Bank-Posteingang.Markenintegrität.BAIT- und DORA-konform.
MailGuard, DMARC und SecureMail für Institute unter MaRisk AT 7.2, BAIT 8 und DORA. Outbound-Identität als eigene Disziplin, EU-Hosting in Deutschland, BaFin-Sonderprüfung-fest. Stand 2026.
Inbound-Schutz, Outbound-Identität und verschlüsselte Korrespondenz in einem Stack.
- BAIT 8 als Audit-Punkt ohne konkretes Tooling im MaßnahmenplanBAIT-Mapping mit Conbool als technische Maßnahme, Nachweis im Prüfungsbericht
- Markenmissbrauch durch Spoofing der Bank-Domain ohne VisibilityDMARC-Reports, Reject-Policy und BIMI-Vorbereitung als Outbound-Disziplin
- CEO-Fraud im Backoffice erst nach SWIFT-Auszahlung erkanntBEC-Erkennung auf Authentifizierungsebene vor der Freigabe im 4-Augen-Prozess
Compliance-Anker
Conbool unterstützt MaRisk-, BAIT- und DORA-Anforderungen auf der Ebene technischer und organisatorischer Maßnahmen. Die aufsichtsrechtlichen Pflichten zur Geschäftsorganisation und das interne Kontrollsystem verbleiben beim Institut. DORA-Vertragsklauseln nach Art. 30 sind in der DPA berücksichtigt.
Vier Bausteine für Banken und Sparkassen.
MailGuard schützt den Posteingang vor BEC und Phishing, DMARC schützt die Marke gegen Missbrauch, SecureMail liefert die verschlüsselte Korrespondenz an WP, Anwälte und Aufsicht, Disclaimer setzt Pflichtangaben pro Geschäftsbereich durch.
MailGuard
Mehrstufige Erkennung gegen Phishing, BEC und CEO-Fraud auf die Zahlungsverkehrsabteilung, Spear-Phishing auf den Vorstand und Bewerbungs-Trojaner an HR. URL-Reputation in Echtzeit, Anhang-Sandbox für Office-, PDF- und Archiv-Dateien, Authentifizierungs-Checks gegen Display-Name-Spoofing und Look-Alike-Domains der Bank.
MailGuard im DetailDMARCDMARC Reports
DMARC-Aggregat- und Forensik-Reports auswerten, Reject-Policy gestaffelt einführen (p=none, p=quarantine, p=reject), BIMI mit verifiziertem Markenlogo (VMC) vorbereiten. Outbound-Identität als eigene Disziplin neben dem Inbound-Schutz, Schutz vor missbräuchlichem Versand im Namen der Bank.
DMARC Reports im DetailSecureMailSecureMail
S/MIME und OpenPGP für die tägliche Korrespondenz mit Wirtschaftsprüfern, Anwaltskanzleien, BaFin, Bundesbank und Korrespondenz-Banken. Web-Reader für Empfänger ohne eigenes Zertifikat mit Passwort-Authentifizierung, Outlook-Add-in für Classic, New und Web ohne Roll-out neuer Endgeräte.
SecureMail im DetailDisclaimerDisclaimer
Server-seitige Pflichtangaben nach § 37a HGB und kapitalmarktrechtlichen Hinweisen aus dem WpHG, pro Geschäftsbereich, Tochter und Niederlassung konfigurierbar. Einheitlich auf Outlook Classic, New, OWA und Mobile, ohne lokales Add-in, mit AD- und HR-Anbindung.
Disclaimer im DetailVier Szenarien aus Bank und Sparkasse.
Vom Filial-Posteingang über das Backoffice bis zur BaFin-Sonderprüfung nach § 44 KWG.
CEO-Fraud in der Zahlungsverkehrsabteilung abfangen
Eine imitierte Vorstandsmail weist die Zahlungsverkehrs-Sachbearbeiterin zur Eilüberweisung an einen neuen Lieferanten in einer EU-Bank an, mit Druck auf Vertraulichkeit und Zeitdruck vor dem nächsten SWIFT-Cut-off. MailGuard erkennt Display-Name-Spoofing, Look-Alike-Domains und Reply-To-Manipulation auf der Authentifizierungsebene, bevor der 4-Augen-Prozess greift und der TARGET2-Zahlungsverkehr ausgelöst wird.
Outbound-Identität gegen Phishing-Wellen schützen
Angreifer versenden gefälschte Online-Banking-Warn-Mails oder PSD2-Authentifizierungs-Aufforderungen an die Kundschaft, mit dem Ziel, TANs oder Zugangsdaten abzugreifen. DMARC mit Reject-Policy und ausgewerteten Forensik-Reports stoppt Spoofing der Bank-Domain. BIMI mit verifiziertem Markenlogo erhöht die visuelle Authentifizierung im Posteingang der Kunden und reduziert das Risiko erfolgreicher Phishing-Wellen.
