Bank-Posteingang.Markenintegrität.BWG- und DORA-konform.
MailGuard, DMARC und SecureMail für Institute unter der Aufsicht von FMA und OeNB, mit Bezug zu § 39 BWG, zum Bankgeheimnis nach § 38 BWG und zu DORA. Outbound-Identität als eigene Disziplin, EU-Hosting, prüfungsfest für die Vor-Ort-Prüfung nach § 70 BWG. Stand 2026.
Inbound-Schutz, Outbound-Identität und verschlüsselte Korrespondenz in einem Stack.
- Informationssicherheit als Audit-Punkt ohne konkretes Tooling im MaßnahmenplanMapping auf die EBA-Leitlinien mit Conbool als technische Maßnahme, Nachweis im Prüfungsbericht
- Markenmissbrauch durch Spoofing der Bank-Domain ohne VisibilityDMARC-Reports, Reject-Policy und BIMI-Vorbereitung als Outbound-Disziplin
- CEO-Fraud im Backoffice erst nach SWIFT-Auszahlung erkanntBEC-Erkennung auf Authentifizierungsebene vor der Freigabe im 4-Augen-Prozess
Compliance-Anker
Conbool unterstützt die Anforderungen aus § 39 BWG, aus den von der FMA angewendeten EBA-Leitlinien zum Management von IKT- und Sicherheitsrisiken und aus DORA auf der Ebene technischer und organisatorischer Maßnahmen. Die aufsichtsrechtlichen Pflichten zur Geschäftsorganisation und das interne Kontrollsystem verbleiben beim Institut. DORA-Vertragsklauseln nach Art. 30 sind in der DPA berücksichtigt.
Vier Bausteine für Banken und Sparkassen.
MailGuard schützt den Posteingang vor BEC und Phishing, DMARC schützt die Marke gegen Missbrauch, SecureMail liefert die verschlüsselte Korrespondenz an Bankprüfer, Anwälte und Aufsicht, Disclaimer setzt Pflichtangaben pro Geschäftsbereich durch.
MailGuard
Mehrstufige Erkennung gegen Phishing, BEC und CEO-Fraud auf die Zahlungsverkehrsabteilung, Spear-Phishing auf den Vorstand und Bewerbungs-Trojaner an HR. URL-Reputation in Echtzeit, Anhangsfilter mit CDR für Office-, PDF- und Archiv-Dateien, Authentifizierungs-Checks gegen Display-Name-Spoofing und Look-Alike-Domains der Bank.
MailGuard im DetailDMARCDMARC Reports
DMARC-Aggregat- und Forensik-Reports auswerten, Reject-Policy gestaffelt einführen (p=none, p=quarantine, p=reject), BIMI mit verifiziertem Markenlogo (VMC) vorbereiten. Outbound-Identität als eigene Disziplin neben dem Inbound-Schutz, Schutz vor missbräuchlichem Versand im Namen der Bank.
DMARC Reports im DetailSecureMailSecureMail
S/MIME und OpenPGP für die tägliche Korrespondenz mit Bankprüfern, Anwaltskanzleien, FMA, OeNB und Korrespondenz-Banken. Web-Reader für Empfänger ohne eigenes Zertifikat mit Passwort-Authentifizierung, Outlook-Add-in für Classic, New und Web ohne Roll-out neuer Endgeräte.
SecureMail im DetailDisclaimerDisclaimer
Server-seitige Pflichtangaben nach § 14 UGB und § 5 ECG sowie Hinweise aus dem WAG 2018, pro Geschäftsbereich, Tochter und Niederlassung konfigurierbar. Einheitlich auf Outlook Classic, New, OWA und Mobile, ohne lokales Add-in, mit Anbindung an Entra ID, Active Directory und LDAP.
Disclaimer im DetailVier Szenarien aus Bank und Sparkasse.
Vom Filial-Posteingang über das Backoffice bis zur Vor-Ort-Prüfung durch FMA und OeNB.
