Cyberdiebstahl bei französischer Bank: Rund 100 Millionen Euro erbeutet

Die bretonische Regionalbank Crédit Mutuel Arkéa ist Opfer eines Cyberdiebstahls in dreistelliger Millionenhöhe geworden. Nach vorläufiger Schätzung des Instituts geht es um rund 100 Millionen Euro, französische Medien nennen 118 Millionen Euro. Die Pariser Cyberstaatsanwaltschaft hat ein Ermittlungsverfahren eröffnet; in der europäischen Finanzbranche gilt der Fall als bislang beispiellos.

Am gestrigen Mittwochabend bestätigte die bretonische Regionalbank Crédit Mutuel Arkéa, Ziel einer „Cyberattacke“ gewesen zu sein, die „betrügerische Transaktionen“ ermöglicht habe. Der Schaden liege nach vorläufiger Schätzung „in der Größenordnung von 100 Millionen Euro“, heißt es in der Mitteilung des Instituts, das nach eigenen Angaben versucht, das Geld zurückzuholen ¹.

Zuvor hatte die Regionalzeitung „Le Télégramme“ von 133 Millionen Dollar berichtet, umgerechnet rund 118 Millionen Euro. Arkéa bestätigte diese Zahl nicht, stufte sie aber als plausible Größenordnung ein ¹. Ein Teil der Gelder habe blockiert werden können, weitere Schritte zur Rückführung liefen ¹ ⁵.

Was die Bank sagt – und was sie nicht erklärt

Für die Kunden soll der Fall nach Darstellung der Bank folgenlos bleiben. Die Angreifer seien nicht über Kundenkonten der Föderationen oder Tochtergesellschaften gegangen; der Vorfall habe „keine Auswirkung auf die Guthaben“ der Kunden, es sei lediglich zu verzögerten Ausführungen einzelner Überweisungen gekommen ¹ ². Die Banking-App des Instituts war zeitweise über mehrere Stunden nicht erreichbar; die Bank gab den Zugang erst wieder frei, nachdem aus ihrer Sicht „optimale Sicherheitsbedingungen“ herrschten ².

Zur Dimension des Falls: Die Gruppe mit Sitz im bretonischen Le Relecq-Kerhuon bei Brest zählt nach eigenen Angaben 5,8 Millionen Kunden und rund 40 Tochtergesellschaften, ihre Bilanzsumme liegt bei 211,5 Milliarden Euro ⁴. Im ersten Halbjahr 2026 erwirtschaftete sie einen Nettogewinn von 230 Millionen Euro ¹. Der bekannt gewordene Abfluss entspricht damit grob der Hälfte eines Halbjahresgewinns.

Arkéa gehört zur Confédération nationale du Crédit Mutuel, agiert innerhalb des Verbunds aber weitgehend eigenständig und tritt mit den Föderationen Bretagne und Südwest sowie der Onlinebank Fortuneo auf. Die von der Bank selbst als „ausgefeilt“ bezeichnete Attacke sei „von außen“ gekommen; menschliches Versagen schließt das Institut aus ².

Der Weg des Geldes: eigenes Konto, Fremdbanken, Kryptobörsen

Nach Darstellung der Bank nutzten die Angreifer ein hauseigenes Konto von Arkéa, um Transaktionen an andere Bankinstitute auszulösen. Anschließend sei das Geld „über spezialisierte Plattformen“ in Kryptowährungen umgetauscht worden ¹ ². Der Einstieg sei nicht über Kundenkonten erfolgt und – anders als in ersten Presseberichten dargestellt – auch nicht über Fortuneo. Die Täter seien „über die Plattform eines Dienstleisters“ gekommen und so direkt zu Arkéa gelangt, so die Bank ¹.

Der Blockchain-Ermittler ZachXBT, der den Fall öffentlich gemacht hat, zeichnet den Geldfluss detaillierter: Zwischen dem 1. und 2. November seien rund 109 Millionen Dollar in der Stablecoin USDC über die Kryptobörsen Kraken, Crypto.com und OKX abgeflossen. Ein Teil davon sei binnen Stunden in Ether getauscht und später über die auf Anonymität ausgelegte Kryptowährung Monero weitergeleitet worden ⁴. ZachXBT hatte zunächst von 106 Millionen Dollar für ein EU-Institut gesprochen und in der folgenden Nacht weitere Abflüsse von mehr als 27 Millionen Dollar gemeldet; daraus ergibt sich seine Schätzung von über 133 Millionen Dollar ⁷. Nach seinen Angaben wurden die Gelder in die Stablecoins USDC und USDT getauscht ³.

Die Reaktion der Bank auf dem Prüfstand

Der Ermittler erhebt zugleich einen schweren Vorwurf. Die Attacke habe „mehrere Tage“ gedauert, sagte ZachXBT; die fehlende Offenlegung habe die Waschung von mehr als 30 Millionen Dollar ermöglicht, die europäische Behörden sonst hätten einfrieren können ³. Die Bank hält dagegen, sie habe die Behörden informiert, nachdem sie den Angriff entdeckt habe ⁴. Nach der Entdeckung seien vorsorglich bestimmte Transaktionen ausgesetzt worden, um weitere betrügerische Bewegungen zu verhindern ¹.

