In Zeiten des Internets brauchen Bankräuber keine Masken mehr und auch keine Pistolen. Es genügt eine einzige E-Mail. So hat eine Bande namens Carbanak nun bis zu einer Milliarde US-Dollar erbeutet. Es handelt sich, nach allem, was bislang bekannt ist, um den bislang größten Cyber-Bankraub. Mehr als zwei Jahre lang zogen die Gangster dazu durch die Computersysteme von mehr als 100 Finanzinstituten weltweit. Von Deutschland bis nach Russland, von der Schweiz bis in die USA.
Insgesamt wurden 30 Länder weltweit zum Schauplatz dieses spektakulären Diebstahls: Die Hacker brachten Bankautomaten dazu, auf Befehl Geld auszuspucken. Und sie wiesen fremde Konten dazu an, hohe Summen auf die eigenen Konten zu überweisen. Und bisher hat sie noch niemand aufgehalten.
Publik gemacht hat den Fall nun das auf Sicherheit spezialisierte russische Unternehmen Kaspersky. Demnach verschickten Cybergangster ihre E-Mail an Bankangestellte - mitsamt einem Anhang, in dem wiederum ein Schadprogramm steckte. Sobald der Mitarbeiter diesen Anhang öffnete, hatte die Bande Zugang zum internen Netzwerk der Bank. So konnten die Angreifer alles, was sich auf den Bildschirmen der Mitarbeiter abspielte, einsehen und aufnehmen. Und so kannten sie jedes noch so kleine Detail der Arbeit der Angestellten und konnten diese imitieren, um Geld zu überweisen oder bar auszuzahlen. Nur dass das Geld, das normalerweise im Auftrag der Kunden überwiesen oder ausgezahlt wurde, nun auf den Konten oder in den Händen der Bankräuber landete.
Neues Kapitel in der Geschichte der Cyberkriminalität
Teilweise wurde das gestohlene Geld bei Banken in China und Amerika hinterlegt. Nach bisherigen Erkenntnissen steckt hinter dem Raubzug eine internationale Gang von Cyberkriminellen aus Russland, der Ukraine, Teilen Europas sowie China. Welche Geldhäuser betroffen sind, wird aus ermittlungstaktischen Gründen geheim gehalten.
Mit diesem Bankraub, den derzeit unter anderem Interpol und FBI untersuchen, beginnt in der Geschichte der Cyberkriminalität ein neues Kapitel: Bisher hatten es die Hacker direkt auf Verbraucher abgesehen. Sie drangen zumeist in Online-Shops ein, wo Kunden ihre Kreditkartendaten hinterlegt hatten, und bedienten sich anschließend von deren Bankkonten. Oder sie machten die Daten selbst zu Geld. Doch nun begnügen sich die Hacker offenbar nicht mehr damit. Sie wagen sich an jene Orte vor, wo das ganz große Geld liegt: in die Banken.
Auf der Suche nach Verbrechern im Netz: Mitarbeiter von Kaspersky Lab in Moskau.
(Foto: Alexander Zemlianichenko Jr./Bloomberg)Die Räuber von Carbanak erbeuteten laut Kaspersky bei einem einzigen Überfall, der im Schnitt zwischen zwei und vier Monate dauerte, bis zu zehn Millionen US-Dollar. So haben die Kriminellen beispielsweise auf einem Bankkonto, auf dem 1000 Dollar lagen, den Saldo kurzerhand auf 10 000 Dollar erhöht, um sich anschließend 9000 Dollar auf eigene Konten zu überweisen - ohne dass dem Kontoinhaber etwas Verdächtiges überhaupt auffallen konnte. Ein anderes Mal wiesen die Cyberräuber die Geldautomaten der gekaperten Bank an, Bargeld zu einer bestimmten Zeit auszuzahlen. Zu diesem Zeitpunkt stand dann ein Handlanger der Gang am Automaten und kassierte ab.
Auch Apple Pay wird Cyberkriminelle anziehen
Bereits im vergangenen Jahr haben die Experten von Kaspersky vermehrt Attacken auf Geldautomaten weltweit beobachtet. Und sie gehen davon aus, dass solche Angriffe zunehmen. Die meisten Automaten laufen über das Betriebssystem Windows XP, für das der Softwarekonzern Microsoft die weitere Unterstützung bereits eingestellt hat, und sie lassen zumeist auch physische Sicherheitsvorkehrungen vermissen. Damit werden sie leicht angreifbar.
Auch virtuelle Geldbörsen, wie sie sich auf Smartphones installieren lassen, werden die Cybergangster nach Prognosen von Sicherheitsexperten verstärkt ins Visier nehmen. Die Begeisterung beispielsweise über Apple Pay, einen Bezahldienst fürs iPhone, wird auch Cyberkriminelle anziehen. Denn sie ziehen stets dorthin, wo viele Menschen mit viel Geld hantieren.
Den Cyber-Bankräubern von Carbanak war es egal, welche Software in den Finanzhäusern lief. Sie kamen überall rein, was selbst Sicherheitsexperten überraschte. "Diese Attacken unterstreichen wieder einmal, dass Kriminelle jede Schwachstelle in jedem System ausnutzen werden. Klar wird zudem: Es gibt keine Branche, die immun gegen Attacken ist", sagt Sanjay Virmani vom Digital Crime Centre bei Interpol.