Überweisungspanne Deutsche Bank – jetzt stellt EZB Fragen
Die letzten Wochen zählten nicht gerade zu den Sternstunden der Deutsche Bank AG. John Cryan flog regelrecht raus, die IT-Chefin verlässt „the most disfunctional company, I ever worked for“ und dann noch ein Überweisungsfehler. Es waren zwar nur 28 Milliarden, immerhin mehr, als die Marktkapitalisierung der Deutsche Bank mit 24 Milliarden beträgt, aber Geld ist Geld. Es entstand natürlich kein Schaden, da die Bank die Gelder auf ein eigenes Sicherheitenkonto bei der Eurex überwies. Das Geld blieb faktisch im Haus, anders als bei der Überweisungspanne im Jahr 2015, als irrtümlich sechs Milliarden Euro an einen Hedgefonds überwiesen wurden. Der Fonds war damals so nett, den Betrag zurückzuüberweisen.
Passiert ist diesmal auch nichts, aber jetzt kommt die Europäische Zentralbank an und stellt unangenehme Fragen.
Einfachste Grundlagen des Bankgeschäfts verletzt
Eines der ersten Grundprinzipien, die jeder Auszubildender bei einer Bank lernt, ist das Vieraugenprinzip. Das Kreditwesengesetz (KWG) sieht vor, dass eine Bank von mindestens zwei hauptberuflichen Leitern geführt wird, um Fehler bei Einzelentscheidungen durch das Vieraugenprinzip zu vermeiden. Die Ein-Mann-Leitung einer Bank ist als Folge der Herstatt-Pleite im Jahr 1974 verboten (1). Das Vieraugenprinzip findet vor allem bei der Kreditvergabe, aber auch bei unternehmensrelevanten Transaktionen Anwendung.
Bei der schiefgegangenen Zahlung handelte es sich um eine klassische Standardüberweisung von einem Konto der Deutsche Bank auf ein anderes. Hintergrund war der Ausgleich von Verpflichtungen auf dem Derivatekonto der Deutsche Bank bei der Eurex. Der Fehler wurde innerhalb kürzester Zeit bemerkt und korrigiert. Er zeigt allerdings, dass bei den Sicherungssystemen der Bank einiges im Argen liegt.
Der Fehler lag laut Deutsche Bank an einem IT-Prozess. Ein IT-Prozess startet bei einer Überweisung jedoch nicht von sich aus. Es bedarf eines Mitarbeiters, der die Return-Taste drückt, vorzugsweise, nachdem noch einmal ein Blick auf die Daten erfolgte.
Normalerweise springen bei Überweisungen ab einer bestimmten Größenordnung Sicherungssysteme der IT an, sogenannte Bärenfallen. Die EUREX hatte Anfang Dezember ein System-Update durchgeführt und ihre Partner darüber informiert. Diese Sicherung war allerdings mit dem System der Deutsche Bank nicht kompatibel. Eine Anpassung wurde offensichtlich nicht vorgenommen.
Eine Überweisung in Höhe von 28 Milliarden Euro könnte als unternehmensrelevant gelten. So lautete auch die erste Frage der EZB, weshalb das einfachste Prinzip der Kontrolle, das Vieraugenprinzip, nicht zur Anwendung kam. Die Banker vom Main schickten allerdings nicht nur diese Frage an die Deutsche Bank, sondern gleich einen ganzen Katalog. Eine weitere Frage zielte darauf ab, warum es bei einer Transaktion in dieser Größenordnung keine zusätzliche Kontrolle gab.
Die EZB kommentierte den Bericht des Handelsblatts vom 20.04.2018 zwar nicht, aber es soll auch die Frage aufgekommen sein, wie Deutschlands größte Bank solche Patzer künftig vermeiden will. (1)
Die Antwort wird interessant ausfallen. Immerhin ist es die zweite Fehlüberweisung des Instituts im Milliardenbereich innerhalb von drei Jahren. Mancher Kunde dürfte künftig seine Kontoauszüge besonders kritisch betrachten.
Das Kreditwesengesetz sieht im Paragraf 25c vor, dass Gefährdungsanalysen kontinuierlich erfolgen müssen und benennt dabei ausdrücklich das Vieraugenprinzip als wesentliche Umsetzung zur Identifikation von Fehlern (2). Grob umrissen finden sich im Paragrafen 25c KWG folgende drei Punkte in Bezug auf Kontrollen:
- Interne Maßnahmen auf der Grundlage der Dokumentation von Prozessen und Kontrollen
- Geschäfts- und kundenbezogene Sicherungssysteme, die Umsetzung kunden- und mitarbeiterbezogener IT-Prozesse sowie die manuellen Sicherungen durch beispielsweise das Vieraugenprinzip.
- Weitere Kontrollen auf Basis manueller oder maschineller Soll-Ist-Abgleiche und damit verbundenen Maßnahmen zur Sicherstellung der vorgegebenen Kontrollziele.
Kontrollprozess am Beispiel einer Überweisung
Bei der Bearbeitung eines Überweisungsauftrags durch einen Bankmitarbeiter können Fehler auftreten. Außerdem sind Systemfehler nie völlig auszuschließen. Um diesen Risiken entgegenzuwirken, haben Kreditinstitute zusätzliche Kontrollmaßnahmen anzuwenden.
Die nachfolgende Grafik veranschaulicht das Kontrollprinzip im Rahmen eines Überweisungsauftrags.
Was gedenkt die Deutsche Bank AG zu tun?
Eine interessante Frage, denn neben dem technischen Problem gilt es, den nächsten Scherbenhaufen im Außenauftritt zu beseitigen.
Zum einen plant das Unternehmen, solche Summen nicht mehr nur den IT-Sicherheitsvorkehrungen anzuvertrauen, sondern auch händisch zu überprüfen. Zum anderen will das Institut für Buchungen ab 500 Millionen Euro einen weiteren Plausibilitätscheck einführen und ein Managing Director muss die hohen Zahlungen explizit genehmigen.
Und: Die Bank kehrt zu den Wurzeln des KWG zurück – das Vieraugenprinzip soll künftig wieder konsequent umgesetzt werden.
Quellen und weiterführende Links
(1) manager magazin – Deutschlands größte Bankenkrisen
(2) Handelsblatt – Wie es zur peinlichen Überweisungs-Panne der Deutschen Bank kam
(3) Bundesministerium der Justiz und für Verbraucherschutz – Gesetz über das Kreditwesen (Kreditwesengesetz – KWG) § 25c Geschäftsleiter
