Deutschlands größte Depotbank für unabhängige Vermögensverwalter wurde Opfer eines gezielten Cyberangriffs. Betroffen sind personenbezogene Daten von Kunden und Geschäftspartnern. Der Angriff erfolgte nicht über die Bank selbst — sondern über einen externen IT-Dienstleister. Ein strukturelles Problem, das weit über die V-Bank hinausweist.
Die Münchner V-Bank, nach eigenen Angaben Deutschlands größte Depotbank für unabhängige Vermögensverwalter, ist Opfer eines Hackerangriffs geworden. Wie das Institut mitteilte, gelang es Angreifern, über einen externen IT-Dienstleister auf Daten der Bank zuzugreifen und personenbezogene Informationen von Kunden sowie Geschäftspartnern zu entwenden. Darüber hatte zunächst Börse Online berichtet.
„Wir können bestätigen, dass unsere Bank infolge eines Cyber-Angriffs auf einen externen IT-Dienstleister Ziel eines unbefugten Datenzugriffs wurde", erklärte das Institut. Es handle sich um einen professionell durchgeführten kriminellen Angriff, den die Bank sehr ernst nehme.
Was betroffen ist — und was nicht
Die V-Bank betonte, dass ihre eigenen Sicherheitssysteme zu keinem Zeitpunkt kompromittiert wurden. Auf Konten, Kontozugangsdaten, Benutzernamen oder Passwörter hätten die Angreifer keinen Zugriff gehabt. Auch ein Abfluss von Geldern sei nicht erfolgt. Der Geschäftsbetrieb laufe uneingeschränkt weiter, alle IT-Systeme seien stabil.
Betroffen sind jedoch personenbezogene Daten — also Informationen, die in der Finanzbranche besonders sensibel sind: Namen, Kontaktdaten und möglicherweise weitere kundenbezogene Angaben von Kunden und Partnern.
Reichweite des Vorfalls
Die Dimension des Angriffs ergibt sich aus der Stellung der V-Bank im deutschen Markt: Das Institut verwaltet nach eigenen Angaben rund 73.000 Depots, arbeitet mit mehr als 500 Vermögensverwaltern zusammen und betreut ein verwaltetes Vermögen von zuletzt rund 66 Milliarden Euro. Acht von zehn unabhängigen deutschen Vermögensverwaltern führen ihre Kundendepots über die V-Bank. Zu den Kunden zählen neben Privatpersonen auch Family Offices, Stiftungen und institutionelle Partner.
Das macht den Vorfall zu mehr als einem isolierten Datenschutzfall: Kompromittierte Kontaktdaten aus diesem Umfeld sind für Betrüger, Phishing-Kampagnen und gezielte Social-Engineering-Angriffe hochwertig.
Das eigentliche Problem: Lieferkettensicherheit
Der Angriff auf die V-Bank folgt einem Muster, das Sicherheitsexperten seit Jahren beschäftigt: Nicht die Bank selbst war das Einfallstor — sondern ein externer Dienstleister. Die Systeme des Dienstleisters hätten die Attacke nicht abgewehrt, so die Bank; darüber gelangten die Täter an Daten der V-Bank.
Dienstleister-Angriffe — in der Fachsprache als Supply-Chain-Angriffe bezeichnet — sind deshalb besonders tückisch, weil sie die Sicherheitsmaßnahmen des eigentlichen Zielunternehmens umgehen. Wie gut ein Unternehmen sein eigenes Netz absichert, ist irrelevant, wenn ein angebundener Dritter verwundbar ist.
Daniel Schönland, Gründer und CEO des Cybersicherheitsunternehmens Identiqa, ordnet den Vorfall ein: „Der V-Bank-Angriff ist ein Lehrbuchfall für das, was wir immer wieder sehen: Das schwächste Glied in der Kette ist selten das Unternehmen selbst — es ist der externe Dienstleister, der Zugriff auf sensitive Daten hat, aber nicht denselben Sicherheitsstandards unterliegt. Wer seine Lieferkette nicht aktiv überwacht, gibt Kontrolle ab."
Bafin sieht strukturelles Risiko für den gesamten Sektor
Die Bundesanstalt für Finanzdienstleistungsaufsicht (Bafin) äußerte sich zum konkreten Fall der V-Bank nicht. Grundsätzlich aber zeichnet Ira Kosche-Steinbrecher, Referatsleiterin Cyberrisiken und Technologie bei der Bafin, ein klares Bild der Lage: „Cyber-Attacken sind Alltag geworden. Wir fragen uns nicht, ob es zu größeren Schäden kommt, sondern eher wann es soweit sein wird."
Dass der Finanzsektor bislang größere Schäden vermieden habe, führt Kosche-Steinbrecher auf das vergleichsweise hohe Sicherheitsniveau zurück. Der V-Bank-Fall zeigt jedoch: Auch hohe eigene Standards schützen nicht, wenn Dritte in der Lieferkette verwundbar sind.
Betroffene Kunden: Rechtliche Optionen
Juristen weisen darauf hin, dass betroffene Kunden und Geschäftspartner prüfen lassen sollten, ob ihnen Ansprüche auf Auskunft, Schadensersatz oder Unterlassung zustehen. Nach der Datenschutzgrundverordnung (DSGVO) ist die V-Bank verpflichtet, Betroffene über Art und Umfang des Datenlecks zu informieren und den Vorfall der zuständigen Aufsichtsbehörde zu melden.