BCBS Discussion Paper – Digital fraud and
banking: Prävention digitaler Betrugsdelikte
Digitale Betrugsformen wie Phishing, Kartendiebstahl oder Fake-Investments gefährden Finanzstabilität und Kundenvertrauen. Neue Berichte des Basler Ausschusses und der ESAs zeigen: Interne Sicherungsmaßnahmen müssen gezielt auf digitale Betrugsrisiken erweitert werden – jenseits der klassischen Geldwäscheprävention.
Definition & Typologie von digitalem Betrug:
- Unberechtigte Transaktionen (z. B. gestohlene Kartendaten, Account Takeover, ATS Malware).
- Manipulation des Zahlers (z. B. Social Engineering, Spoofing).
- Produktbezogener Betrug (z. B. Fake-Kredite, falsche Anlageangebote).
- Missbrauch von Kunden- oder Bankdaten (z. B. Identitätsdiebstahl, Fake-Onboarding, SIM-Swapping).
Aufsichtliche Relevanz
- Digitaler Betrug erzeugt operationelle Verluste, Reputationsrisiken und kann im Extremfall zu systemischen Vertrauensverlusten führen.
- Betrugsraten bei Kartenzahlungen sinken, bei Online-Überweisungen steigen sie teilweise leicht an (je nach Jurisdiktion).
- Fehlende globale Datenharmonisierung erschwert Risikobewertungen.
Empfohlene Maßnahmen
- Stärkere Integration in Risikomanagement und ICAAP (vgl. § 25h Abs. 2 KWG).
- Verpflichtende Fraud-Analytics, Echtzeit-Überwachung, „Kill Switch“-Funktionen.
- Zusammenarbeit mit Telkos, Polizei und Technologieanbietern zur Erkennung und Abwehr betrügerischer Aktivitäten.
- Verpflichtende Meldungen, wie z. B. gemäß PSD2 (Art. 96) und DORA.
Relevanz für interne Sicherungsmaßnahmen gemäß § 25h KWG
Sowohl der ESAs-Bericht als auch das Basler Papier zeigen klar:
Interne Sicherungsmaßnahmen müssen über Geldwäsche und Terrorismusfinanzierung hinaus digitale Betrugsformen wie Phishing, Fake-Onboarding, Kartendiebstahl, Fake-Investments, Social Engineering systematisch adressieren.
Dies erfordert:
- Erweiterte Fraud Detection & Prevention Systeme.
- Verknüpfung von IT-Sicherheit, Verhaltenserkennung und Kundenschutz.
- Berücksichtigung digitaler Betrugsrisiken im Risikomanagement, in der Schulung, bei den Zugriffsrechten, bei internen Regeln zur Produktausgabe sowie bei Auslagerungen (Outsourcing Risk).
Quellen: