Die Kurzfassung
Angreifer haben bei Crédit Mutuel Arkéa gemeldete 118 Mio. € (133 Mio. US-Dollar) erbeutet – über die Plattform eines Dienstleisters und mit Überweisungen vom eigenen Konto der Bank. Die französische Genossenschaftsbank mit rund 5,8 Millionen Mitgliedern bestätigte den Angriff am 4. November 2026; Kundengelder sind nach ihren Angaben nicht betroffen. Für Fintech- und Bankplattformen zeigt der Fall: Ein Dienstleister, der Zahlungen auslösen kann, gehört zur eigenen Angriffsfläche – nicht nur zur Lieferkette.
Was ist bei Crédit Mutuel Arkéa passiert?
Crédit Mutuel Arkéa, die bretonische Gruppe hinter Crédit Mutuel de Bretagne, Crédit Mutuel du Sud-Ouest und der Onlinebank Fortuneo, teilte am Abend des 4. November 2026 mit, Ziel eines „ausgeklügelten Angriffs von außen“ geworden zu sein. In einer zweiten Mitteilung erklärte die Bank, die Angreifer seien „über die Plattform eines unserer Dienstleister“ direkt zur Bank gelangt. Anschließend nutzten sie das eigene Konto von Crédit Mutuel Arkéa für Überweisungen an andere Banken – womit sie das Geld potenziell in Kryptowährungen umtauschen konnten.
Den Dienstleister hat die Bank nicht genannt, ebenso wenig, wie die Angreifer von dessen Plattform in ihre Systeme gelangten. Der Angriff sei eingedämmt, man arbeite mit Justiz und Polizei zusammen, und ein Teil des Geldes sei blockiert. Berichte über menschliches Versagen intern wies die Bank laut The Record und BleepingComputer zurück.
| Datum (2026) | Ereignis |
|---|---|
| 1.–2. November | ZachXBT meldet, dass ein nicht genanntes EU-Institut über Konten bei zentralen Kryptobörsen mehr als 106 Mio. US-Dollar verliert |
| 3. November | Weitere Börsenabhebungen über 27 Mio. US-Dollar durch denselben Akteur, insgesamt rund 133 Mio. US-Dollar |
| 4. November | Crédit Mutuel Arkéa bestätigt den Angriff; einzelne Überweisungen verzögern sich, weil Vorgänge pausiert werden |
| 5.–9. November | Die Bank nennt die Plattform eines Dienstleisters als Einstiegspunkt, schließt Fortuneo aus und meldet eingefrorene Teilbeträge |
Wie hat das Geld die Bank verlassen?
Für den Betrug wurden Eigenmittel der Bank genutzt, keine Kundenguthaben. Die Überweisungen gingen vom Konto von Arkéa an Konten bei anderen Instituten und von dort zu Kryptobörsen. ZachXBT verfolgte die Abhebungen als USDC- und USDT-Stablecoins; Help Net Security berichtet unter Berufung auf Blockchain-Analysen, ein Teil des Erlöses sei in Ether und ein Teil in Monero getauscht worden, das deutlich schwerer nachzuverfolgen ist. Die Geldwäschemuster deuten laut ZachXBT nicht auf die nordkoreanische Lazarus Group hin.
Der französische Journalist Grégory Raymond berichtete unter Berufung auf Quellen, die empfangenden Börsenkonten seien mit gefälschten Identitäten eröffnet worden, deren Namen zu den Überweisungsdaten passten. Bestätigt sich das, wäre klar, warum die Empfängerprüfung das Geld nicht stoppte: Ein Namensabgleich bestätigt nur, dass Name und Konto zusammenpassen – nicht, dass der Kontoinhaber legitim ist. Die Bank hat sich dazu nicht geäußert.
Was bedeutet das für Softwareteams in den USA und der EU?
