung durchgeführt“ ein schwaches Argument, wenn die betroffene Mitarbeiterin im Zahlungsverkehr zuletzt vor elf Monaten ein generisches E-Learning gesehen und nie eine Anfrage zur Änderung einer Lieferanten-Bankverbindung geübt hat.

Das Angriffsrepertoire speziell gegen den Finanzsektor

Generische Awareness-Inhalte verfehlen die Szenarien, die tatsächlich Konten leeren. Ein Programm für den Finanzsektor gehört um die Vorwände herum gebaut, die Angreifer gegen geldbewegende Rollen einsetzen:

• Geänderte Bankverbindungen von Lieferanten. Die ertragreichste BEC-Variante: Ein Lieferant „aktualisiert“ sein Konto kurz vor einer großen geplanten Zahlung. Die Abwehr ist prozedural – Rückruf unter einer bereits hinterlegten Nummer, nie unter einer, die in der Anfrage steht. Unser Leitfaden zur BEC-Abwehr beschreibt die vollständige Kontrollkette.
• Zahlungsanweisungen der Geschäftsleitung. Dringend, vertraulich, mit Frist – und zunehmend per geklonter Stimme oder per Video in einem Live-Gespräch statt per E-Mail.
• Vorwände für autorisierte Überweisungen. Das Muster aus dem Verbraucherbetrug hat ein Unternehmens-Pendant: Beschäftigte oder Kunden werden überredet, die Überweisung selbst auszulösen, was viele technische Rückholmöglichkeiten aushebelt (siehe APP-Betrug).
• Social Engineering am Helpdesk und beim MFA-Reset. Der Weg, der bei MGM und Clorox funktionierte, funktioniert auch bei Banken: Die IT anrufen, sich als ausgesperrter Händler ausgeben und dessen Zugang übernehmen.
• Imitation gegenüber Kunden. Ihre Kundinnen und Kunden werden mit Ihrer Marke angegriffen – und die Aufsicht erwartet zunehmend, dass Beschäftigte die daraus entstehenden ungewöhnlichen Anweisungen auf Kundenkonten erkennen.

Ein DORA-taugliches Programm für menschliches Risiko aufbauen

1. Staffeln Sie die Belegschaft nach Zahlungsbefugnis. Erfassen Sie, wer Geld bewegen, freigeben oder umleiten kann – Treasury, Kreditorenbuchhaltung, Gehaltsabrechnung, Kundenbetreuung, Vorstand und dessen Assistenz – und behandeln Sie diese Gruppe als Hochrisikokohorte mit schwierigeren Szenarien und kürzeren Abständen. Ein Human Risk Score pro Rolle und Team macht aus einer Organigramm-Übung eine messbare Ausgangslage, die eine Aufsicht prüfen kann.

2. Üben Sie die Geld-Szenarien, nicht nur E-Mail. Bei 442 % mehr Telefon-Phishing und alltäglichen QR- und SMS-Ködern verfehlt ein reiner E-Mail-Test die Kanäle, über die der Finanzsektor tatsächlich angegriffen wird. Führen Sie Simulationen über mehrere Kanäle durch, die geänderte Lieferanten-Bankverbindungen, dringende Anweisungen der Geschäftsleitung und MFA-Reset-Anrufe einschließen. Der Reflex, den Sie aufbauen wollen: „Erst über einen zweiten Kanal bestätigen, dann bewegt sich Geld.“

3. Machen Sie die Rückbestätigung zu einem geschützten Verhalten. Die Rettung bei Ferrari war eine Frage der Kultur, nicht der Technik: Ein Mitarbeiter fühlte sich sicher genug, seinen „CEO“ zu hinterfragen. Veröffentlichen Sie das Prüfverfahren, lassen Sie die Leitung ausdrücklich sagen, dass keine legitime Anweisung je einen Rückruf bestraft, und testen Sie, ob das Verfahren einem überzeugenden Vorwand standhält.

4. Nehmen Sie den Vorstand ins Programm. Art. 13 Abs. 6 nennt die Geschäftsleitung; die Aufsicht wird zuerst nach deren Abschlussnachweisen fragen. Schulungen auf Vorstandsebene sind zugleich das sichtbarste Signal der Unterstützung für alles andere.

5. Halten Sie Nachweise laufend vor. Rhythmus, Inhalte nach Rollenrisiko, Simulationsergebnisse, Trendlinien. Unter DORA ist das Programm selbst eine prüfbare Kontrolle – die Dokumentation ist kein Overhead, sie ist das Ergebnis.

Der Finanzsektor arbeitet längst mit gemessenem Risiko: Kreditrisiko, Marktrisiko und operationelles Risiko haben Verantwortliche, Modelle und Trendlinien. Human Risk Management überträgt diese Disziplin auf die Ebene, auf der die meisten Angriffe heute beginnen – die Menschen, die das Geld bewegen. Die Aufsicht hat die Schulung zur Pflicht gemacht. Sie wirksam zu machen – messbar, rollenbasiert und an den Vorwänden geübt, die tatsächlich Konten leeren –, ist der Teil, der die Bilanz schützt.