The challenge
Norden Bank hatte über Jahre in klassische DLP-Tools investiert. Sie waren gut darin, bekannte Dateimuster zu erkennen — Kreditkartennummern, IBANs, SSNs. Sie waren schlecht darin, ein menschliches Muster zu erkennen.
Im Herbst 2025 begann ein Senior-Analyst der Risikoabteilung, kleine Mengen anonymisierter Risikodaten in einen privaten Dropbox-Account hochzuladen — angeblich „für eine Diplomarbeit". Die DLP-Regeln griffen nicht: Die Daten passten zu keinem bekannten Muster. Aber das Verhalten — Logins zu ungewöhnlichen Zeiten, Downloads aus Reports, an die der Analyst sonst nie ranging — fiel auf.
The solution
Norden hatte PatrolMind drei Monate vorher als „Verhaltens-Layer" über ihrer bestehenden DLP gestartet. Die Engine lernte das Profil jedes Risk-Analysten: welche Berichte er normalerweise öffnete, zu welchen Zeiten, in welcher Sequenz, zu welchen Zielen er upload.
Am 14. November 2025 öffnete der Analyst um 23:42 Uhr einen Report, an den er seit 18 Monaten nicht gerührt hatte. PatrolMind setzte einen ersten Hinweis. 23:51: ein zweiter, anderer Report — 0,74 Score, aber unter dem Schwellenwert. 23:58: ein dritter Report, exportiert als ZIP, plus ein Upload nach dropbox.com. Score: 0,94.
PatrolMind beendete die Sitzung, sperrte das Konto, rotierte die Service-Tokens und benachrichtigte den diensthabenden Analyst-on-Call und die HR-Hotline. Insgesamt: 47 Minuten zwischen der ersten Beobachtung und der vollständigen Eindämmung.
Mein Vorstand hat mich nicht für die DLP-Investition gelobt. Er hat mich für PatrolMind gelobt — weil es etwas gestoppt hat, das DLP nicht sehen konnte. Wir haben Kundenvertrauen gerettet, das man nicht zurückkaufen kann.
The results
Datenleck verhindert, nicht nur entdeckt
Keiner der drei Uploads erreichte die Außenwelt. Die ersten zwei wurden zwar als „verdächtig" markiert, aber unterhalb des Eingriffsschwellenwerts beobachtet; der dritte überschritt die Schwelle und wurde aktiv blockiert.
HR-Prozess mit forensischer Tiefe
PatrolMind übergab HR und Rechtsabteilung einen signierten Bericht mit Zeitstempeln, Datei-Hashes und einem Schritt-für-Schritt-Verhaltensprofil. Der disziplinarische Prozess war in vier Tagen abgeschlossen statt sechs Wochen.
Vorstands-Story für 2026
Der Vorfall wurde zur Eröffnungsfolie der jährlichen Cyber-Vorstandsschulung. Norden's CISO erklärte: „Hätten wir nur Regeln, hätten wir nur fest geprüfte Reports geschützt. Das hier hat menschliches Verhalten gelesen."
Ein einziger Mitarbeiter — nicht ein ganzes Team
PatrolMind isolierte präzise einen Account und eine Sitzung. Niemand anderes im Risk-Team hatte Auswirkungen. Keine Massensperrungen, keine Sonntagsausflüge zum Helpdesk.
What's running
Next story
Pulse Telecom — SOC-Konsolidierung