Die zentrale Lehre betrifft die Reichweite. Die meisten Prüfungen von Drittanbietern fragen, ob ein Dienstleister sensible Daten hält. Für Zahlungssysteme ist eine andere Frage wichtiger: Kann die Plattform eines Dienstleisters Geldbewegungen auslösen oder freigeben – und von welchen Konten? Hier brauchten die Angreifer überhaupt keine Kundenzugangsdaten; ein Weg von der Plattform eines Dienstleisters zum eigenen Konto der Bank genügte. Treasury-, Verrechnungs- und Betriebskonten haben oft höhere Limits und weniger Verhaltensprüfungen als Privatkundenkonten und sind deshalb ein attraktives Ziel.
Für Banken, Zahlungsinstitute und ihre Softwarelieferanten in der EU fällt das direkt unter den Digital Operational Resilience Act (DORA), der seit dem 17. Januar 2025 gilt. DORA verlangt ein Register der IKT-Drittdienstleister, Verträge mit Prüf-, Kündigungs- und Ausstiegsrechten sowie eine gestufte Meldung schwerwiegender IKT-Vorfälle. In den USA formuliert die Leitlinie von Federal Reserve, FDIC und OCC zu Drittparteibeziehungen aus dem Jahr 2023 ähnliche Erwartungen über den gesamten Lebenszyklus. Auf beiden Märkten werden Prüfer nach diesem Fall dieselbe Frage stellen: Welche Dienstleister können Geld bewegen, und was stoppt sie, wenn sie kompromittiert sind?
Auch der Geldwäscheweg zählt. Die Mittel erreichten die Börsen innerhalb von Stunden und wurden in Stablecoins und danach in Vermögenswerte getauscht, die kein Emittent einfrieren kann. Eine Erkennung, die in Tagen gemessen wird, ist dafür zu langsam. Kontrollen müssen vor oder in dem Moment greifen, in dem eine Überweisung das Institut verlässt.
Was bedeutet das für den Finanzmarkt in DACH?
Für Banken, Zahlungs- und E-Geld-Institute in Deutschland und Österreich gilt derselbe Rahmen wie in Frankreich: DORA ist seit dem 17. Januar 2025 unmittelbar anwendbar, die Aufsicht liegt bei BaFin beziehungsweise FMA. Für IKT-Drittdienstleister verlangt die BaFin ein vollständiges Informationsregister nach DORA, für klassische Auslagerungen gelten weiterhin die MaRisk (AT 9). In der Schweiz gilt DORA nicht; die FINMA stellt mit ihren Rundschreiben zu Outsourcing und operationellen Risiken aber vergleichbare Anforderungen an die Steuerung von Dienstleistern.
Besonders relevant ist das Konzentrationsrisiko: Im deutschen Verbundsystem bündeln wenige IT-Dienstleister den Zahlungsverkehr sehr vieler Institute – die Sparkassen arbeiten mit der Finanz Informatik, die Volks- und Raiffeisenbanken mit Atruvia. Für Fintechs und Zahlungsdienstleister, die sich per Schnittstelle an solche Plattformen oder an Banking-as-a-Service-Partner anbinden, ist die Frage aus dem Fall Arkéa deshalb sehr konkret: Welche Rechte hat die eigene Anbindung, und ließe sie sich bei einem Vorfall in Minuten kappen?
Hinzu kommt der Zahlungsverkehr selbst. Seit dem 9. Oktober 2025 müssen Zahlungsdienstleister im Euroraum vor SEPA-Überweisungen die Empfängerüberprüfung (Verification of Payee) anbieten. Der Fall zeigt ihre Grenze: Werden Empfängerkonten auf gefälschte Identitäten mit passenden Namen eröffnet, meldet die Prüfung einen Treffer. Die Empfängerprüfung ersetzt also weder Limits noch Vier-Augen-Freigaben für institutseigene Konten.
Was sollten Zahlungs- und Bankteams jetzt prüfen?
- Reichweite der Dienstleister auf Geld abbilden. Erfassen Sie jede Drittplattform, die eine Zahlung anlegen, freigeben oder genehmigen kann, und von welchen Konten – einschließlich interner Treasury- und Verrechnungskonten.
