Erst versagten die Abwehrsysteme eines Dienstleisters, dann die Kommunikation der Bank selbst. Bei Deutschlands größter Depotbank für unabhängige Vermögensverwalter fällt der Datenabfluss nach dem Cyber-Angriff vom Juni größer aus als zunächst eingeräumt. Der Fall zeigt, wie schnell aus einem IT-Vorfall ein Vertrauensproblem wird – und wie wenig die üblichen Beschwichtigungen wert sind.
Am 16. Juni 2026 verschickte die Münchener V-Bank eine Botschaft, die beruhigen sollte. Man sei „infolge eines Cyber-Angriffs auf einen externen IT-Dienstleister Ziel eines unbefugten Datenzugriffs" geworden, hieß es. Zugleich die Entwarnung: Die Sicherheitssysteme hätten gegriffen, zu keinem Zeitpunkt hätten die Täter Zugriff auf Konten gehabt, kein Geld sei abgeflossen [1] [2]. Vier Wochen später steht fest, dass diese erste Darstellung den Vorfall zu klein gezeichnet hat. Nach Recherchen von Finanz-Szene war das Datenleck größer als von der Bank anfangs kommuniziert [3].
Für ein Institut, dessen Geschäftsmodell auf Diskretion und dem Vertrauen wohlhabender Kundschaft beruht, ist das eine unangenehme Kombination: ein Sicherheitsvorfall plus eine Kommunikation, die dem Vorfall hinterherläuft.
Wen es getroffen hat
Die V-Bank ist kein Retailhaus, sondern die zentrale Depotbank der unabhängigen Vermögensverwalter im deutschsprachigen Raum. Nach eigenen Angaben arbeitet sie mit mehr als 500 Partnern zusammen, betreut rund 73.000 Depots und verwahrt ein Anlagevolumen von etwa 66 Milliarden Euro. Rund 80 Prozent der freien Vermögensverwalter in der DACH-Region wickeln ihr Geschäft über das Haus ab, dazu kommen Family Offices und Stiftungen [2] [4]. Wer hier Kunde ist, hat in aller Regel etwas zu verlieren – und genau das macht den abgeflossenen Datensatz so heikel.
Denn was die Täter erbeutet haben, ist kein anonymer Adressbestand. Betroffen sind laut Bank Namen von Kontoinhabern, Geburtsdaten, Postanschriften, E-Mail-Adressen und Telefonnummern sowie kontobezogene Informationen: Vermögensstatus, Transaktionsdaten, Referenzkonten [1] [5]. Die Kombination aus Identität, Erreichbarkeit und belegbarem Vermögen ist für Angreifer bares Geld. Sie erlaubt maßgeschneidertes Spear-Phishing, glaubwürdige Anrufe im Namen der Bank oder des Vermögensverwalters und Betrugsversuche, die weit über die üblichen Massenmails hinausgehen. Wer weiß, dass ein Anruf einen Kunden mit siebenstelligem Depot erreicht, formuliert seinen Vorwand entsprechend.
Nicht betroffen sind nach Darstellung der V-Bank die eigentlichen Konten und Depots, Zugangsdaten wie Benutzernamen und Passwörter, Legitimations- und Authentifizierungsdaten sowie Steuerdaten. Gelder, Wertpapiere oder Kryptowerte seien nicht abgeflossen [1] [5]. Das ist die belastbare gute Nachricht des Falls: Die schützenswertesten Systeme blieben offenbar außen vor. Der Angriff traf nicht die Kerninfrastruktur der Bank, sondern die eines externen Dienstleisters, dessen Abwehr versagte – über dieses Einfallstor gelangten die Angreifer an die Datensätze [2] [5].
Das Problem mit dem Dienstleister
Welcher Dienstleister das war, hat die Bank bis heute nicht öffentlich gemacht. Finanz-Szene stellte früh die naheliegende Frage, warum ein externer Partner überhaupt so tief in offenbar hochsensible Prozesse eingebunden war, dass über ihn derart aufschlussreiche Kundendaten erreichbar wurden [5]. Eine Antwort steht aus.
Dabei ist genau das der aufsichtsrechtlich brisante Punkt. Seit Januar 2025 gilt für Finanzunternehmen der Digital Operational Resilience Act. DORA verpflichtet Banken, ihre IKT-Drittdienstleister systematisch zu steuern, Risiken der Auslagerung zu bewerten und schwerwiegende IT-Vorfälle zügig an die Aufsicht zu melden. Ein Angriff, der über einen ausgelagerten Dienstleister läuft und personenbezogene Kundendaten in großem Umfang abfließen lässt, ist der Musterfall, für den dieses Regelwerk geschrieben wurde. Die Frage, ob die V-Bank ihre Meldepflichten fristgerecht erfüllt und das Dienstleisterrisiko angemessen kontrolliert hat, dürfte die BaFin intensiver beschäftigen als jede Pressemitteilung des Instituts.
