Aktuell | Handel und Geld | c't

MOVEit-Lücke: Auch deutsche Banken betroffen

Über Zero-Day-Exploits in der Datentransfer-Software von Progress sind Daten deutscher Bankkunden abgeflossen. Betroffene sollten besonders wachsam sein.

Mithilfe der kürzlich bekannt gewordenen Sicherheitslücken in der Software MOVEit (c’t 17/2023, S. 42) haben Cyberkriminelle auch Bankdaten erbeutet. Betroffen ist nach aktuellem Stand eine insgesamt fünfstellige Anzahl von Kunden der Deutschen Bank, Postbank, Comdirect, ING sowie einiger Sparda-Banken. Die Kunden hatten in den Jahren 2016 bis 2018 sowie 2020 den gesetzlichen Kontowechselservice in Anspruch genommen; andere Angebote sind nicht betroffen. Durchgeführt hatte den Service für alle genannten Banken die KWS Kontowechsel Service GmbH (Kontowechsel24.de). Bei diesem Drittdienstleister kam fatalerweise MOVEit zum Einsatz. Die luxemburgische Muttergesellschaft Majorel Group S.A. bestätigte das Datenleck auf Anfrage gegenüber heise online.

Wer in den vergangenen Wochen Nachricht von seiner Bank bekommen hat, dass Daten entwendet wurden, sollte vor allem auf betrügerische Lastschriften achten.

Die Kreditinstitute haben die Kunden, deren Daten die Eindringlinge kopiert haben, nach eigener Aussage bereits informiert. Nach Angaben der Deutschen Bank erbeuteten die Täter den Vor- und Nachnamen sowie die IBAN der Betroffenen. Mit Namen und IBAN allein könnten die Täter zwar keine Konten übernehmen, die Daten lassen sich aber für Bestellungen per Lastschrift in Onlineshops missbrauchen. Grundsätzlich sind auch direkte Abbuchungen denkbar, dafür benötigen die Täter allerdings zusätzlich eine Gläubiger-ID der Bundesbank.