CEO-Fraud in der Zahlungsverkehrsabteilung abfangen
Eine imitierte Vorstandsmail weist die Zahlungsverkehrs-Sachbearbeiterin zur Eilüberweisung an einen neuen Lieferanten in einer EU-Bank an, mit Druck auf Vertraulichkeit und Zeitdruck vor dem nächsten SWIFT-Cut-off. MailGuard erkennt Display-Name-Spoofing, Look-Alike-Domains und Reply-To-Manipulation auf der Authentifizierungsebene, bevor der 4-Augen-Prozess greift und der TARGET2-Zahlungsverkehr ausgelöst wird.
Outbound-Identität gegen Phishing-Wellen schützen
Angreifer versenden gefälschte Online-Banking-Warn-Mails oder PSD2-Authentifizierungs-Aufforderungen an die Kundschaft, mit dem Ziel, TANs oder Zugangsdaten abzugreifen. DMARC mit Reject-Policy und ausgewerteten Forensik-Reports stoppt Spoofing der Bank-Domain. BIMI mit verifiziertem Markenlogo erhöht die visuelle Authentifizierung im Posteingang der Kunden und reduziert das Risiko erfolgreicher Phishing-Wellen.
Verschlüsselte Korrespondenz mit Wirtschaftsprüfern und Kanzleien
Prüfungsberichte nach § 63 BWG, Vertraulichkeits-Akten zu Großkrediten, M&A-Dokumente und Schriftsätze an die rechtliche Vertretung der Bank gehen verschlüsselt direkt aus Outlook. Empfänger ohne S/MIME nutzen den Web-Reader mit Passwort-Authentifizierung oder TAN-Verfahren, das Audit-Log dokumentiert Zustellung, Öffnung und Download für die interne Revision nach § 42 BWG.
Vor-Ort-Prüfung und interne Revision
Bei Vor-Ort-Prüfungen nach § 70 BWG durch FMA und OeNB, im Rahmen der jährlichen Prüfung durch den Bankprüfer nach § 63 BWG und in der internen Revision nach § 42 BWG dient der Audit-Trail von Conbool als Nachweis für technische Maßnahmen zur Informationssicherheit. Export als revisionssicherer Report für den Prüfer, mit Mapping auf die EBA-Leitlinien zu IKT- und Sicherheitsrisiken und auf die IKT-Risikoinventur nach DORA Art. 8.
Conbool als unabhängige Schicht vor Microsoft 365.
Österreichische Banken und Sparkassen betreiben überwiegend Microsoft-365-Tenants, oft im Verbund mit Kernbank-Systemen der Sektor-Rechenzentren, etwa dem ARZ Allgemeines Rechenzentrum für den Raiffeisen- und Volksbanken-Sektor oder den Systemen der Sparkassengruppe. Conbool sitzt als unabhängige Schicht vor M365, ohne die Kernbank-Anbindung oder das Online-Banking-Frontend zu verändern. So bleibt die Architektur konform zur Verantwortung der Geschäftsleiter für Verwaltungs-, Rechnungs- und Kontrollverfahren nach § 39 Abs. 2 BWG.
MX-Switch je Tochter
Eingehender SMTP läuft über Conbool, M365 bleibt das Backend. Konzern-Tochter, Auslandsfiliale und Spezialinstitut erhalten je eigene Routing-Policy mit eigener DMARC-Konfiguration.
Unabhängige Threat Intelligence
Conbool als erste Linie, Microsoft Defender for Office 365 als M365-interne zweite Linie. Defense-in-Depth verhindert Single-Vendor-Lock im Sicherheitspfad und entspricht dem Grundsatz angemessener Risikoreduktion aus § 39 BWG.
Sicherheitsschicht im Maßnahmenplan
Konfiguration als technische Maßnahme im Maßnahmenplan dokumentierbar, mit Verantwortlichem, Prüfzyklus, Risikobewertung im IKT-Risikoinventar nach DORA Art. 8 und Mapping auf die Abschnitte der EBA-Leitlinien zu IKT- und Sicherheitsrisiken.
SIEM-Anschluss
Audit-Log per Standard-Connector ans Bank-SIEM, etwa Splunk, IBM QRadar oder Microsoft Sentinel. Threat-Sharing nach DORA Art. 45 anbindbar, Meldung schwerwiegender IKT-Vorfälle an die FMA nach DORA Art. 19 wird durch die Protokolle unterstützt.
