Die DDoS-Welle gegen Banken (2013): 5 Lektionen über den Zahlungsverkehr

Was geschah

Ab Anfang April 2013 hatten Banken mit DDoS-Angriffen zu tun: dem bewussten Überlasten von Websites und Diensten mit enormen Mengen an Datenverkehr. Eine Bank war das erste Ziel und wurde in kurzer Zeit mehrfach getroffen, wodurch die Kunden ihr Online- und Mobile-Banking nicht nutzen konnten.

Kurz darauf folgten andere Banken und auch iDEAL fiel aus, wodurch das Online-Bezahlen bei Webshops zeitweise nicht funktionierte. Bei einem DDoS-Angriff wird nicht eingebrochen und es werden keine Daten gestohlen; das Ziel ist die Störung. Wer hinter den Angriffen steckte, ist nie bekannt geworden. Banken und das NCSC gingen die Bewältigung danach gemeinsam an.

Lektion 1: Schnell und ehrlich sein, auch ohne die Ursache zu kennen

Kunden, die nicht mit Karte zahlen oder Überweisungen tätigen können, wollen sofort wissen, was los ist. Bei einem DDoS-Angriff ist zu Beginn oft noch nicht klar, wie lange es dauert. Warten Sie damit nicht: Geben Sie schnell eine ehrliche Meldung heraus, dass es eine Störung gibt, dass Sie daran arbeiten und was die Kunden tun können und was nicht.

Machen Sie deutlich, dass keine Daten entwendet wurden. Bei Zahlungsproblemen denken die Menschen schnell an Betrug; diese Sorge müssen Sie aktiv ausräumen.

Lektion 2: Über einen Kanal kommunizieren, der nicht mit ausfällt

Wenn Ihre Website und App das Ziel sind, können Sie sich für Ihre Kommunikation nicht darauf verlassen.

• Verwenden Sie eine Statusseite, die auf einer unabhängigen Infrastruktur läuft, getrennt von den Systemen, die angegriffen werden.
• Setzen Sie soziale Medien und die Presse ein, um Kunden zu erreichen, die nicht auf Ihre Kanäle kommen.
• Sorgen Sie dafür, dass der Kundenservice dieselbe, aktuelle Botschaft hat; nichts ist schädlicher als widersprüchliche Informationen.
• Bieten Sie nach Möglichkeit eine Alternative, zum Beispiel telefonisch oder am Schalter.

Lektion 3: Zahlungsverkehr ist Kettenverkehr

Als iDEAL ausfiel, bemerkten das nicht nur Bankkunden, sondern auch Webshops und ihre Kunden. Zahlungsverkehr ist eine Kette: Ein Problem bei einer Bank oder bei der gemeinsamen Zahlungsinfrastruktur betrifft viele Parteien gleichzeitig.

Stimmen Sie sich deshalb innerhalb der Branche und mit der Zahlungsinfrastruktur ab. Einheitliche Kommunikation verhindert, dass jedes Glied seine eigene Geschichte erzählt und die Unruhe vergrößert.

Lektion 4: Schützen Sie das Vertrauen, denn das ist Ihr Kapital

Für eine Bank ist Vertrauen der wichtigste Besitz. Eine Störung von einigen Stunden ist ärgerlich; das Gefühl, dass die Bank die Lage nicht im Griff hat oder nicht ehrlich kommuniziert, ist weitaus schädlicher.

Seien Sie deshalb transparent, zeigen Sie, dass Sie die Situation ernst nehmen, und halten Sie Zusagen ein. Kulanz bei nachweisbaren Schäden und eine klare Nachsorge tragen mehr zum Vertrauen bei als eine perfekte technische Wiederherstellung, die Sie nicht erklären.

Lektion 5: Ihre Meldepflichten kennen (DORA, NIS2 und CER)

Für den Finanzsektor gilt seit 2025 DORA (Digital Operational Resilience Act): einen schwerwiegenden IKT-Vorfall melden Sie bei De Nederlandsche Bank (DNB), mit einer ersten Meldung, Zwischenaktualisierungen und einem Abschlussbericht. DORA ist für Finanzunternehmen die spezifische Regelung für IKT-Vorfälle.

Darüber hinaus sind Banken kritische Einrichtungen unter dem Gesetz über die Resilienz kritischer Einrichtungen (CER) für physische und All-Hazards-Resilienz; das Cybersicherheitsgesetz (NIS2) bildet den breiteren Cyberrahmen. Halten Sie während der Krise fest, welche Meldungen wann und bei wem erfolgt sind.

Wie CrisisRadar dabei hilft

CrisisRadar gibt Ihrem Krisenteam ein gemeinsames Bild: Geschäftsleitung, IT, Zahlungsexperten, Kundenservice und Pressestelle arbeiten mit denselben Informationen. Sie erfassen Fakten, erstellen in Minuten eine beruhigende Kundenmeldung und eine Meldung für die Aufsichtsbehörde und veröffentlichen den Status auf einer eigenen Statusseite, die getrennt von Ihren Kernsystemen läuft. Meldepflicht-Timer überwachen die DORA-Fristen.

Möchten Sie sehen, wie eine Störung im Zahlungsverkehr Schritt für Schritt in der Plattform aussieht? Dann sehen Sie sich die zugehörige Praxissituation an.

Stappenplan

Veelgestelde vragen

Was ist ein DDoS-Angriff und werden dabei Daten gestohlen?

Ein DDoS-Angriff überlastet eine Website oder einen Dienst mit enorm viel Datenverkehr, sodass diese nicht mehr erreichbar ist. Es wird nicht eingebrochen und es werden keine Daten gestohlen; das Ziel ist die Störung der Verfügbarkeit.

Wie kommuniziert man, wenn die eigene Website und App lahmgelegt sind?

Verwenden Sie eine Statusseite auf einer unabhängigen Infrastruktur und setzen Sie soziale Medien, die Presse und den Kundenservice mit derselben aktuellen Botschaft ein. So erreichen Sie Kunden auch dann, wenn die angegriffenen Kanäle nicht funktionieren.

Welche Meldepflicht gilt für Banken bei einem IKT-Vorfall?

Für den Finanzsektor gilt DORA: einen schwerwiegenden IKT-Vorfall melden Sie bei De Nederlandsche Bank (DNB), mit einer ersten Meldung, Zwischenaktualisierungen und einem Abschlussbericht. Banken sind darüber hinaus kritische Einrichtungen unter der CER, mit NIS2 als breiterem Cyberrahmen.