Die brasilianische Bundespolizei hat im Rahmen der „Operation Klonen“ vier mutmaßliche Cyberkriminelle festgenommen, die eine Sicherheitslücke bei einem Dienstleister ausgenutzt haben sollen, um rund 30 Millionen Euro von deutschen Bankkonten abzuheben. Die Festnahmen erfolgten in mehreren brasilianischen Städten, während drei weitere Verdächtige in Europa angeklagt wurden. Der komplexe Betrug, der im November 2023 über vier Tage hinweg stattfand, zielte auf Kunden der Commerzbank ab, wie brasilianische Medien unter Berufung auf Ermittlungskreise berichten.
Wie die Täter die Dienstleister-Lücke ausnutzten
Den Ermittlungen zufolge drangen die Hacker in das Zahlungs- und Transaktionsverarbeitungssystem eines Finanzinstituts ein, indem sie eine Schwachstelle ausnutzten, die durch ein fehlerhaftes Software-Update bei einem Dienstleister entstanden war. Diese Sicherheitslücke ermöglichte es den Angreifern, unautorisierte Lastschriften von den Konten zahlreicher deutscher Online-Bankinga-Kunden anzustoßen. Die gestohlenen Gelder wurden anschließend über ein weit verzweigtes Netzwerk nach Brasilien transferiert, um deren Herkunft zu verschleiern. Der größte Teil der Summe wurde in Brasilien abgehoben, ein kleinerer Teil in vier europäischen Ländern.
Die Rolle des Dienstleisters und die Verantwortung der Bank
Die Commerzbank bestätigte auf Nachfrage, dass die betrügerischen Abbuchungen auf „technische Probleme bei einem Dienstleister“ zurückzuführen seien. Ein Sprecher des Geldhauses stellte jedoch klar, dass die Kunden keinen finanziellen Schaden erlitten: „Der Betrugsfall ist bekannt und liegt aus dem Jahr 2023 vor. Aufgrund technischer Probleme bei einem Dienstleister wurden unbefugte Lastschriften von Kundenkonten vorgenommen. Für die Kunden entstand kein finanzieller Verlust. Wir haben eng und umfassend mit den Behörden zusammengearbeitet.“ Die Bank selbst hatte die Kunden offenbar zeitnah entschädigt, was in der Branche als Standardprozedere bei solchen Sicherheitsvorfällen gilt.
Warum die Täter ausgerechnet Brasilien als Ziel wählten
Die brasilianische Bundespolizei identifizierte das südamerikanische Land als Hauptziel für die Auszahlung der Gelder. Die Ermittler gehen davon aus, dass die Täter ein komplexes Netzwerk aus Zwischenkonten, Firmen, Zahlungsinstituten und Plattformen für virtuelle Vermögenswerte nutzten, um die Beute zu waschen. Zudem kamen Zahlungskarten zum Einsatz, die ohne Zustimmung der tatsächlichen Karteninhaber ausgestellt worden waren. Ein besonders pikantes Detail: Die Behörden stellten fest, dass einer der Festgenommenen im Jahr 2024 für ein politisches Amt kandidierte und einen Teil der illegalen Gelder für seinen Wahlkampf verwendete.
Die Operation Klonen und internationale Zusammenarbeit
Die brasilianische Bundespolizei startete die „Operation Klonen“ mit Unterstützung des deutschen Bundeskriminalamts (BKA). Dabei wurden 21 Durchsuchungs- und Beschlagnahmebeschlüsse in sieben brasilianischen Städten vollstreckt. Die Festnahmen der vier Hauptverdächtigen erfolgten in Rio de Janeiro, Guarulhos, Goiânia und Carapicuíba. Die Beschuldigten müssen sich nun unter anderem wegen schweren Diebstahls durch elektronischen Betrug, Mitgliedschaft in einer kriminellen Vereinigung und Geldwäsche verantworten. Ein brasilianisches Bundesgericht ordnete zudem die Beschlagnahmung von Vermögenswerten, Fahrzeugen und Immobilien im Wert von umgerechnet rund 22,4 Millionen US-Dollar (106 Millionen Brasilianische Real) an.
Welche Sicherheitslücke wurde ausgenutzt?
Nach Angaben des BKA handelte es sich um eine Schwachstelle in der Software eines Dienstleisters, der für die Zahlungsabwicklung zuständig war. Diese Lücke wurde durch ein fehlerhaftes Update in das System eingebracht. Die Täter nutzten diese Schwachstelle aus, um direkte Lastschriften von den Konten der Commerzbank-Kunden auszulösen, ohne dass die eigentlichen Kontoinhaber die Transaktionen autorisierten. Der Fall zeigt, dass selbst große Finanzinstitute anfällig für Angriffe über Drittanbieter sein können, was Fragen zur Sicherheitsarchitektur und den Prüfprozessen bei der Integration externer Zahlungsdienstleister aufwirft.
Zukünftige Implikationen für die Finanzbranche
Der Vorfall unterstreicht die wachsende Bedrohung durch Angriffe auf die Lieferkette von Finanzdienstleistern. Die Tatsache, dass die Täter die Sicherheitslücke über einen Zeitraum von vier Tagen ausnutzen konnten, bevor der Betrug bemerkt wurde, verdeutlicht die Notwendigkeit von Echtzeit-Überwachungssystemen und strengeren Sicherheitsprotokollen bei der Aktualisierung von Zahlungsplattformen. Die drei in Europa angeklagten Verdächtigen, die in Spanien und Bulgarien vor Gericht gestellt werden, könnten weitere Details über die internationale Dimension des Netzwerks preisgeben. Die Finanzbranche muss ihre Abhängigkeit von externen Dienstleistern kritisch überprüfen und Sicherheitsupdates künftig unter deutlich strengeren Auflagen durchführen, um derartige Angriffswellen zu verhindern.
