{"id":7510,"date":"2026-09-20T17:09:15","date_gmt":"2026-09-20T17:09:15","guid":{"rendered":"https:\/\/technodidact.de\/?p=7510"},"modified":"2026-09-18T17:10:03","modified_gmt":"2026-09-18T17:10:03","slug":"carbanak-als-der-bankraub-zu-einem-ferngeschaeft-wurde","status":"publish","type":"post","link":"https:\/\/technodidact.de\/en\/carbanak-als-der-bankraub-zu-einem-ferngeschaeft-wurde\/","title":{"rendered":"Carbanak: Als der Bankraub zu einem „Ferngesch\u00e4ft“ wurde"},"content":{"rendered":"

Autor: DerSchneider<\/strong><\/p>\n\n\n\n

Einleitung: Ein Geldautomat, der von selbst Geld ausspuckte<\/h2>\n\n\n\n

Ende 2013 entdeckte eine Bank in Kiew, Ukraine, ein merkw\u00fcrdiges Ph\u00e4nomen: Ein Geldautomat begann, ohne dass jemand eine Karte eingef\u00fchrt hatte, Bargeld auszugeben. Noch seltsamer war, dass jedes Mal, wenn die Maschine Geld ausspuckte, rechtzeitig jemand vor dem Automaten stand, das Geld ruhig entgegennahm und verschwand.<\/p>\n\n\n\n

Zun\u00e4chst hielt die Bank dies f\u00fcr einen Ger\u00e4tefehler. Doch als sich \u00e4hnliche Vorf\u00e4lle h\u00e4uften, wurde den Ermittlern klar, dass sie es nicht mit einem technischen Defekt zu tun hatten, sondern mit einer v\u00f6llig neuen Form der Kriminalit\u00e4t \u2013 jemand steuerte die Maschine aus der Ferne, wie eine Marionette an F\u00e4den, und befahl ihr, das Geld herauszugeben.<\/p>\n\n\n\n

Dieser „gehorsame“ Geldautomat wurde zum ersten Hinweis auf eine kriminelle Gruppierung mit dem Codenamen „Carbanak“. Die anschlie\u00dfenden Ermittlungen sollten eine ersch\u00fctternde Wahrheit ans Licht bringen: Diese Gruppe hatte \u00fcber mehrere Jahre hinweg mehr als 100 Finanzinstitute weltweit angegriffen und dabei Sch\u00e4tzungen zufolge bis zu einer Milliarde US-Dollar erbeutet. Ihre Methoden waren so raffiniert und ihre Geduld so erschreckend, dass sie das Verst\u00e4ndnis von „Bankraub“ grundlegend ver\u00e4nderten.<\/p>\n\n\n\n

I. Dies ist kein traditioneller Bankraub<\/h2>\n\n\n\n

Um die Einzigartigkeit von Carbanak zu verstehen, muss man zun\u00e4chst die g\u00e4ngigen Vorstellungen von einem „Bankraub“ aufgeben.<\/p>\n\n\n\n

Ein traditioneller Bank\u00fcberfall hat klare r\u00e4umliche und zeitliche Grenzen: Die R\u00e4uber dringen ein, bedrohen mit Waffen, nehmen schnell Geld und fliehen. Der gesamte Vorgang dauert Minuten, die Mittel sind Gewalt oder deren Androhung, das Ziel ist das Bargeld in den Schaltern.<\/p>\n\n\n\n

Carbanak funktionierte v\u00f6llig anders. Ihr „Raub“ begann mit einer scheinbar gew\u00f6hnlichen E-Mail und endete Monate sp\u00e4ter mit einer stillen \u00dcberweisung. Es gab keine Sch\u00fcsse, keine Masken, nicht einmal physischen Kontakt. Wie Sergey Golovanov, leitender Sicherheitsforscher bei Kaspersky Lab, es ausdr\u00fcckte: „Das \u00dcberraschende an diesen Bank\u00fcberf\u00e4llen ist, dass es f\u00fcr die Kriminellen keinen Unterschied macht, welche Software die Bank verwendet. Selbst wenn die Software einzigartig ist, kann sich die Bank nicht in Sicherheit wiegen. Die Angreifer m\u00fcssen nicht einmal die Dienste der Bank hacken: Einmal im Netzwerk, lernen sie, wie sie b\u00f6sartige Handlungen hinter legitimen Operationen verbergen.“<\/p>\n\n\n\n

