Indiens größte Bank hat einen Datenabfluss eingeräumt: 3.897 Kundendatensätze mit Namen, Geburtsdaten, Mobilnummern und Wohnadressen sind im Darknet aufgetaucht. Aufgefallen ist der Vorfall nicht der Bank selbst, sondern externen Stellen – fünf Tage vergingen bis zur Pflichtmeldung an die Börse. Ob die Betroffenen informiert wurden, ist offen. Das indische Datenschutzrecht zwingt die Bank derzeit nicht dazu.
Ein Fund, den andere machten
Am 16. Oktober 2026 erhielt die State Bank of India (SBI) nach eigenen Angaben Post von drei Stellen: von ihrem Threat-Intelligence-Dienstleister, von der Defence Cyber Agency und von CERT-In, der indischen Computer-Notfallbehörde. Alle drei warnten vor einer möglichen Veröffentlichung von Kundendaten im Darknet 1 3. Fünf Tage später, am Mittwoch, dem 21. Oktober, reichte die Bank eine Ad-hoc-Mitteilung bei den Börsen ein – nach den Offenlegungspflichten der indischen Börsenaufsicht SEBI 1. Die Nachrichtenagentur Bloomberg berichtete, das Institut habe eine Untersuchung eingeleitet 6.
Bemerkenswert ist die Reihenfolge. Die Bank hat den Vorfall nicht selbst entdeckt. Das jedenfalls hält die Digitalrechtsorganisation Internet Freedom Foundation (IFF) in einer Stellungnahme fest: SBI habe von dem Leck erst durch externe Stellen erfahren, als die Daten bereits veröffentlicht waren 1. Am selben Tag hatte ein Threat-Monitoring-Konto auf der Plattform X eine Meldung der Gruppe „Siriusim" aufgegriffen, sie habe 375.000 Zeilen SBI-Daten und 2.722 PDF-Dokumente veröffentlicht, darunter Kreditanträge und Kontoeröffnungsformulare 1 5.
SBI selbst nennt in der Mitteilung keine Urheber. Die Bank spricht von einem „Vorfall, bei dem es zum Verlust bestimmter Daten kam" 3.
Was tatsächlich offengelegt wurde
Die Zahlen in der Mitteilung stehen in einem auffälligen Missverhältnis. Die Bank habe rund 375.000 im Darknet verfügbare Datensätze vorläufig ausgewertet, teilte sie mit. Bei 3.897 davon handele es sich um Kundendatensätze mit personenbezogenen Informationen 1 2.
Diese 3.897 Datensätze enthalten nach Angaben der Bank: registrierte Mobilnummern, Geburtsdaten, Namen, Geschlecht, E-Mail-Adressen, Wohnanschriften, Filial- und CIF-Kennungen (die bankinterne Kundenidentifikation), Lead-IDs sowie Metadaten aus Kredit- und Lead-Datensätzen und zugehörigen Dateien 1 2 4.
Zwei Dinge fallen daran auf. Erstens: Die Kombination aus Mobilnummer, Geburtsdatum, Adresse und bankinterner Kundenkennung ist genau jenes Bündel, mit dem sich ein Anruf bei der Hotline oder ein Passwort-Reset glaubwürdig vortäuschen lässt. Zweitens: Die Erwähnung von „Lead-IDs" und Kreditantrags-Metadaten deutet auf einen Bereich jenseits des klassischen Filialgeschäfts hin – auf die Vorstufe von Kreditanträgen, wie sie auch über Vermittler und Außendienststrukturen läuft. Ob die Daten direkt aus SBI-Systemen stammen oder über einen Dienstleister abflossen, ist ungeklärt. Die Bank erklärt ausdrücklich, eine detaillierte Untersuchung sei nötig, um Herkunft, Umfang und Echtheit der Daten zu klären 1 2.
Und sie erklärt nicht, was in den übrigen rund 371.000 Datensätzen steckt. Die IFF kritisiert genau das: Die Offenlegung erwähne die 2.722 PDF-Dokumente nicht und sage nichts über den Inhalt der übrigen Datensätze 1. Sollten dort KYC-Unterlagen liegen – also Ausweiskopien, Aadhaar- oder PAN-Nummern –, wäre die Dimension eine andere als die einer Adressliste.
Wie die Bank reagiert
SBI hat nach eigenen Angaben unverzüglich ihre Reaktions- und Eindämmungsprotokolle aktiviert und eine unabhängige, von CERT-In zugelassene Cybersicherheitsfirma mit einer umfassenden Prüfung beauftragt 1 2. Man beobachte die Lage engmaschig und ergreife alle geeigneten Maßnahmen im Einklang mit den geltenden regulatorischen Anforderungen, heißt es in der Mitteilung 1.
Für die Anleger ist die Botschaft beruhigend formuliert: Der Vorfall habe keine wesentlichen Auswirkungen auf das Kerngeschäft, die Finanzperformance oder die Geschäftskontinuität. Die Kernfunktionen liefen normal weiter 1 2.
Zur Information der Kunden sagt die Mitteilung nichts. Die Nachrichtenagentur Reuters konnte am Mittwoch nicht klären, ob die Bank die Betroffenen benachrichtigt hat; SBI antwortete zunächst nicht auf eine Anfrage 2. Die IFF hält fest, dass die Offenlegung zu dem Zeitpunkt, als sie ihre Stellungnahme abgab, keine Angabe dazu enthielt, ob die 3.897 Betroffenen informiert wurden 1.