Verschlüsselte Korrespondenz mit Wirtschaftsprüfern und Kanzleien
Prüfungsberichte nach § 26 KWG, Vertraulichkeits-Akten zu Großkrediten, M&A-Dokumente und Schriftsätze an die rechtliche Vertretung der Bank gehen verschlüsselt direkt aus Outlook. Empfänger ohne S/MIME nutzen den Web-Reader mit Passwort-Authentifizierung oder TAN-Verfahren, Audit-Log dokumentiert Zustellung, Öffnung und Download für die Konzernrevision.
BaFin-Sonderprüfung und Konzernrevision
Bei IT-Sonderprüfungen nach § 44 KWG, im Rahmen der jährlichen Prüfung nach § 26 KWG und in der internen Revision dient der Audit-Trail von Conbool als Nachweis für technische Maßnahmen nach BAIT 8 und MaRisk AT 7.2. Export als revisionssicherer Report für den Prüfer, mit Mapping auf die jeweiligen Tz. des Rundschreibens und auf die IKT-Risikoinventur nach DORA Art. 8.
Conbool als unabhängige Schicht vor Microsoft 365.
Banken und Sparkassen betreiben überwiegend Microsoft-365-Tenants, oft im Verbund mit Kernbank-Systemen wie OSPlus der Finanz Informatik für Sparkassen, agree21 der Atruvia für Genossenschaftsbanken oder bankeigenem Mainframe-Host. Conbool sitzt als unabhängige Schicht vor M365, ohne die Kernbank-Anbindung oder das Online-Banking-Frontend zu verändern. So bleibt die Architektur konform zu BAIT 1 IT-Strategie und zur Verantwortlichkeit der Geschäftsleitung nach § 25a Abs. 1 KWG.
MX-Switch je Tochter
Eingehender SMTP läuft über Conbool, M365 bleibt das Backend. Konzern-Tochter, Auslandsfiliale und Spezialinstitut erhalten je eigene Routing-Policy mit eigener DMARC-Konfiguration.
Unabhängige Threat Intelligence
Conbool als erste Linie, Microsoft Defender for Office 365 als M365-interne zweite Linie. Defense-in-Depth verhindert Single-Vendor-Lock im Sicherheitspfad und entspricht dem MaRisk-Grundsatz angemessener Risikoreduktion.
BAIT-Schicht im Maßnahmenplan
Konfiguration als technische Maßnahme im BAIT-Maßnahmenplan dokumentierbar, mit Verantwortlichem, Prüfzyklus, Risikobewertung im IKT-Risikoinventar nach DORA Art. 8 und Mapping auf die Tz. des BAIT-Rundschreibens.
SIEM-Anschluss
Audit-Log per Standard-Connector ans Bank-SIEM, etwa Splunk, IBM QRadar oder Microsoft Sentinel. Threat-Sharing mit Bundesbank-CERT und der BaFin nach DORA Art. 45 anbindbar, Vorfallsmeldung nach § 54 ZAG bei Zahlungsverkehrsvorfällen.
MaRisk, BAIT, DORA und KWG technisch belegen.
Vier Regelwerke greifen ineinander: MaRisk und § 25a/25b KWG als nationale Grundlage, BAIT als BaFin-Auslegung, DORA als unmittelbar geltende EU-Verordnung mit Vorrang vor BAIT in Konfliktfällen. Conbool erbringt die Maßnahmen auf Mail- und Datentransport-Ebene und liefert die Prüf-Artefakte für die jährliche Prüfung nach § 26 KWG, für BaFin-Sonderprüfungen nach § 44 KWG und für die DORA-Prüfung durch die Aufsicht.
MaRisk AT 9 Auslagerung
Conbool als Auslagerungsdienstleister mit DPA, Sub-Prozessor-Liste, Informations- und Auskunftsrechten, Kontrollrechten, Weiterleitungsbefugnissen und definierten Beendigungsregeln nach MaRisk AT 9 Tz. 7.
BAIT 8 Informationssicherheit
Vertraulichkeit, Integrität und Verfügbarkeit auf der Mail-Ebene. Berechtigungsmanagement nach BAIT 5 über AD-Anbindung, IT-Notfallmanagement nach BAIT 10 mit dokumentierter RTO/RPO je Modul.
DORA Art. 28 IKT-Drittparteienrisiko
Vertragsklauseln nach DORA Art. 30 in der DPA: Beendigungsrechte, Subkontrahenten-Kontrolle nach Art. 29, Audit-Recht der Aufsichtsbehörde, Datenrückgabe, Service-Levels und Exit-Strategie für kritische Funktionen.
§ 25a/25b KWG
IT-Systeme als Teil der ordnungsgemäßen Geschäftsorganisation nach § 25a Abs. 1 KWG, Auslagerung an Conbool nach § 25b KWG mit Anzeige an die BaFin nach § 24 Abs. 1 Nr. 16 KWG, soweit es sich um eine wesentliche Auslagerung handelt.
Vom Pilot in der Filial-Region zum Konzern-Rollout.
