Banken · Vermögensverwalter · FINMA · Art. 47 BankG

Bank-Posteingang.Markenintegrität.FINMA-konform aufgesetzt.

MailGuard, DMARC und SecureMail für Institute unter FINMA-Aufsicht, mit Bezug zum Bankkundengeheimnis nach Art. 47 BankG und zum FINMA-Rundschreiben 2023/1 über operationelle Risiken und Resilienz. Outbound-Identität als eigene Disziplin, Hosting in Deutschland, prüfungsfest für die Prüfgesellschaft nach Art. 18 BankG. Stand 2026.

Auf einen BlickStand 2026

Inbound-Schutz, Outbound-Identität und verschlüsselte Korrespondenz in einem Stack.

  • Informationssicherheit als Prüfpunkt ohne konkretes Tooling im MassnahmenplanMapping auf das FINMA-Rundschreiben 2023/1 mit Conbool als technische Massnahme, Nachweis im Prüfbericht
  • Markenmissbrauch durch Spoofing der Bank-Domain ohne VisibilityDMARC-Reports, Reject-Policy und BIMI-Vorbereitung als Outbound-Disziplin
  • CEO-Fraud im Backoffice erst nach SWIFT-Auszahlung erkanntBEC-Erkennung auf Authentifizierungsebene vor der Freigabe im 4-Augen-Prozess
MailGuard fängt Phishing, CEO-Fraud und Spear-Phishing auf den Zahlungsverkehr ab, bevor SIC- oder SWIFT-Aufträge ausgelöst werden. DMARC mit Reject-Policy stoppt Markenmissbrauch, mit dem Angreifer der Kundschaft gefälschte E-Banking-Mails schicken. SecureMail liefert die vertrauliche Korrespondenz an die Prüfgesellschaft, an Anwaltskanzleien, an die FINMA und an Korrespondenzbanken und stützt damit die Wahrung des Bankkundengeheimnisses nach Art. 47 BankG. Das Audit-Log dient als Nachweis in der aufsichtsrechtlichen Prüfung und bei einer Vor-Ort-Kontrolle der FINMA.
Geeignet für Sie wenn:Bank, Sparkasse, FinDLFINMA-Aufsicht aktivDORA ab 17.01.2025
100 %
Hosting, Rechenzentrum in Deutschland
FINMA-RS 2023/1
IT-Systeme und IT-Prozesse
DORA
ab 17.01.2025 anwendbar
30 Min.
MX-Switch je Tochterinstitut

Compliance-Anker

FINMA-Rundschreiben 2023/1 operationelle Risiken und Resilienz, Rundschreiben 2018/3 OutsourcingSchutz kritischer Daten und Cyberrisiken nach FINMA-Rundschreiben 2023/1, BerechtigungsmanagementDORA Art. 6 ff IKT-Risikomanagement und Art. 28 ff DrittparteienrisikoArt. 47 BankG Bankkundengeheimnis, FINMA-RS 2023/1 operationelle Risiken und Resilienz

Conbool unterstützt die Anforderungen des FINMA-Rundschreibens 2023/1 über operationelle Risiken und Resilienz sowie des FINMA-Rundschreibens 2018/3 über Outsourcing auf der Ebene technischer und organisatorischer Massnahmen. Die aufsichtsrechtliche Verantwortung für Geschäftsorganisation und internes Kontrollsystem verbleibt beim Institut. DORA gilt in der Schweiz nicht unmittelbar; für Institute mit einer Niederlassung im EWR sind die entsprechenden Vertragsklauseln in der DPA dennoch berücksichtigt.

Vier Bausteine für Banken und Sparkassen.

MailGuard schützt den Posteingang vor BEC und Phishing, DMARC schützt die Marke gegen Missbrauch, SecureMail liefert die verschlüsselte Korrespondenz an Prüfgesellschaft, Anwälte und Aufsicht, Disclaimer setzt Pflichtangaben pro Geschäftsbereich durch.

Typische Workflows

Vier Szenarien aus Bank und Sparkasse.

Vom Filial-Posteingang über das Backoffice bis zur Vor-Ort-Kontrolle der FINMA.

