Angriff auf deutsche Bankkonten: Sieben Festnahmen in Deutschland, Brasilien und Europa

Sieben Festnahmen wegen eines Betrugs in Höhe von 30 Millionen Euro

Die deutschen und brasilianischen Behörden haben kürzlich sieben Festnahmen im Zusammenhang mit einem Angriff bekannt gegeben, bei dem Ende 2023 rund 30 Millionen Euro von den Bankkonten deutscher Nutzer erbeutet worden sein sollen.

Das deutsche Bundeskriminalamt (BKA) meldete die Festnahme von drei Verdächtigen in Europa. Die Vorwürfe betreffen einen Betrug zum Nachteil von Kunden von Online-Banking-Diensten. Die Strafverfahren gegen sie sollen in Spanien und Bulgarien eingeleitet werden – unter Beteiligung der örtlichen Behörden und der Staatsanwaltschaft Frankfurt am Main.

In Brasilien nahm die Polícia Federal im Rahmen der Operação Klonen, auch Operation Clone genannt, vier weitere Personen fest. Im Zuge der Operation wurden an verschiedenen Orten im Land 21 Durchsuchungs- und Beschlagnahmebeschlüsse vollstreckt.

Die mutmaßliche Beute beläuft sich auf rund 30 Millionen Euro beziehungsweise 34,7 Millionen US-Dollar. Die Summe verdeutlicht das finanzielle Ausmaß des Angriffs. Wie viel Geld sichergestellt oder zurückerlangt werden konnte, wurde jedoch nicht mitgeteilt.

Der Angriff konzentrierte sich auf die Zahlungskette

Nach den bisherigen Erkenntnissen des BKA waren die Angreifer im November 2023 über einen Zeitraum von vier Tagen aktiv. In dieser Zeit sollen sie zahlreiche nicht autorisierte Abhebungen von den Konten deutscher Nutzer von Online-Banking-Diensten vorgenommen haben.

Ausgenutzt worden sein soll eine Schwachstelle bei einem Zahlungsdienstleister. Welches Unternehmen den Dienst bereitstellte und welche technische Komponente verwundbar war, ist nicht bekannt. Die Behörden veröffentlichten keine Informationen zu Code, umgangener Authentifizierung, kompromittierten Systemen oder möglicherweise von den Angreifern eingesetzten Tools.

Diese Unterscheidung ist relevant. Der Vorfall wird nicht als einfacher Diebstahl von Zugangsdaten durch Phishing beschrieben, sondern als Angriff auf ein Element der Zahlungskette. Eine Schwachstelle auf dieser Ebene kann es ermöglichen, über einen einzigen Zugangspunkt mehrere Kunden anzugreifen – selbst wenn die Systeme der Bank nicht direkt kompromittiert wurden.

Die brasilianischen Behörden nannten zudem einen operativen Aspekt: den Einsatz geklonter Zahlungskarten. Unklar ist, ob die Karten dazu verwendet wurden, Geld direkt abzuheben, Beträge zwischen Konten zu verschieben oder Einkäufe zu tätigen, die später in Bargeld umgewandelt wurden.

Die betroffene Bank wurde offiziell nicht genannt

Keine der beteiligten Strafverfolgungsbehörden nannte öffentlich den Namen der betroffenen Bank. Deutsche und brasilianische Medien brachten die Ermittlungen jedoch mit der Commerzbank in Verbindung.

Die Bank hatte Ende 2023 einen Angriff mit einem Schaden von 30 Millionen Euro bestätigt und erklärt, dass Kunden keine Verluste erleiden würden. Weitere Einzelheiten zur neuen Phase der Ermittlungen wurden zunächst nicht mitgeteilt.

Die fehlende offizielle Identifizierung lässt mehrere Fragen offen: Es ist nicht bekannt, welcher konkrete Zahlungsdienstleister betroffen war, welche Systeme zur Autorisierung der Abhebungen verwendet wurden und ob der Vorfall eine einzelne Infrastruktur oder mehrere Intermediäre betraf.

Auch die Versionen der betroffenen Software wurden nicht veröffentlicht. Daher lässt sich der Vorfall keiner bestimmten Version, keinem Security Bulletin und keiner CVE-Kennung zuordnen.

Das Geld soll durch mehrere Länder geflossen sein

Nach den Abhebungen soll das Geld über Netzwerke in Brasilien und vier europäischen Ländern transferiert und gewaschen worden sein. Die geografische Verteilung der Aktivitäten erforderte eine Koordinierung zwischen Polizeibehörden und Staatsanwaltschaften mehrerer Staaten.

