Im März 2025 bemerkte die Bundesagentur für Arbeit einen Cyberangriff auf ihre IT-Systeme. Unbekannte hatten Zugriff auf 20.000 Benutzerkonten und versuchten Bankverbindungen zu manipulieren, um Zahlungen umzuleiten. Nun wurde nach intensiven Ermittlungen mehrere Verdächtige verhaftet.
Admin-Passwörter schützen mit Windows LAPS. eBook jetzt herunterladen » (Anzeige)
Kompromittierte Benutzerkonten
Es war ein Zufall, dass der Cyberangriff bemerkt wurde. Laut Pressemitteilung der Generalstaatsanwaltschaft Bamberg (via) bemerkte eine Mitarbeiterin in einem Jobcenter in Nordrhein-Westfalen bei einer Einzelfallbearbeitung zunächst Unstimmigkeiten auf dem Konto eines bereits verstorbenen Kunden. Bei einer anschließenden Überprüfung stellte die Bundesagentur für Arbeit eine Vielzahl unberechtigter Logins fest und erstattete Strafanzeige bei der Zentralstelle Cybercrime Bayern (ZCB) in Bamberg.
Daraufhin liefen sofortige Ermittlungen beim zuständigen Fachkommissariat "Ermittlungen Cybercrime" (ECC) des Kriminalfachdezernats 5 in Nürnberg an. Eine Ermittlungskommission (EKO) wurde zur Bewältigung des Ermittlungskomplexes eingerichtet.
In mehrmonatigen, umfangreichen Ermittlungen der Zentralstelle Cybercrime Bayern und des Fachkommissariats "Ermittlungen Cybercrime" ergaben, dass Täter zwischen dem 30.01.2025 und dem 19.03.2025 versucht haben, sich widerrechtlich in über 20.000 Benutzerkonten bei der Bundesagentur für Arbeit einzuloggen.
In rund 1.000 Fällen waren die Täter auch erfolgreich. Laut Mitteilung sollen die Täter dann in mehr als 150 Benutzerkonten die Kontoverbindung geändert haben, um die vorgesehenen Leistungsauszahlungen betrügerisch auf eigene Konten umzuleiten.
Tatverdächtige ermittelt und festgenommen
Die Ermittlungen führten zu mehreren Tatverdächtigen, die an den Hacks der Konten und der Manipulation der Kontoverbindungen beteiligt waren. Über die erlangten Zugangsdaten wären die Tatverdächtigen in der Lage gewesen, sich monatlich einen fünfstelligen Betrag auszahlen zu lassen. Durch das frühzeitige Eingreifen der Bundesagentur für Arbeit und die sofortigen Gegenmaßnahmen konnte der tatsächliche Schaden begrenzt werden. Dieser beläuft sich auf knapp 1.000 Euro.
In enger Abstimmung mit den Staatsanwälten der Zentralstelle Cybercrime Bayern und durch die intensiven und akribischen Ermittlungen der EKO bei der Kriminalpolizei Nürnberg gelang es Tatverdächtige in mehreren Bundesländern zu ermitteln. Die acht Tatverdächtigen im Alter zwischen 36 und 61 Jahren besitzen die albanische (3), die kosovarische (3), serbische (1) beziehungsweise die deutsche Staatsangehörigkeit (1).
Am 08.10.2025 vollzogen Beamte des Fachkommissariats Ermittlungen Cybercrime der Kriminalpolizei Nürnberg zusammen mit Staatsanwälten der ZCB und mehreren IT-Forensikern insgesamt 14 Durchsuchungsbeschlüsse in zehn Objekten in Ludwigshafen (Rheinland-Pfalz), Mannheim (Baden-Württemberg), Berlin, Halle (Sachsen-Anhalt) und in den Kreisen Segeberg (Schleswig-Holstein) und Rhein-Pfalz (Rheinland-Pfalz). Dabei wurden sie von Beamten der jeweils zuständigen Landespolizeien unterstützt.
Im Rahmen der Durchsuchungsmaßnahmen konnten umfangreiche Beweismittel und Datenträger sichergestellt werden, darunter auch Waffen und Betäubungsmittel sowie mehrere tausend Euro Bargeld. Bereits bei einer ersten Sichtung der sichergestellten Beweismittel fanden sich eindeutige Hinweise, die die Beschuldigten mit dem Cyberangriff auf die Bundesagentur für Arbeit in Verbindung bringen.