1

CEO-Fraud in der Zahlungsverkehrsabteilung abfangen

Eine imitierte Vorstandsmail weist die Zahlungsverkehrs-Sachbearbeiterin zur Eilüberweisung an einen neuen Lieferanten in einer EU-Bank an, mit Druck auf Vertraulichkeit und Zeitdruck vor dem nächsten SWIFT-Cut-off. MailGuard erkennt Display-Name-Spoofing, Look-Alike-Domains und Reply-To-Manipulation auf der Authentifizierungsebene, bevor der 4-Augen-Prozess greift und der TARGET2-Zahlungsverkehr ausgelöst wird.

2

Outbound-Identität gegen Phishing-Wellen schützen

Angreifer versenden gefälschte Online-Banking-Warn-Mails oder PSD2-Authentifizierungs-Aufforderungen an die Kundschaft, mit dem Ziel, TANs oder Zugangsdaten abzugreifen. DMARC mit Reject-Policy und ausgewerteten Forensik-Reports stoppt Spoofing der Bank-Domain. BIMI mit verifiziertem Markenlogo erhöht die visuelle Authentifizierung im Posteingang der Kunden und reduziert das Risiko erfolgreicher Phishing-Wellen.

3

Verschlüsselte Korrespondenz mit Wirtschaftsprüfern und Kanzleien

Prüfberichte der Prüfgesellschaft, Vertraulichkeits-Akten zu Grosskrediten, M&A-Dokumente und Schriftsätze an die rechtliche Vertretung der Bank gehen verschlüsselt direkt aus Outlook. Empfänger ohne S/MIME nutzen den Web-Reader mit Passwort-Authentifizierung oder TAN-Verfahren, das Audit-Log dokumentiert Zustellung, Öffnung und Download für die interne Revision.

4

Aufsichtsrechtliche Prüfung und interne Revision

Bei der aufsichtsrechtlichen Prüfung durch die Prüfgesellschaft nach Art. 18 BankG und Art. 24 FINMAG, bei einer Vor-Ort-Kontrolle der FINMA und in der internen Revision dient der Audit-Trail von Conbool als Nachweis für technische Massnahmen zur Informationssicherheit. Export als revisionssicherer Report für den Prüfer, mit Mapping auf die Randziffern des FINMA-Rundschreibens 2023/1 zu Cyberrisiken und zum Schutz kritischer Daten.

Architektur

Conbool als unabhängige Schicht vor Microsoft 365.

Schweizer Banken betreiben überwiegend Microsoft-365-Tenants, oft im Verbund mit Kernbanken-Systemen wie Avaloq, Finnova oder Temenos. Conbool sitzt als unabhängige Schicht vor M365, ohne die Kernbanken-Anbindung oder das E-Banking-Frontend zu verändern. So bleibt die Architektur konform zur Verantwortung des Verwaltungsrats für das interne Kontrollsystem und zu den Vorgaben des FINMA-Rundschreibens 2023/1 zum Management operationeller Risiken.

MX-Switch je Tochter

Eingehender SMTP läuft über Conbool, M365 bleibt das Backend. Konzern-Tochter, Auslandsfiliale und Spezialinstitut erhalten je eigene Routing-Policy mit eigener DMARC-Konfiguration.

Unabhängige Threat Intelligence

Conbool als erste Linie, Microsoft Defender for Office 365 als M365-interne zweite Linie. Defense-in-Depth verhindert Single-Vendor-Lock im Sicherheitspfad und entspricht dem Grundsatz angemessener Risikoreduktion aus dem FINMA-Rundschreiben 2023/1.

Sicherheitsschicht im Massnahmenplan

Konfiguration als technische Massnahme im Massnahmenplan dokumentierbar, mit Verantwortlichem, Prüfzyklus, Risikobewertung im Inventar kritischer Daten und Mapping auf die Randziffern des FINMA-Rundschreibens 2023/1.

SIEM-Anschluss

Audit-Log per Standard-Connector ans Bank-SIEM, etwa Splunk, IBM QRadar oder Microsoft Sentinel. Die Meldung eines Cyberangriffs an die FINMA innert 24 Stunden nach Entdeckung sowie die Meldung an das Bundesamt für Cybersicherheit nach Art. 74b des Informationssicherheitsgesetzes werden durch die Protokolle unterstützt.

Compliance-Mapping

BankG, FINMA-Rundschreiben und revDSG technisch belegen.

