Bank-Posteingang.Markenintegrität.FINMA-konform aufgesetzt.
MailGuard, DMARC und SecureMail für Institute unter FINMA-Aufsicht, mit Bezug zum Bankkundengeheimnis nach Art. 47 BankG und zum FINMA-Rundschreiben 2023/1 über operationelle Risiken und Resilienz. Outbound-Identität als eigene Disziplin, Hosting in Deutschland, prüfungsfest für die Prüfgesellschaft nach Art. 18 BankG. Stand 2026.
Inbound-Schutz, Outbound-Identität und verschlüsselte Korrespondenz in einem Stack.
- Informationssicherheit als Prüfpunkt ohne konkretes Tooling im MassnahmenplanMapping auf das FINMA-Rundschreiben 2023/1 mit Conbool als technische Massnahme, Nachweis im Prüfbericht
- Markenmissbrauch durch Spoofing der Bank-Domain ohne VisibilityDMARC-Reports, Reject-Policy und BIMI-Vorbereitung als Outbound-Disziplin
- CEO-Fraud im Backoffice erst nach SWIFT-Auszahlung erkanntBEC-Erkennung auf Authentifizierungsebene vor der Freigabe im 4-Augen-Prozess
Compliance-Anker
Conbool unterstützt die Anforderungen des FINMA-Rundschreibens 2023/1 über operationelle Risiken und Resilienz sowie des FINMA-Rundschreibens 2018/3 über Outsourcing auf der Ebene technischer und organisatorischer Massnahmen. Die aufsichtsrechtliche Verantwortung für Geschäftsorganisation und internes Kontrollsystem verbleibt beim Institut. DORA gilt in der Schweiz nicht unmittelbar; für Institute mit einer Niederlassung im EWR sind die entsprechenden Vertragsklauseln in der DPA dennoch berücksichtigt.
Vier Bausteine für Banken und Sparkassen.
MailGuard schützt den Posteingang vor BEC und Phishing, DMARC schützt die Marke gegen Missbrauch, SecureMail liefert die verschlüsselte Korrespondenz an Prüfgesellschaft, Anwälte und Aufsicht, Disclaimer setzt Pflichtangaben pro Geschäftsbereich durch.
MailGuard
Mehrstufige Erkennung gegen Phishing, BEC und CEO-Fraud auf die Zahlungsverkehrsabteilung, Spear-Phishing auf den Vorstand und Bewerbungs-Trojaner an HR. URL-Reputation in Echtzeit, Anhangsfilter mit CDR für Office-, PDF- und Archiv-Dateien, Authentifizierungs-Checks gegen Display-Name-Spoofing und Look-Alike-Domains der Bank.
MailGuard im DetailDMARCDMARC Reports
DMARC-Aggregat- und Forensik-Reports auswerten, Reject-Policy gestaffelt einführen (p=none, p=quarantine, p=reject), BIMI mit verifiziertem Markenlogo (VMC) vorbereiten. Outbound-Identität als eigene Disziplin neben dem Inbound-Schutz, Schutz vor missbräuchlichem Versand im Namen der Bank.
DMARC Reports im DetailSecureMailSecureMail
S/MIME und OpenPGP für die tägliche Korrespondenz mit der Prüfgesellschaft, mit Anwaltskanzleien, mit der FINMA und mit Korrespondenzbanken. Web-Reader für Empfänger ohne eigenes Zertifikat mit Passwort-Authentifizierung, Outlook-Add-in für Classic, New und Web ohne Roll-out neuer Endgeräte.
SecureMail im DetailDisclaimerDisclaimer
Server-seitige Angaben zu Firma, Rechtsform und Sitz nach Art. 954a OR sowie Hinweise aus dem FIDLEG, pro Geschäftsbereich, Tochter und Niederlassung konfigurierbar. Einheitlich auf Outlook Classic, New, OWA und Mobile, ohne lokales Add-in, mit Anbindung an Entra ID, Active Directory und LDAP.
Disclaimer im DetailVier Szenarien aus Bank und Sparkasse.
Vom Filial-Posteingang über das Backoffice bis zur Vor-Ort-Kontrolle der FINMA.