Banken migrieren selten im Big-Bang, weil der Posteingang ein geschäftskritischer Kommunikationskanal ist und Ausfälle in der Kundenkorrespondenz, im Zahlungsverkehr oder in der Anwaltspost sofort regulatorisch sichtbar werden. Pilot in einer Filial-Region, einem Tochterhaus oder einer Auslandsfiliale, dann Konzern-Rollout über das Microsoft-Admin-Center. Bestehende SEG, etwa Hornetsecurity, Proofpoint, Mimecast oder Trend Micro, läuft kontrolliert aus, Kündigungsfristen werden im Maßnahmenplan berücksichtigt.
Pilot in einer Filial-Region
Eine Filial-Region, ein Spezialinstitut oder eine Tochter startet, der Rest des Konzerns bleibt unverändert. MX-Switch für eine Sub-Domain genügt, Rückfall-Pfad auf den bisherigen SEG bleibt aktiv.
Konzern-Rollout per Admin-Center
Outlook-Add-in für alle Mitarbeitenden über das Microsoft-365-Admin-Center, gesteuert über AD-Gruppen je Geschäftsbereich. Verteilung auch über Intune, Group Policy und Citrix-Workspace möglich.
Defense-in-Depth statt Replace
Conbool als erste Linie, Microsoft Defender als zweite Linie. Audit-Trail über beide Schichten, Vermeidung Single-Vendor-Risiko im Sicherheitspfad, dokumentierbar im BAIT-Maßnahmenplan und in der IKT-Risikoinventur.
Auslauf der Altlösung
Bestehende SEG (Hornetsecurity, Proofpoint, Trend Micro, Mimecast) läuft parallel aus, Kündigungsfristen werden in der Migrations-Roadmap berücksichtigt. Conbool-Reports liefern Vergleichswerte zur Erkennungsrate und zur False-Positive-Quote.
Häufige Fragen aus Banken und Sparkassen
Wie passt Conbool zu MaRisk AT 9 Auslagerung und AT 7.2 IT-Systeme?
Wie deckt Conbool die BAIT-Anforderungen zur Informationssicherheit ab?
Wie unterstützt Conbool die Anforderungen aus DORA?
Wie greift Conbool gegen CEO-Fraud im Zahlungsverkehr?
Können wir Conbool und Microsoft Defender for Office 365 parallel betreiben?
Wie funktioniert die DMARC-Einführung in einer Bank ohne Auswirkungen auf Kunden-Mailings?
Wie arbeiten wir in einem Genossenschaftsverbund oder einer Sparkassen-Gruppe mit getrennten Mandanten?
Verwandte Lösungen
Hornetsecurity-Alternative
Deutsche MailGuard-Alternative nach der Proofpoint-Übernahme.
Phishing-Schutz
BEC, Spear-Phishing und QR-Code-Phishing erkennen und entfernen.
Ransomware-Schutz E-Mail
Mehrstufige Anhang-Filter und URL-Reputation gegen Ransomware-Kampagnen.
Spam-Filter Unternehmen
Spam und unerwünschte Massenmail mit DACH-Heuristiken filtern.
CEO-Fraud-Schutz
BEC und CEO-Fraud-Attacken über Authentifizierungs-Layer abwehren.
Verwandte Branchen
Conbool ist in benachbarten Branchen mit ähnlichem Compliance-Profil im Einsatz.
BAIT-, MaRisk- und DORA-konformer Stack für Banken und Sparkassen.
Demo in 30 Minuten. Pilot in einer Filial-Region oder Tochter. Modular pro Funktion und Postfach lizenziert.
Quellen und Stand
Aussagen zu MaRisk basieren auf den Mindestanforderungen an das Risikomanagement der BaFin (Rundschreiben 05/2023, AT 7.2 IT-Systeme, AT 9 Auslagerung) in der jeweils geltenden Fassung. Aussagen zu BAIT basieren auf den Bankaufsichtlichen Anforderungen an die IT der BaFin (Rundschreiben 10/2017 (BA), Tz. 8 Informationssicherheit, Tz. 5 Berechtigungsmanagement). Aussagen zu DORA basieren auf der Verordnung (EU) 2022/2554 (Digital Operational Resilience Act), Art. 6 ff IKT-Risikomanagement, Art. 28 ff IKT-Drittparteienrisiko, Art. 30 Vertragsklauseln. Aussagen zu § 25a und § 25b KWG basieren auf dem Kreditwesengesetz. Pflichtangaben aus § 37a HGB. Stand 2026.
BaFin ist eine Bezeichnung der Bundesanstalt für Finanzdienstleistungsaufsicht. Microsoft, Microsoft 365, Defender und Sentinel sind Marken der Microsoft Corporation. Splunk ist eine Marke der Splunk Inc. IBM QRadar ist eine Marke der IBM Corporation. Hornetsecurity, Proofpoint und Trend Micro sind Marken der jeweiligen Eigentümer. OSPlus ist eine Marke der Finanz Informatik. agree21 ist eine Marke der Atruvia AG. Conbool ist eine Marke der Conbool GmbH.