NOUSEC liefert Finanzunternehmen die Nachweise, die DORA verlangt, und die Simulationen, die der aktuelle Betrug tatsächlich nutzt. DORA Art. 13 Abs. 6 macht Programme zur Sensibilisierung für IKT-Sicherheit und Schulungen zur digitalen operationalen Resilienz zu Pflichtmodulen für alle Beschäftigten und die Geschäftsleitung; Art. 5 Abs. 4 verpflichtet das Leitungsorgan, sein eigenes Wissen über IKT-Risiken aktuell zu halten. NOUSEC simuliert über acht Kanäle – im Enterprise-Paket auch Vishing-Anrufe und Deepfake-Video –, prüft den Abschluss serverseitig statt dem Browser zu glauben und weist die Wirkung jedes Moduls als Korrelation mit der realen Klickrate aus.
Ihre Branche in ihren eigenen Zahlen.
Die Kontrolle hat funktioniert. Genau das war das Problem.
Jeder veröffentlichte Deepfake-Betrugsfall der letzten zwei Jahre wurde durch einen Prozessschritt gestoppt – oder eben nicht. Nie durch ein gutes Gehör.
| Fall | Kanal | Forderung | Ausgang |
|---|---|---|---|
| Arup, Feb. 2024 | Videocall mit mehreren Personen | 15 Überweisungen | ca. 25,6 Mio. US-Dollar gezahlt[7] |
| Ferrari, Juli 2024 | Anruf mit der Stimme des CEO | Dringender vertraulicher Deal | Gestoppt – der Mitarbeiter stellte eine Frage, die nur der echte CEO beantworten konnte[8] |
| LastPass, Apr. 2024 | Stimm-Deepfake über WhatsApp | Kontakt außerhalb der üblichen Kanäle | Gestoppt – der Mitarbeiter meldete den Anruf[9] |
Die beiden gestoppten Fälle haben nichts mit Erkennung zu tun. Niemand hörte ein synthetisches Artefakt. Ein Mitarbeiter führte eine Prüfung durch, die der Angreifer nicht bestehen konnte; der andere bemerkte, dass der Kanal nicht stimmte, und meldete ihn, statt zu antworten.
Das ist eine Prozesskontrolle und eine Meldekultur, und beides lässt sich trainieren. Keines von beiden wird besser, wenn man Menschen sagt, genauer hinzuhören. Ehrlich ist nur diese Aussage, und genau so schulen wir: Bei den schwierigsten Paaren erkennt man den Unterschied nicht mit dem Ohr.
Das Trainingsziel ist also nicht die Wahrnehmung, sondern: Rückbestätigung über einen Kanal, den Sie bereits haben, ein Eskalationsweg bei geänderten Bankdaten von Lieferanten und eine Organisation, in der ein „Nein“ an den CEO gefahrlos ist.
Finanzen, Treasury und alle, die Geld bewegen können.
Reichweite ist in dieser Branche kein Abdeckungsproblem – fast alle haben ein Postfach. Es ist ein Zielgruppenproblem: Die kleinsten Gruppen tragen das größte Einzeltransaktionsrisiko und brauchen eine andere Kampagne als alle anderen.
Zahlungsverkehr und Treasury
Das wertvollste Ziel und die kleinste Gruppe. Hier gehören Spear-Phishing- und Rückruf-Simulationen (TOAD) hin, nicht dasselbe Jahresmodul wie für alle anderen.
Kundenbetreuung und Front Office
Darauf trainiert, schnell und hilfsbereit zu reagieren – genau das Verhalten, das ein Pretext ausnutzt. Der adaptive Lernpfad weist nach gemessenen Fehlern zu, nicht nach Annahmen über die Rolle.
Das Leitungsorgan
DORA Art. 5 Abs. 4 verpflichtet die Mitglieder persönlich, und NIS2 Art. 20 Abs. 2 macht Schulungen der Leitung verpflichtend, wo ein Unternehmen unter beide fällt. Der Abschlussnachweis für die Geschäftsleitung muss so belastbar sein wie der aller anderen.
Der Artikel – und der Nachweis, der ihn beantwortet.
Nur die vierte Spalte erwähnt das Produkt, und sie nennt einen Mechanismus, keine Absicht.
