Angriffe auf Bankzahlungen: Vier Festnahmen in Brasilien wegen Betrugs in Höhe von 30 Millionen Euro

Die Operation zwischen Brasilien und Deutschland

Vier mutmaßliche Cyberkriminelle sind in Brasilien im Rahmen einer von der brasilianischen Polícia Federal und dem deutschen Bundeskriminalamt (BKA) koordinierten Untersuchung festgenommen worden. Drei weitere Verdächtige wurden in Europa identifiziert und könnten in Spanien und Bulgarien strafrechtlich verfolgt werden.

Die unter dem Namen Operation Klonen durchgeführte Operation führte zur Vollstreckung von 21 Durchsuchungs- und Beschlagnahmebeschlüssen in sieben brasilianischen Städten. Die Festnahmen erfolgten in Rio de Janeiro, Guarulhos, Goiânia und Carapicuíba.

Den Beschuldigten werden schwerer Diebstahl mittels Computerbetrugs, die Beteiligung an einer kriminellen Vereinigung und Geldwäsche vorgeworfen. Ein brasilianisches Bundesgericht ordnete außerdem die Beschlagnahme von Finanzmitteln, Fahrzeugen und Immobilien im Wert von bis zu 106 Millionen brasilianischen Real an – umgerechnet rund 22,4 Millionen US-Dollar.

Die Ermittlungen betreffen eine über vier Tage im November 2023 durchgeführte kriminelle Operation. Der Gesamtschaden wird auf rund 30 Millionen Euro beziehungsweise 34,6 Millionen US-Dollar geschätzt.

Eine durch ein fehlerhaftes Update eingeführte Schwachstelle

Nach den bisherigen Ermittlungsergebnissen sollen die Angreifer eine Schwachstelle ausgenutzt haben, die nach der Installation eines fehlerhaften Software-Updates bei einem Dienstleister auftrat.

Die betroffene Komponente war Teil der Infrastruktur, die ein Finanzinstitut zur Verarbeitung von Zahlungen und Transaktionen einsetzte. Das Problem soll es ermöglicht haben, zahlreiche nicht autorisierte Lastschriften oder Abhebungen von deutschen Onlinebanking-Konten auszulösen.

Der Fall wird daher nicht als einfacher Diebstahl von Zugangsdaten der Kontoinhaber beschrieben. Der eigentliche Einstiegspunkt soll ein Fehler in der Technologiekette des Dienstleisters gewesen sein – innerhalb eines Systems mit Zugriff auf Zahlungsströme.

Weder die Identität des Dienstleisters noch die betroffenen Softwareversionen wurden bekannt gegeben. Ebenso sind bislang weder ein Patch noch ein Korrektur-Update oder ein technischer Workaround für die Betreiber der Plattform bekannt.

Die deutschen Behörden haben das betroffene Finanzinstitut nicht öffentlich benannt. Brasilianische Medien brachten den Fall mit Commerzbank in Verbindung, einer europäischen Bank mit einem Jahresumsatz von mehr als 11,1 Milliarden Euro.

Die Bank bestätigte, dass einige ihrer Kunden von nicht autorisierten Lastschriften betroffen waren, die durch technische Probleme bei einem Dienstleister verursacht wurden. Commerzbank betonte jedoch, dass den Kontoinhabern kein finanzieller Schaden entstanden sei, und erklärte, mit den Ermittlern zusammenzuarbeiten.

Von der Abhebung zum Geldtransfer

Die Täter sollen zahlreiche Abhebungen von verschiedenen Onlinebanking-Konten veranlasst und das Geld anschließend über ein Netzwerk nach Brasilien transferiert haben, das die Rückverfolgung seiner Herkunft erschweren sollte.

Der größte Teil der Gelder soll in Brasilien abgehoben worden sein. Ein kleinerer Anteil wurde offenbar in vier europäischen Ländern in Bargeld umgewandelt.

Für die Geldwäsche sollen mehrere finanzielle und gesellschaftliche Ebenen genutzt worden sein: Transitkonten, Unternehmen, Zahlungsinstitute, Plattformen für virtuelle Vermögenswerte und ohne Zustimmung der Begünstigten ausgestellte Zahlungskarten.

Diese Struktur soll es ermöglicht haben, den ursprünglichen Kontozugriff von den späteren Transfer- und Auszahlungsphasen zu trennen. Das Geld konnte dadurch mehrere Vermittler durchlaufen, bevor es abgehoben oder umgewandelt wurde, was die forensische Analyse erschwerte.

Die Beteiligung von Akteuren in mehreren Ländern erklärt die Zusammenarbeit zwischen der Polícia Federal und dem BKA. Den Festnahmen in Brasilien sollen Verfahren in Spanien und Bulgarien folgen, wo drei weitere Verdächtige identifiziert wurden.

