Prüfung deckt unerkannte Betrugsfälle und umfassendere Kontrollprobleme auf
Die Oberste Rechnungskontrollbehörde Indonesiens, Badan Pemeriksa Keuangan (BPK), hat festgestellt, dass das Betrugserkennungssystem der Bank Indonesia für BI-FAST unwirksam dabei war, ungewöhnliche Transaktionen zu erkennen und zu verhindern. Der Befund ist Teil einer umfassenderen Prüfung, bei der auch ein zusätzlicher Pensionsbeitrag von 4,83 Billionen Rupiah, Schwächen bei Wechselkursdaten und Probleme bei der Zuweisung von Zentralbankreserven beanstandet wurden.
Inhalt
- Prüfung deckt unerkannte Betrugsfälle und umfassendere Kontrollprobleme auf
- Was versagte bei der Betrugserkennung von BI-FAST?
- Die Zahlungsvorschriften sehen bereits Maßnahmen gegen Betrug vor
- Auch Wechselkursdaten standen auf dem Prüfstand
- Pensionsbeitrag von 4,83 Billionen Rupiah wirft Fragen zur Finanzierung auf
- Zuweisung von Rücklagen muss gesondert korrigiert werden
- Warum ein sachgerechter Jahresabschluss die Feststellungen nicht erledigt
- Zeitrahmen und offene Fragen
- Wichtigste Punkte
Die Prüfung des Jahresabschlusses der Bank Indonesia für 2025 ergab 16 Feststellungen mit 20 Problemen. Das geht aus den Feststellungen hervor, die im Bericht der BPK über die Prüfungsergebnisse des ersten Halbjahrs 2026, bekannt als IHPS I 2026, beschrieben werden. Siebzehn Probleme betrafen Schwächen bei den internen Kontrollen, drei weitere Verstöße gegen Vorschriften.
Damit entfielen 85 % der festgestellten Probleme auf Schwächen der internen Kontrollen und 15 % auf Verstöße gegen Vorschriften. Diese Unterscheidung ist wichtig: Interne Kontrollen sind Verfahren und Systeme, die Fehler verhindern, verdächtige Aktivitäten erkennen und dafür sorgen sollen, dass Finanzgeschäfte innerhalb der geltenden Regeln bleiben. Eine Schwäche bei diesen Kontrollen belegt nicht automatisch einen finanziellen Verlust oder einen Rechtsverstoß.
Nach Angaben der BPK beeinträchtigten die Probleme die sachgerechte Darstellung des Jahresabschlusses der Bank Indonesia für 2025 nicht wesentlich. Diese Schlussfolgerung betrifft jedoch den Jahresabschluss und hebt die gesonderten Feststellungen zur Zahlungssicherheit, Datenqualität und Finanzverwaltung nicht auf.
Die Feststellungen wurden am 13. Oktober 2026 öffentlich zitiert. Aus der Darstellung geht nicht hervor, dass dies das Veröffentlichungsdatum des BPK-Berichts war. Sie nennt auch weder die Höhe der Verluste im Zusammenhang mit den Betrugsfällen bei BI-FAST noch die Zahl der betroffenen Kunden oder eine Frist für den Abschluss der Korrekturmaßnahmen.
Was versagte bei der Betrugserkennung von BI-FAST?
Die zentrale Feststellung der BPK betrifft sowohl die Konzeption als auch die Umsetzung des Betrugserkennungssystems (Fraud Detection System, FDS) von BI-FAST. Ein solches System prüft Kontoaktivitäten oder Transaktionen auf Muster, die auf Betrug hindeuten könnten. Eine Anomalie ist eine Aktivität, die von den erwarteten Mustern abweicht. Eine ungewöhnliche Transaktion ist jedoch nicht zwangsläufig betrügerisch.
Die BPK, die für die Prüfung zuständige öffentliche Behörde, beschrieb die Schwäche wie folgt:
Desain dan implementasi Fraud Detection System (FDS) Bank Indonesia-Fast Payment (BI-FAST) tidak efektif dalam mendeteksi dan mencegah anomali transaksi.
