Südkoreas Zentralbank und staatliche Banken verzeichnen mehr als eine Million Cyberangriffe

Neun Monate mit mehr Angriffen als im gesamten Jahr 2025

Südkoreas Zentralbank und drei staatliche Kreditinstitute registrierten zwischen Januar und September 2026 insgesamt 1.024.478 Hackerangriffe. Damit übertraf die Zahl die 934.858 Angriffe, die im gesamten Jahr 2025 erkannt worden waren, um 89.620 beziehungsweise 9,6 Prozent. Die Institute meldeten keine erfolgreichen Einbrüche infolge dieser Versuche, obwohl bei separaten Angriffen auf Geschäftsbanken Kundendaten offengelegt wurden.

Den Angaben zufolge, die dem Abgeordneten Kang Min-kuk von der People Power Party vorgelegt und am 11. Oktober veröffentlicht wurden, summierte sich die Zahl der Angriffsversuche von 2020 bis September 2026 auf 4.986.964. Die Industrial Bank of Korea (IBK) entfiel auf 91,9 Prozent davon. Das spiegelt ihr umfangreiches Internet- und Mobile-Banking-Angebot für Privat- und Geschäftskunden wider.

Für die Einordnung der Zahlen ist entscheidend, zwischen Angriffsversuchen und bestätigten Einbrüchen zu unterscheiden. Ein erkannter Versuch belegt nicht, dass ein Angreifer in ein System eingedrungen ist oder Informationen gestohlen hat. Umgekehrt bedeutet das Ausbleiben eines erfolgreichen Eindringens in diesem Datensatz nicht, dass alle damit verbundenen Dienste oder externen Anbieter vor Störungen oder einer Offenlegung geschützt waren.

Separate Vorfälle verdeutlichen diesen Unterschied. Bei einem Angriff auf einen externen Schulungsanbieter wurden im Mai und Juni 2026 Daten von 186 Beschäftigten der Bank of Korea offengelegt. Auch Geschäftsbanken haben Datenlecks mit Kundeninformationen gemeldet. Daraufhin wiesen die Aufsichtsbehörden sie an, aus dem Internet erreichbare Systeme zu überprüfen, Authentifizierungs- und Zugriffskontrollen zu verstärken und Informationen über Angriffsmethoden und verdächtige IP-Adressen stärker auszutauschen.

Der Druck geht über die Zahl der Angriffe hinaus. Aus parlamentarischen Unterlagen gehen nicht vollständig ausgeschöpfte Sicherheitsbudgets, eine uneinheitliche Personalausstattung bei staatlichen Kreditinstituten und eine neue Bedrohung durch KI-Werkzeuge hervor, die die Suche nach Schwachstellen beschleunigen können.

Wie schnell ist die Zahl erkannter Angriffe gestiegen?

Die Jahreszahlen zeigen seit 2020 einen ununterbrochenen Anstieg. Bis September 2026 lag die Zahl bereits bei etwa dem 2,86-Fachen der 358.800 Angriffe, die für das gesamte Jahr 2020 verzeichnet wurden. Der Vergleich fällt besonders deutlich aus, weil der jüngste Zeitraum nur neun Monate und kein vollständiges Jahr umfasst.

Die Zahlenfolge zeigt zudem, dass der Anstieg nicht erst mit den jüngsten Vorfällen bei Geschäftsbanken begann:

• 2020: 358.800 Angriffe bei den vier Instituten.
• 2021: 564.430 Angriffe.
• 2022: 585.563 Angriffe.
• 2023: 738.312 Angriffe.
• 2024: 780.524 Angriffe.
• 2025: 934.858 Angriffe. Das Gyeonggi-IT-Zentrum der Bank of Korea nahm im Oktober den Betrieb auf.
• Januar bis September 2026: 1.024.478 Angriffe.
• 11. Oktober 2026: Kang veröffentlichte die neuesten Zahlen.

Erkannte Angriffe messen die Aktivität, auf die Sicherheitssysteme stoßen, nicht die Zahl einzelner Angreifer oder erfolgreicher Kompromittierungen. Wiederholte automatisierte Anfragen können zahlreiche Erkennungen auslösen. Auch die Erklärung der IBK zeigt, dass der Umfang der für externe Nutzer zugänglichen Dienste bei Vergleichen zwischen den Instituten eine Rolle spielt.

Bei den veröffentlichten Gesamtzahlen gibt es eine kleine rechnerische Abweichung: Die aufgeführten Jahreszahlen ergeben 4.986.965 und damit einen Angriff mehr als die angegebene Gesamtsumme von 4.986.964. An dem berichteten Trend und der Konzentration der Angriffe auf die IBK ändert diese Differenz nichts.