Diese „Low and Slow“-Strategie \u2013 also leise und langsam \u2013 ist das zentrale taktische Merkmal von Carbanak. Sie handelten nicht hastig, sondern wie geduldige J\u00e4ger, die im Zielnetzwerk lauern, beobachten und lernen, bis sie das interne Funktionieren der Bank fast so gut kennen wie regul\u00e4re Mitarbeiter \u2013 erst dann schlagen sie zu. Der Bericht von Kaspersky zeigt: Vom Zeitpunkt der Infektion bis zur tats\u00e4chlichen Geldentnahme vergingen durchschnittlich zwei bis vier Monate.<\/p>\n\n\n\n

II. Die raffinierte Partie des Social Engineerings<\/h2>\n\n\n\n

Der Einstieg von Carbanak begann mit einer alten, aber effektiven Methode: dem Spear-Phishing (gezieltes Phishing).<\/p>\n\n\n\n

Anders als Massen-Phishing-E-Mails erfordert Spear-Phishing, dass die Angreifer im Voraus die Organisationsstruktur, die Rollen der Mitarbeiter und die Kommunikationsgewohnheiten der Ziele kennen. Carbanak zeigte dabei ein au\u00dfergew\u00f6hnlich hohes professionelles Niveau. Sie gaben sich als legitime Unternehmen aus und versandten E-Mails mit sch\u00e4dlichen Anh\u00e4ngen. Wurde ein solcher Anhang ge\u00f6ffnet, wurde eine Carbanak-Backdoor auf dem Computer des Opfers installiert.<\/p>\n\n\n\n

Sicherheitsforschungen zeigen, dass diese Phishing-E-Mails eine Reihe bekannter Schwachstellen ausnutzten, darunter CVE-2012-0158 in Microsoft Windows Common Controls, CVE-2013-3906 in Microsoft GDI+ sowie CVE-2014-1761. Diese L\u00fccken waren damals keine „Zero-Days“ mehr, doch das Patch-Management der Banken hinkte oft hinterher \u2013 eine Gelegenheit f\u00fcr die Angreifer.<\/p>\n\n\n\n

Dar\u00fcber hinaus erg\u00e4nzte FIN7 (die mit Carbanak verbundene Organisation) ihre Phishing-E-Mails durch Telefonanrufe, bei denen sie sich als Absender ausgaben, um die Glaubw\u00fcrdigkeit der E-Mail zu erh\u00f6hen. Das US-Justizministerium stellte dazu fest: „FIN7 erstellte sorgf\u00e4ltig E-Mails, die f\u00fcr Mitarbeiter von Unternehmen legitim aussahen, begleitet von Telefonanrufen, um die E-Mail noch glaubw\u00fcrdiger erscheinen zu lassen.“ Das Opfer erhielt also nicht nur eine E-Mail, die von einem legitimen Unternehmen zu stammen schien, sondern auch einen Anruf, der die Echtheit der E-Mail „best\u00e4tigte“. Diese duale Social-Engineering-Methode erh\u00f6hte die Erfolgsquote erheblich.<\/p>\n\n\n\n

War der Schadcode erst aktiviert, etablierte er still und leise einen St\u00fctzpunkt im internen Netzwerk der Bank. Doch die Angreifer hatten es nicht eilig.<\/p>\n\n\n\n

III. Geduld: Die am meisten untersch\u00e4tzte Waffe<\/h2>\n\n\n\n

Wenn Social Engineering der „Schl\u00fcssel“ von Carbanak war, dann war Geduld ihre „Strategie“.<\/p>\n\n\n\n

Nach dem Eindringen in das Banknetzwerk begann f\u00fcr die Angreifer eine monatelange Beobachtungsphase. Der Bericht von Kaspersky stellte fest, dass die Angreifer nach der Infektion einer Bank zun\u00e4chst kein Geld stahlen. Stattdessen beobachteten sie wochen- bis monatelang den Bankbetrieb.<\/p>\n\n\n\n

