Der Zugriff auf hochsensible Finanzdaten in Frankreich erfolgte nicht durch einen technischen Angriff auf Server, sondern über kompromittierte Anmeldedaten eines einzelnen Beamten. Der Fall wirft grundlegende Fragen zur Identitäts- und Zugriffsverwaltung in Behörden und Unternehmen auf – auch im DACH-Raum.
Foto: NasimaH - stock.adobe.com
Kompromittierte Bankdaten ohne Server-Hack
Foto: ESET
Benoit Grunemwald, Cyber Security Evangelist bei ESET France
Ein einzelner gestohlener Login genügte, um Zugriff auf Daten von rund 1,2 Millionen Bankkonten zu erhalten. Der Vorfall rund um die französische FICOBA-Datenbank macht deutlich, dass klassische Vorstellungen von Cyberangriffen – etwa das Eindringen in Systeme über Sicherheitslücken – nicht immer zutreffen. Stattdessen rücken organisatorische und prozessuale Schwächen in den Fokus, insbesondere im Umgang mit privilegierten Zugängen. Betroffen waren Kontonummern (IBANs), Namen, Adressen und teilweise Steueridentifikationsnummern. Kein Server wurde kompromittiert, kein technisches Schutzsystem überwunden.
Nach Angaben des französischen Wirtschaftsministeriums verschaffte sich ein Angreifer mithilfe gestohlener Zugangsdaten eines Regierungsbeamten legitimen Zugriff auf die nationale Bankkontendatenbank FICOBA. Der Fall verdeutlicht, dass der Schutz sensibler Daten nicht allein von der technischen Absicherung der Infrastruktur abhängt, sondern maßgeblich von der Verwaltung digitaler Identitäten.
Benoit Grunemwald, Cyber Security Evangelist bei ESET France, ordnet den Vorfall entsprechend ein:
„Der Vorfall rund um die FICOBA-Datenbank zeigt keine klassische technische Schwachstelle, sondern etwas Beunruhigendes: Der Zugang zu hochsensiblen Daten erfordert nicht immer einen direkten Angriff auf Server. Organisatorische Lücken in der Identitätsverwaltung, Authentifizierung und Zugriffskontrolle können genauso effektiv ausgenutzt werden. Die betroffenen Datenkategorien von IBANs bis zu Steueridentifikationsnummern sind eine gefährliche Grundlage für Finanzbetrug und Identitätsdiebstahl."
Die Kombination aus legitimem Zugriff und fehlenden zusätzlichen Schutzmechanismen machte den Missbrauch möglich. Gerade privilegierte Konten stellen dabei ein zentrales Risiko dar, wenn ihre Nutzung nicht kontinuierlich überprüft wird.
Aus Sicht der ESET-Forschung handelt es sich beim FICOBA-Vorfall nicht um einen Einzelfall, sondern um ein typisches Beispiel für eine seit Jahren beobachtete Angriffsmethode. Informationsdiebe wie SnakeStealer sind darauf spezialisiert, Zugangsdaten aus Browsern, E-Mail-Programmen und Datenbanken zu extrahieren, Tastatureingaben mitzuschneiden und Bildschirmaufnahmen anzufertigen.
Die von ESET erhobenen Telemetriedaten unterstreichen die Bedeutung dieser Bedrohung. In der ersten Hälfte des Jahres 2025 stiegen die Detektionen von SnakeStealer im Vergleich zur zweiten Jahreshälfte 2024 um 111 Prozent. Der Schädling macht rund 20 Prozent aller weltweit erfassten Infostealer-Detektionen aus. Insgesamt wurden laut Flashpoint Global Threat Intelligence Report allein im Jahr 2024 rund 2,1 Milliarden Zugangsdaten durch Infostealer-Malware gestohlen, was mehr als 60 Prozent aller kompromittierten Credentials entspricht. Gleichzeitig zeigen Maßnahmen Wirkung: Nach der Zerschlagung der Infrastruktur des Lumma Stealers durch ESET und internationale Strafverfolgungsbehörden gingen dessen Detektionen in der zweiten Jahreshälfte 2025 um 86 Prozent zurück.
Der französische Vorfall hat auch für Deutschland, Österreich und die Schweiz Signalwirkung. Behörden, Finanzinstitute und Betreiber kritischer Infrastrukturen stehen vor ähnlichen Herausforderungen. ESET empfiehlt IT-Verantwortlichen, bestehende Sicherheitskonzepte kritisch zu überprüfen. Dazu zählt insbesondere ein konsequentes Privileged Access Management, das sicherstellt, dass Zugriffsrechte regelmäßig überprüft und bei Bedarf entzogen werden.
Ebenso zentral ist der Einsatz von Multi-Faktor-Authentifizierung für alle privilegierten Konten, da gestohlene Passwörter allein keinen Zugang ermöglichen dürfen. Das Zero-Trust-Prinzip gewinnt zusätzlich an Bedeutung: Weder Nutzer noch Geräte oder Systeme sollten pauschal als vertrauenswürdig gelten, unabhängig davon, ob sie sich innerhalb oder außerhalb des eigenen Netzwerks befinden.
Mit der Umsetzung der NIS-2-Richtlinie gelten in Deutschland und Österreich zudem strengere Meldepflichten bei Sicherheitsvorfällen und Datenpannen. Ergänzend weist ESET darauf hin, dass klassische Endpoint-Protection-Lösungen gegen moderne Infostealer häufig nicht ausreichen. Der Einsatz von EDR-Lösungen und mehrschichtigen, Threat-Intelligence-gestützten Sicherheitsansätzen wird daher als notwendig erachtet.
Am 18. Februar 2026 bestätigte das französische Wirtschaftsministerium, dass ein Angreifer unbefugten Zugriff auf die FICOBA-Datenbank erlangt hatte. FICOBA ist das nationale Verzeichnis aller Bankkonten in Frankreich und dient als zentrale Infrastruktur für Steuer- und Sozialprozesse. Der Zugriff erfolgte über gestohlene Anmeldedaten eines Beamten mit legitimen Rechten. Als Reaktion verhängten die Behörden Zugangsbeschränkungen, erstatteten Anzeige und schalteten sowohl die Datenschutzbehörde CNIL als auch die nationale Cybersicherheitsagentur ANSSI ein.