Warum die IBK den Großteil der Aktivitäten verzeichnet

Im betrachteten Gesamtzeitraum registrierte die IBK rund 4,584 Millionen Angriffe. Es folgten die Korea Development Bank (KDB) mit 399.379, die Bank of Korea mit 3.076 und die Export-Import Bank of Korea mit 510.

Die IBK führte ihre deutlich höhere Zahl auf Internet- und Mobilangebote zurück, deren Umfang mit dem von Geschäftsbanken vergleichbar sei. Diese Dienste verbinden das Institut mit Privat- und Geschäftskunden und schaffen mehr Möglichkeiten, über öffentlich zugängliche Systeme schädlichen Datenverkehr einzuschleusen.

Aus den Zahlen allein lässt sich nicht ableiten, dass die IBK schlechter geschützt ist als die anderen Institute. Ihre Erklärung bezieht sich auf den Umfang der Dienste und der erkannten Angriffe. Alle vier Institute meldeten in dem kumulierten Datensatz keine daraus resultierenden Einbrüche.

Das Gyeonggi-IT-Zentrum der Bank of Korea, in dem sich die wichtigsten Computerserver der Zentralbank befinden, verzeichnete nach seiner Eröffnung im Oktober 2025 insgesamt 145 Angriffe. Diese Zahl bezieht sich auf eine bestimmte Einrichtung und ist nicht mit der Gesamtzahl der Zentralbank über verschiedene Systeme und Jahre hinweg gleichzusetzen.

Störungen sind die häufigste erfasste Angriffsart

Auf Denial-of-Service-Angriffe entfielen 2.275.006 Versuche beziehungsweise 45,6 Prozent der Gesamtzahl. Solche Angriffe zielen darauf ab, einen Dienst unerreichbar zu machen, etwa indem er mit Anfragen überlastet oder die für reguläre Nutzer benötigte Rechenleistung aufgebraucht wird.

Die nächstgrößten Kategorien waren Informationsbeschaffung mit 866.776 Angriffen, Schadsoftware mit 475.026 und unbefugte Zugriffe mit 456.783. Bei der Informationsbeschaffung können Systeme sondiert werden, um Software, zugängliche Funktionen oder Schwachstellen zu ermitteln. Schadsoftware ist bösartige Software; Versuche unbefugten Zugriffs zielen darauf ab, ohne gültige Berechtigung in ein System einzudringen.

Diese vier Kategorien umfassen insgesamt 4.073.591 Angriffe. Damit sind nicht alle Versuche der kumulierten Gesamtzahl erfasst; eine Aufschlüsselung der übrigen Kategorien wurde nicht vorgelegt.

Der hohe Anteil von Denial-of-Service-Angriffen erklärt, warum die Folgen eines Angriffs über den Diebstahl von Informationen hinausgehen können. Eine Banking-Website oder ein Transaktionsdienst kann schwer nutzbar werden, auch wenn ein Angreifer keine Kontrolle über ein internes System erlangt.

Kang Min-kuk, der Abgeordnete der People Power Party, der die Zahlen veröffentlichte, beschrieb die möglichen Folgen für Institute, die öffentliche und geschäftliche Finanzgeschäfte abwickeln:

Ein Angriff auf ein staatliches Kreditinstitut könnte Finanzsysteme im In- und Ausland stören und vertrauliche staatliche und unternehmerische Informationen gefährden“, sagte Kang. „Wir müssen uns gegen die Zunahme KI-gestützter Cyberangriffe wappnen und gemeinsam mit den Finanzaufsichtsbehörden Cyberangriffssimulationen durchführen.

Keine gemeldeten Einbrüche, aber keine Garantie für umfassende Sicherheit

Die vier Institute erklärten, dass die von 2020 bis September 2026 gezählten Angriffe nicht zu Einbrüchen geführt hätten. Separaten Angaben zufolge kam es jedoch zuvor zu Störungen und zur Offenlegung von Daten im Zusammenhang mit einem Auftragnehmer der Bank of Korea.

Ein verteilter Denial-of-Service-Angriff verlangsamte im Dezember 2023 zeitweise den Zugriff auf die Website der Zentralbank. Im Mai und Juni 2026 wurden bei einem Einbruch in das System eines externen Schulungsanbieters personenbezogene Daten von 186 Beschäftigten der Zentralbank offengelegt. Diese Vorfälle zeigen, warum zwischen einer Dienststörung, einem Einbruch in die Systeme einer Bank und einer Datenoffenlegung bei einem Dienstleister unterschieden werden muss.