Auf Deutsch besagt die Feststellung, dass Konzeption und Umsetzung des Betrugserkennungssystems von BI-FAST unwirksam dabei waren, Transaktionsanomalien zu erkennen und zu verhindern. Die BPK erklärte außerdem, dass Betrugsfälle im Zusammenhang mit Anomalien unentdeckt geblieben seien und sich ähnliche Vorfälle wiederholen könnten.
Das ist konkreter als eine allgemeine Warnung vor möglichem Zahlungsbetrug. Die Prüfung stellt fest, dass Vorfälle nicht erkannt wurden, und verknüpft dieses Versäumnis mit dem Risiko einer Wiederholung. Sie erläutert jedoch weder, um welche Transaktionen es ging, noch welche Erkennungsregeln galten, wann die Vorfälle stattfanden oder ob die Schwäche auf Softwareeinstellungen, Informationslücken oder betriebliche Abläufe zurückzuführen war.
Die BPK forderte den Gouverneur der Bank Indonesia auf, Zuverlässigkeit und Sicherheit von BI-FAST umfassend zu überprüfen. Diese Empfehlung geht über die Prüfung eines einzelnen Alarms hinaus: Gefordert wird eine Untersuchung der Fähigkeit des Dienstes, zuverlässig zu funktionieren und Transaktionen zu schützen. In den veröffentlichten Feststellungen wird weder eine abgeschlossene Prüfung noch eine Stellungnahme der Bank Indonesia dazu beschrieben.
Die Zahlungsvorschriften sehen bereits Maßnahmen gegen Betrug vor
Die Zahlungssystemverordnung der Bank Indonesia aus dem Jahr 2020, offiziell Verordnung Nr. 22/23/PBI/2020, bietet einen konkreten Rahmen, um die Bedenken der Prüfung einzuordnen. Artikel 2 legt das Ziel eines schnellen, einfachen, erschwinglichen, sicheren und zuverlässigen Zahlungssystems fest, das zugleich einen breiteren Zugang und den Verbraucherschutz berücksichtigt.
Nach Artikel 31 müssen zugelassene Zahlungsdienstleister Anforderungen in den Bereichen Unternehmensführung, Risikomanagement, Sicherheit von Informationssystemen, Vernetzung und Interoperabilität sowie Einhaltung der Rechtsvorschriften erfüllen. Artikel 34 zählt Betrugsmanagement und regelmäßige Prüfungen von Informationssystemen zu den Sicherheitsanforderungen.
Die Erläuterung zu Artikel 34 nennt vier Phasen des Betrugsmanagements: Prävention, Erkennung, Reaktion und Überwachung. Sie besagt außerdem, dass ein FDS sowohl auf Konto- als auch auf Transaktionsebene arbeiten kann. Diese Unterscheidung ist hilfreich, weil sich verdächtiges Verhalten aus den Aktivitäten eines Kontos insgesamt ergeben kann, auch wenn eine einzelne Zahlung unauffällig erscheint.
Die Verordnung regelt auch Betreiber von Zahlungsinfrastrukturen. Die Artikel 38 und 41 sehen Anforderungen an Unternehmensführung, Risikomanagement und Informationssicherheit vor, darunter Betrugsmanagement und regelmäßige Prüfungen. Diese Bestimmungen zeigen, dass Betrugskontrollen Teil eines umfassenderen Spektrums betrieblicher Pflichten sind.
Die Kategorien sind nicht gleichzusetzen. Artikel 88 unterscheidet zwischen der Aufsicht über Zahlungsdienstleister und Betreiber von Zahlungsinfrastrukturen einerseits und der Überwachung der von der Bank Indonesia selbst betriebenen Zahlungsinfrastruktur andererseits. Die Verordnung bezieht die Zahlungsinfrastruktur der Zentralbank somit ausdrücklich in ihren Überwachungsrahmen ein, ohne dass daraus folgt, jede Vorschrift für einen zugelassenen Anbieter gelte für die Bank Indonesia exakt in derselben Weise.