Öffentlich äußert sich die Aufsicht zum Einzelfall erwartungsgemäß nicht. Ihre grundsätzliche Haltung lässt aber wenig Interpretationsspielraum. „Cyber-Attacken sind Alltag geworden", sagt Ira Kosche-Steinbrecher, bei der BaFin für Cyberrisiken und Technologie zuständig. „Wir fragen uns nicht, ob es zu größeren Schäden kommt, sondern eher wann." Ihre IT-Prüfungen zeigten, dass viele Institute weiterhin erhebliche Schwachstellen aufwiesen [4]. Der V-Bank-Fall liefert dafür die Fußnote in Echtzeit.
Warum die Kommunikation zum eigentlichen Risiko wird
Der forensische Befund lässt sich mit etwas Nachsicht als Betriebsunfall lesen: Ein Dienstleister wurde kompromittiert, die eigenen Kernsysteme hielten, kein Vermögen ging verloren. Das kann jedem Haus passieren, und die V-Bank hat immerhin schnell reagiert, eine Taskforce eingesetzt und die Aufarbeitung eingeleitet.
Was schwerer wiegt, ist die Reihenfolge, in der die Fakten öffentlich wurden. Zuerst die Entwarnung, dann – Wochen später und angestoßen durch externe Recherche – das Eingeständnis, dass der Abfluss größer war als beschrieben [3]. Diese Dramaturgie kennt man aus zu vielen Vorfällen: Ein Institut kommuniziert das Minimum, das sich zum jeweiligen Zeitpunkt noch belegen lässt, und muss nachlegen, sobald die Forensik weiter ist oder Journalisten nachbohren. Solange Untersuchungen laufen, ist das teils unvermeidbar. Zum Problem wird es, wenn die erste Botschaft mehr beruhigt, als der Kenntnisstand hergibt.
Für die betroffenen Kunden hat das handfeste Folgen. Wer im Juni die Entwarnung las und daraus schloss, es bestehe kein akuter Handlungsbedarf, hat womöglich Wochen verstreichen lassen, in denen erhöhte Wachsamkeit angebracht gewesen wäre – gegenüber unerwarteten Anrufen, gegenüber E-Mails, die den eigenen Vermögensverwalter oder die Bank imitieren. Bei diesem Vorfall zählt nicht der Kontozugriff, der ausblieb, sondern der Informationsvorsprung, den die Angreifer nun über zahlungskräftige Ziele haben.
Was jetzt droht
Rechtlich rückt Artikel 82 DSGVO in den Vordergrund. Er gewährt Betroffenen Anspruch auf Ersatz materieller wie immaterieller Schäden, und bereits jetzt positionieren sich Kanzleien, die geschädigte Kunden vertreten wollen [6]. Ob am Ende Schadensersatz fließt, hängt von Nachweisen im Einzelfall ab; der bloße Kontrollverlust über die Daten kann nach der jüngeren Rechtsprechung aber ausreichen, um einen immateriellen Schaden zu begründen. Bei einem Datensatz, der Namen, Kontaktdaten und Vermögensverhältnisse verknüpft, ist das Prozessrisiko für die Bank real.
Hinzu kommt die aufsichtsrechtliche Ebene. Verstöße gegen die DSGVO können die zuständige Datenschutzbehörde – hier das Bayerische Landesamt für Datenschutzaufsicht – mit empfindlichen Bußgeldern ahnden; parallel prüft die BaFin die Einhaltung der IT- und Auslagerungsvorgaben. Beide Verfahren laufen unabhängig von der Frage, ob je ein Euro vom Konto verschwand.
Die V-Bank betont, es gebe bislang keine Hinweise auf einen konkreten Missbrauch der Daten [2]. Das mag stimmen. Es ist aber die schwächste aller Zusicherungen, denn Missbrauch von Identitäts- und Vermögensdaten zeigt sich selten sofort, sondern Wochen oder Monate später – im gezielten Betrugsanruf, im gefälschten Umschichtungsauftrag, in der Phishing-Mail, die zu viel weiß. Der eigentliche Test dieses Vorfalls steht der Bank noch bevor. Er wird sich weniger daran entscheiden, wie gut ihre Firewalls waren, als daran, wie ehrlich sie kommuniziert, sobald die nächste Zahl feststeht.