In einer weiteren Mitteilung gab die Bank of Korea an, bis zum 2. Oktober 2026 insgesamt 136 Angriffe registriert zu haben, verglichen mit 30 im gesamten Jahr 2025. Zu den über das Internet erreichbaren Zielen zählten ihre Hauptwebsite, das Wirtschaftsstatistikportal und die elektronische Bibliothek. Die Zentralbank teilte mit, zwischen Anfang September und dem 2. Oktober weder erfolgreiche Einbrüche noch Störungen oder Datenlecks verzeichnet zu haben.

Die Export-Import Bank meldete separat 283 Angriffe bis zum 5. Oktober, verglichen mit 36 im gesamten Jahr 2025. 272 der 283 Angriffe kamen von ausländischen IP-Adressen. Die Standorte der Adressen geben an, woher der Datenverkehr augenscheinlich stammte, nicht unbedingt die Nationalität oder den tatsächlichen Aufenthaltsort der Angreifer.

Der Mitteilung zufolge hatte das Institut in den vorangegangenen fünf Jahren 197 Angriffe erkannt. Zusammen mit den jüngsten 283 ergibt das 480 statt der 510 in der umfassenderen Gesamtzahl. Unterschiedliche Stichtage oder Zählweisen könnten die Abweichung erklären; in den vorliegenden Angaben wurde sie jedoch nicht aufgeschlüsselt.

Was die Warnung vor KI-Angriffen tatsächlich belegt

Das Financial Security Institute veranstaltete am 17. September ein Seminar zur KI-Sicherheit im Finanzsektor für rund 160 Sicherheitsbeauftragte. In Unterlagen, die der Abgeordnete Han Chang-min von der Democratic Party erhalten hatte, wurde ein dort vorgestellter Fall als erster Angriff im südkoreanischen Finanzsektor beschrieben, an dem ein KI-Agent beteiligt gewesen sei.

Ein KI-Agent ist eine Software, die mithilfe eines KI-Modells eine Folge von Aufgaben ausführen kann, statt lediglich eine Frage zu beantworten. In dem auf dem Seminar vorgestellten Fall wies ein Angreifer einen auf DeepSeek basierenden Agenten an, Finanzserverprogramme zu finden.

Der Agent soll innerhalb eines Tages Schwachstellen gefunden und ausgenutzt, eine Software zur Fernsteuerung installiert und interne Server durchsucht haben. Das angegriffene Finanzunternehmen blockierte den Angriff, bevor weitere Schadsoftware installiert werden konnte. Der Name des Unternehmens wurde nicht genannt.

Das Institut riet dazu, Systeme mit Internetzugang kontinuierlich zu überwachen. Prüfungen ein- oder zweimal im Jahr könnten solche Aktivitäten übersehen, warnte es. Außerdem verwies es auf eine Lücke bei der Abdeckung von Sicherheitsprüfungen: Programmierschnittstellen, über die Websites und Apps Daten austauschen, werden zwar in Schwachstellenprüfungen einbezogen, doch die Finanzunternehmen entscheiden selbst, welche Systeme untersucht werden.

Medienberichte brachten die späteren Vorfälle bei Geschäftsbanken mit KI-Werkzeugen in Verbindung. Die Behörden untersuchten jedoch weiterhin die Rolle der KI, unter anderem die Frage, ob sie Teile der Angriffe automatisiert hatte. Präsident Lee Jae Myung sagte, KI scheine beteiligt gewesen zu sein; die genauen Methoden seien aber noch nicht geklärt. Der Fall aus dem Seminar belegt eine berichtete Fähigkeit, nicht, dass bei jedem der jüngsten Einbrüche dieselbe Technik zum Einsatz kam.

Kunden von Geschäftsbanken sind nachweislich betroffen

In der jüngsten Serie von Hackerangriffen wurden sieben Finanzinstitute genannt: die Shinhan Bank, KB Kookmin Bank, Hana Bank, BNK Busan Bank, Yegaram Savings Bank, Welcome Savings Bank und Hyundai Capital.

Die Shinhan Bank teilte mit, eine unbefugte externe Partei habe die Authentifizierung bei einem mit der Kreditvergabe verbundenen Dienst umgangen und personenbezogene Daten sowie Kreditinformationen von rund 25.000 Kunden erlangt. Zu den offengelegten Angaben gehörten Namen, Telefonnummern, Jahreseinkommen und berechnete Kreditlimits.

