Eine französische Bank verlor 100 Millionen Euro, weil ihre eigenen Konten es so sagten.

Crédit Mutuel Arkéa verlor rund 100 Millionen Euro an Betrüger, die nicht in einen Tresor einbrachen – sie nutzten die bankeigenen Konten, um das Geld zu überweisen. Das ist eine nützliche Erinnerung daran, dass der teuerste Softwarefehler selten derjenige ist, der Daten preisgibt. Es ist derjenige, der eine Zahlung autorisiert.

Crédit Mutuel Arkéa, eine französische Regionalbank, gab am 4. November bekannt, dass sie von einem Cyberangriff mit betrügerischen Transaktionen in Höhe von rund 100 Millionen Euro getroffen worden sei – nach aktuellem Kurs etwa 112 Millionen US-Dollar. Das Geld verließ die Bank nicht über einen Tresor. Es lief über die eigenen Konten der Bank, wurde auf andere Banken überwiesen und anschließend auf spezialisierten Plattformen in Kryptowährung umgewandelt.

Ein Teil der Gelder wurde eingefroren. Die Bank erklärt, weitere Maßnahmen zur Rückgewinnung seien im Gange. Kundenkonten wurden nicht kompromittiert, und Arkéa zufolge entstanden den Kunden keine Verluste.

Was tatsächlich geschah

Die Mechanismen sind wichtiger als die Zahl. Laut Agence France-Presse verschafften sich die Angreifer Zugang zu Arkéas eigenen Konten innerhalb der Bank und nutzten sie, um Überweisungen an andere Banken auszulösen. Diese Überweisungen wurden dann auf speziellen Handelsplattformen in Kryptowährungen überführt.

Arkéa schloss menschliches Versagen ausdrücklich aus. Der Vorfall wurde als „ein hochentwickelter Angriff von außen“ beschrieben.

Die Pariser Staatsanwaltschaft hat ein förmliches Ermittlungsverfahren wegen eines organisierten Angriffs auf ein automatisiertes Datenverarbeitungssystem eingeleitet – der französische Straftatbestand, der diese Art von Eindringen abdeckt.

Die Bank erklärte außerdem, dass die endgültige Summe noch geprüft werde und dass sie nicht groß genug sei, um die finanzielle Gesundheit der Gruppe zu gefährden. Arkéa meldete für das erste Halbjahr dieses Jahres einen Nettogewinn von 230 Millionen Euro.

Unterdessen veröffentlichte der unabhängige Blockchain-Ermittler ZachXBT Anfang der Woche Details zu dem Betrug in seinen Social-Media-Konten und erklärte, die gestohlenen Gelder seien über mehrere bei Krypto-Börsen eröffnete Konten geleitet worden.

Das Versagen lag bei der Autorisierung, nicht bei der Vertraulichkeit

Lesen Sie diese Abfolge noch einmal, denn sie stellt das mentale Modell auf den Kopf, das die meisten Organisationen in Bezug auf Cyberrisiken noch immer mit sich herumtragen.

Niemand hat eine Datenbank gestohlen. Niemand hat Kundendatensätze veröffentlicht. Bei der Kompromittierung ging es überhaupt nicht um Vertraulichkeit – es ging um Autorisierung. Die Angreifer waren darauf angewiesen, dass die Systeme der Bank glaubten, ein Überweisungsauftrag sei legitim, und irgendwann taten diese Systeme genau das.

Das ist die teure Kategorie. Datenverlust ist ein rechtliches und reputationsbezogenes Problem mit einem bekannten Playbook. Eine autorisierte Push-Zahlung ist Geld, das bereits abgeflossen ist, auf einer Schiene, die auf Unumkehrbarkeit ausgelegt ist, und der einzige Grund, warum überhaupt jemand etwas zurückbekam, ist, dass ein Teil eingefroren wurde, bevor es weiter gewaschen werden konnte.

Jede Banking-Plattform basiert auf einer einfachen Annahme: Wenn die Anweisung über den richtigen Kanal eingeht und von der richtigen Identität signiert ist, ist sie echt. Angreifer haben gelernt, dass der billigste Weg zum Geld nicht darin besteht, das Schloss zu überwinden – sondern darin, die Person zu werden, für die sich das Schloss öffnet.

Das ist auch der Grund, warum „Wir wurden nicht kompromittiert, keine Kundendaten wurden offengelegt“ sowohl wahr als auch unerheblich sein kann. Arkéa kann das ehrlich sagen und trotzdem 100 Millionen Euro ärmer sein.

Warum die Krypto-Schiene heute Standard ist

Die zweite Hälfte der Geschichte handelt davon, wie gestohlenes Geld im Jahr 2026 gewaschen wird, und das geht schneller als früher.

Die Gelder wurden auf spezialisierten Plattformen in Kryptowährung umgewandelt. Von dort aus, sagen Ermittler, wurden sie über mehrere Exchange-Konten verteilt. Krypto ist für eine kriminelle Operation aus drei Gründen attraktiv: Die Abwicklung ist schnell, Überweisungen überschreiten Grenzen, ohne dass eine Korrespondenzbank Fragen stellt, und eine Kette von Exchange-Konten schafft Distanz zwischen dem Diebstahl und der Auszahlung.

Es ist nicht anonym — die Blockchain-Analyse ist genau das, womit ZachXBT und andere die Route beschreiben konnten —, aber es ist schnell, und Geschwindigkeit ist das, was ein Dieb braucht, bevor das Betrugsteam einer Bank seinen ersten Anruf beendet hat.

