IT-Sicherheitsvorfall: Deutsche Bank muss 50.000 Euro Strafe zahlen

Foto: alexgo.photography – shutterstock.com

Finanzdienstleister sind dazu verpflichtet, die Finanzaufsicht Bafin unverzüglich über schwerwiegende Betriebs- oder Sicherheitsvorfälle bei ihren Zahlungsdiensten zu informieren. Dieser Pflicht ist die Deutsche Bank offenbar nicht nachgekommen. Laut einer aktuellen Mitteilung der Bafin hat die Bank ihr gegenüber falsche Angaben zu einem “schwerwiegenden kundenrelevanten IT-Sicherheitsvorfall bei seinen Zahlungsdiensten” im Jahr 2023 gemacht. Zudem habe das Institut den Vorfall “deutlich verspätet” gemeldet, heißt es.

Dabei geht es um eine Sicherheitslücke bei dem Dienstleister für den Kontowechselservice der Deutschen Bank und Postbank, die im vergangenen Jahr entdeckt wurde. Angreifer hatten die IT-Lücke damals ausgenutzt, um Kundendaten zu stehlen. Da die Deutsche Bank die Meldefrist nicht eingehalten hatte, hat die Bafin jetzt ein Bußgeld von 50.000 Euro festgesetzt.

Meldung muss binnen 24 Stunden erfolgen

Bemerkt eine Bank ein Sicherheitsproblem, muss sie dieses spätestens nach 24 Stunden als schwerwiegend oder nicht schwerwiegend einstufen. “Liegen bereits alle erforderlichen Informationen vor, muss es den Vorfall unverzüglich einstufen”, so die Bafin. Handelt es sich um einen schwerwiegenden Betriebs- oder Sicherheitsvorfall, muss der Zahlungsdienstleister innerhalb von vier Stunden eine Erstmeldung über die von der BaFin zur Verfügung gestellte Melde- und Veröffentlichungsplattform (MVP-Portal) abgeben.