Shinhan-Chef Jung Sang-hyuk entschuldigte sich und sagte eine vollständige Entschädigung für Schäden im Zusammenhang mit dem Vorfall zu. Eine Anwaltskanzlei in Seoul suchte betroffene Kunden für eine geplante Schadensersatzklage; vorgesehen waren Forderungen von 100.000 bis 300.000 Won pro Teilnehmer. Ein Einreichungstermin war noch nicht bekanntgegeben worden.

Bei der KB Kookmin Bank wurden bei einem Angriff auf ein mobiles Unterstützungssystem für Arbeitsabläufe Daten von 119 Kunden kompromittiert. Beschäftigte der KB Kookmin Bank, der Hana Bank, von Hyundai Capital und der Welcome Savings Bank hatten an dem Sicherheitsseminar im September teilgenommen. Shinhan war durch einen Beauftragten ihrer Finanzgruppe vertreten; die BNK Busan Bank wurde nicht unter den Teilnehmern aufgeführt.

Die Teilnehmerlisten zeigen, dass mehrere betroffene Organisationen die Warnung kurz vor den Vorfällen erhalten hatten. Sie belegen jedoch weder, welche konkreten Schwachstellen die einzelnen Einbrüche ermöglichten, noch ob eine bestimmte Schutzmaßnahme sie verhindert hätte.

Veranschlagte Mittel sind nicht gleich tatsächliche Ausgaben

Den Angaben zufolge, die die Finanzaufsichtsbehörden dem Abgeordneten Park Sung-hoon von der People Power Party übermittelt hatten, planten die 20 Finanzunternehmen mit den häufigsten IT-Ausfällen für 2025 Sicherheitsausgaben von 438 Milliarden Won, gaben aber 305 Milliarden Won aus. Das entspricht einer Ausschöpfungsquote von rund 69,6 Prozent; 133 Milliarden Won blieben ungenutzt.

Shinhan veranschlagte rund 45,3 Milliarden Won und gab 31,7 Milliarden Won aus; die angegebene Ausschöpfungsquote lag bei 69,9 Prozent. Für 2026 waren 40,5 Milliarden Won vorgesehen, rund 10,6 Prozent weniger als im Vorjahresbudget. Die KB Kookmin Bank veranschlagte 67,6 Milliarden Won und gab 39,3 Milliarden Won aus, eine Ausschöpfungsquote von 58,1 Prozent.

Park Sung-hoon, der die Ausgabenzahlen erhalten hatte, bezeichnete Investitionen als Frage des öffentlichen Vertrauens:

Unzureichende Investitionen in die Sicherheit lassen sich nicht als Frage der Managementeffizienz abtun; es geht um das Vertrauen in das Finanzsystem.

Auch die Angaben staatlicher Kreditinstitute weisen auf unterschiedlich ausgestattete Teams hin. Bei der KDB sank die Zahl der Beschäftigten im Sicherheitsbereich von 23 Ende 2024 auf 19 Ende 2025, bevor sie bis Juni 2026 wieder auf 22 stieg. Die IBK beschäftigte Ende 2025 46 ausgewiesene Sicherheitsexperten, die Export-Import Bank neun.

Eine separate Personalangabe der IBK umfasste 72,5 interne und externe Beschäftigte, darunter 53,5 interne und 19 externe Kräfte. Diese umfassendere Zahl ist nicht mit den 46 ausgewiesenen Sicherheitsexperten gleichzusetzen. Die Sicherheitsinvestitionen der IBK beliefen sich 2025 auf 66,1 Milliarden Won beziehungsweise 15,1 Prozent ihrer gesamten IT-Investitionen.

Bei den Budgetzahlen der KDB gibt es eine größere Unstimmigkeit in der Berichterstattung. Die koreanischen Angaben beziffern ihr Sicherheitsbudget im ersten Halbjahr 2026 auf 17,231 Milliarden Won, nach 17,611 Milliarden Won im Jahr 2025. Eine englischsprachige Zusammenfassung nennt 172,31 Milliarden beziehungsweise 176,11 Milliarden Won und damit das Zehnfache. Beide Angaben weisen einen Rückgang um 2,2 Prozent aus.

Geplante Investitionen und das größere Problem mit Dienstleistern

Die KB Kookmin Bank erwägt für 2027 ein Informationssicherheitsbudget von mehr als 100 Milliarden Won. Zudem sollen Systeme zur Angriffserkennung und -abwehr sowie Web-Firewalls modernisiert werden. Der Vorschlag betrifft die Höhe des Budgets und bedeutet nicht, dass eine Aufstockung um 100 Milliarden Won bereits beschlossen ist.