Deshalb ist das schnelle Einfrieren von Geldern genauso wichtig wie die Verhinderung der ursprünglichen Überweisung. Die Erkennungslatenz, nicht die Stärke des Perimeters, bestimmte, wie viel von diesem Geld zurückkam.

Was das bedeutet, wenn Sie Software kaufen

Die meisten Leser dieses Textes werden nie eine Bank führen. Doch dieselbe strukturelle Frage liegt jedem System zugrunde, das Geld bewegt, einen Anspruch genehmigt, einen Auftrag freigibt oder einen Datensatz im Namen von jemandem ändert: Was bringt dieses System dazu, eine Anweisung für legitim zu halten, und wie schnell würden Sie merken, wenn sie falsch wäre?

Vier Dinge sollten in jedem System geprüft werden, das Sie kaufen oder bauen.

Reicht eine einzige kompromittierte Zugangsberechtigung aus, um eine große Überweisung zu autorisieren? Wenn eine einzige gültige Anmeldung eine unwiderrufliche Zahlung auslösen kann, ist die Sicherheit des Systems die Sicherheit dieser einen Anmeldung. Genehmigungslimits, Bestätigung durch eine zweite Partei bei Anweisungen mit hohem Wert und Out-of-Band-Verifizierung sind keine Bürokratie – sie sind der Unterschied zwischen einem Ärgernis und einem Verlust in neunstelliger Höhe.

Kann eine Anweisung über einen vertrauenswürdigen Kanal gefälscht werden? Die interessanten Angriffe sehen nicht wie Angriffe aus. Sie kommen als korrekt formatierte Anfrage von einer Quelle, der das System bereits vertraut. Wenn Ihr Design davon ausgeht, dass alles, was auf dem internen Kanal eintrifft, authentisch ist, haben Sie das Sicherheitsproblem an jeden verlagert, der diesen Kanal erreichen kann.

Wie lange dauert es, bis jemand es bemerkt? Arkéas Schaden wurde dadurch begrenzt, wie viel eingefroren wurde, und das ist eine Funktion der Zeit. Anomalieerkennung, die in Minuten statt Tagen anschlägt, ist mehr wert als eine weitere Präventionsebene, die niemand überwacht.

Ist der Wiederherstellungspfad real oder nur auf dem Papier? „Wir haben einen Plan“ ist keine Kontrolle. Welche Konten können eingefroren werden, über welche Gegenparteien, innerhalb welches Zeitfensters, und wer hat die Befugnis, diese Entscheidung um zwei Uhr morgens zu treffen — das ist nur dann eine Kontrolle, wenn sie geprobt wurde.

Der Satz, auf den wir immer wieder zurückkommen

Vorfälle wie dieser werden üblicherweise als Technologiegeschichte berichtet. Genauer betrachtet sind sie eine Geschichte über Vertrauen, das am falschen Ort, im falschen Moment, von Software gesetzt wurde, die genau das tat, was ihr gesagt wurde.

Das ist die Lücke, die Sicherheitsarbeit schließen soll, und es ist die Lücke, gegen die wir vom ersten Commit an bauen. Bei ABN Asia erhalten Sie nicht einfach nur Software. Sie erhalten sichere Software – bedrohungsmodelliert vor der Feature-Liste, getestet gegen feindliche Pfade ebenso wie gegen Happy Paths und gehärtet, bevor sie überhaupt zu Ihnen gelangt.

Eine Bank mit 230 Millionen Euro Halbjahresgewinn, hochentwickelten Systemen und einer voll ausgestatteten Sicherheitsfunktion kann in einer einzigen Nacht dennoch 100 Millionen Euro verlieren. Die Frage, die man sich bei Ihrem eigenen Stack stellen sollte, ist nicht, ob Sie ein Ziel sind. Sie lautet, was Ihre Systeme tun würden, wenn die Anweisung echt aussähe.

Quellen: Berichterstattung von Agence France-Presse über die Offenlegung von Crédit Mutuel Arkéa vom 4. November 2026; Erklärungen der Bank und der Pariser Staatsanwaltschaft; öffentliche Berichterstattung des Blockchain-Ermittlers ZachXBT.

Bitte beachten Sie, dass die deutsche Version von Ai unterstützt wird und daher geringfügige Fehler auftreten können.

AUTOR

Über ABN Asia: Ai-Banking-NetworkSecurity (ABN), ABN Asia wurde im Jahr 2012 gegründet und ist ein Unternehmen mit akademischem Hintergrund, das von Lehrkräften und ehemaligen Studierenden aus Ungarn, den Niederlanden, Russland, Deutschland und Japan gegründet wurde. Wir teilen eine gemeinsame Leidenschaft und eine klare Vision für Technologie, die Innovation und erstklassige Qualität für unsere Kunden bringt. Unser Motto lautet: Besser. Schneller. Sicherer. In vielen Fällen: Günstiger.

Zögern Sie nicht, uns zu kontaktieren, wenn Sie IT-Dienstleistungen, digitale Beratung, Standardsoftwarelösungen benötigen oder uns Angebotsanfragen (RFPs) senden möchten. Sie können uns unter [email protected] kontaktieren. Wir sind bereit, Ihnen bei all Ihren Technologiebedürfnissen zu helfen.

© ABN ASIA