Die in Rheinland-Pfalz zuständige Staatsanwaltschaft Frankenthal leitete gegen zwei albanische Tatverdächtige ein Strafverfahren wegen des Handels mit Betäubungsmitteln ein und stellte Haftantrag gegen die beiden. Ein Ermittlungsrichter erließ gegen beide Tatverdächtige einen Untersuchungshaftbefehl. Anschließend wurden sie in Justizvollzugsanstalten in Rheinland-Pfalz eingeliefert.
Die acht Tatverdächtigen müssen sich nun u. a. wegen gewerbsmäßigen Computerbetrugs verantworten. Das Gesetz sieht hierfür eine Freiheitsstrafe von sechs Monaten bis zu zehn Jahren vor.
MVP: 2013 – 2016
man sieht sehr schön wie man damals seitens der Banken dem Betrug Tür und Tor geöffnet hat.
Damals hat man im Zuge des online Bankings festgestellt, das durch die digitale Übertragung und Prüfziffern in den Konto Nummern auf die personal intensive Validierung des Empfängers Verzichten konnte.
Das haben eBay Betrüger und Rechnungsfälscher ausgewaidet.
in elektronischen Rechnungen wurden falsche Konto-Nummern eingetragen, der Name des seriösen eBay Verkäufers wurde über die Nummer des Kontos des Betrüges geschrieben.
Auch hier wäre der Trick bei lebenden Empfängern 1… 2 Monate nicht aufgefallen, daher hat man ja wohl die Konten von Toten geändert? Aber wieso sollten die noch Geld bekommen haben?
Wer liefert eigentlich das IDS Zufall?
"Damals hat man im Zuge des online Bankings festgestellt, das durch die digitale Übertragung und Prüfziffern in den Konto Nummern auf die personal intensive Validierung des Empfängers Verzichten konnte."
Wobei das seit 01.10 ja jetzt wieder da ist, zumindest bei Überweisungen im Onlinebanking ist eine Prüfung der Übereinstimmung des Empfängernamens zur IBAN Pflicht. Falls der Name nicht übereinstimmt gibt's (in mehreren Stufen, je nach Abweichung) entsprechende Hinweise oder Warnungen. Ist wenn ich mich nicht irre die Umsetzung einer EU-Vorgabe.
Wie sind denn die Benutzerkonten der Arbeitsagentur abgesichert? Nur Benutzername und Kennwort? Oder auch MFA?
MFA ist leider auch nicht mehr so sicher! Mit den richtigen Tricks lässt sich selbst die umgehen… Ich hoffe dennoch, dass MFA hier zum Einsatz kam, wäre mir da aber nicht so sicher…
Klar: MFA und Man-in-the-Middle, Token-Klau etc.
Aber eine Kontoverbindung, auf die regelmässig Geld eingeht, nur mit Benutzername/Kennwort zu schützen, ist (vielleicht) zu wenig.
Laut heise (https://www.heise.de/-10751851) war MFA nur empfohlen und ist jetzt (endlich) Zwang.
Es gibt jedoch zusätzlich Berechtigungsstufen. Eine Anmeldung mit Anmeldename, Passwort und 2FA am Portal ist nicht berechtigt die Bankverbindung zu ändern! Das geht nur bei Anmeldung per eID über einen BundID-Account.
(…)konnte der tatsächliche Schaden begrenzt werden. Dieser beläuft sich auf knapp 1.000 Euro
ist das nicht etwas wenig, wenn sie monatlich 5stellige Beträge erbeutet haben?
Konjunktiv:
"wären die Tatverdächtigen in der Lage gewesen"
Sie haben also keine 5-stelligen Beträge erbeutet.
Sie hätten es aber theoretisch gekonnt, da sie Zugang zu ausreichend vielen Konten hatten, aber sie sind halt rechtzeitig entdeckt worden.
Ah, Augen auf. Danke
@Mark Heitbrink
"wären die Tatverdächtigen in der Lage gewesen, sich monatlich einen fünfstelligen Betrag auszahlen zu lassen."