Die Erläuterung der Verordnung zur Cybersicherheit zählt Identifizierung, Schutz und Erkennung zu den Präventionsmaßnahmen. Die Erläuterung zu Artikel 90 nennt zudem Risiken für Informationssysteme und Cyberrisiken als operationelle Risiken. Zusammengenommen machen diese Bestimmungen die Erkennung zu einem klar definierten Bestandteil der Zahlungssicherheit und nicht zu einer optionalen Ergänzung der Transaktionsverarbeitung.
Auch Wechselkursdaten standen auf dem Prüfstand
Die Feststellungen der BPK betrafen auch den Jakarta Interbank Spot Dollar Rate (JISDOR), den Referenzwechselkurs der Bank Indonesia für den US-Dollar gegenüber der Rupiah. Im Mittelpunkt stand die Frage, ob die zur Berechnung des Kurses verwendeten Informationen korrekt und vollständig waren.
Die Prüfung stellte Schwächen bei den Daten fest, die über das JISDOR-Modul des Sistem Monitoring Transaksi Valuta Asing terhadap Rupiah (Sismontavar) erfasst wurden, dem System zur Überwachung von Devisentransaktionen gegenüber der Rupiah. Nach Feststellung der BPK beruhte der Referenzkurs nicht vollständig auf korrekten und vollständigen Daten.
Bei einem Devisenkassageschäft werden Währungen mit kurzfristiger Abwicklung getauscht, anders als bei einem Vertrag über eine deutlich spätere Lieferung. Ein auf solchen Transaktionen beruhender Referenzkurs hängt sowohl von der Qualität der Aufzeichnungen als auch davon ab, welche zulässigen Transaktionen in die Berechnung einfließen.
Die BPK warnte, dass der veröffentlichte JISDOR-Kurs möglicherweise nicht alle tatsächlichen Kassageschäfte widerspiegele, die in die Berechnungsgrundlage einfließen sollten. Sie forderte Anpassungen beim Zeitpunkt der Transaktionen, bei den Transaktionsbestätigungen und bei der Veröffentlichung des Kurses.
Diese Empfehlung zum zeitlichen Ablauf ist ein eigener Teil der Feststellung. Eine Transaktion kann stattfinden, bevor ihre Bestätigung vorliegt. Daher kann das Verhältnis zwischen Transaktionszeitraum, Bestätigungsprozess und Veröffentlichungszeitpunkt beeinflussen, welche Daten einbezogen werden. Die Empfehlung der BPK weist auf diesen Zusammenhang hin, nennt aber keinen geänderten Zeitplan.
Die Feststellungen beziffern keine Abweichung zwischen den veröffentlichten JISDOR-Werten und einem neu berechneten Kurs. Auch werden keine bestimmten Tage genannt, an denen der Kurs falsch war. Belegt ist, dass die Datenqualität und Vollständigkeit überprüft werden mussten, nicht, dass jeder veröffentlichte Kurs falsch war.
Pensionsbeitrag von 4,83 Billionen Rupiah wirft Fragen zur Finanzierung auf
Der höchste ausdrücklich genannte Geldbetrag in den Feststellungen ist der zusätzliche Beitrag von 4,83 Billionen Rupiah für Dana Pensiun Bank Indonesia (Dapenbi), den Pensionsfonds der Zentralbank. Die BPK bezweifelte, dass die Vorkehrungen der Bank Indonesia für diese Zahlung und für die Festlegung von Verlustgrenzen bei Anlagen in ihrer Rolle als Gründerin des Fonds ausreichten.
Ein zusätzlicher Pensionsbeitrag ist eine über die reguläre Finanzierung hinausgehende Zahlung. In diesem Fall verknüpfte die BPK ihre Bedenken mit der Möglichkeit, dass die Bank Indonesia erneut zusätzliche Zahlungen leisten müsste, um ein Finanzierungsdefizit auszugleichen. Ein Finanzierungsdefizit bedeutet, dass einem Pensionsfonds nach der maßgeblichen Bewertung nicht genügend Mittel zur Erfüllung seiner Verpflichtungen zur Verfügung stehen.
