SWIFT-Kompromittierung & Datenabfluss

Die Bedrohung

Auffällige SWIFT-Nachrichten und ein Anstieg bei Card-not-present-Betrug offenbaren eine tiefe Kompromittierung. Die DORA-Vorfallsuhr startet, die Aufsicht erwartet eine Erstmeldung, und der Markt beobachtet den Kurs.

Zentrale Injects

• 01Treasury meldet Überweisungen, die niemand autorisiert hat.
• 02Die Aufsicht öffnet das DORA-Erstmeldefenster.
• 03Ein Journalist hat einen Screenshot des internen Incident-Channels.
• 04Betrugsvolumen steigt, Kunden melden geleerte Konten.

Was bewertet wird

• DORA-Meldung: Timing & inhaltliche Qualität
• Betrugsstopp vs. Servicekontinuität
• Augenmaß bei Kunden- und Marktkommunikation
• Abstimmung zwischen Fraud, Recht & Comms

Übungsziele

• Den Vorfall nach DORA klassifizieren und die Erstmeldung im Übungsfenster entwerfen: fällig 4 Stunden nach Einstufung als schwerwiegend, spätestens 24 Stunden nach Kenntnis.
• Betrügerische Abflüsse stoppen, ohne Kernzahlungsdienste im Alleingang abzuschalten.
• Fraud, Recht, Treasury und Kommunikation in einem Entscheidungstakt mit einem einzigen Protokoll führen.
• Kundenbenachrichtigung und Marktkommunikation vorbereiten, die der Prüfung am nächsten Morgen standhalten.

Rollen am Tisch

• ●Krisenstabsleitung · Führt den Takt über Fraud, IT, Recht und Kommunikation; entscheidet, wenn Uhren kollidieren.
• ●IT- / SOC-Forensik · Verfolgt den Angriff hinter den SWIFT-Anomalien; sichert Beweise bei laufenden Systemen.
• ●Fraud & Zahlungsverkehr · Friert verdächtige Flüsse ein und koordiniert Korrespondenzbanken und Kartensysteme.
• ●Kommunikation / Investor Relations · Kundenlinien, Pressearbeit, und wie der Markt jedes einzelne Wort liest.
• ●Recht & Compliance · Verantwortet die DORA-Meldeuhr (4 h / 24 h, 72 h, 1 Monat) und die parallel laufenden DSGVO-Pflichten.
• ●Vorstandsmitglied · Gibt Abschaltungen, Offenlegung und Ausgaben frei; steht der Aufsicht Rede und Antwort.

Diskussionsfragen

• 01Die DORA-Uhr startet mit der Einstufung, nicht mit Gewissheit. Wann stufen Sie als „schwerwiegend“ ein, und wer zeichnet das ab?
• 02Kappen Sie die SWIFT-Anbindung, während noch Überweisungen laufen? Rechnen Sie eine Stunde Ausfall gegen eine weitere Betrugswelle.
• 03Kunden posten Screenshots leergeräumter Konten. Bestätigen, dementieren oder schweigen, und wie lange?
• 04Ein Journalist zitiert Ihren internen Incident-Kanal. Was ändert sich in den nächsten dreißig Minuten?
• 05Was zählt im 72-Stunden-Zwischenbericht mehr: Vollständigkeit oder Offenheit über das, was Sie noch nicht wissen?
• 06DORA- und DSGVO-Meldungen laufen parallel. Wer stellt sicher, dass Aufsicht und Datenschutzbehörde dieselbe Geschichte hören?

Empfohlener Ablauf

• 00:00–00:20Auffällige SWIFT-Nachrichten und Betrugswelle: Triage, erste Sperren
• 00:20–01:00Einstufung: DORA-Major-Entscheidung startet die Uhr (4 h / 24 h)
• 01:00–01:50Eindämmung vs. Kontinuität: Zahlungsdienste, Korrespondenzbanken, Kartensysteme
• 01:50–02:35Erstmeldung im Entwurf; Kunden- und Marktlinie abgestimmt
• 02:35–03:00Hot Wash: Meldequalität, Entscheidungslatenz, 72-h- und 1-Monats-Folgepflichten