Die drei in Europa festgenommenen Verdächtigen sollen in Spanien und Bulgarien strafrechtlich verfolgt werden. An den Ermittlungen waren neben der Staatsanwaltschaft Frankfurt am Main auch die spanischen und bulgarischen Behörden beteiligt. In Brasilien richtete sich die Operation sowohl gegen die mutmaßlich Beteiligten als auch gegen Vermögenswerte, die mit den Erträgen aus dem Betrug erworben worden sein könnten.

Brasilianische Gerichte ordneten die Beschlagnahme von Finanzvermögen, Fahrzeugen und Immobilien im Wert von mehr als 20 Millionen US-Dollar an. Eine Beschlagnahme ist nicht gleichbedeutend mit einer endgültigen Rückgewinnung der Gelder: Die Vermögenswerte müssen im Rahmen der Strafverfahren bewertet werden. Über eine mögliche Einziehung wird gegebenenfalls später entschieden.

Die Ermittlungen brachten zudem mögliche Verbindungen zur lokalen Politik ans Licht. Eine von den Ermittlern identifizierte Person kandidierte 2024 für ein politisches Amt und soll einen Teil der illegalen Einnahmen zur Finanzierung des Wahlkampfs verwendet haben. Lokale Medien beschrieben die Person als Kandidaten für den Stadtrat von Rio de Janeiro, nannten jedoch keinen Namen.

Bei den Durchsuchungen wurde außerdem ein 3D-Drucker sichergestellt, der zur Herstellung von Waffen verwendet worden sein soll. Dieser Fund erweitert den Ermittlungsrahmen über Bankbetrug und Geldwäsche hinaus. Er belegt jedoch allein noch keinen operativen Zusammenhang zwischen der Waffenproduktion und dem Angriff auf die Konten.

Was Banken und Kunden tun können

Die verfügbaren Informationen nennen keine öffentlichen Patches, Updates oder Workarounds für die Schwachstelle des Zahlungsdienstleisters. Daher kann Nutzern keine bestimmte Version zur Installation oder Konfiguration zur Änderung empfohlen werden.

Für Kunden von Online-Banking-Diensten bleiben die praktischsten Maßnahmen die Kontrolle von Kontoauszügen und Zahlungsbenachrichtigungen – insbesondere für den Zeitraum, in dem die Abhebungen stattfanden. Unbekannte Kontobewegungen, ohne Antrag ausgestellte neue Karten oder verdächtige Anmeldeversuche sollten der Bank unverzüglich gemeldet werden.

Finanzinstitute sollten ihrerseits die Sicherheitskontrollen für externe Dienstleister überprüfen, die an der Autorisierung und Ausführung von Zahlungen beteiligt sind. Bei einem Angriff auf die Lieferkette reicht der Schutz der Bank allein nicht aus, wenn eine zwischengeschaltete Komponente betrügerische Transaktionen erzeugen oder validieren kann.

Zu den vorrangigen Prüfungen gehören die Trennung von Berechtigungen, die Überwachung ungewöhnlicher Abhebungen, dynamische Transaktionslimits sowie die Korrelation von Anmeldungen, Geräten, Karten und Empfängerdaten. Der öffentliche Ermittlungsstand erlaubt jedoch keine Aussage darüber, welche dieser Kontrollen bei dem Vorfall versagt haben.

Eine Untersuchung ohne technische Details

Die Festnahmen und Beschlagnahmungen zeigen, dass die Ermittler ein grenzüberschreitendes Netzwerk identifiziert haben. Die vollständige technische Dynamik des Eindringens ist jedoch weiterhin unklar. Offen sind unter anderem der Name des Zahlungsdienstleisters, die ausgenutzte Schwachstelle, die Methode zum Klonen der Karten und die Höhe der zurückerlangten Gelder.

Es gibt außerdem keine Hinweise darauf, dass diese Schwachstelle in den Katalog Known Exploited Vulnerabilities (KEV) der CISA aufgenommen wurde. Für diesen Fall sind daher weder ein Aufnahmedatum noch eine damit verbundene Frist zur Behebung der Schwachstelle verfügbar.

Der Fall wird derzeit vor allem als strafrechtliche Untersuchung wegen Betrugs, Geldwäsche und internationaler Geldtransfers behandelt. Die technische Rekonstruktion des Angriffs wird von den nächsten Mitteilungen der Behörden, den Gerichtsunterlagen und möglichen Veröffentlichungen der betroffenen Bank oder des Zahlungsdienstleisters abhängen.