Fehlerhafte Zugriffskontrollserver legten DBS-Digitalbanking zwei Tage lang lahm

Am 23. November 2021 verlor die Singaporeer DBS Bank ihre Digitalbanking-Dienste einschließlich PayNow aufgrund eines Fehlers in ihren Zugriffskontrollservern – der Schicht, die Anmeldungen und Zahlungsverifizierung per Biometrie, Authentifizierungstoken und Einmalpasswörtern abwickelt. Die Dienste wurden gegen 2 Uhr morgens am 24. November wiederhergestellt, dann trat dasselbe Problem gegen 9 Uhr erneut auf, sodass die Website und die Mobile-App bis in die Nacht hinein nicht erreichbar blieben.

Es war die schwerste Störung bei DBS seit 2010, als ein größerer Systemausfall das gesamte Privat- und Firmenkundengeschäft für etwa sieben Stunden lahmlegte. Die Monetary Authority of Singapore erklärte, sie erwarte eine gründliche Untersuchung der Ursachen und werde „geeignete aufsichtsrechtliche Maßnahmen prüfen“, und verwies auf Vorschriften, die ungeplante Ausfallzeiten kritischer Systeme auf vier Stunden innerhalb eines beliebigen Zwölfmonatszeitraums begrenzen und Banken verpflichten, Vorfälle innerhalb einer Stunde zu melden.

DBS-Länderchef Shee Tse Koon entschuldigte sich in einem Facebook-Video und versicherte den Kunden, dass die Einlagen sicher seien und Filialen sowie Telefonbanking weiterhin funktionierten. Kunden berichteten von fehlgeschlagenen PayNow-Zahlungen an Lieferanten und stornierten Pflegebuchungen. Die Bank wies zudem Gerüchte zurück, die die Störung mit dem Verkauf myanmarischer Staatsanleihen in Verbindung brachten.

Digitalbanking, PayNow und Website vom 23. bis 24. November 2021 ausgefallen; Geldabhebungen am Automaten, Kartenzahlungen und PayLah! teilweise betroffen; MAS prüft aufsichtsrechtliche Maßnahmen

Anmeldung und Zahlungsverifizierung liefen beide über die Zugriffskontrollserver, sodass ein einziger Fehler alle digitalen Kanäle auf einmal außer Betrieb setzte.

Die Korrektur, die den Dienst um 2 Uhr morgens wiederherstellte, versagte innerhalb weniger Stunden, was zeigte, dass die Ursache nicht isoliert worden war, bevor die Wiederherstellung für abgeschlossen erklärt wurde.

Kunden hatten keine In-App-Ausweichlösung für PayNow-abhängige Zahlungen, auf die kleine Händler und Familien täglich angewiesen sind.

Die Störung überschritt die MAS-Erwartung einer Ausfallzeit von vier Stunden für kritische Systeme innerhalb eines Zwölfmonatszeitraums.

Authentifizierung ist ein Engpass: Wenn Anmeldung und Zahlungsverifizierung sich eine fragile Server-Schicht teilen, legt ein einziger Fehler jeden digitalen Kanal lahm – und die Aufsichtsbehörden werten dies als Verstoß.

DBS erklärte, die digitalen Dienste „normalisierten sich“ bis 22:35 Uhr am 24. November. Die MAS erklärte, sie werde nach der Untersuchung von DBS über aufsichtsrechtliche Maßnahmen entscheiden; die Bank entschuldigte sich und sagte Abhilfemaßnahmen zu.