Bitdefender rekonstruierte den zeitlichen Ablauf eines typischen Carbanak-Angriffs: Vom Tag 0, an dem ein Cobalt-Strike-Beacon \u00fcber eine Phishing-E-Mail eingeschleust wurde, vergingen fast drei Wochen, bis die Angreifer einen Dom\u00e4nenadministrator kompromittiert hatten. Erst am 31. Tag wurde der zentrale Server identifiziert, der die Finanzanwendungen der Bank steuerte. Und erst am 33. Tag erfolgte die erste Verbindung zu diesem Server. Das bedeutet: \u00dcber einen Monat lang beobachteten die Angreifer, kartierten das Netzwerk und sammelten Zugangsdaten, ohne auch nur einen Cent zu stehlen.<\/p>\n\n\n\n

Was taten sie in dieser Zeit? Sie „kartierten die internen Prozesse und Anwendungen“ und zeigten ein „tiefes Verst\u00e4ndnis“ f\u00fcr die Art und Lage der Ziel Daten.<\/p>\n\n\n\n

Die Carbanak-Malware fungierte dabei als vollwertige Backdoor. Sie erlaubte den Angreifern, Screenshots zu erstellen, Tastatureingaben aufzuzeichnen und sogar Bildschirmvideos von Mitarbeitern anzufertigen, die Bankanwendungen bedienten. So konnten sie die exakten Abl\u00e4ufe nachahmen, ohne selbst entdeckt zu werden.<\/p>\n\n\n\n

Besonders perfide: Die Angreifer studierten die interne Buchhaltung der Bank. Sie analysierten, wie Kontost\u00e4nde, Transaktionslimits und Freigabeschwellen funktionierten. Dadurch wussten sie genau, welche Betr\u00e4ge unauff\u00e4llig waren und wann sie zuschlagen konnten, ohne Alarme auszul\u00f6sen.<\/p>\n\n\n\n

Die Angreifer agierten bevorzugt nachts oder am Wochenende, wenn weniger Personal anwesend war und \u00dcberwachungssysteme weniger aufmerksam. Sie tarnten ihre Aktivit\u00e4ten als normale Wartungsarbeiten oder nutzten legitime Admin-Tools, um nicht aufzufallen.<\/p>\n\n\n\n

Statt einmalig zuzuschlagen, hielten sie sich \u00fcber Monate oder sogar Jahre in den Netzen. Sie legten Backdoors und Hintert\u00fcren an, um auch nach Entdeckungen wieder hineinzukommen. So konnten sie mehrere Angriffswellen fahren, ohne das gesamte System zu gef\u00e4hrden.<\/p>\n\n\n\n

IV. Die Bargeldautomaten-Masche: Fernsteuerung statt physischer Manipulation<\/h2>\n\n\n\n

Die spektakul\u00e4rste Methode von Carbanak war die Fernsteuerung von Geldautomaten. Die Hacker mussten weder die Automaten physisch manipulieren noch Karten stehlen \u2013 sie befahlen dem System der Bank einfach, Geld auszugeben, und jemand wartete bereits vor dem Automaten, um es einzustecken.<\/p>\n\n\n\n

Der Ausl\u00f6ser: Ein auff\u00e4lliger Automat<\/h3>\n\n\n\n

Die gesamte Aff\u00e4re wurde 2013 in Kiew, Ukraine, aufgedeckt. Ein Geldautomat spuckte wiederholt ohne ersichtlichen Grund Bargeld aus \u2013 ohne Karte, ohne Tastendruck. Die \u00dcberwachungskamera zeigte jedoch etwas Merkw\u00fcrdiges: Jedes Mal, wenn der Automat Geld ausgab, stand rechtzeitig jemand davor, nahm das Geld und ging. Die Polizei bat Kaspersky um Hilfe bei der Untersuchung, und erst dann wurde entdeckt, dass dies nur die Spitze des Eisbergs war.<\/p>\n\n\n\n