BWG, EBA-Leitlinien und DORA technisch belegen.
Drei Regelwerke greifen ineinander: das BWG mit § 39 als nationale Grundlage für Sorgfaltspflicht und Risikomanagement, die von der FMA angewendeten EBA-Leitlinien zum Management von IKT- und Sicherheitsrisiken als Auslegungsmaßstab und DORA als unmittelbar geltende EU-Verordnung, die im Konfliktfall vorgeht. Conbool erbringt die Maßnahmen auf Mail- und Datentransport-Ebene und liefert die Prüf-Artefakte für die jährliche Prüfung nach § 63 BWG, für Vor-Ort-Prüfungen nach § 70 BWG und für die DORA-Prüfung durch die Aufsicht.
Auslagerung nach den EBA-Leitlinien
Conbool als Auslagerungsdienstleister mit DPA, Sub-Prozessor-Liste, Informations- und Auskunftsrechten, Kontrollrechten, Weiterleitungsbefugnissen und definierten Beendigungsregeln nach den EBA-Leitlinien zu Auslagerungen, die die FMA anwendet.
Informationssicherheit nach den EBA-Leitlinien
Vertraulichkeit, Integrität und Verfügbarkeit auf der Mail-Ebene. Berechtigungsmanagement über AD-Anbindung, IT-Notfallmanagement mit dokumentierter RTO und RPO je Modul, wie es die EBA-Leitlinien zu IKT- und Sicherheitsrisiken verlangen.
DORA Art. 28 IKT-Drittparteienrisiko
Vertragsklauseln nach DORA Art. 30 in der DPA: Beendigungsrechte, Subkontrahenten-Kontrolle nach Art. 29, Audit-Recht der Aufsichtsbehörde, Datenrückgabe, Service-Levels und Exit-Strategie für kritische Funktionen.
§ 38 und § 39 BWG
IT-Systeme als Teil der Sorgfaltspflicht der Geschäftsleiter nach § 39 BWG, Verschlüsselung als technische Stütze des Bankgeheimnisses nach § 38 BWG, dessen Verletzung nach § 101 BWG strafbar ist. Auslagerungen richten sich nach den EBA-Leitlinien zu Auslagerungen und nach den Art. 28 bis 30 DORA, einschließlich Meldung an die FMA, soweit eine kritische oder wichtige Funktion betroffen ist.
Vom Pilot in der Filial-Region zum Konzern-Rollout.
Banken migrieren selten im Big-Bang, weil der Posteingang ein geschäftskritischer Kommunikationskanal ist und Ausfälle in der Kundenkorrespondenz, im Zahlungsverkehr oder in der Anwaltspost sofort aufsichtsrechtlich sichtbar werden. Pilot in einer Filial-Region, einem Tochterhaus oder einer Auslandsfiliale, dann Konzern-Rollout über das Microsoft-Admin-Center. Bestehende SEG, etwa Hornetsecurity, Proofpoint, Mimecast oder Trend Micro, läuft kontrolliert aus, Kündigungsfristen werden im Maßnahmenplan berücksichtigt.
Pilot in einer Filial-Region
Eine Filial-Region, ein Spezialinstitut oder eine Tochter startet, der Rest des Konzerns bleibt unverändert. MX-Switch für eine Sub-Domain genügt, Rückfall-Pfad auf den bisherigen SEG bleibt aktiv.
Konzern-Rollout per Admin-Center
Outlook-Add-in für alle Mitarbeitenden über das Microsoft-365-Admin-Center, gesteuert über AD-Gruppen je Geschäftsbereich. Verteilung auch über Intune, Group Policy und Citrix-Workspace möglich.
Defense-in-Depth statt Replace
Conbool als erste Linie, Microsoft Defender als zweite Linie. Audit-Trail über beide Schichten, Vermeidung des Single-Vendor-Risikos im Sicherheitspfad, dokumentierbar im Maßnahmenplan und in der IKT-Risikoinventur.