Shinhan plant zusätzliche Sicherheitsinvestitionen sowie die Einstellung von KI-Sicherheitsexperten und ethischen Hackern. Die Hana Bank prüft eine Zero-Trust-Architektur, bei der Zugriffe überprüft werden müssen, statt einem Nutzer oder Gerät allein deshalb zu vertrauen, weil es sich innerhalb eines Netzwerks befindet. Die Woori Bank erwägt eine Budgeterhöhung um mehr als 20 Prozent und einen Ausbau ihres Fachpersonals um mehr als 10 Prozent.

Ein Vertreter eines staatlichen Kreditinstituts sagte, Banken führten Penetrationstests aus der Perspektive von Angreifern durch und wollten Investitionen und Prüfungen weiter verstärken. Konkrete Fristen für die Umsetzung dieser Maßnahmen wurden nicht bekanntgegeben.

Vorfälle außerhalb des Bankensektors zeigen, welche Risiken durch Auftragnehmer und aufbewahrte Daten entstehen. Bei einer älteren, im April 2025 abgelösten Plattform für Ethikschulungen im öffentlichen Dienst wurden Informationen von mehr als 100.000 Nutzern offengelegt. Ein Auftragnehmer hatte die alten Datensätze nach der Umstellung nicht gelöscht, sondern weiter aufbewahrt. Die verbliebenen Daten wurden anschließend gelöscht.

Oasis Security meldete zudem mutmaßliche Datenoffenlegungen bei der Yoido Full Gospel Church und der SaRang Church. Das mit Yoido verbundene Material umfasste rund 960.000 Mitgliederdatensätze und 330.000 Spendenaufzeichnungen. Aus diesen Zahlen geht nicht hervor, wie viele einzelne Personen betroffen waren. Beide Kirchen untersuchten den Vorfall.

Was noch ungeklärt ist

Die wichtigsten offenen Fragen betreffen den Zugang der Angreifer zu den jüngsten Vorfällen bei Geschäftsbanken, den Anteil der KI und die Frage, ob geplante Investitionen tatsächlich in abgeschlossene Sicherheitsmaßnahmen münden. Eine gemeinsame technische Erklärung für die Vorfälle bei allen sieben Finanzinstituten wurde nicht bestätigt.

Auch die Bankdaten müssen sorgfältig eingeordnet werden. Unterschiedliche Berichtszeiträume, gerundete Angaben der Institute und abweichende Definitionen beim Personal schränken direkte Vergleiche ein. Dass die vier öffentlichen Institute keine Einbrüche meldeten, ist bedeutsam, beseitigt aber nicht die separaten Hinweise auf Website-Störungen und eine Offenlegung bei einem Dienstleister.

Die Aufsichtsbehörden haben Finanzunternehmen angewiesen, aus dem Internet erreichbare Systeme zu überprüfen, Authentifizierungs- und Berechtigungskontrollen zu verstärken und Informationen über Bedrohungen auszutauschen. Kang forderte simulierte Angriffe und koordinierte Übungen. Entscheidend wird sein, ob diese Maßnahmen tatsächlich die Dienste, Schnittstellen und Auftragnehmer abdecken, über die auf vertrauliche Informationen zugegriffen werden kann.

Die wichtigsten Punkte

• Die Bank of Korea und drei staatliche Kreditinstitute registrierten bis September 2026 insgesamt 1.024.478 Hackerangriffe, 9,6 Prozent mehr als im gesamten Jahr 2025.
• Auf die IBK entfielen 91,9 Prozent der seit 2020 kumulierten Angriffe.
• Denial of Service war mit 2.275.006 Angriffen die größte Kategorie.
• Die vier Institute meldeten keine Einbrüche infolge der gezählten Angriffe. Separate Vorfälle umfassten jedoch Störungen und einen Dienstleister der Zentralbank.
• Bei jüngsten Vorfällen bei Geschäftsbanken wurden Informationen von rund 25.000 Kunden der Shinhan Bank und 119 Kunden der KB Kookmin Bank offengelegt.
• Die Behörden untersuchten noch, wie KI bei den jüngsten Angriffen eingesetzt wurde.
• 20 Finanzunternehmen gaben 2025 von 438 Milliarden Won, die für Sicherheit veranschlagt waren, insgesamt 305 Milliarden Won aus.
• Mehrere Banken planen oder erwägen höhere Investitionen, konkrete Abschlusstermine wurden jedoch nicht bekanntgegeben.