Heise Academy: Cybersecurity im Kreditvergabeprozess - eine Lernreise für Banken

Die Kreditabteilung der Großbank stand vor einer Herausforderung: Rund 100 Kreditentscheide sollten in die Lage versetzt werden, die Informationssicherheit ihrer Kundinnen und Kunden – vom KMU bis zum Großkonzern – kritisch zu hinterfragen und Cyberrisiken im Kreditvergabeprozess korrekt einzuordnen.

Das Ziel war kein klassisches Frontal-Training, sondern eine nachhaltige Befähigung. Die Bank forderte einen Mix aus Theorie, Fachaustausch und der praktischen Anwendung interner Werkzeuge. Außerdem war wichtig, dass die Teilnehmenden auch nach Abschluss der Lernreise auf Methoden zur Selbsthilfe zugreifen können.

Die Konzeption der Lernreise musste drei Hürden überwinden:

1. Zeit vs. Tiefe: Wie vermittelt man komplexe Bedrohungsszenarien und Schutzmaßnahmen umfassend, ohne das operative Tagesgeschäft der Kreditentscheiden zu blockieren?
2. Heterogenes Vorwissen: Die Teilnehmenden kamen mit unterschiedlichem technischem Hintergrundwissen in die Schulung.
3. Vertraulichkeit: Da HiSolutions keinen direkten Einblick in die Kundendaten der Bank hatte, wurde der Erfahrungsaustausch so gestaltet, dass trotz Wahrung höchster Diskretion ein praxisnaher und konkreter Austausch möglich war. 

Um Flexibilität und Lerntiefe zu vereinen, entwickelten HiSolutions und die heise academy gemeinsam mit der Bank eine digitale Lernreise. Das Schulungskonzept befähigt die Kreditentscheidenden, Cyberrisiken nicht nur technisch zu verstehen, sondern deren mögliche Auswirkungen auf die finanzielle Stabilität und Bonität der Kunden fundiert zu bewerten. Das Programm gliedert sich auf die folgenden fünf aufeinander aufbauenden Module, die Theorie, branchenspezifische Vertiefung und die praktische Anwendung interner Tools kombinieren.

Modul 1: Das Fundament – Bedrohungslage & Regulatorik
Den Auftakt bildete der „Big Picture“-Überblick. Die Teilnehmenden lernten die aktuelle Bedrohungslandschaft (z. B. Ransomware, Deepfakes, KI-Angriffe) sowie deren finanzielle Auswirkungen auf Unternehmen kennen. Zudem wurden regulatorische Spannungsfelder, Compliance-Anforderungen (z. B. KRITIS) und der Nutzen von Zertifizierungen (ISO 27001) sowie Cyber-Versicherungen eingeordnet.

Modul 2: Deep Dive – Branchenspezifische Sicherungsstrukturen
Sicherheit ist nicht für alle Klienten gleich. In diesem Modul lernten die Teilnehmenden, IT-Sicherheitsarchitekturen in Abhängigkeit vom Geschäftsmodell zu bewerten. Durch die Aufteilung in spezifische Cluster (z. B. Automotive, Pharma, Logistik) wurden der Blick für branchenspezifische Angriffsflächen geschärft und aufgezeigt, wie passgenaue Präventionsmaßnahmen aussehen müssen.

Modul 3: Die Symbiose – Risiko, IT & Management
Hier stand die Wechselwirkung zwischen Angriffsmustern, IT-Schutz und Managemententscheidungen im Fokus. Die Kreditentscheidenden wurden befähigt, kritische Wertschöpfungsprozesse zu identifizieren und mit ihren Kundinnen und Kunden auf Augenhöhe zu kommunizieren. In Break-out-Sessions teilten die Teilnehmenden ihre praktischen Erfahrungen und wendeten die Theorie direkt auf ihre internen Arbeitswerkzeuge an.

Modul 4: Der Reality-Check
Aus Theorie wurde Praxis: Anhand fiktiver Kundenbeispiele und realer „Red Flags“ wendeten die Teilnehmenden ihre Arbeitswerkzeuge aktiv an. In Break-out-Sessions trainierten sie, abweichende Antworten zu interpretieren, Warnsignale zu erkennen und daraus konkrete Konsequenzen für die Kreditvergabe abzuleiten.

Modul 5: Lessons Learned & Ausblick
Den Abschluss bildete der konsolidierte Erfahrungsaustausch. Die Teilnehmenden reflektierten die „Lessons Learned“ der gesamten Lernreise, diskutierten offene Fragen und definierten Best Practices für die künftige Anwendung im Arbeitsalltag.

Zusätzlich erhielten die Teilnehmenden kuratierte „Extended Handouts“ mit Verweisen auf öffentliche Quellen, um auch künftig beim „Stand der Technik“ up to date zu bleiben.

Das Feedback der Teilnehmenden war eindeutig: Die komplexe Materie wurde verständlich und anwendbar vermittelt.

Kompetenzaufbau: Die Kreditentscheidenden sind nun in der Lage, technische Sicherheitsinformationen ihrer Kundinnen und Kunden kritisch zu prüfen und Cyberrisiken aktiv in die Kreditbewertung einzubeziehen.

Prozessoptimierung: Durch das finale Modul entstanden wertvolle Impulse, um den bankinternen Kreditvergabeprozess weiter zu schärfen.

Bewertung: In der internen Evaluation der Bank erhielt die durchgeführte Lernreise Bestnoten – besonders gelobt wurden der modulare Aufbau und der hohe Praxisbezug.