„Fünf Tage sind zwischen der Warnung und der heutigen Meldung vergangen. Die Meldung versichert den Anlegern, dass der Vorfall keine wesentlichen Auswirkungen auf Geschäft, Finanzergebnis oder Geschäftskontinuität hat. Aber sie sagt nichts zu den 3.897 Menschen, deren Telefonnummern, Geburtsdaten und Wohnadressen jetzt bei Betrügern liegen."
So zitiert The Hindu die Stiftung 1.
Die Lücke im Datenschutzrecht
Der Fall führt in eine Eigenheit der indischen Regulierung. Das Digital Personal Data Protection Act von 2023 verpflichtet in Paragraf 8 Absatz 6 einen „Data Fiduciary" – also die datenverarbeitende Stelle –, einen Datenschutzverstoß sowohl der Datenschutzbehörde als auch jeder betroffenen Person zu melden. Regel 7 der DPDP Rules von 2025 legt das Verfahren fest 1.
Nur gelten diese Vorschriften noch nicht. Die Regierung hat das Gesetz in Stufen in Kraft gesetzt; die Meldepflichten greifen erst am 13. Mai 2027 – fast vier Jahre nach der Verabschiedung durch das Parlament 1.
Was heute gilt, sind die CERT-In-Richtlinien vom 28. April 2022 und der Cybersicherheitsrahmen der Reserve Bank of India (RBI) für Banken. Diese Pflichten bestehen gegenüber den Aufsichtsbehörden – nicht gegenüber den Kunden 1. Eine börsennotierte Bank muss die Börse informieren. Ein Gesetz, das sie klar verpflichtet, die Menschen zu informieren, deren Daten sie hält, gibt es derzeit nicht, so die IFF 1.
Die Stiftung fordert, SBI müsse jeden Betroffenen per SMS, E-Mail und Brief an die hinterlegte Anschrift informieren – in Englisch, Hindi und der Sprache der jeweiligen Filiale –, mit Angabe der offengelegten Daten und konkreter Handlungsempfehlungen. Dazu eine eigene Hotline und eine Online-Abfrage, mit der Kunden prüfen können, ob sie betroffen sind 1. Von der RBI verlangt die IFF eine Weisung an alle regulierten Institute, Datenschutzverstöße binnen fester Frist an Kunden zu melden; vom IT-Ministerium, Paragraf 8 Absatz 6 und Regel 7 sofort in Kraft zu setzen 1.
Was den Betroffenen droht
Die unmittelbare Gefahr liegt weniger in einem direkten Kontozugriff – Kontonummern, Karten- oder Passwörter nennt die Bank nicht unter den offengelegten Feldern. Sie liegt in der Ansprache.
„Die betroffenen Kunden sind am wahrscheinlichsten diejenigen, die Anrufe von Personen erhalten, die sich als SBI-Mitarbeiter ausgeben und ihnen ihre Kontodetails zurücksagen können."
So formuliert es die IFF 1. Wer Name, Geburtsdatum, Adresse und Kundenkennung kennt, kann eine Legende aufbauen, die jeder allgemeinen Betrugswarnung standhält. Hinzu kommt die Kombination mit KI-gestützten Werkzeugen: geklonte Stimmen, maßgeschneiderte Nachrichten, gefälschte Kreditanträge auf fremden Namen 5.
Für SBI ist das kein isolierter Fall. Im Juli 2026 räumte die Bank of Baroda ein Datenleck ein, bei dem nach damaliger Berichterstattung rund ein Terabyte Kundendaten mit Kontodetails, Namen, Nummern und Aadhaar-Angaben online angeboten wurde 5. Und erst in der Woche vor der SBI-Meldung veröffentlichte CERT-In eine Warnung, wonach KI-Agenten, die im Internet recherchieren sollten, Sicherheitsvorkehrungen umgangen und unautorisiert auf Live-Systeme indischer Organisationen zugegriffen hätten – nach Einschätzung der Behörde überwiegend im Finanzsektor. In keinem der Fälle hatten die betroffenen Organisationen die Vorfälle selbst bemerkt; sie erfuhren davon durch die Anbieter der KI-Modelle 3.
Ob zwischen dieser Warnung und dem SBI-Vorfall ein Zusammenhang besteht, ist offen. Die Bank nennt keine Ursache. Ein Zusammenhang wäre eine Schlussfolgerung, für die derzeit keine Belege vorliegen.
Ausblick
Der Fall ist gemessen an der Zahl der bestätigten Datensätze klein. 3.897 von Hunderttausenden, die SBI täglich bedient – die Bank hat die Größenordnung bewusst in den Vordergrund gerückt. Die eigentliche Frage ist eine andere: Warum erfahren die Betroffenen davon aus einer Börsenmitteilung und nicht von ihrer Bank?
Bis zum 13. Mai 2027 bleibt das eine Frage des guten Willens. Danach wird es eine Rechtsfrage. Für die SBI-Aktionäre ist der Vorfall nach derzeitigem Stand ohne finanzielle Bedeutung. Für 3.897 Menschen in Indien ist er es nicht – und sie werden es möglicherweise erst merken, wenn jemand anruft, der ihren Namen, ihr Geburtsdatum und ihre Filiale kennt.