Drei Regelwerke greifen ineinander: Art. 47 BankG als strafbewehrte Grundlage des Bankkundengeheimnisses, das FINMA-Rundschreiben 2023/1 über operationelle Risiken und Resilienz als aufsichtsrechtlicher Massstab für Cyberrisiken und Datenschutz kritischer Daten, das FINMA-Rundschreiben 2018/3 für die Auslagerung. Conbool erbringt die Massnahmen auf Mail- und Datentransport-Ebene und liefert die Prüf-Artefakte für die aufsichtsrechtliche Prüfung und für eine Vor-Ort-Kontrolle der FINMA.

Auslagerung nach FINMA-RS 2018/3

Conbool als Auslagerungsdienstleister mit Vertrag zur Auftragsbearbeitung, Liste der Subdienstleister, Informations- und Auskunftsrechten, Zugangs- und Prüfrechten für Institut, Prüfgesellschaft und FINMA sowie definierten Beendigungsregeln nach dem FINMA-Rundschreiben 2018/3.

Informationssicherheit nach FINMA-RS 2023/1

Vertraulichkeit, Integrität und Verfügbarkeit auf der Mail-Ebene. Berechtigungsmanagement über AD-Anbindung, Notfallvorsorge mit dokumentierter RTO und RPO je Modul, wie es das FINMA-Rundschreiben 2023/1 für kritische Funktionen verlangt.

DORA Art. 28 IKT-Drittparteienrisiko

Vertragsbestandteile nach FINMA-RS 2018/3 in der DPA: Beschreibung der ausgelagerten Funktion, Standort der Datenbearbeitung, Beizug von Subdienstleistern mit Zustimmungsvorbehalt, Zugangs- und Prüfrechte für Institut, Prüfgesellschaft und FINMA, Datenrückgabe und Ausstiegsplan.

Art. 47 BankG und Auslagerung ins Ausland

Die Verletzung des Bankkundengeheimnisses ist nach Art. 47 BankG strafbar. Conbool hostet in Deutschland; ob eine Auslagerung mit Kundendaten ins Ausland zulässig ist, entscheidet das Institut nach FINMA-RS 2018/3 im Einzelfall und dokumentiert dabei den ungehinderten Zugang für Institut, Prüfgesellschaft und FINMA. Conbool liefert dafür die Angaben zu Standort, Subdienstleistern, Zugriffs- und Prüfrechten; Ende-zu-Ende-Verschlüsselung hält Inhalte auf dem Übertragungsweg für Dritte unlesbar.

Migration

Vom Pilot in der Filial-Region zum Konzern-Rollout.

Banken migrieren selten im Big-Bang, weil der Posteingang ein geschäftskritischer Kommunikationskanal ist und Ausfälle in der Kundenkorrespondenz, im Zahlungsverkehr oder in der Anwaltspost sofort aufsichtsrechtlich sichtbar werden. Pilot in einer Region, einem Tochterhaus oder einer Auslandsniederlassung, dann Konzern-Rollout über das Microsoft-Admin-Center. Bestehende SEG, etwa Hornetsecurity, Proofpoint, Mimecast oder Trend Micro, läuft kontrolliert aus, Kündigungsfristen werden im Massnahmenplan berücksichtigt.

Pilot in einer Filial-Region

Eine Filial-Region, ein Spezialinstitut oder eine Tochter startet, der Rest des Konzerns bleibt unverändert. MX-Switch für eine Sub-Domain genügt, Rückfall-Pfad auf den bisherigen SEG bleibt aktiv.

Konzern-Rollout per Admin-Center

Outlook-Add-in für alle Mitarbeitenden über das Microsoft-365-Admin-Center, gesteuert über AD-Gruppen je Geschäftsbereich. Verteilung auch über Intune, Group Policy und Citrix-Workspace möglich.

Defense-in-Depth statt Replace

Conbool als erste Linie, Microsoft Defender als zweite Linie. Audit-Trail über beide Schichten, Vermeidung des Single-Vendor-Risikos im Sicherheitspfad, dokumentierbar im Massnahmenplan und im Inventar kritischer Daten.

Auslauf der Altlösung

Bestehende SEG (Hornetsecurity, Proofpoint, Trend Micro, Mimecast) läuft parallel aus, Kündigungsfristen werden in der Migrations-Roadmap berücksichtigt. Conbool-Reports liefern Vergleichswerte zur Erkennungsrate und zur False-Positive-Quote.