CEO-Fraud in der Zahlungsverkehrsabteilung abfangen
Eine imitierte Vorstandsmail weist die Zahlungsverkehrs-Sachbearbeiterin zur Eilüberweisung an einen neuen Lieferanten in einer EU-Bank an, mit Druck auf Vertraulichkeit und Zeitdruck vor dem nächsten SWIFT-Cut-off. MailGuard erkennt Display-Name-Spoofing, Look-Alike-Domains und Reply-To-Manipulation auf der Authentifizierungsebene, bevor der 4-Augen-Prozess greift und der TARGET2-Zahlungsverkehr ausgelöst wird.
Outbound-Identität gegen Phishing-Wellen schützen
Angreifer versenden gefälschte Online-Banking-Warn-Mails oder PSD2-Authentifizierungs-Aufforderungen an die Kundschaft, mit dem Ziel, TANs oder Zugangsdaten abzugreifen. DMARC mit Reject-Policy und ausgewerteten Forensik-Reports stoppt Spoofing der Bank-Domain. BIMI mit verifiziertem Markenlogo erhöht die visuelle Authentifizierung im Posteingang der Kunden und reduziert das Risiko erfolgreicher Phishing-Wellen.
Verschlüsselte Korrespondenz mit Wirtschaftsprüfern und Kanzleien
Prüfberichte der Prüfgesellschaft, Vertraulichkeits-Akten zu Grosskrediten, M&A-Dokumente und Schriftsätze an die rechtliche Vertretung der Bank gehen verschlüsselt direkt aus Outlook. Empfänger ohne S/MIME nutzen den Web-Reader mit Passwort-Authentifizierung oder TAN-Verfahren, das Audit-Log dokumentiert Zustellung, Öffnung und Download für die interne Revision.
Aufsichtsrechtliche Prüfung und interne Revision
Bei der aufsichtsrechtlichen Prüfung durch die Prüfgesellschaft nach Art. 18 BankG und Art. 24 FINMAG, bei einer Vor-Ort-Kontrolle der FINMA und in der internen Revision dient der Audit-Trail von Conbool als Nachweis für technische Massnahmen zur Informationssicherheit. Export als revisionssicherer Report für den Prüfer, mit Mapping auf die Randziffern des FINMA-Rundschreibens 2023/1 zu Cyberrisiken und zum Schutz kritischer Daten.
Conbool als unabhängige Schicht vor Microsoft 365.
Schweizer Banken betreiben überwiegend Microsoft-365-Tenants, oft im Verbund mit Kernbanken-Systemen wie Avaloq, Finnova oder Temenos. Conbool sitzt als unabhängige Schicht vor M365, ohne die Kernbanken-Anbindung oder das E-Banking-Frontend zu verändern. So bleibt die Architektur konform zur Verantwortung des Verwaltungsrats für das interne Kontrollsystem und zu den Vorgaben des FINMA-Rundschreibens 2023/1 zum Management operationeller Risiken.
MX-Switch je Tochter
Eingehender SMTP läuft über Conbool, M365 bleibt das Backend. Konzern-Tochter, Auslandsfiliale und Spezialinstitut erhalten je eigene Routing-Policy mit eigener DMARC-Konfiguration.
Unabhängige Threat Intelligence
Conbool als erste Linie, Microsoft Defender for Office 365 als M365-interne zweite Linie. Defense-in-Depth verhindert Single-Vendor-Lock im Sicherheitspfad und entspricht dem Grundsatz angemessener Risikoreduktion aus dem FINMA-Rundschreiben 2023/1.
Sicherheitsschicht im Massnahmenplan
Konfiguration als technische Massnahme im Massnahmenplan dokumentierbar, mit Verantwortlichem, Prüfzyklus, Risikobewertung im Inventar kritischer Daten und Mapping auf die Randziffern des FINMA-Rundschreibens 2023/1.
SIEM-Anschluss
Audit-Log per Standard-Connector ans Bank-SIEM, etwa Splunk, IBM QRadar oder Microsoft Sentinel. Die Meldung eines Cyberangriffs an die FINMA innert 24 Stunden nach Entdeckung sowie die Meldung an das Bundesamt für Cybersicherheit nach Art. 74b des Informationssicherheitsgesetzes werden durch die Protokolle unterstützt.
