ANALYSEN
Crédit Mutuel Arkéa und die Plattform eines Dienstleisters: was Cyber-Risikoträger daraus lernen
Am 4. November 2026 meldete Crédit Mutuel Arkéa, dass Angreifer über die Plattform eines Dienstleisters das Konto der Bank genutzt hatten, um mehr als 100 Millionen Euro zu überweisen, die anschließend in Kryptowährungen umgewandelt wurden. Die Analyse: Vermögensverlust zwischen Vertrauensschaden- und Cyber-Police, der Kumul beim Dienstleister, die Geschwindigkeit der Umwandlung, Kontrollen und Fragen für die Vertragsverlängerung.
Thema der Woche vom 31. Oktober bis 7. November 2026 · von cybercoverinsurance
Am 4. November 2026 meldete Crédit Mutuel Arkéa, eine genossenschaftliche Bankengruppe, zu der Crédit Mutuel de Bretagne, Crédit Mutuel du Sud-Ouest und Fortuneo gehören, einen Cyberangriff, der betrügerische Transaktionen ermöglichte. Die Angreifer drangen über die Plattform eines Dienstleisters ein und nutzten das eigene Konto der Bank, um Überweisungen an andere Institute zu senden. Der Schaden liegt über 100 Millionen Euro. Kundenkonten waren nicht betroffen.
Der Fall ist weder Ransomware noch Datendiebstahl. Es ist ein Gelddiebstahl vom eigenen Konto einer Bank, über einen Dienstleister geleitet und innerhalb weniger Stunden in Kryptowährungen umgewandelt. Für Cyber-Risikoträger stellt er drei Fragen: welche Police bei einem direkten Vermögensverlust leistet, was geschieht, wenn derselbe Dienstleister weitere Banken bedient, und welche Kontrollen eine Überweisung stoppen, bevor sie unumkehrbar wird.
Was bekannt ist
Der Angriff. Die Bank erklärte, die Angreifer seien „über die Plattform eines unserer Dienstleister gegangen“, ohne ihn zu nennen, und hätten das Konto der Bank genutzt, um Gelder an andere Banken zu überweisen, ohne die Kundenkonten der Verbände und Tochtergesellschaften zu berühren. Sie sprach von einem raffinierten externen Angriff und schloss menschliches Versagen intern aus. Niemand hat sich zu dem Angriff bekannt (DH).
Der Betrag. Die vorläufige Schätzung der Bank liegt bei rund 100 Millionen Euro. Le Télégramme nannte 118 Millionen Euro, umgerechnet aus 133 Millionen Dollar; die Bank bestätigte die Zahl nicht, sagte aber, die Größenordnung stimme (Boursorama). Am 6. November bestätigte Daniel Baal, Präsident der Confédération nationale du Crédit Mutuel, dass die Summe 100 Millionen übersteigt und ein Teil der Gelder zurückgeholt wurde, ohne zu sagen, wie viel (Quartz).
Die Reaktion. Einige Transaktionen wurden vorsorglich ausgesetzt, fast alle liefen am Morgen des 4. November wieder an. Die Bank erstattete Anzeige bei der Abteilung für Cyberkriminalität der Pariser Staatsanwaltschaft, die Ermittlungen wegen unbefugten Zugriffs auf ein IT-System durch eine organisierte Bande einleitete und das Office anticybercriminalité damit betraute. Die Bank erklärt, der Betrag gefährde ihre Solidität nicht; im ersten Halbjahr hatte sie 230 Millionen Euro Nettogewinn ausgewiesen (Boursorama).
Der Weg der Gelder. Nach On-Chain-Analysen von ZachXBT und Bitquery, wiedergegeben von Ostraca, begannen die Abhebungen von Stablecoins an Kryptobörsen am 1. November, einem Sonntag, und rund 108,8 Millionen Dollar in USDC verließen Kraken, Crypto.com und OKX innerhalb von 21 Stunden. Ein Teil wurde anschließend in Ether umgetauscht (Ostraca). Es handelt sich um Rekonstruktionen Dritter, von der Bank nicht bestätigt. Laut Baal schlugen die Börsen selbst und die Sicherheitssysteme der Bank Alarm (Quartz).
Was nicht bekannt ist. Name des Dienstleisters, Art der Plattform, Art der Kompromittierung, Dauer der Operation und der zurückgeholte Betrag sind nicht öffentlich.
Ein Vermögensverlust, kein Datenvorfall
Der Schaden ist das Geld selbst. Bei den meisten Cyberschäden entstehen die Kosten durch Betriebsunterbrechung, Wiederherstellung, Meldungen und Haftung. Hier ist der Hauptschaden das Geld, das das Konto der Bank verlassen hat. Für ein Finanzinstitut fällt dieser Verlust meist unter die Vertrauensschadendeckung für Finanzinstitute mit dem Baustein Computerbetrug, weniger unter die Cyber-Police.
Die Grenze zwischen den Policen. Viele Cyber-Policen schließen den Verlust eigener Gelder aus oder begrenzen ihn, oder decken ihn nur mit einem Sublimit für Überweisungsbetrug. Vertrauensschadendeckungen für Banken leisten bei Computerbetrug, oft aber nicht für Ermittlungs-, Wiederherstellungs- und Incident-Response-Kosten. Ein Ereignis wie bei Arkéa kann beide berühren: den Vermögensverlust auf der einen Seite, Forensik- und Bewältigungskosten auf der anderen. Liegen die beiden Policen bei verschiedenen Versicherern, droht, dass jede auf die andere verweist.
Der Auslöser zählt. Bausteine für Computerbetrug greifen in der Regel bei betrügerischer Eingabe oder Änderung von Daten in den Systemen des Versicherten. Erfolgt der Zugang über die Plattform eines Dienstleisters, muss das Wording klarstellen, ob dessen Systeme als Systeme des Versicherten gelten. Das ist die erste Klausel, die neu zu lesen ist.
Der Dienstleister als Einfallstor
Eine Plattform, wie viele Banken? Antoine Hautin, Generalsekretär der Beratungsfirma Almond, stellte die zentrale Frage: Wenn der Dienstleister mehrere Banken bedient und die Methode wiederholbar ist, wird das Risiko systemisch (DH). Für Risikoträger ist das ein Kumulszenario: ein einziger kompromittierter Dienstleister für Bankdienste, mehrere Institute am selben Wochenende getroffen.
Der Dienstleister bleibt ungenannt. Ohne den Namen kann ein Versicherer nicht wissen, welche anderen Versicherten dieselbe Plattform nutzen. Es ist dieselbe Schwierigkeit wie beim Skript eines Dienstleisters im Fall Polymarket im Oktober: Die Abhängigkeit besteht, aber der Fragebogen erfasst sie nicht.
DORA macht das Thema verpflichtend. Für europäische Banken verlangt die DORA-Verordnung ein Register der IKT-Dienstleister und die Meldung schwerwiegender Vorfälle an die Aufsicht. Die Bank sagte, sie habe die zuständigen Stellen informiert (Ostraca). Für einen Versicherer ist das DORA-Register die vollständigste Quelle, um zu verstehen, von welchen Dienstleistern ein Institut abhängt.
Die Geschwindigkeit der Umwandlung
Stunden, nicht Tage. Nach den On-Chain-Rekonstruktionen verließen mehr als 100 Millionen Dollar die Börsen in weniger als einem Tag (Ostraca). Einmal umgewandelt und verschoben, ist die Rückholung schwierig. Von DH zitierte Anwälte schlagen eine verpflichtende Verzögerung bei Umtausch von Geld in Kryptowährung vor, um Betrugsprüfungen zu ermöglichen.
Der gewählte Tag. Die Abhebungen sollen am Sonntag, dem 1. November, begonnen haben, einem Feiertag in Frankreich (Ostraca). Ein Angriff am Wochenende oder an einem Feiertag nutzt die geringere Personalpräsenz. Die Frage für den Fragebogen ist nicht nur, ob Kontrollen existieren, sondern ob sie sonntags um drei Uhr morgens funktionieren.
Das teilweise Einfrieren hat gewirkt. Kraken soll einige Konten eingeschränkt und Tether rund 1,14 Millionen USDT eingefroren haben (Ostraca). Die Bank holte einen Teil der Gelder zurück (Quartz). Für den Schaden senkt jeder zurückgeholte Euro den Nettoverlust, und die Schnelligkeit der Meldung an die Börsen ist eine Kontrolle, die den Endbetrag beeinflusst.
Kontrollen, die die Überweisung stoppen
Limits auf dem eigenen Konto. Kontrollen für ausgehende Zahlungen sind oft auf Kundenkonten ausgelegt. Hier wurde das Konto der Bank genutzt. Schwellenwerte, Vier-Augen-Prinzip und Prüfung neuer Empfänger müssen auch für Treasury-Bewegungen und für von Drittplattformen erzeugte Zahlungsströme gelten.
Überwachung auffälliger Ströme. Eine Reihe von Überweisungen an neue Empfänger, an einem Feiertag, an Institute, die ihrerseits Kryptobörsen speisen, ist ein erkennbares Muster. Die Frage ist, ob die Überwachung es automatisch erkennt oder nur, wenn jemand hinschaut.
Zugriffe des Dienstleisters. Kann die Plattform des Dienstleisters Zahlungsaufträge im Namen der Bank erzeugen, sind diese Zugriffe als privilegierte Zugriffe zu behandeln: minimale Rechte, starke Authentifizierung, Protokollierung und regelmäßige Überprüfung.
Was in die Vertragsverlängerung gehört
Auswirkung für VersichererHoch
Ein Diebstahl von mehr als 100 Millionen Euro vom eigenen Konto einer Bank, über die Plattform eines ungenannten Dienstleisters, zeigt ein Risiko direkten Vermögensverlusts und einen möglichen Kumul über mehrere Institute.
Auf Portfolioebene legt der Fall Arkéa nahe, versicherte Finanzinstitute zu fragen, welche Zahlungs- und Treasury-Plattformen sie gemeinsam nutzen, und in die Kumultests ein Szenario aufzunehmen, in dem ein gemeinsamer Dienstleister am selben Wochenende für betrügerische Überweisungen mehrerer Banken genutzt wird, mit direktem Vermögensverlust und Bewältigungskosten für jede.