Häufige Fragen aus Banken und Sparkassen

Wie passt Conbool zum FINMA-Rundschreiben 2018/3 über Outsourcing?
Conbool ist ein Auslagerungsdienstleister im Sinne des FINMA-Rundschreibens 2018/3 und liefert die geforderten Vertragsbestandteile mit: DPA, Liste der Subdienstleister, Informations- und Auskunftsrechte, Zugangs- und Prüfrechte für Institut, Prüfgesellschaft und FINMA, Regeln zum Beizug weiterer Dienstleister und definierte Beendigungsregeln. Auf der Ebene des FINMA-Rundschreibens 2023/1 dokumentiert Conbool die IT-Prozesse zur sicheren E-Mail-Verarbeitung als technische Massnahmen im Massnahmenplan, mit Verantwortlichem, Prüfzyklus und Risikobewertung im Inventar kritischer Daten. Die Beurteilung, ob eine wesentliche Auslagerung vorliegt, und die Führung des Auslagerungsverzeichnisses verbleiben beim Institut.
Wie deckt Conbool die Anforderungen der FINMA zur Informationssicherheit ab?
Das FINMA-Rundschreiben 2023/1 verlangt die Beherrschung operationeller Risiken einschliesslich Cyberrisiken, den Schutz kritischer Daten sowie die operationelle Resilienz mit definierten Toleranzen für kritische Funktionen. Conbool liefert die Massnahmen auf der E-Mail- und Datenebene: MailGuard für den Inbound-Schutz, DMARC für die Outbound-Identität, SecureMail für die vertrauliche Korrespondenz. Berechtigungen werden über das Active Directory mit segregierten Rollen abgebildet, Notfallvorsorge mit definierter RTO und RPO ist Teil der DPA. Die gesamte Konfiguration ist im Massnahmenplan revisionssicher dokumentierbar und in der aufsichtsrechtlichen Prüfung vorzeigbar.
Wie unterstützt Conbool die Anforderungen aus DORA?
DORA, die Verordnung (EU) 2022/2554, gilt in der Schweiz nicht unmittelbar; für Schweizer Institute ist das FINMA-Rundschreiben 2023/1 der massgebliche Rahmen, ergänzt um das Rundschreiben 2018/3 für Auslagerungen. Institute mit einer Niederlassung oder Tochter im EWR unterstehen dort DORA, weshalb Conbool die Vertragsklauseln nach Art. 30 DORA in der DPA berücksichtigt: Drittparteienrisiko nach Art. 28, Vertragsbeendigung, Subkontrahenten-Listen nach Art. 29, Datenrückgabe, Service-Level und Exit-Strategie. Für die Schweiz gilt zusätzlich die Meldung eines Cyberangriffs an die FINMA innert 24 Stunden nach Entdeckung und, für Betreiber kritischer Infrastrukturen, die Meldung an das Bundesamt für Cybersicherheit nach Art. 74b des Informationssicherheitsgesetzes.
Wie greift Conbool gegen CEO-Fraud im Zahlungsverkehr?
CEO-Fraud-Wellen zielen typischerweise auf Sachbearbeitende im Zahlungsverkehr, in der Treasury oder im Backoffice und nutzen Display-Name-Spoofing, Look-Alike-Domains, etwa rn statt m, kyrillische Zeichen oder neue TLDs, Reply-To-Manipulation und Authority-Pressure unter Zeitdruck vor den Cut-off-Zeiten von SIC oder SWIFT. MailGuard prüft Absender-Authentifizierung mit SPF, DKIM und DMARC, erkennt typische Lookalikes der eigenen Domain im Internationalized-Domain-Name-Raum und fängt Eilzahlungs-Anweisungen ab, bevor der Vier-Augen-Prozess greift. Die Meldung an die internen Compliance-Stellen, an die Konzernsicherheit und an die FINMA innert 24 Stunden ist in den Workflow integrierbar.
Können wir Conbool und Microsoft Defender for Office 365 parallel betreiben?
Ja, das ist die empfohlene Defense-in-Depth-Architektur und entspricht dem Grundsatz angemessener Sicherheitsmassnahmen aus dem FINMA-Rundschreiben 2023/1. Conbool sitzt als unabhängige erste Linie vor dem M365-Tenant über MX-Switch, Defender ist Stack-interne zweite Linie. Der Audit-Trail läuft über beide Schichten, ein Single-Vendor-Lock im Sicherheitspfad wird vermieden. Diese Architektur ist in der aufsichtsrechtlichen Prüfung und bei einer Vor-Ort-Kontrolle der FINMA nachweisbar.
Wie funktioniert die DMARC-Einführung in einer Bank ohne Auswirkungen auf Kunden-Mailings?
DMARC führen wir gestaffelt ein: Phase 1 Monitoring mit Aggregat- und Forensik-Reports (p=none) über 4 bis 8 Wochen, um alle legitimen Versand-Quellen zu identifizieren, von Marketing-Tools über den Kernbank-Newsletter bis zur Online-Banking-Plattform. Phase 2 Quarantine mit Ausnahme-Whitelists für Massen-Mailing-Provider, Korrespondenz-Banken und Zahlungsverkehrs-Dienstleister. Phase 3 Reject-Policy (p=reject) für alle Versand-Domains und Sub-Domains, mit dauerhaftem Reporting. Parallel bereiten wir BIMI mit verifiziertem Markenlogo (VMC) vor. So bleiben legitime Kunden-Newsletter, Online-Banking-Benachrichtigungen, PSD2-SCA-Mails und Korrespondenz-Routing ungestört, gefälschte Bank-Domain-Mails werden hart abgewiesen.
Wie arbeiten wir in einem Genossenschaftsverbund oder einer Sparkassen-Gruppe mit getrennten Mandanten?
Conbool unterstützt Multi-Tenant-Setups oder einen zentralen Tenant für die Bankgruppe mit getrennten Policies, Adminrechten, Quarantäne-Bereichen und Audit-Logs pro Tochterhaus. Genossenschaftsbanken im Verbund mit gemeinsamem Rechenzentrum (etwa Atruvia mit agree21) können die Conbool-Schicht zentral betreiben und je Bank über AD-Gruppen steuern, ohne dass Daten zwischen den Instituten sichtbar werden. Sparkassen mit Landesbanken-Anbindung (Finanz Informatik mit OSPlus) trennen Policies für Filial-Geschäft, Vermögensanlage und Treasury sauber voneinander; Konzernsicherheit und interne Revision erhalten konsolidierte Reports ohne Einsicht in einzelne Postfächer.