Die BPK stellte außerdem mögliche Verluste fest, wenn Dapenbi Anlagen über den Mechanismus für Anlageverlustgrenzen veräußert. Eine Verlustgrenze setzt einen Rahmen für Anlageverluste oder damit verbundene Entscheidungen. Ihre Wirksamkeit hängt davon ab, wie sie festgelegt und angewendet wird. In den veröffentlichten Feststellungen werden jedoch weder die Schwellenwerte von Dapenbi noch einzelne Anlagepositionen offengelegt.
Der Betrag von 4,83 Billionen Rupiah sollte nicht als nachgewiesener Betrugsverlust bezeichnet werden. Es handelt sich um die Höhe eines zusätzlichen Pensionsbeitrags, den die Prüfung hervorhob. Ebenso bezieht sich die Warnung vor Verlusten aus dem Verkauf von Anlagen auf ein von der BPK erkanntes Risiko und nicht auf eine bezifferte Gesamtsumme tatsächlich eingetretener Verluste.
Die BPK empfahl eine Prüfung der Anlageverwaltung, Unternehmensführung und Anlageperformance von Dapenbi sowie eine Bewertung der festgelegten Verlustgrenzen. Diese Empfehlungen betreffen sowohl die Gründe, aus denen erneut zusätzliche Mittel erforderlich werden könnten, als auch die Entscheidungen, durch die der Fonds Anlageverlusten ausgesetzt sein könnte.
Zuweisung von Rücklagen muss gesondert korrigiert werden
Eine weitere Feststellung betraf die Übertragung realisierter Beträge aus Cadangan Tujuan (zweckgebundene Rücklagen) in Cadangan Umum (allgemeine Rücklagen). Nach Feststellung der BPK entsprach die Zuführung nicht den Vorschriften zur Verteilung des Überschusses aus den Tätigkeiten der Bank Indonesia.
Einfach gesagt geht es dabei um die Verteilung des Überschusses auf verschiedene Rücklagenkategorien. Dieser Punkt ist von der mangelhaften Erkennung bei BI-FAST und dem Pensionsfondsbeitrag getrennt zu betrachten, auch wenn alle drei bei derselben Prüfung des Jahresabschlusses festgestellt wurden.
Nach Angaben der BPK entsprach die daraus resultierende Aufstockung der allgemeinen Rücklagen nicht den geltenden Regelungen zur Überschussverteilung. Sie forderte den Gouverneur der Bank Indonesia auf, Regelungen für die Zuweisung zu den allgemeinen Rücklagen festzulegen, die diesen Vorschriften entsprechen.
Die veröffentlichte Feststellung nennt weder den Betrag der betroffenen Rücklagenzuweisung noch eine Berechnung ihrer Auswirkungen. Es gibt daher keine Grundlage dafür, sie mit dem Pensionsbeitrag von 4,83 Billionen Rupiah zu einer Gesamtsumme der finanziellen Risiken zusammenzurechnen.
Warum ein sachgerechter Jahresabschluss die Feststellungen nicht erledigt
Die BPK erklärte, die Schwächen der Kontrollen und die Verstöße gegen Vorschriften hätten die sachgerechte Darstellung des Jahresabschlusses der Bank Indonesia für 2025 nicht wesentlich beeinträchtigt. Wesentlichkeit betrifft die Frage, ob ein Fehler oder eine Auslassung so bedeutsam ist, dass sie das Verständnis oder die Entscheidungen eines Lesers zum Jahresabschluss beeinflussen könnte.
Diese Schlussfolgerung und die betrieblichen Feststellungen beantworten unterschiedliche Fragen. Ein Jahresabschluss kann die Finanzlage einer Institution sachgerecht darstellen, während eine Prüfung zugleich Schwächen bei Betrugskontrollen, Datenprozessen oder der Einhaltung von Vorschriften feststellt.
Auch die Zahlen müssen sorgfältig gelesen werden. Sechzehn Feststellungen mit 20 Problemen bedeuten, dass eine Feststellung mehr als ein Problem umfassen kann. Das heißt nicht, dass die BPK 20 einzelne Betrugsfälle festgestellt hat; ebenso wenig sind alle 17 Probleme bei den internen Kontrollen BI-FAST zuzuordnen.