BankG, FINMA-Rundschreiben und revDSG technisch belegen.
Drei Regelwerke greifen ineinander: Art. 47 BankG als strafbewehrte Grundlage des Bankkundengeheimnisses, das FINMA-Rundschreiben 2023/1 über operationelle Risiken und Resilienz als aufsichtsrechtlicher Massstab für Cyberrisiken und Datenschutz kritischer Daten, das FINMA-Rundschreiben 2018/3 für die Auslagerung. Conbool erbringt die Massnahmen auf Mail- und Datentransport-Ebene und liefert die Prüf-Artefakte für die aufsichtsrechtliche Prüfung und für eine Vor-Ort-Kontrolle der FINMA.
Auslagerung nach FINMA-RS 2018/3
Conbool als Auslagerungsdienstleister mit Vertrag zur Auftragsbearbeitung, Liste der Subdienstleister, Informations- und Auskunftsrechten, Zugangs- und Prüfrechten für Institut, Prüfgesellschaft und FINMA sowie definierten Beendigungsregeln nach dem FINMA-Rundschreiben 2018/3.
Informationssicherheit nach FINMA-RS 2023/1
Vertraulichkeit, Integrität und Verfügbarkeit auf der Mail-Ebene. Berechtigungsmanagement über AD-Anbindung, Notfallvorsorge mit dokumentierter RTO und RPO je Modul, wie es das FINMA-Rundschreiben 2023/1 für kritische Funktionen verlangt.
DORA Art. 28 IKT-Drittparteienrisiko
Vertragsbestandteile nach FINMA-RS 2018/3 in der DPA: Beschreibung der ausgelagerten Funktion, Standort der Datenbearbeitung, Beizug von Subdienstleistern mit Zustimmungsvorbehalt, Zugangs- und Prüfrechte für Institut, Prüfgesellschaft und FINMA, Datenrückgabe und Ausstiegsplan.
Art. 47 BankG und Auslagerung ins Ausland
Die Verletzung des Bankkundengeheimnisses ist nach Art. 47 BankG strafbar. Conbool hostet in Deutschland; ob eine Auslagerung mit Kundendaten ins Ausland zulässig ist, entscheidet das Institut nach FINMA-RS 2018/3 im Einzelfall und dokumentiert dabei den ungehinderten Zugang für Institut, Prüfgesellschaft und FINMA. Conbool liefert dafür die Angaben zu Standort, Subdienstleistern, Zugriffs- und Prüfrechten; Ende-zu-Ende-Verschlüsselung hält Inhalte auf dem Übertragungsweg für Dritte unlesbar.
Vom Pilot in der Filial-Region zum Konzern-Rollout.
Banken migrieren selten im Big-Bang, weil der Posteingang ein geschäftskritischer Kommunikationskanal ist und Ausfälle in der Kundenkorrespondenz, im Zahlungsverkehr oder in der Anwaltspost sofort aufsichtsrechtlich sichtbar werden. Pilot in einer Region, einem Tochterhaus oder einer Auslandsniederlassung, dann Konzern-Rollout über das Microsoft-Admin-Center. Bestehende SEG, etwa Hornetsecurity, Proofpoint, Mimecast oder Trend Micro, läuft kontrolliert aus, Kündigungsfristen werden im Massnahmenplan berücksichtigt.
Pilot in einer Filial-Region
Eine Filial-Region, ein Spezialinstitut oder eine Tochter startet, der Rest des Konzerns bleibt unverändert. MX-Switch für eine Sub-Domain genügt, Rückfall-Pfad auf den bisherigen SEG bleibt aktiv.
Konzern-Rollout per Admin-Center
Outlook-Add-in für alle Mitarbeitenden über das Microsoft-365-Admin-Center, gesteuert über AD-Gruppen je Geschäftsbereich. Verteilung auch über Intune, Group Policy und Citrix-Workspace möglich.
Defense-in-Depth statt Replace
Conbool als erste Linie, Microsoft Defender als zweite Linie. Audit-Trail über beide Schichten, Vermeidung des Single-Vendor-Risikos im Sicherheitspfad, dokumentierbar im Massnahmenplan und im Inventar kritischer Daten.
