KI-Agenten greifen Zahlungs-Schnittstellen an: Indien fordert Limits
Die indische Cybercrime-Einheit NCTAU warnte am 3. November Banken, Finanzierer und Fintechs vor KI-gestützten Angriffen auf automatische Auszahlungssysteme; einzelne Schäden gehen in mehrere Crore Rupien.
Eine staatliche Stelle beschreibt, dass Kriminelle mit KI-Agenten Zahlungs- und Auszahlungsschnittstellen in Maschinentempo angreifen. Die verlangten Gegenmittel sind klassisch: Limits, Prüfung vor jeder Auszahlung, Meldung binnen sechs Stunden.
Was passiert ist
Die Warnung kommt von der National Cybercrime Threat Analysis Unit, die zum indischen Cybercrime-Koordinationszentrum I4C unter dem Innenministerium gehört, gemeinsam mit dem Notfallteam CERT-In. Sie richtet sich an Banken, Nichtbank-Finanzierer, Fintechs und Zahlungsabwickler und wurde am 4. November öffentlich. Laut Reuters heißt es darin, die Angriffe seien finanziell motiviert und würden mit Hilfe von KI-Agenten ausgeführt, was zu Kompromittierungen in Maschinentempo führe. Einstiegspunkte sind ungepatchte Software, falsch konfigurierte Server mit Internetzugang und Beschwerdeschnittstellen für Kunden. Ziel sind automatische Auszahlungssysteme und Schnittstellen für Zahlungen und Überweisungen. Das Geld fließt über Konten von Strohleuten bei mehreren Banken und über die Sofortzahlungssysteme IMPS und NEFT ab, danach löschen die Täter Spuren. Mehrere Einzelfälle erreichten jeweils Beträge von mehreren Crore Rupien; eine Crore sind 10 Mio. Rupien. Unklar bleibt, welche KI-Werkzeuge genutzt wurden und welche Institute betroffen sind; eine Gesamtschadenssumme nennt die Behörde nicht.
Was daraus folgt
Die Schwachstelle liegt weniger in der KI als in der Architektur: Wo Auszahlungen ohne menschliche Freigabe über Schnittstellen laufen, verkürzt ein Agent die Zeit zwischen Einbruch und Geldabfluss auf Minuten. Das betrifft auch Europa, wo Banken Echtzeitüberweisungen in Euro seit Oktober 2025 senden müssen. Je schneller Geld fließt, desto mehr hängt an Vorkehrungen vor der Auszahlung: Tages- und Einzellimits, Empfängerprüfung, Warnsignale bei plötzlichen Änderungen. Für Fintechs und Kreditplattformen mit automatisierter Auszahlung steigen damit die Kosten für Sicherheit und Prüfungen. Einordnung: Ob ähnliche Angriffe in der EU bereits vorkommen, ist aus den Quellen nicht ablesbar.
Was sich konkret ändert
- Banken und Fintechs
- Indien verlangt Limits pro Tag und Transaktion, KYC-Prüfung vor jeder Auszahlung und Meldung von Vorfällen binnen sechs Stunden.
- Zahlungsdienstleister
- Schnittstellen für Auszahlungen und Überweisungen sind das erklärte Ziel. Sie sollen gezielt getestet und in Angriffsübungen geprüft werden.
- IT-Sicherheit
- Einstieg über ungepatchte Software und falsch konfigurierte Server: Grundhygiene bleibt die erste Verteidigungslinie.
- Kunden
- Abgeflossenes Geld landet schnell auf Strohmann-Konten. Je kürzer die Meldewege, desto größer die Chance, Beträge zu stoppen.
Worauf zu achten ist
- Ob CERT-In oder die Notenbank RBI Fallzahlen, Schadenssummen oder betroffene Institute nennen
- Ähnliche Warnungen von BSI, BaFin oder der Europäischen Bankenaufsicht EBA
- Betrugszahlen bei Echtzeitüberweisungen in der EU
Quellen
- Inc42: I4C Warns Banks & Fintechs Against Agentic AI Cyberattacks
- Elets BFSI: I4C AI Cyberattacks Warning for Fintechs
- Reuters: India's cybercrime agency warns financial firms of AI attacks