V-Bank informiert Kunden nach Cyberangriff über Datenzugriff

Cyberangriff auf externen IT-Dienstleister der V-Bank 

Die V-Bank hat ihre Kunden über den Abschluss forensischer Untersuchungen nach einem Cyberangriff informiert. Ziel des Angriffs war nach Angaben des Instituts ein externer IT-Dienstleister, über den sich Unbefugte Zugriff auf Daten der V-Bank verschafft hätten. Die Bank bezeichnet den Vorfall als „professionell durchgeführten kriminellen Angriff“. Die Ermittlungen durch Cybersecurity-Spezialisten einer renommierten Wirtschaftsprüfungsgesellschaft seien inzwischen abgeschlossen. 

Vermögenswerte und Bestände waren jederzeit sicher

Für Kunden besonders relevant: Nach Angaben der V-Bank waren Vermögenswerte und Bestände jederzeit sicher. Auch die Kernsysteme der Bank seien zu keinem Zeitpunkt kompromittiert gewesen. Betroffen sind dagegen bestimmte personenbezogene Daten von Kunden. 

Welche Kundendaten betroffen sind 

Nach dem Abschluss der tiefenforensischen Untersuchungen hat die V-Bank nach eigenen Angaben festgestellt, dass mehrere Kategorien personenbezogener Daten betroffen sind. Dazu gehören Namen von Kontoinhaberinnen und Kontoinhabern, Geburtsdaten sowie Kontaktdaten wie Postanschriften, E-Mail-Adressen und Telefonnummern. Darüber hinaus wurden kontobezogene Informationen kompromittiert. Dazu zählen nach Angaben der Bank auch Referenzkontoinformationen sowie Angaben zum Vermögensstatus und zu Transaktionsdaten. Betroffen sind außerdem Personenverknüpfungen, etwa Verbindungen eines Kontos zu anderen Personen. Die V-Bank nennt dabei unter anderem Bevollmächtigte und wirtschaftlich Berechtigte, die von der Bank separat informiert werden sollen. 

Kein Hinweis auf Missbrauch der Daten 

Die V-Bank erklärt zugleich, dass ihr derzeit keine Hinweise auf eine missbräuchliche Verwendung der betroffenen Daten vorliegen. Dennoch sieht das Institut ein erhöhtes Risiko für gezielte Betrugsversuche. Kriminelle könnten bekannte personenbezogene Informationen beispielsweise nutzen, um sich bei einem Kontakt per E-Mail, Telefon, SMS oder Brief besonders glaubwürdig auszugeben. Nach Einschätzung der Bank könnten die erlangten Informationen dazu verwendet werden, Anfragen gegenüber Kunden zu authentisch erscheinen zu lassen. Wichtig ist nach Angaben der V-Bank außerdem: Die bloße Kenntnis einzelner betroffener personenbezogener Daten ermögliche keinen Zugriff auf die Konten oder Depots bei der Bank. 

V-Bank schaltet Endkunden-App ab 

Die Bank hat nach dem Vorfall mehrere Maßnahmen ergriffen, um mögliche Auswirkungen zu begrenzen und die Sicherheit ihrer Systeme zu erhöhen. Dazu zählen die Überwachung des Darknets, die Einbindung von Cybersecurity-Spezialisten sowie zusätzliche technische und organisatorische Sicherheitsmaßnahmen. Außerdem wurden die zuständigen Aufsichts- und Strafverfolgungsbehörden informiert. Die Zusammenarbeit mit dem betroffenen IT-Dienstleister wurde beendet. Darüber hinaus wurde die bisherige Endkunden-App vorsorglich außer Betrieb genommen. Das Online-Banking könne weiterhin über mobile Endgeräte genutzt werden, heißt es von der V-Bank. 

Kundenservice und Back Office wurden personell verstärkt

Auch der Kundenservice und das Back Office wurden personell verstärkt. Rückfragen sollen dadurch zeitnah bearbeitet und bewährte Sicherheitsverfahren weiter unterstützt werden. Im Zahlungsverkehr und Handel werden Aufträge der Bank zufolge regelbasiert überprüft, um bei Auffälligkeiten Rückfragen zu stellen oder gegebenenfalls eingreifen zu können. Zusätzlich soll die Sicherheitsarchitektur gemeinsam mit einer renommierten Beratungsgesellschaft grundlegend überprüft und bei Bedarf weiter ausgebaut werden. 

Bank warnt vor Phishing und Social Engineering 

Für Kunden steht nun vor allem die Gefahr im Vordergrund, dass die erbeuteten Daten für Phishing oder Social Engineering verwendet werden. Die V-Bank empfiehlt deshalb besondere Vorsicht bei unerwarteten E-Mails, SMS, Anrufen oder Briefen. Dies gilt insbesondere dann, wenn persönliche Daten, Passwörter, PINs, TANs oder andere Zugangsdaten abgefragt werden. Kunden sollten die Identität von Absendern oder Anrufern sorgfältig prüfen und für Rückfragen ausschließlich bekannte und verlässliche Kontaktwege nutzen. Von Links oder Telefonnummern aus verdächtigen Nachrichten rät die Bank ausdrücklich ab. Besonders aufmerksam sollten Kunden nach Angaben des Instituts bei Nachrichten sein, die konkrete Informationen zur eigenen Person, zur Geschäftsbeziehung oder zu angeblichen Sicherheitsmaßnahmen enthalten. Gerade solche Angaben könnten genutzt werden, um einen besonders glaubwürdigen Eindruck zu erzeugen. Auch die regelmäßige Kontrolle von Konto- und Depotbewegungen gehört zu den empfohlenen Vorsichtsmaßnahmen. Auffällige oder nicht nachvollziehbare Transaktionen sollen der Bank umgehend gemeldet werden. 

V-Bank fragt Kunden nicht nach Passwort, PIN oder TAN

Besonders deutlich fällt der Sicherheitshinweis der Bank zu Zugangsdaten aus: Die V-Bank werde Kunden niemals per Telefon, E-Mail oder SMS nach Passwort, PIN oder TAN fragen. Für Kunden ist diese Information angesichts des Datenvorfalls besonders relevant. Denn selbst wenn Kriminelle über persönliche Daten verfügen, bedeutet dies nicht automatisch, dass sie Zugang zu einem Konto erhalten. Das Risiko besteht vielmehr darin, dass bekannte Informationen genutzt werden könnten, um sich als Bankmitarbeiter auszugeben und weitere vertrauliche Daten abzufragen. 

V-Bank will Folgen des Vorfalls begrenzen 

Die Bank bedauert die entstandenen Unannehmlichkeiten und versichert, die Auswirkungen des Vorfalls so gering wie möglich halten zu wollen. (jk)