ZKB-Kunden sehen plötzlich Kontostände fremder Personen

Ein Kunde der Zürcher Kantonalbank (ZKB) war am Samstag erschrocken, als er die ZKB-App öffnete und Kontostände von fremden Personen sah – inklusive IBAN-Nummer, Frankenbeträge und Art des Kontos (Privatkonto, Sparkonto, Firmenkonto, Mietzinskonto, Liegenschaftskonto, Jugendprivatkonto). Die ZKB bestätigt die Datenpanne auf Anfrage.

Der Leser sah also Konti, die nicht ihm selbst gehören, mit Kontoständen von beispielsweise rund 256'000 Franken oder 376'000 Franken. Einige  der Konti liefen unter einem Firmennamen, für andere zeigte die ZKB-App den Klarnamen von Privatpersonen an. Das Problem sei nach einer Wartung bei der ZKB aufgetreten, schreibt der Leser der Redaktion – «bezahlen konnte man mit diesen Konti aber leider nicht».

«Anlässlich eines geplanten und im Vorfeld angekündigten Systemunterbruchs aufgrund eines Releases im ZKB-Mobile-Banking hat die Bank am Samstagabend eine technische Störung festgestellt», teilt die ZKB auf Anfrage der Redaktion mit. Die Störung sei «während eines begrenzten Zeitraums» (rund zwei Stunden) aufgetreten, sofern verschiedene Faktoren gleichzeitig zusammenspielten.

Als Reaktion darauf habe man die ZKB-Banking-App umgehend in den Wartungsmodus zurückgesetzt, sagt die Bank auf Anfrage. In der Folge sei die App für die Nutzung nicht mehr zugänglich gewesen. «Wir bedauern diesen Vorfall sehr und entschuldigen uns dafür», so die ZKB. Die Gelder der Kundinnen und Kunden seien zu keinem Zeitpunkt betroffen gewesen.

Beim technischen Fehler habe es sich um einen «isolierten Einzelfall» im ZKB-Mobile-Banking gehandelt, weitere Systeme seien nicht betroffen gewesen, so die ZKB. Die Bank habe die Störung umgehend behoben. Die ZKB-App sei seit Sonntagmorgen wieder uneingeschränkt verfügbar.

Aber reichen IBAN-Nummer und Name, um fremde Konti zu plündern? Nein, sagt das Bundesamt für Cybersicherheit. Selbst mit IBAN und einer Kopie einer Identitätskarte sei es nicht möglich, Geld abzuheben. Theoretisch sei es denkbar, dass jemand mit einer IBAN bei einem Onlineshop eine Lastschriftzahlung veranlasse, diese Zahlungsoption sei in der Schweiz aber nicht verbreitet. Zudem könne man solche Zahlungsaufträge bis zu einem Jahr lang beanstanden und zurückbuchen.

Die Behörde rät dazu, skeptisch zu sein, besonders bei E-Mails, die eine Handlung verlangen und ansonsten mit Konsequenzen wie Konto- oder Kartensperrungen, Geldverlust und Strafanzeigen drohen. «Seien Sie immer zurückhaltend mit der Angabe von persönlichen Daten», so die Empfehlung.