Die vier öffentlich beschriebenen Bereiche erfordern unterschiedliche Korrekturmaßnahmen: eine Prüfung der Zahlungssicherheit von BI-FAST, Anpassungen bei Daten und Zeitabläufen für JISDOR, eine Prüfung der Anlagen und Unternehmensführung von Dapenbi sowie regelkonforme Zuweisungen zu den allgemeinen Rücklagen. Wer sie als ein einziges technisches Problem behandelt, würde einen großen Teil des Prüfungsumfangs verkennen.
Zeitrahmen und offene Fragen
Die Daten unterscheiden zwischen dem regulatorischen Rahmen, dem geprüften Finanzzeitraum und der späteren Veröffentlichung der Feststellungen:
- 2020: Die Bank Indonesia erließ die Verordnung Nr. 22/23/PBI/2020 zum Zahlungssystem.
- 2025: Die von der BPK geprüften Jahresabschlüsse bezogen sich auf dieses Geschäftsjahr.
- Erstes Halbjahr 2026: Die Feststellungen erschienen im Bericht IHPS I 2026 der BPK.
- 13. Oktober 2026: Die Prüfungsfeststellungen wurden öffentlich zitiert.
Eine spätere Anhörung, eine Frist für die Umsetzung oder ein geplanter Fortschrittsbericht wird nicht genannt. Auch der Status der geforderten Prüfung von BI-FAST, der Anpassungen beim zeitlichen Ablauf von JISDOR, der Prüfung der Pensionsfondsanlagen und der Änderungen bei der Rücklagenzuweisung bleibt offen.
Für Nutzer von Zahlungsdiensten gehören zu den ungeklärten Fragen das Ausmaß des unentdeckten Betrugs, mögliche damit verbundene Verluste und die Einführung von Korrekturmaßnahmen. Beim Pensionsfonds fehlen Angaben zur Finanzierungslage, zu den Verlustschwellen bei Anlagen und dazu, ob weitere Beiträge erwartet werden.
Die Zahlungssystemverordnung nennt Beschwerden von Verbrauchern, Betrug, Cybervorfälle und Störungen in Artikel 105 als relevante Informationen. Für die Überwachung der Teilnehmer an der Zahlungsinfrastruktur der Bank Indonesia nennt sie außerdem Informationen zu Unternehmensführung, Betrieb und Betrug. Diese Kategorien bilden eine konkrete Grundlage für die Bewertung von Korrekturmaßnahmen, doch die veröffentlichten Feststellungen enthalten keine Ergebnisse einer solchen Nachprüfung.
Wichtigste Punkte
- Die BPK stellte bei der Prüfung des Jahresabschlusses der Bank Indonesia für 2025 insgesamt 16 Feststellungen mit 20 Problemen fest.
- Siebzehn Probleme betrafen Schwächen der internen Kontrollen, drei Verstöße gegen Vorschriften.
- Die Prüfung kam zu dem Ergebnis, dass das Betrugserkennungssystem von BI-FAST Transaktionsanomalien unwirksam erkannte und verhinderte.
- Die BPK forderte eine umfassende Prüfung der Zuverlässigkeit und Sicherheit von BI-FAST.
- Auch die Datenqualität von JISDOR sowie der zeitliche Ablauf von Transaktionen, Bestätigungen und Kursveröffentlichungen mussten überprüft werden.
- Ein zusätzlicher Pensionsbeitrag von 4,83 Billionen Rupiah und die Verlustgrenzen bei Anlagen führten zu Empfehlungen für weitere Prüfungen.
- Nach Feststellung der BPK entsprachen Zuführungen zu den allgemeinen Rücklagen nicht den Vorschriften zur Überschussverteilung.
- Die Feststellungen beeinträchtigten die sachgerechte Darstellung des Jahresabschlusses für 2025 nicht wesentlich; eine Frist für Korrekturmaßnahmen wurde nicht genannt.