| Regelwerk | Artikel | Was es verlangt | Wie NOUSEC es nachweist |
|---|---|---|---|
| DORA (EU) 2022/2554, gilt seit 17. Jan. 2025[4] | Art. 13 Abs. 6 | Programme zur Sensibilisierung für IKT-Sicherheit und Schulungen zur digitalen operationalen Resilienz als Pflichtmodule für alle Beschäftigten und die Geschäftsleitung, in der Komplexität der Funktion angemessen. | Adaptive Zuweisung nach gemessenen Fehlern; prüfungsbereinigte Compliance-Scorecard; Kampagnen je Rolle. |
| DORA | Art. 5 Abs. 4 | Das Leitungsorgan hält sein Wissen über IKT-Risiken durch regelmäßige, angemessene Schulungen aktiv auf dem neuesten Stand. | Eine eigene Kohorte für die Geschäftsleitung mit eigenen Abschlussnachweisen und Zertifikaten. |
| NIS2 (EU) 2022/2555[3] | Art. 21 Abs. 2 Buchst. g | Grundlegende Verfahren der Cyberhygiene und Schulungen im Bereich der Cybersicherheit als verpflichtende Mindestmaßnahme. | Serverseitige Abschlussprüfung – Nachweis absolvierter, nicht nur zugewiesener Schulung. |
| DSGVO (EU) 2016/679 | Art. 39 Abs. 1 Buchst. b | Sensibilisierung und Schulung der Beschäftigten als Teil der Überwachungsaufgabe des Datenschutzbeauftragten. | Richtlinienbestätigung mit Versionsverfolgung; SIEM-Export. |
| ISO/IEC 27001:2022[5] | Abschn. 7.2 / 7.3, A 6.3 | Kompetenz, Bewusstsein sowie Sensibilisierung, Ausbildung und Schulung zur Informationssicherheit. | Öffentliche Seite zur Zertifikatsprüfung; Audit-Log. |
Die Zusammenfassungen der Vorschriften dienen der Orientierung und sind keine Rechtsberatung. Anwendungsbereich und Einstufung hängen von der Umsetzung in Ihrem Mitgliedstaat ab. Abschlussprüfung und Compliance-Scorecard ab Essentials; Richtlinienbestätigung, öffentliche Zertifikatsprüfung und Human Risk Score ab Professional; Audit-Log und SIEM-Export im Enterprise-Paket.
Die vier Mechanismen, auf denen diese Seite beruht.
Serverseitige Abschlussprüfung
Acht Simulationskanäle
Ein Score, der seinen Rechenweg zeigt
Verzeichnis- und E-Mail-Synchronisation
Weiterlesen: Angriffe mit Deepfake-Stimmen auf Finanzteams sowie die Glossareinträge zu CEO-Betrug, Rechnungsbetrug und Business E-Mail Compromise. Unsere eigene Sicherheitslage steht unter Trust und Sicherheit.
Fragen
Was ein CISO oder Datenschutzbeauftragter im Finanzsektor zuerst fragt.
Jede Zahl auf dieser Seite und woher sie stammt
Zuletzt geprüft: 21. Oktober 2026. Die Rechtszitate werden bei jeder Prüfung mit der konsolidierten Fassung auf EUR-Lex abgeglichen.
- 2026 Data Breach Investigations ReportVerizon Business – Branchenteil, S. 84 für Finanz- und Versicherungswesen (NAICS 52). Datenbasis: über 31.000 Vorfälle, über 22.000 bestätigte Datenpannen, 145 Länder, Okt. 2024 – Nov. 2025 · 2026Verwendet für: Finanz- und Versicherungswesen (NAICS 52): 3.809 Vorfälle, davon 1.300 mit bestätigter Offenlegung; 65 % menschlicher Faktor; 20 % Phishing gegenüber 22 % Ausnutzung von Schwachstellen; 88 % externe Akteure, 98 % finanzielles Motiv.
- Directive (EU) 2022/2555 (NIS2)Amtsblatt der Europäischen Union, ABl. L 333, 27.12.2022 · 2022Verwendet für: Art. 20 Abs. 2 und Art. 21 Abs. 2 Buchst. g.
- Regulation (EU) 2022/2554 (DORA)Amtsblatt der Europäischen Union – anwendbar ab 17. Januar 2025 · 2022Verwendet für: Art. 13 Abs. 6 zu verpflichtenden Awareness- und Resilienz-Schulungsmodulen sowie Art. 5 Abs. 4 zu den eigenen Kenntnissen des Leitungsorgans.
- ISO/IEC 27001:2022 and ISO/IEC 27002:2022Internationale Organisation für Normung (ISO) – 3. Ausgabe · 2022Verwendet für: Abschnitte 7.2 und 7.3; Titel der Anhang-A-Maßnahme 6.3.
- Internet Crime Report 2025FBI Internet Crime Complaint Center (IC3) · 2026Verwendet für: Business E-Mail Compromise: 24.768 Beschwerden und gemeldete Verluste von 3.046.598.558 US-Dollar.
- Arup confirms it was the victim of a $25 million deepfake fraudCNN – Bericht über den Fall Arup, Februar 2024 · 2024Verwendet für: 25,6 Mio. US-Dollar in 15 Überweisungen nach einem Deepfake-Videocall.
- Ferrari executive foils deepfake attempt by asking the caller a questionFortune – Bericht über den Versuch bei Ferrari, Juli 2024 · 2024Verwendet für: Der Versuch, der an einer Kontrollfrage scheiterte, die nur der echte CEO beantworten konnte.
- Attempted audio deepfake call targets LastPass employeeLastPass-Unternehmensblog · 2024Verwendet für: Ein Stimm-Deepfake des CEO über WhatsApp, den der Mitarbeiter meldete, statt zu handeln.