Verwandte Lösungen

Verwandte Branchen

Conbool ist in benachbarten Branchen mit ähnlichem Compliance-Profil im Einsatz.

FINMA-konformer Stack für Schweizer Banken und Vermögensverwalter.

Demo in 30 Minuten. Pilot in einer Filial-Region oder Tochter. Modular pro Funktion und Postfach lizenziert.

Quellen und Stand

Aussagen zum Bankkundengeheimnis beziehen sich auf Art. 47 des Bundesgesetzes über die Banken und Sparkassen in der geltenden Fassung. Aussagen zu operationellen Risiken und Resilienz beziehen sich auf das FINMA-Rundschreiben 2023/1, Aussagen zur Auslagerung auf das FINMA-Rundschreiben 2018/3. Aussagen zur Prüfung beziehen sich auf Art. 18 BankG und Art. 24 FINMAG. Aussagen zur Meldung von Cyberangriffen beziehen sich auf die Aufsichtspraxis der FINMA mit einer Erstmeldung innert 24 Stunden nach Entdeckung sowie auf Art. 74b des Informationssicherheitsgesetzes für Betreiber kritischer Infrastrukturen. Aussagen zum Datenschutz beruhen auf dem revidierten Datenschutzgesetz. Angaben im Geschäftsverkehr nach Art. 954a OR. Stand 2026.

FINMA ist eine Bezeichnung der Eidgenössischen Finanzmarktaufsicht. Microsoft, Microsoft 365, Defender und Sentinel sind Marken der Microsoft Corporation. Splunk ist eine Marke der Splunk Inc. IBM QRadar ist eine Marke der IBM Corporation. Hornetsecurity, Proofpoint und Trend Micro sind Marken der jeweiligen Eigentümer. Avaloq ist eine Marke der Avaloq Group AG, Finnova eine Marke der Finnova AG Bankware, Temenos eine Marke der Temenos AG. Conbool ist eine Marke der Conbool GmbH.