BKA: Festnahmen nach Online-Banking-Hack über Schwachstelle

Eigentlich gilt Online-Banking in Deutschland und Europa als sicher, da Transaktionen über separate Freigaben abgesichert werden. Ein Bug nach einem Software-Update im Jahr 2023 ermöglichte Online-Überweisungen in Millionenhöhe, ohne Transaktionen, bei deutschen Bankkunden. Nun hat das BKA einen Ermittlungserfolg vermelden können und drei Beschuldigte in Europa identifiziert. Auch in Brasilien gab es Verhaftungen.

Online-Banking in 2023 ohne Freigabe möglich

Der Fall spielte bereits im Jahr 2023, als deutsche Bankkunden plötzlich Abflüsse auf ihren Online geführten Bankkonten feststellen mussten. Cyberkriminellen war es im November 2023 gelungen, eine Schwachstelle bei einem Zahlungsdienstleister auszunutzen. Innerhalb weniger Tage konnte eine Vielzahl nicht autorisierter Abbuchungen von den Konten deutscher Online-Banking-Nutzer ausgeführt werden. Das Ausmaß des Schadens liegt im Millionenbereich.

Auf Grund der Zahl der Vorfälle und des Schadens in Millionenhöhe war schnell klar, dass da Kunden nicht durch die Betrüger ausgelöste Transaktionen irrtümlich bestätigt haben konnten. Das BKA begann zu ermitteln und versuchte zunächst die technischen Abläufe hinter den Buchungsvorgängen und Finanztransaktionen zu eruieren. Wie konnten Buchungen ohne Autorisierung durch den Konteninhaber ausgelöst werden?

Nach bisherigen Erkenntnissen des BAK haben die international organisierten Täter eine durch ein fehlerhaftes Softwareupdate entstandene Schwachstelle im Buchungsprozess eines Zahlungsdienstleister unmittelbar ausgenutzt. Diese ermöglichte in einem Zeitfenster von nur vier Tagen zahlreiche unbefugte Abbuchungen.

Die Täter leiteten die Gelder konzertiert über ein kriminelles Betrugsnetzwerk hauptsächlich nach Brasilien, wo ein Großteil der Schadensumme nach verschiedenen Verschleierungsversuchen ausgezahlt wurde. Ähnlich handelten die Täter mit einem kleineren Teil der Beute in vier europäischen Ländern.

Das BKA nennt keine Details zu Zahlungsdienstleister. In diesem Artikel wird von einem Vorfall "in einem Service-Provider-Umfeld berichtet, den Kriminelle ausgenutzt haben, um Gelder aus Online-Konten von Commerzbank-Kunden" abfließen zu lassen. Interessant ist dieser Artikel von Januar 2026, der weit vor der obigen BKA-Meldung einen "Girocard-GAU" nennt, bei dem ein signifikanter zweistelliger Millionenbetrag als Schaden entstanden sei und Kriminelle aus Brasilien involviert waren. Ich habe auch vernommen, dass Maestro POS-Zahlungen manipulativ missbraucht werden konnten (hier hinter einer Abo-Wall). Die Zusammenfassung: Kriminelle aus Brasilien nutzen gefälschte Girocards mit Maestro-Co-Badge-Funktion. Wegen einer Autorisierungslücke wurden die betrügerischen Abbuchungen vom System fälschlicherweise zugelassen. Das sind aber alles keine belastbaren Informationen, auch wenn alles ins Bild des obigen Sachverhalts passt.

Fahndungserfolg des BKA

Fast drei Jahre später kann jetzt ein Erfolg verzeichnet werden. Deutsche Strafermittler, u.a. die Generalstaatsanwaltschaft Frankfurt am Main – Zentralstelle zur Bekämpfung der Internetkriminalität (ZIT) – und das Bundeskriminalamt (BKA) –haben in einem bereits im Jahr 2023 eingeleiteten Ermittlungsverfahren wegen des Verdachts des Computerbetruges im Online-Banking drei Tatverdächtige in Europa identifiziert.

Den Beschuldigten wird vorgeworfen, im November 2023 durch das Ausnutzen einer Schwachstelle bei einem Zahlungsdienstleister innerhalb weniger Tage eine Vielzahl nicht autorisierter Abbuchungen von den Konten deutscher Online-Banking-Nutzer ausgeführt zu haben.

Dazu schreibt das BKA in dieser Mitteilung, dass die Beschuldigten nun in Spanien und Bulgarien durch die dortigen Strafverfolgungsbehörden zur Verantwortung gezogen werden. Offenbar reichte das Netzwerk bis nach Brasilien, denn die  Behörden gingen in diesem Land, unterstützt durch das Bundeskriminalamt, am 13. August 2026 in einer großangelegten Aktion gegen das kriminelle Netzwerk vor. Dabei wurden vier mutmaßliche Mitglieder verhaftet und insgesamt 21 Objekte in sieben Städten durchsucht. Die Erkenntnisse aus den Maßnahmen in Brasilien werden auch in weitere Ermittlungen in Deutschland einfließen.