Auslauf der Altlösung
Bestehende SEG (Hornetsecurity, Proofpoint, Trend Micro, Mimecast) läuft parallel aus, Kündigungsfristen werden in der Migrations-Roadmap berücksichtigt. Conbool-Reports liefern Vergleichswerte zur Erkennungsrate und zur False-Positive-Quote.
Häufige Fragen aus Banken und Sparkassen
Wie passt Conbool zum FINMA-Rundschreiben 2018/3 über Outsourcing?
Wie deckt Conbool die Anforderungen der FINMA zur Informationssicherheit ab?
Wie unterstützt Conbool die Anforderungen aus DORA?
Wie greift Conbool gegen CEO-Fraud im Zahlungsverkehr?
Können wir Conbool und Microsoft Defender for Office 365 parallel betreiben?
Wie funktioniert die DMARC-Einführung in einer Bank ohne Auswirkungen auf Kunden-Mailings?
Wie arbeiten wir in einem Genossenschaftsverbund oder einer Sparkassen-Gruppe mit getrennten Mandanten?
Verwandte Lösungen
Hornetsecurity-Alternative
Deutsche MailGuard-Alternative nach der Proofpoint-Übernahme.
Barracuda-Alternative
Module je Postfach statt Planstufen, deutscher Vertragspartner.
Phishing-Schutz
BEC, Spear-Phishing und QR-Code-Phishing erkennen und entfernen.
Phishing-Simulation
Was durch den Filter kommt, mit dem Team üben statt hoffen.
Ransomware-Schutz E-Mail
Mehrstufige Anhang-Filter und URL-Reputation gegen Ransomware-Kampagnen.
Spam-Filter Unternehmen
Spam und unerwünschte Massenmail mit DACH-Heuristiken filtern.
CEO-Fraud-Schutz
BEC und CEO-Fraud-Attacken über Authentifizierungs-Layer abwehren.
DANE und TLSA
Manipulationssichere Transportverschlüsselung nach BSI TR-03108, gegen Downgrade und MITM.
Directory-Harvesting-Schutz
Abwehr von Adress-Sammlern, bevor gültige Postfächer in Spam-Datenbanken landen.
Verwandte Branchen
Conbool ist in benachbarten Branchen mit ähnlichem Compliance-Profil im Einsatz.
FINMA-konformer Stack für Schweizer Banken und Vermögensverwalter.
Demo in 30 Minuten. Pilot in einer Filial-Region oder Tochter. Modular pro Funktion und Postfach lizenziert.
Quellen und Stand
Aussagen zum Bankkundengeheimnis beziehen sich auf Art. 47 des Bundesgesetzes über die Banken und Sparkassen in der geltenden Fassung. Aussagen zu operationellen Risiken und Resilienz beziehen sich auf das FINMA-Rundschreiben 2023/1, Aussagen zur Auslagerung auf das FINMA-Rundschreiben 2018/3. Aussagen zur Prüfung beziehen sich auf Art. 18 BankG und Art. 24 FINMAG. Aussagen zur Meldung von Cyberangriffen beziehen sich auf die Aufsichtspraxis der FINMA mit einer Erstmeldung innert 24 Stunden nach Entdeckung sowie auf Art. 74b des Informationssicherheitsgesetzes für Betreiber kritischer Infrastrukturen. Aussagen zum Datenschutz beruhen auf dem revidierten Datenschutzgesetz. Angaben im Geschäftsverkehr nach Art. 954a OR. Stand 2026.
FINMA ist eine Bezeichnung der Eidgenössischen Finanzmarktaufsicht. Microsoft, Microsoft 365, Defender und Sentinel sind Marken der Microsoft Corporation. Splunk ist eine Marke der Splunk Inc. IBM QRadar ist eine Marke der IBM Corporation. Hornetsecurity, Proofpoint und Trend Micro sind Marken der jeweiligen Eigentümer. Avaloq ist eine Marke der Avaloq Group AG, Finnova eine Marke der Finnova AG Bankware, Temenos eine Marke der Temenos AG. Conbool ist eine Marke der Conbool GmbH.