Zwischen beiden Darstellungen bleibt eine Lücke. Die Blockchain-Daten setzen am Wochenende an, die öffentliche Kommunikation der Bank folgte am Mittwoch. Wann genau das Institut den Abfluss bemerkte und wann es Behörden und Aufseher einschaltete, ist bislang also unklar – der Vorgang dürfte für die Ermittlungen und für die aufsichtliche Bewertung eine zentrale Rolle spielen.

Ein digitaler Bankraub und die Suche nach den Tätern

Die Pariser Staatsanwaltschaft erklärte, sie habe am Mittwochmorgen eine Strafanzeige von Arkéa erhalten und „unverzüglich“ ein Ermittlungsverfahren eröffnet ¹. Der Vorwurf lautet auf „Angriff auf ein automatisiertes Datenverarbeitungssystem durch eine organisierte Gruppe“; geführt wird das Verfahren von der französischen Zentralstelle für Cyberkriminalität, dem Office anti-cybercriminalité (OFAC) ¹ ². Nach Informationen von „Le Télégramme“ wurde auch die Banque de France über den Vorfall informiert; die Bank erklärte, sie habe wie üblich die zuständigen Aufsichts- und Ermittlungsbehörden eingeschaltet ⁷ ¹.

Zu den Tätern gibt es bislang keine belastbaren Erkenntnisse. Ein Bekennerschreiben liegt nicht vor; ob es sich um einen reinen Raub oder um eine politisch motivierte Attacke handelte, ist offen ¹. ZachXBT erklärte, es sei es mit hoher Wahrscheinlichkeit ausgeschlossen, dass die nordkoreanische Lazarus-Gruppe hinter dem Angriff stecke ⁴. Das ist insofern bemerkenswert, als die spektakulärsten Kryptodiebstähle der jüngeren Vergangenheit Pjöngjang zugeschrieben wurden: Wenige Tage vor dem Arkéa-Fall meldete die Krypto-Börse Binance einen Abfluss von 6,3 Milliarden Dollar, den das FBI Nordkorea zurechnete – Pjöngjang bestreitet das ¹ ².

Lesen Sie auchBinance: Hacker erbeuten offenbar 6,3 Milliarden Dollar in nur 20 Minuten→

Ein Präzedenzfall für die europäische Bankenaufsicht

Die „Le Monde“ berichtet, den Angreifern sei es gelungen, einen Teil der Eigenmittel von Arkéa abzuziehen, und spricht von einer in der europäischen Finanzwelt bislang beispiellosen Attacke ⁶. Gemessen an den bislang bekannt gewordenen Summen wäre der Fall tatsächlich der größte bekannte direkte Mittelabfluss aus einer französischen Bank. Zum Vergleich dient in der Branche die Binance-Affäre, die allerdings eine Kryptobörse und keine Bank betraf.

Bemerkenswert ist der Einstiegsweg. Wenn die Darstellung der Bank zutrifft und die Täter über die Plattform eines Dienstleisters in die Systeme gelangten, rückt genau jenes Risiko in den Fokus, das seit Januar 2025 mit der Verordnung DORA europaweit reguliert wird: die Steuerung von IKT-Risiken bei Drittanbietern, Meldepflichten für schwerwiegende Vorfälle und die Aufsicht über kritische Dienstleister. Ob die französische Aufsicht ACPR oder die Europäische Zentralbank Konsequenzen ziehen, ist offen. Die Bank erklärte lediglich, die betroffenen Beträge seien „nicht geeignet, die Solidität und die finanzielle Gesundheit der Gruppe infrage zu stellen“ ¹.

Auffällig ist auch die Rolle der Krypto-Infrastruktur als Abflusskanal. Arkéa hatte im Mai nach Angaben von BFM Business einen Antrag auf eine europäische MiCA-Lizenz gestellt, um Kundinnen und Kunden Kryptodienstleistungen anbieten zu können ³. Das Verfahren ist ein Beispiel dafür, wie schwer sich Bankmittel und Kryptohandel heute trennen lassen.

Für Kunden bleibt vor allem ein Risiko: die nun möglicherweise folgenden Angriffe. Die Bank warnte ausdrücklich vor Phishing-Versuchen im Zusammenhang mit dem Vorfall und riet, keine Passwörter, Kartendaten oder per SMS übermittelte Bestätigungscodes weiterzugeben ¹ ². Ein Abfluss von Kundendaten ist bislang nicht gemeldet.

Einen endgültigen Schadensbetrag hat Crédit Mutuel Arkéa nicht genannt. Die Höhe der betroffenen Summe werde „noch bewertet“, hieß es zuletzt ¹.