iframe vs Csrf

Ich verstehe den Ausflug in Richtung Iframe/X-frame-options nicht.(https://media.ccc.de/v/rc3-11392-the_weakest_link, ab Minute 48)

Der dargestellte Angriff sollte doch auch ohne iframes funktionieren wenn es eine Csrf Schwachstelle gibt, oder?