Wie funktionierte es?<\/h3>\n\n\n\n

1. Fernbefehl zur Auszahlung<\/strong><\/p>\n\n\n\n

Nachdem die Angreifer in das Banksystem eingedrungen waren, erlangten sie die Kontrolle \u00fcber das Netzwerk, das die Geldautomaten steuerte. Sie konnten direkt einen Befehl an einen bestimmten Automaten senden, um zu einem im Voraus festgelegten Zeitpunkt das Geld auszuwerfen.<\/p>\n\n\n\n

2. „Geldboten“ warteten vor Ort<\/strong><\/p>\n\n\n\n

W\u00e4hrend die Hacker remote den Befehl ausf\u00fchrten, wartete ein Komplize vor dem Automaten. Sobald das Geld ausgegeben wurde, steckte er es in einen Rucksack und verschwand. Die gesamte Aktion erforderte keine Karte und keine PIN-Eingabe.<\/p>\n\n\n\n

3. \u00dcberwachung und Sabotage<\/strong><\/p>\n\n\n\n

Vor der Ausf\u00fchrung des Auszahlungsbefehls ergriffen die Angreifer einige „Sicherheitsma\u00dfnahmen“: Sie deaktivierten die Video\u00fcberwachung des Automaten und erh\u00f6hten das Auszahlungslimit, damit der Automat mehr Geld ausgeben konnte.<\/p>\n\n\n\n

Ein konkreter Fall<\/h3>\n\n\n\n

In einem Fall erbeutete eine Bank durch diese „Automatenspuck-Methode“ 7,3 Millionen US-Dollar. Die Gruppe beschr\u00e4nkte die Beute pro Bank in der Regel auf unter 10 Millionen US-Dollar, um nicht aufzufallen \u2013 diese „Low-Profile-Strategie“ ist auch ein Grund, warum sie so lange unentdeckt blieben.<\/p>\n\n\n\n

V. Die weiteren Geldbeschaffungsmethoden im Detail<\/h2>\n\n\n\n

Die Bargeldautomaten-Masche war spektakul\u00e4r, aber bei weitem nicht die einzige Methode, mit der Carbanak Geld aus den eroberten Banknetzwerken abzog. Tats\u00e4chlich war sie eher die Ausnahme \u2013 die meisten Angriffe nutzten andere, weniger sichtbare Wege. Im Folgenden werden die wichtigsten Methoden ebenso ausf\u00fchrlich beschrieben.<\/p>\n\n\n\n

1. Betrug durch Online-\u00dcberweisungen (Online Banking Fraud)<\/h3>\n\n\n\n

Die h\u00e4ufigste und zugleich unauff\u00e4lligste Methode war der Betrug \u00fcber das Online-Banking-System der Bank selbst.<\/p>\n\n\n\n

Wie es funktionierte:<\/strong><\/p>\n\n\n\n

Nachdem die Angreifer monatelang die internen Abl\u00e4ufe der Bank studiert hatten, kannten sie die genauen Prozesse f\u00fcr \u00dcberweisungen: Wer darf welche Betr\u00e4ge freigeben? Welche Konten werden f\u00fcr welche Transaktionen genutzt? Welche Zeiten sind unauff\u00e4llig?<\/p>\n\n\n\n

Mit diesem Wissen konnten sie sich als legitime Mitarbeiter ausgeben und \u00dcberweisungen auf eigene Konten \u2013 sogenannte „Money Mule“-Konten \u2013 veranlassen. Diese Konten geh\u00f6rten oft ahnungslosen Personen oder wurden speziell f\u00fcr die Geldw\u00e4sche eingerichtet.<\/p>\n\n\n\n

Warum es so schwer zu entdecken war:<\/strong><\/p>\n\n\n\n

Die \u00dcberweisungen wurden in den regul\u00e4ren Transaktionsstrom eingebettet. Sie entsprachen den \u00fcblichen Betr\u00e4gen, wurden zu den \u00fcblichen Zeiten ausgef\u00fchrt und nutzten die \u00fcblichen Freigabewege. F\u00fcr das Bankpersonal sah alles nach normalen Gesch\u00e4ftsvorg\u00e4ngen aus.<\/p>\n\n\n\n