Auslauf der Altlösung
Bestehende SEG (Hornetsecurity, Proofpoint, Trend Micro, Mimecast) läuft parallel aus, Kündigungsfristen werden in der Migrations-Roadmap berücksichtigt. Conbool-Reports liefern Vergleichswerte zur Erkennungsrate und zur False-Positive-Quote.
Häufige Fragen aus Banken und Sparkassen
Wie passt Conbool zu den EBA-Auslagerungsleitlinien und zu § 39 BWG?
Wie deckt Conbool die Anforderungen der FMA zur Informationssicherheit ab?
Wie unterstützt Conbool die Anforderungen aus DORA?
Wie greift Conbool gegen CEO-Fraud im Zahlungsverkehr?
Können wir Conbool und Microsoft Defender for Office 365 parallel betreiben?
Wie funktioniert die DMARC-Einführung in einer Bank ohne Auswirkungen auf Kunden-Mailings?
Wie arbeiten wir in einem Genossenschaftsverbund oder einer Sparkassen-Gruppe mit getrennten Mandanten?
Verwandte Lösungen
Hornetsecurity-Alternative
Deutsche MailGuard-Alternative nach der Proofpoint-Übernahme.
Barracuda-Alternative
Module je Postfach statt Planstufen, deutscher Vertragspartner.
Phishing-Schutz
BEC, Spear-Phishing und QR-Code-Phishing erkennen und entfernen.
Phishing-Simulation
Was durch den Filter kommt, mit dem Team üben statt hoffen.
Ransomware-Schutz E-Mail
Mehrstufige Anhang-Filter und URL-Reputation gegen Ransomware-Kampagnen.
Spam-Filter Unternehmen
Spam und unerwünschte Massenmail mit DACH-Heuristiken filtern.
CEO-Fraud-Schutz
BEC und CEO-Fraud-Attacken über Authentifizierungs-Layer abwehren.
DANE und TLSA
Manipulationssichere Transportverschlüsselung nach BSI TR-03108, gegen Downgrade und MITM.
Directory-Harvesting-Schutz
Abwehr von Adress-Sammlern, bevor gültige Postfächer in Spam-Datenbanken landen.
Verwandte Branchen
Conbool ist in benachbarten Branchen mit ähnlichem Compliance-Profil im Einsatz.
BWG-, FMA- und DORA-konformer Stack für österreichische Banken und Sparkassen.
Demo in 30 Minuten. Pilot in einer Filial-Region oder Tochter. Modular pro Funktion und Postfach lizenziert.
Quellen und Stand
Aussagen zum BWG beziehen sich auf das österreichische Bankwesengesetz in der geltenden Fassung, insbesondere § 38 Bankgeheimnis, § 39 Sorgfaltspflicht und Risikomanagement, § 42 interne Revision, § 63 Prüfungsbericht, § 70 Prüfungsrechte der Aufsicht und § 101 Strafbestimmung. Aussagen zu IKT-Anforderungen beziehen sich auf die EBA-Leitlinien für das Management von IKT- und Sicherheitsrisiken (EBA/GL/2019/04) und die EBA-Leitlinien zu Auslagerungen (EBA/GL/2019/02) in der von der FMA angewendeten Fassung. Aussagen zu DORA basieren auf der Verordnung (EU) 2022/2554, Art. 6 ff IKT-Risikomanagement, Art. 8 Risikoinventur, Art. 19 Meldung, Art. 28 ff IKT-Drittparteienrisiko, Art. 30 Vertragsklauseln. Pflichtangaben aus § 14 UGB und § 5 ECG. Stand 2026.
FMA ist eine Bezeichnung der österreichischen Finanzmarktaufsichtsbehörde, OeNB eine Bezeichnung der Oesterreichischen Nationalbank. Microsoft, Microsoft 365, Defender und Sentinel sind Marken der Microsoft Corporation. Splunk ist eine Marke der Splunk Inc. IBM QRadar ist eine Marke der IBM Corporation. Hornetsecurity, Proofpoint und Trend Micro sind Marken der jeweiligen Eigentümer. ARZ ist eine Marke der Allgemeines Rechenzentrum GmbH. Conbool ist eine Marke der Conbool GmbH.