In der Nacht zum 1. November begann eine französische Bankengruppe mit 5,8 Millionen Mitgliedern und 211,5 Milliarden Euro Bilanzsumme still Geld zu verlieren. Nicht von den Konten ihrer Kunden. Sondern von ihrem eigenen.
Crédit Mutuel Arkéa bestätigte am 4. November, Opfer eines Cyberangriffs geworden zu sein, bei dem ein Angreifer über das Konto der Bank selbst Überweisungen an andere Finanzinstitute auslöste und den Erlös in Stablecoins umwandelte. Die Bank hat die Summe nicht bestätigt. Der Blockchain-Ermittler ZachXBT, der die Abflüsse meldete, bevor die Bank öffentlich etwas sagte, bezifferte sie auf bis zu 118 Millionen Euro, rund 133 Millionen Dollar, abgezogen in USDC und USDT.
Noch einmal: ein Bankraub, bei dem kein Kundenkonto bewegt, kein Tresor geöffnet und keine Karte kopiert wurde. Der Angreifer hat nicht die Kunden der Bank ausgeraubt. Er hat sich für ein paar Stunden die Identität der Bank geliehen und das Bankensystem den Rest erledigen lassen.
Das ist die Form moderner Finanzkriminalität, und sie sollte verändern, wie jedes Team in der Region über Zahlungszugriff denkt.
Was tatsächlich passiert ist
Die Chronologie ist wichtiger als die Gesamtsumme.
- 1. November — betrügerische Abhebungen von Konten zentraler Kryptobörsen beginnen, später zurückverfolgt auf Transaktionen, die auf der Seite von Arkéa ausgelöst wurden.
- 2. November — ZachXBT veröffentlicht eine Warnung über eine groß angelegte nicht autorisierte Abhebung, ohne das Institut zu nennen.
- 3. November — laut dem Ermittler sind bereits rund 30 Millionen Dollar gewaschen. Es gibt noch keine öffentliche Erklärung, also kein koordiniertes Einfrieren.
- 4. November — die Bank veröffentlicht den Vorfall, erklärt ihn für "abgeschlossen und unter Kontrolle" und versichert den Kunden, dass deren Vermögen unberührt bleibt.
- 7. November — die FAQ der Bank bestätigt, dass der Angreifer direkt über die Plattform eines Dienstleisters in das Netzwerk gelangte, und schließt die Tochter Fortuneo aus.
Die Kundenguthaben blieben unangetastet. Einige Überweisungen verzögerten sich. Die Bank arbeitet nach eigenen Angaben mit Polizei und Justiz zusammen, um Ursprung und Vorgehen genau zu klären.
Der Schaden war also kein Datenleck im üblichen Sinn. Es war ein Liquiditätsereignis, ausgeführt in Maschinengeschwindigkeit über legitime Bankkanäle.
Das Konto, das sie nutzten, war das der Bank
Die meisten Sicherheitsbudgets im Bankwesen sind um den Schutz der Kunden herum organisiert. Dort greift die Regulierung, dort landen die Audits und dorthin geht die Presse.
Aber die Firmen- und Treasury-Konten einer Bank sind kein Nebendetail. Das sind die Konten, die neunstellige Beträge an einem Nachmittag bewegen können, ohne dass jemand etwas von Hand unterschreibt. Sie halten Daueraufträge, Korrespondenzbankbeziehungen und API-Zugangsdaten, denen andere Institute standardmäßig vertrauen. Wenn ein Angreifer eine Sitzung in diesem Konto bekommt, sehen die Betrugskontrollen einen bekannten Geschäftspartner, der etwas Bekanntes tut.
Kunden einzeln auszurauben ist teuer. Das eigene Konto der Institution ist das hochwertige Ziel, und es hat meist eine schwächere Verhaltensüberwachung als das Privatkundengeschäft, weil "die Bank weiß, was sie tut".
Die Tür war ein Dienstleister
Der Einstiegspunkt war nach der eigenen FAQ der Bank die Plattform eines Dienstleisters. Das ist der Satz, den jeder CISO am Golf zweimal lesen sollte.
Plattformen Dritter sind längst keine Fußnote der Lieferkette mehr. Sie sind die Betriebsschicht: Treasury-Tools, Payment-Orchestrierung, Custody-Dashboards, KYC-Anbieter, Cloud-Hosting und zunehmend KI-Copiloten, die in derselben Sitzung mit denselben Rechten wie das Finanzteam sitzen. Jede davon ist eine Tür. Jede Tür ist nur so gut wie die Identität dahinter.
