Eine Bank-Datenpanne, die außerhalb der Bank begann

Die Bank of Baroda Datenpanne hat eine neue Wendung genommen. Die Sicherheitsfirma UpGuard meldete im September 2025, dass sie eine offene Cloud-Datenbank eines Drittanbieters entdeckt habe, die mehr als 273.000 indische Bankdaten enthielt, wobei etwa 6.000 davon mit Kunden und Mitarbeitern der Bank of Baroda in Verbindung standen. Die Datenbank befand sich nicht im eigenen Netzwerk der Bank. Sie gehörte einem Dienstleister und war offen zugänglich für jeden, der wusste, wo er suchen musste.

Dieses Detail ist wichtig. Als die Bank of Baroda am 27. Juli den E-Mail-Angriff auf Mitarbeiter bestätigte, stellte die Bank klar, dass ihre Kernbanksysteme unberührt blieben. Die Angreifer sollen sich über ein kompromittiertes E-Mail-Konto eines Mitarbeiters Zugang verschafft haben, wodurch sie auf interne Dokumente, Kundenidentifikationsunterlagen und Kreditakten zugreifen konnten. Die Erkenntnisse von UpGuard deuten jedoch darauf hin, dass die Datenweitergabe dort nicht endete. Eine separate Cloud-Datenbank, die von einem Dritten verwaltet wurde, enthielt einen Teil derselben sensiblen Daten, ungesichert und ohne Authentifizierung erreichbar.

Die eigentliche Schwachstelle: Dienstleister, nicht Tresore

Banken geben enorme Summen für die Sicherung ihrer eigenen Perimeter aus: Firewalls, Einbruchserkennung, verschlüsselte Kernbanksysteme. Doch das moderne Bankwesen basiert auf einem Ökosystem externer Dienstleister: Zahlungsabwickler, Analyseplattformen, Anbieter von Dokumentenspeichern und Cloud-Hosts. Jeder von ihnen hält einen Teil der Kundendaten, und jeder ist ein potenzieller Schwachpunkt, den die Bank nicht vollständig kontrolliert.

Genau dieses Muster stellten die Forscher in diesem Fall fest. Eine in sozialen Medien als TripleX identifizierte Gruppe, die als relativ neuer Akteur beschrieben wird und mit einem im Mai gemeldeten Datenschutzverstoß in Verbindung steht, schien hinter den offengelegten Daten zu stecken. Ob die Cloud-Datenbank direktes Ziel war oder einfach durch Fehlkonfiguration ungesichert blieb – das Ergebnis ist dasselbe: Kundenunterlagen, die eigentlich gesperrt sein sollten, lagen offen da. Als das 1-TB-Datenleck der Bank of Baroda der wachsenden Liste von Cybervorfällen in Indien hinzugefügt wurde, wurde es zu einem weiteren Beispiel dafür, wie ein einziges kompromittiertes Konto oder ein fehlkonfigurierter Server auf eine gesamte Datenlieferkette ausstrahlen kann.

Warum der Schutz indischer Finanzdaten noch immer hinterherhinkt

Das indische Gesetz zum Schutz digitaler personenbezogener Daten (Digital Personal Data Protection Act) war auf dem Papier ein großer Schritt nach vorn, doch Durchsetzungsmechanismen, Fristen für die Meldung von Datenschutzverletzungen und Regeln zur Verantwortlichkeit der Anbieter sind im Vergleich zu Rahmenwerken in anderen großen Märkten noch im Aufbau. Banken sind verpflichtet, Vorfälle den Regulierungsbehörden zu melden, aber die Vorschriften, wie schnell Drittanbieter Datenpannen offenlegen müssen und welche Strafen bei Nichteinhaltung drohen, sind weniger klar definiert. Diese Lücke bietet Vorfällen wie diesem Raum, sich still zu entfalten, bevor unabhängige Forscher – und nicht die Institutionen selbst – sie ans Licht bringen.

Für eine Branche, die Kreditakten, KYC-Dokumente und Kontodaten von Hunderten Millionen Kunden verarbeitet, ist das ein erheblicher blinder Fleck. Es bedeutet auch, dass sich Kunden nicht immer auf die Sicherheitslage der Bank allein verlassen können, um das vollständige Bild zu erhalten. Daten können durch mehrere Hände gehen, bevor sie vollständig geschützt sind, und das schwächste Glied in dieser Kette ist für den Kontoinhaber oft nicht sichtbar.

Was das für Sie bedeutet

Wenn Sie Kunde der Bank of Baroda oder einer anderen großen indischen Bank sind, erinnert Sie diese Datenpanne daran, dass die Sicherheit Ihrer Daten von mehr abhängt als nur von der Eingangstür Ihrer Bank. Sie hängt auch von jedem Dienstleister ab, mit dem Ihre Bank hinter den Kulissen zusammenarbeitet, und in diese Beziehungen haben Sie keinen direkten Einblick.

Das bedeutet nicht, dass Panik angebracht ist, aber Wachsamkeit ist es. Achten Sie auf ungewöhnliche Kontoaktivitäten, unerwartete Mitteilungen zu Krediten oder KYC-Themen oder Phishing-Versuche, die auf Details verweisen, die zu spezifisch erscheinen, um Zufall zu sein. Angreifer, die Dokumenten-Caches erbeuten, nutzen diese Informationen oft, um überzeugende Folgebetrügereien zu konstruieren.

Umsetzbare Erkenntnisse

  • Überprüfen Sie regelmäßig Ihre Kontoauszüge und Kreditberichte auf ungewöhnliche Aktivitäten, insbesondere in den Wochen nach der Bekanntgabe einer Datenpanne.
  • Verwenden Sie einen Passwort-Manager und einzigartige Zugangsdaten für Bankportale, damit ein durchgesickertes E-Mail-Postfach oder ein Dokumenten-Cache nicht mit an anderer Stelle wiederverwendeten Passwörtern kombiniert werden kann.
  • Vermeiden Sie Bankgeschäfte über öffentliches WLAN; falls unvermeidbar, nutzen Sie ein seriöses VPN, um Ihre Verbindung zu verschlüsseln und das Risiko von Abhörangriffen zu verringern.
  • Aktivieren Sie die Multi-Faktor-Authentifizierung in jeder Banking- und Finanz-App, die sie anbietet, und begegnen Sie jeder unaufgeforderten Anfrage nach persönlichen Dokumenten mit Misstrauen.
  • Fragen Sie Ihre Bank direkt, welche Datenschutzstandards sie von ihren Drittanbietern verlangt. Kundendruck ist einer der wenigen Hebel, die Institute zu einer strengeren Überwachung ihrer Dienstleister bewegen.

Die Datenpanne bei der Bank of Baroda ist ein Paradebeispiel dafür, wie moderne Finanzdaten weit über die eigenen Mauern einer Bank hinausgelangen und wie diese Bewegung ein Risiko schafft, das Kunden selten sehen, bis es zu spät ist. Sich über solche Vorfälle zu informieren und grundlegende Vorsichtsmaßnahmen bei den eigenen Zugangsdaten und Verbindungen zu treffen, bleibt der derzeit zuverlässigste Schutz.