Ein besonders perfider Trick: Die Angreifer nutzten die internen Systeme, um die \u00dcberweisungen selbst zu genehmigen. Da sie die Zugangsdaten von Mitarbeitern mit entsprechenden Berechtigungen erbeutet hatten, konnten sie die Transaktionen durch den gesamten Freigabeprozess schleusen, ohne dass ein Mensch eingreifen musste.<\/p>\n\n\n\n

Die Rolle der „Money Mules“:<\/strong><\/p>\n\n\n\n

Das Geld wurde auf Konten von sogenannten „Money Mules“ \u00fcberwiesen \u2013 oft ahnungslose Personen, die \u00fcber Online-Jobangebote oder Dating-Plattformen angeworben wurden. Diese Personen hoben das Geld ab oder \u00fcberwiesen es weiter, ohne zu wissen, dass sie an einer Straftat beteiligt waren. Die eigentlichen Drahtzieher blieben im Hintergrund.<\/p>\n\n\n\n

2. Aufgeblasene Kontost\u00e4nde (Inflated Account Balances)<\/h3>\n\n\n\n

Eine weitere Methode war die direkte Manipulation von Kontodatenbanken. Dabei wurden Kontost\u00e4nde k\u00fcnstlich erh\u00f6ht, um dann den Differenzbetrag abzur\u00e4umen.<\/p>\n\n\n\n

Wie es funktionierte:<\/strong><\/p>\n\n\n\n

Die Angreifer drangen in die Datenbanken der Bank ein und \u00e4nderten die Kontost\u00e4nde bestimmter Konten \u2013 oft von wohlhabenden Kunden oder Firmenkonten mit hohen Guthaben. Beispielsweise wurde ein Konto mit 10.000 US-Dollar auf 100.000 US-Dollar „aufgeblasen“.<\/p>\n\n\n\n

Anschlie\u00dfend \u00fcberwiesen sie den Differenzbetrag \u2013 in diesem Fall 90.000 US-Dollar \u2013 auf ein anderes Konto oder hoben ihn ab. Der urspr\u00fcngliche Kontostand wurde wiederhergestellt, sodass dem Kunden kein Verlust auffiel.<\/p>\n\n\n\n

Warum es funktionierte:<\/strong><\/p>\n\n\n\n

Diese Methode erforderte ein tiefes Verst\u00e4ndnis der Datenbankstruktur und der Buchhaltungslogik der Bank. Die Angreifer mussten sicherstellen, dass die manipulierten Transaktionen mit den anderen Systemen der Bank konsistent blieben \u2013 andernfalls h\u00e4tten automatische Pr\u00fcfungen Alarm geschlagen.<\/p>\n\n\n\n

Durch die monatelange Beobachtung wussten die Angreifer genau, welche Konten regelm\u00e4\u00dfig hohe Transaktionen aufwiesen und bei welchen Betr\u00e4gen keine automatischen Warnungen ausgel\u00f6st wurden.<\/p>\n\n\n\n

Die Herausforderung der Konsistenz:<\/strong><\/p>\n\n\n\n

Ein besonderes Problem war die Konsistenz der Daten. Wenn ein Kontostand ge\u00e4ndert wurde, mussten auch alle abh\u00e4ngigen Systeme \u2013 wie Zinsberechnungen, Kreditlimits und Risikobewertungen \u2013 entsprechend angepasst werden. Die Angreifer entwickelten spezielle Tools, um diese Konsistenz automatisch herzustellen.<\/p>\n\n\n\n

3. Missbrauch von Bankdienstleistungen und vorausbezahlten Karten<\/h3>\n\n\n\n

Die Gruppe nutzte auch legitime Bankdienstleistungen, um die Herkunft des Geldes zu verschleiern und es aus dem Bankensystem herauszuschleusen.<\/p>\n\n\n\n

Vorausbezahlte Karten (Prepaid Cards):<\/strong><\/p>\n\n\n\n

Die Angreifer erwarben oder erstellten vorausbezahlte Karten, die sie mit gestohlenem Geld aufluden. Diese Karten konnten dann weltweit an Geldautomaten oder in Gesch\u00e4ften verwendet werden, ohne dass eine direkte Verbindung zur Bank hergestellt werden konnte.<\/p>\n\n\n\n

