Mitte Mai 2024 wurden mehrere deutsche Banken Ziel eines groß angelegten DDoS-Angriffs. Die Angreifer überfluteten die Server gezielt mit Anfragen, bis das Online-Banking zeitweise nicht mehr erreichbar war. Kein Kontozugriff, keine Überweisungen. Im Finanzsektor ist das mehr als ein Ärgernis – Verfügbarkeit ist hier reguliert.
Was bei einem DDoS auf Banken wirklich passiert
Wichtig zur Einordnung: Ein DDoS-Angriff verschafft den Tätern keinen Zugriff auf Konten oder Gelder. Er greift die Erreichbarkeit an, nicht die Tresore. Das eigentliche Problem ist die Verfügbarkeit – und das daraus entstehende Misstrauen. Genau dieses Vertrauen ist oft das eigentliche Ziel: Wer das Online-Banking lahmlegt, beschädigt das Image einer Bank, auch ohne einen Cent zu stehlen.
Gefährlich wird es vor allem durch Begleiterscheinungen: Kriminelle nutzen die Verunsicherung für Phishing-Wellen, die sich als „Sicherheitswarnung Ihrer Bank” tarnen.
Verfügbarkeit ist im Finanzsektor Pflicht
Anders als in vielen Branchen ist die digitale Widerstandsfähigkeit von Banken gesetzlich geregelt. Mit der EU-Verordnung DORA (Digital Operational Resilience Act) gelten umfassende Anforderungen: IT-Risikomanagement, regelmäßige Resilienz-Tests, Steuerung von Drittanbieter-Risiken und die Meldung schwerwiegender Vorfälle. DDoS-Vorsorge ist damit kein freiwilliges Extra, sondern Teil der Aufsichtspflichten.
Wie sich Banken absichern
- Scrubbing-Dienste und CDNs, die bösartigen Traffic herausfiltern.
- Anycast-Netzwerke zur Verteilung der Last über viele Standorte.
- Redundanz und Kapazitätsreserven für Lastspitzen.
- Geübte Notfallpläne inklusive klarer, schneller Kundenkommunikation.
Fazit
Ein DDoS gegen Banken zielt auf Verfügbarkeit und Vertrauen, nicht auf das Konto. Im regulierten Finanzsektor ist die Antwort darauf Pflicht: belastbare Infrastruktur, getestete Notfallpläne und transparente Kommunikation – damit ein Ausfall kurz bleibt und das Vertrauen hält.
Quelle: BSI Lagebericht 2024