Datenleak bei Odido: Was Schweizer Finanzinstitute über Cyberangriffe lernen müssen

Odido verweigert Lösegeld, die Daten landen im Netz

Die Hackergruppe hatte ihre Forderung klar formuliert: Lösegeld oder Datenpublikation. Der niederländische Telekommunikationskonzern Odido zahlte nicht. Anfang 2026 landeten die persönlichen Daten von über sechs Millionen Kunden im Netz, darunter Bankkontoinformationen. Was als Angriff auf einen europäischen Telekomkonzern begann, ist in Wahrheit eine Warnung an jeden Akteur im Finanzsektor, der sensible Kundendaten verwaltet. In der Schweiz ist das eine grosse Gruppe.

Ransomware-Angriffe folgen einem ausgereiften Geschäftsmodell. Angreifer infiltrieren IT-Systeme über Phishing-Kampagnen, ungesicherte APIs oder bisher unbekannte Software-Schwachstellen. Die Daten werden verschlüsselt, Lösegeld in Kryptowährungen gefordert. Laut dem IBM Cost of a Data Breach Report 2025 kostet ein solcher Vorfall betroffene Unternehmen im Durchschnitt 4,5 Millionen Dollar, wobei die eigentliche Lösegeldforderung oft nur einen Bruchteil der Gesamtkosten darstellt. Reputationsverlust, Sanierungsaufwand und regulatorische Bussgelder kommen hinzu.

Der Odido-Angriff im technischen Kontext

Im Fall von Odido gelang es den Angreifern, die Datenbankinfrastruktur zu kompromittieren. Branchenbeobachter interpretieren dies als Hinweis auf mangelhafte Datenverschlüsselung oder fehlerhafte Tokenisierung sensibler Felder. Das SANS Institute beziffert den Anteil von Ransomware-Attacken, die auf Konfigurationsfehler zurückzuführen sind, auf 68 Prozent. Das bedeutet: Ein Grossteil dieser Vorfälle wäre durch konsequente Anwendung bekannter Sicherheitsstandards vermeidbar.

Die Entscheidung von Odido, nicht zu zahlen, ist nachvollziehbar. Lösegeld zu zahlen garantiert nicht die Löschung der Daten, signalisiert Verhandlungsbereitschaft und macht das Unternehmen zum Wiederholungsziel. Gleichzeitig haben die Opfer nach der Datenpublikation keine Kontrolle mehr über die Verbreitung. Im EU-Raum drohen zusätzlich DSGVO-Bussgelder, da Bankdaten als besonders schützenswerte Kategorie gelten.

Verschärfte Lage für den Schweizer Finanzplatz

Schweizer Finanzinstitute operieren in einem regulatorischen Umfeld, das Cyberrisiken ernst nimmt. Die FINMA-Richtlinie 2023/11 verpflichtet Institute zu einem robusten IT-Risikomanagement. Das neue Datenschutzgesetz (nDSG) verschärft die Konsequenzen von Datenpannen erheblich: Bei erheblichen Verletzungen der Datensicherheit können bis zu zwei Prozent des weltweiten Jahresumsatzes als Busse verhängt werden. Der Druck, präventiv zu investieren, ist damit rechtlich untermauert.

Laut der Eidgenössischen Datenschutzkommission wurden 2024 zwölf Prozent aller Cyberangriffe auf Finanzunternehmen in der Schweiz auf Ransomware zurückgeführt. Eine Studie der ETH Zürich zeigt, dass 43 Prozent der KMU im Finanzsektor keine vollständige Cybersicherheitsstrategie besitzen. Besonders Treuhandunternehmen, die vermögensrelevante Kundendaten verwalten, sind attraktive Ziele: Sie verbinden Finanzdaten mit Identitätsinformationen, was für Kriminelle den Wert eines Datensatzes erhöht.

Strukturelle Unterschiede und gemeinsame Risiken

Ein naheliegender Einwand lautet: Odido ist ein Telekommunikationsunternehmen, kein Finanzinstitut. Der Einwand greift zu kurz. Erstens zeigt der Vorfall, dass Angreifer keine Branchenpräferenzen haben, sondern Sicherheitslücken. Zweitens sind Schweizer Finanzinstitute über Drittanbieter-Infrastruktur oft genauso exponiert: Cloud-Provider, externe Rechenzentrumsbetreiber und Softwarelieferanten sind Einfallstore, die ausserhalb der direkten Kontrolle des Instituts liegen.

Schweizer Banken sind zwar häufig in Sicherheitskonsortien wie dem Financial Sector Cyber-Security Centre vernetzt und profitieren von kollektiver Früherkennung. Dennoch zeigen Vorfälle wie der bei der Ransomware-Gruppe LockBit, der 2024 mehrere europäische Finanzdienstleister traf, dass keine Vernetzung absolute Sicherheit bietet.

Massnahmen mit konkretem Wirkungsgrad

Für Schweizer Finanzprofis ergibt sich aus dem Odido-Fall ein klares Handlungsbild. Penetrationstests durch zertifizierte Sicherheitsunternehmen sollten regelmässig stattfinden, nicht nur bei regulatorischen Überprüfungen. Datenverschlüsselung nach AES-256-Standard für gespeicherte Daten sowie Tokenisierung für Transaktionsdaten sind technische Mindeststandards, die in vielen KMU-Finanzabteilungen noch nicht konsequent umgesetzt werden.

Der menschliche Faktor bleibt die grösste Angriffsfläche. Phishing-Simulationsprogramme, wie sie etwa KnowBe4 oder Schweizer Anbieter bereitstellen, trainieren Mitarbeitende im Erkennen von Angriffsversuchen. Die FINMA hält in ihren 2025er Berichten fest, dass 72 Prozent aller Cyberangriffe auf Finanzinstitute durch grundlegende Sicherheitsmassnahmen hätten verhindert werden können.

Für den Notfall brauchen Institute einen Incident-Response-Plan, der nicht nur technische Wiederherstellung, sondern auch FINMA-Meldepflichten und Kundenkommunikation regelt. SIEM-Systeme wie Splunk oder IBM QRadar ermöglichen Echtzeit-Monitoring; Endpoint-Detection-Lösungen wie CrowdStrike Falcon begrenzen die Ausbreitung im Ernstfall. Backups nach der 3-2-1-Regel, drei Kopien auf zwei Medientypen mit einem externen Standort, sind der letzte Schutzwall vor Datenverlust.

Cybersicherheit als Vertrauensfrage

Der Odido-Fall macht eines deutlich: Cybersicherheit ist für Finanzinstitute keine technische Fachfrage, sondern eine Frage des Kundenvertrauens und der regulatorischen Glaubwürdigkeit. Wer Kundendaten verwaltet, übernimmt Verantwortung. Im Schweizer Finanzmarkt, der auf Diskretion und Stabilität gebaut ist, wiegt der Reputationsschaden eines Datenlecks schwerer als anderswo. Investitionen in Cybersicherheit sind deshalb keine Kostenposition, sondern eine Vorsorgeleistung, die den Fortbestand des Geschäftsmodells sichert.

---

Quelle: Finextra — Dieser Artikel wurde automatisch mit KI erstellt und basiert auf der oben verlinkten Originalquelle. Er wurde nicht individuell redaktionell geprüft. Keine Finanzberatung.