- Lesen und Auslösen trennen. Geben Sie Dienstleister-Integrationen den engsten möglichen Berechtigungsumfang, mit kurzlebigen Zugangsdaten, mutual TLS oder signierten Anfragen und ohne dauerhafte Rechte zur Zahlungsfreigabe.
- Limits für bankeigene Konten einführen. Setzen Sie Velocity-Limits, Haltefristen für neue Empfänger und eine Vier-Augen-Freigabe über einen separaten Kanal für große ausgehende Überweisungen von Institutskonten ein – nicht nur für Kundenkonten.
- Flüsse Richtung Kryptobörsen beobachten. Markieren Sie Überweisungsserien an neue Gegenparteien und an Konten mit Bezug zu Krypto-On-Ramps und leiten Sie sie in die manuelle Prüfung.
- Not-Aus pro Dienstleister bauen. Stellen Sie sicher, dass Sie die Verbindung eines einzelnen Dienstleisters in Minuten trennen können, ohne den gesamten Zahlungsverkehr zu stoppen – und üben Sie das.
- Vorfallmeldung testen. Spielen Sie ein Planspiel zu einem vom Dienstleister ausgehenden Betrugsfall gegen die Meldefristen nach DORA oder der zuständigen Aufsicht durch.
Häufige Fragen
Was ist bei Crédit Mutuel Arkéa passiert?
Am 4. November 2026 bestätigte Crédit Mutuel Arkéa einen Cyberangriff, der betrügerische Vorgänge ermöglichte. Laut Bank gelangten die Angreifer über die Plattform eines ihrer Dienstleister direkt zur Bank und nutzten deren eigenes Konto für Überweisungen an andere Banken, wo das Geld in Kryptowährungen umgetauscht werden konnte.
Wie viel Geld wurde Arkéa gestohlen?
Eine genaue Zahl hat die Bank nicht veröffentlicht. Sie bestätigte die in der Presse genannte Größenordnung von 118 Mio. € (133 Mio. US-Dollar). Der Blockchain-Ermittler ZachXBT, der den Diebstahl zuerst meldete, verfolgte mehr als 106 Mio. US-Dollar und danach weitere 27 Mio. US-Dollar an Abhebungen von Börsenkonten. Ein Teil der Mittel ist blockiert.
Waren Kunden von Arkéa betroffen?
Nach Angaben der Bank sind Kundengelder nicht betroffen, und die Angreifer nutzten keine Kundenkonten. Einzelne Überweisungen verzögerten sich, weil die Bank bestimmte Vorgänge vorsorglich kurz aussetzte. Außerdem warnt sie vor Phishing-Nachrichten, die den Vorfall ausnutzen.
Welcher Dienstleister wurde für den Angriff genutzt?
Arkéa hat den Dienstleister nicht genannt und nicht erklärt, wie die Angreifer von dessen Plattform in die eigene Umgebung gelangten. Die Onlinebank Fortuneo schließt die Bank als Einstiegspunkt aus, Berichte über internes menschliches Versagen weist sie zurück.
Was verlangt DORA nach einem solchen Vorfall?
In der EU gilt der Digital Operational Resilience Act seit dem 17. Januar 2025 für Banken und Zahlungsdienstleister. Er verlangt ein Register und ein Risikomanagement für IKT-Drittdienstleister, Verträge mit Prüf- und Ausstiegsrechten sowie eine gestufte Meldung schwerwiegender IKT-Vorfälle, beginnend mit einer Erstmeldung wenige Stunden nach der Einstufung des Vorfalls.
Quellen
Crédit Mutuel Arkéa — Ergänzende Informationen nach dem Angriff (Primärquelle, November 2026)
BleepingComputer — Hackers pull off $133 million French bank heist via service provider (7. November 2026)
The Record by Recorded Future News — French bank confirms cyber heist (4. November 2026)
Help Net Security — $133 million stolen from French bank via exploited service provider (9. November 2026)