Online-Bezahldienste:<\/strong><\/p>\n\n\n\n

Sie nutzten auch Online-Bezahldienste wie E-Wallets und Kryptow\u00e4hrungsb\u00f6rsen, um das Geld weiter zu verschieben und zu waschen. Diese Dienste boten eine zus\u00e4tzliche Anonymit\u00e4tsschicht.<\/p>\n\n\n\n

Kreditkarten und Kredite:<\/strong><\/p>\n\n\n\n

In einigen F\u00e4llen beantragten die Angreifer im Namen von Bankkunden Kredite oder Kreditkarten, die sie dann f\u00fcr eigene Zwecke nutzten. Auch hier half ihnen das Wissen \u00fcber die internen Prozesse, um die Antr\u00e4ge erfolgreich durchzubringen.<\/p>\n\n\n\n

SWIFT-Netzwerk:<\/strong><\/p>\n\n\n\n

Ein besonders schwerwiegender Aspekt war der Missbrauch des SWIFT-Netzwerks \u2013 des internationalen Systems f\u00fcr Finanztransaktionen. Die Angreifer konnten \u00dcberweisungen in andere L\u00e4nder veranlassen, die dann nur schwer zur\u00fcckzuverfolgen waren. Dieser Aspekt wurde besonders beim sp\u00e4teren Angriff auf die Zentralbank von Bangladesch deutlich, bei dem eine \u00e4hnliche Gruppe 81 Millionen US-Dollar erbeutete.<\/p>\n\n\n\n

4. Die Kombination der Methoden<\/h3>\n\n\n\n

In der Praxis kombinierten die Angreifer oft mehrere Methoden. Ein typischer Angriff konnte so aussehen:<\/p>\n\n\n\n

    \n
  1. Phase 1 \u2013 Beobachtung:<\/strong> Monatelanges Studium der Bankabl\u00e4ufe<\/li>\n\n\n\n
  2. Phase 2 \u2013 Test:<\/strong> Kleine \u00dcberweisungen zur \u00dcberpr\u00fcfung der Systeme<\/li>\n\n\n\n
  3. Phase 3 \u2013 Ausbeutung:<\/strong> Gr\u00f6\u00dfere \u00dcberweisungen und Kontomanipulationen<\/li>\n\n\n\n
  4. Phase 4 \u2013 Bargeldabhebung:<\/strong> Nutzung von Geldautomaten und Money Mules<\/li>\n\n\n\n
  5. Phase 5 \u2013 Geldw\u00e4sche:<\/strong> Verschiebung des Geldes \u00fcber verschiedene Kan\u00e4le<\/li>\n<\/ol>\n\n\n\n

    Durch diese mehrstufige Strategie konnten die Angreifer gro\u00dfe Summen abziehen, ohne dass die Bank den Verlust sofort bemerkte. Oft vergingen Monate, bis die Manipulationen entdeckt wurden \u2013 und dann war das Geld l\u00e4ngst verschwunden.<\/p>\n\n\n\n

    VI. Die technische Infrastruktur: Tarnung als legitime Software<\/h2>\n\n\n\n

    Die technische Raffinesse von Carbanak zeigte sich besonders in der Tarnung. Die Malware tarnte sich als legitime Windows-Dienste (z. B. als svchost.exe<\/code> an ungew\u00f6hnlichen Orten) oder nutzte geplante Aufgaben, um aktiv zu bleiben.<\/p>\n\n\n\n

    Die Kommunikation mit den Servern der Angreifer wurde \u00fcber legitime Dienste wie Google Apps Script oder Google Sheets verschleiert. Dadurch konnten die Angreifer Daten exfiltrieren, ohne dass Netzwerk\u00fcberwachungssysteme anschlagen.<\/p>\n\n\n\n

    Die Gruppe verwendete auch eine Reihe von Tools und Techniken, die f\u00fcr Penetrationstests entwickelt wurden, um sich im Netzwerk zu bewegen und Rechte zu erweitern. Dazu geh\u00f6rten unter anderem:<\/p>\n\n\n\n