Ermittlungen mit politischen Folgen

Zu den Festgenommenen gehört eine Person, die 2024 für ein politisches Amt kandidierte. Nach Angaben der Ermittler soll ein Teil der illegal erlangten Gelder zur Finanzierung des Wahlkampfs verwendet worden sein.

Dieser Aspekt verleiht einem ursprünglich als Zahlungsbetrug eingestuften Fall eine zusätzliche politische Dimension. Die Beschlagnahme von Vermögenswerten im Wert von bis zu 106 Millionen brasilianischen Real soll nicht nur der Rückgewinnung eines Teils der Gelder dienen, sondern auch verhindern, dass das angesammelte Vermögen transferiert oder beiseitegeschafft wird.

Der Wert der beschlagnahmten Vermögenswerte liegt über dem in Euro geschätzten Schaden. Die beiden Beträge sind jedoch nicht unmittelbar vergleichbar: Die brasilianische Maßnahme betrifft Finanzmittel und Vermögenswerte, die den Beschuldigten zugeordnet werden, und nicht zwangsläufig Geld, das sich noch auf den für den Betrug verwendeten Konten befindet.

Die Ermittlungen müssen nun die genaue Rolle jedes Verdächtigen, die Herkunft der Gelder sowie die Verbindung zwischen den in Brasilien festgenommenen Personen und den in Europa identifizierten Akteuren klären.

Das Risiko für Banken und Dienstleister

Der Vorfall verdeutlicht die Risiken von Software-Updates, die von Dienstleistern bereitgestellt werden, die innerhalb kritischer Finanzprozesse tätig sind. Ein Fehler in einer Verarbeitungsplattform kann wesentlich weitreichendere Folgen haben als eine herkömmliche Anwendungsschwachstelle.

Wenn eine Komponente Zahlungen, Lastschriften oder Überweisungen verarbeitet, kann sich ein Fehler unmittelbar auf die Integrität der Transaktionen auswirken. Die Angriffsfläche umfasst dann nicht nur die Systeme der Bank, sondern auch den Code, die Zugänge und die Kontrollprozesse des Dienstleisters.

Der Fall zeigt außerdem, wie schwierig es sein kann, eine technische Fehlfunktion frühzeitig von einer betrügerischen Handlung zu unterscheiden. Ein fehlerhaftes Update kann operative Abläufe verändern; Angreifer können diese Situation ausnutzen und die Anomalie in eine koordinierte Abfolge von Transaktionen verwandeln.

Eine Kontextzahl aus dem Blue Report 2026 zeigt, dass Abwehrmechanismen Aktivitäten von Angreifern nach einem mit gültigen Zugangsdaten erlangten Erstzugriff nur in 37 Prozent der Fälle stoppen. Die Statistik basiert auf 338 Millionen Simulationen in Produktionsumgebungen von Kunden und bezieht sich auf die Abwehr einzelner Techniken.

Die Zahl misst diesen Vorfall nicht direkt, hilft aber zu verstehen, warum ein legitimer oder scheinbar legitimer Zugriff auf Finanzsysteme lange genug bestehen bleiben kann, um komplexe Betrugsaktionen zu ermöglichen.

Was Organisationen überprüfen können

Es wurden weder anfällige Versionen noch technische Indikatoren, Dateinamen, Adressen oder andere Informationen veröffentlicht, die eine sofortige Suche in den Systemen ermöglichen würden. Daher lässt sich der Fall keiner konkreten Patch- oder Erkennungsregel zuordnen.

Banken und Dienstleister, die an Zahlungsprozessen beteiligt sind, können dennoch die in der Zeit vor der kriminellen Operation installierten Updates überprüfen und Änderungen mit ungewöhnlichen Spitzen bei Lastschriften und Abhebungen abgleichen.

Besonders relevant sind außerdem Kontrollen auf:

• wiederholte Transaktionen zu neu eingerichteten Konten;
• Überweisungen an Vermittler oder Plattformen für virtuelle Vermögenswerte;
• ungewöhnliche Ausstellung von Zahlungskarten;
• Zugriffe mit gültigen Zugangsdaten, auf die nicht dem üblichen Profil entsprechende Transaktionen folgen;
• plötzliche Änderungen bei Begünstigten oder Verfügungsrahmen.

Der Dienstleister sollte außerdem nachvollziehbar dokumentieren können, welche Komponenten aktualisiert wurden, welche technischen Konten auf den Systemen aktiv waren und welche Kontrollen die Transaktionen freigegeben haben.

Derzeit sind vor allem Ermittlungs- und Justizmaßnahmen bekannt: internationale Zusammenarbeit, Festnahmen, Durchsuchungen und Vermögensbeschlagnahmen. Unklar ist, ob der Dienstleister eine Fehlerbehebung bereitgestellt, die Servicearchitektur geändert oder zusätzliche Kontrollen für Zahlungsvorgänge eingeführt hat.