Die unangenehme Frage ist nicht, ob Ihr Anbieter sicher ist. Sie lautet: Können Sie für jede einzelne Transaktion belegen, welcher Mensch oder welches Servicekonto sie ausgelöst hat, von welchem Gerät, über welchen Drittanbieter-Hop und mit welcher Freigabe? Wenn die Antwort eine E-Mail-Kette und eine Woche Log-Archäologie erfordert, haben Sie keine Kontrolle. Sie haben eine Hoffnung.
Die Geschwindigkeit entschied den Verlust
Zwischen der ersten Abhebung und der öffentlichen Erklärung lagen rund drei Tage. In diesem Fenster wurden laut dem Ermittler dreißig Millionen Dollar bewegt, und das Argument war damals klar: Das Schweigen gab dem Angreifer Zeit zum Waschen.
Die Geschwindigkeit der Offenlegung ist heute eine Kontrolle zur Schadensbegrenzung. Europäische Regulierer bewegen sich bereits in diese Richtung, und auch die Erwartungen zur Incident-Meldung in den Emiraten werden mit dem übrigen Compliance-Stack strenger. Eine Bank, die auf eine perfekte Erzählung wartet, bevor sie zum Telefon greift, entscheidet sich für einen größeren Verlust.
Dieselbe Logik gilt intern. Ein Incident-Runbook, das erst einen Ausschuss braucht, bevor jemand einen Zahlungskanal einfrieren darf, ist kein Runbook. Es ist eine Verzögerung mit Deckblatt.
Fünf Kontrollen für dieses Quartal
Sie brauchen keine Bilanzsumme von 211 Milliarden, um diesem Muster ausgesetzt zu sein. Jedes Unternehmen, das Geld per API senden kann, hat dieselbe Schwäche, nur mit weniger Nullen.
- Behandeln Sie ausgehende Treasury-Konten als Kronjuwelen. Trennen Sie sie vom übrigen Firmen-IT. Eigene Identity-Policy, eigene Überwachung, eigener Bereitschaftsdienst.
- Belegen Sie jede Drittanbieter-Sitzung. Protokollieren Sie, welche Anbieterplattform, welches Servicekonto und welche menschliche Freigabe jede Zahlungsanweisung erzeugt haben. Kann ein Anbieter das nicht pro Anfrage liefern, gehört er nicht in den Zahlungsweg.
- Setzen Sie Geschwindigkeitslimits, die niemand wegklicken kann. Eine Zahlung in eine neue Jurisdiktion, mit Krypto-Konvertierung oder über einem rollierenden Limit sollte automatisch pausieren statt auf einen Manager-Klick zu warten.
- Üben Sie das Einfrieren. Messen Sie einmal pro Quartal, wie lange es dauert, einen Zahlungskanal durchgängig zu sperren. Dauert es länger als eine Stunde, gewinnt der Angreifer automatisch.
- Schreiben Sie die Offenlegung vorab. Statement, Regulierermeldung und Kundenhinweis sollten fertig sein, bevor Sie sie brauchen, damit die erste Stunde der Eindämmung gilt und nicht dem Ausschuss.
Was das für Teams am Golf bedeutet
Arkéa ist französisch, der Mechanismus ist übertragbar. Banken, Kryptobörsen, Fintechs und Family Offices im GCC laufen auf denselben Schienen: Korrespondenzbankbeziehungen, Stablecoin-Settlement, von Dritten gehostete Treasury-Dashboards und eine wachsende Schicht von KI-Agenten in Zahlungsprozessen.
Die Lehre ist nicht "das Perimeter härten". Die Lehre ist, dass das Perimeter heute aus Berechtigungen besteht, die Dritte halten, und dass das Kronjuwel die Fähigkeit der Institution selbst ist, Geld zu bewegen. Prüfen Sie das. Instrumentieren Sie das. Bauen Sie einen harten Stopp ein, der kein Deployment braucht.
Denn der nächste Raub wird nicht wie ein Einbruch aussehen. Er wird wie ein normaler Dienstag aussehen, ausgeführt von einem legitimen Konto, über einen vertrauenswürdigen Partner, und beendet, bevor das erste Meeting dazu beginnt.
Das Fazit: Wenn Sie pro Transaktion nicht benennen können, wer sie autorisiert hat und über welchen Dritten, sind Sie eine kompromittierte Anbietersitzung davon entfernt, der Fall für die nächste Schulung zu sein.