Ein Softwarefehler bei Lloyds gab fremde Transaktionen für 447.936 Nutzer sichtbar

Am 12. März 2026 begann ein „Softwarefehler“, der während einer nächtlichen IT-Änderung bei der Lloyds Banking Group eingeführt wurde, Kunden von Lloyds, Halifax und Bank of Scotland die Transaktionen anderer Personen – Zahlungen, Gebühren, manchmal Sozialversicherungsnummern – innerhalb ihrer eigenen Apps anzuzeigen. Die Bank teilte dem Treasury Select Committee später mit, der Fehler habe bis zu 447.936 Kunden betroffen, und 114.182 hätten auf Transaktionen geklickt, die nicht ihre eigenen waren, wodurch potenziell „Kontodetails, Sozialversicherungsnummern und Zahlungsreferenzen“ offengelegt wurden. Einige Daten gehörten Nicht-Kunden, die von Inhabern von Lloyds-Konten bezahlt worden waren.

Die Kunden gerieten in Panik. Eine Kundin, Asha, sagte der BBC, sie habe unbekannte Transaktionen gesehen, deren Beträge mit ihren Kontoständen übereinstimmten – „Ich nahm an, ich sei gehackt worden oder es habe einen Betrug gegeben … eine Transaktion stammte von jemandem, der ein Auto gekauft hat. Ich dachte, sie hätten 8.000 £ meines Geldes ausgegeben. Es … ließ mich fast traumatisiert zurück.“ Lloyds erklärte, das Problem sei „umgehend behoben“ worden, man habe „sofort untersucht, wie es zu dem Vorfall kam“, und es tue einem „außerordentlich leid“. Bis zum 23. März hatte die Bank 139.000 £ an Kulanzzahlungen an 3.625 Kunden geleistet – durchschnittlich 38,34 £ pro Person.

Die Rechnung dürfte steigen. Die Financial Conduct Authority erklärte, sie stehe mit der Gruppe „aktiv im Austausch“; das Information Commissioner's Office eröffnete Untersuchungen; und die Ausschussvorsitzende Dame Meg Hillier machte den Vorfall zu einer Lektion über den Zielkonflikt des modernen Bankwesens – „wir vertrauen auf Technologie, die unvorhersehbare Fehler aufweisen kann“ – und drängte Banken, bei Problemen transparent zu sein. Branchenanalysten sagten, ein einzelnes Update, das fast eine halbe Million Kunden betreffe, erfordere „tiefgreifende strukturelle Veränderungen statt oberflächlicher Korrekturen“.

Bislang 139.000 £ an Kulanzzahlungen an 3.625 Kunden; die FCA steht „aktiv im Austausch“, das ICO führt Untersuchungen durch, und es gibt eine Untersuchung des Treasury Select Committee.

Eine ungetestete nächtliche Änderung überschritt die eine Grenze, die das Privatkundengeschäft nicht überschreiten darf: Auf dem Bildschirm eines Kunden erschien das Geld eines anderen Kunden.

Die offengelegten Daten – Kontodetails, Sozialversicherungsnummern, Zahlungsreferenzen – machten aus einem Fehler einen Datenschutzvorfall mit dem ICO vor der Tür.

Eine Entschädigung von durchschnittlich 38,34 £ deutete darauf hin, dass die Bank noch dabei war, den Fall zu sortieren, während die Ergebnisse der Aufsichtsbehörden und mögliche Geldbußen noch ausstehen.

Die Größe der Gruppe (26 Millionen Kunden) machte einen einzelnen Fehler zu einem systemischen Vertrauensereignis bei drei Bankmarken gleichzeitig.

Resilienz ist nicht Erholungsgeschwindigkeit: Wenn eine einzige nächtliche Änderung die Gehälter Fremder auf Ihrem Bildschirm anzeigen kann, ist der entscheidende Test die Kontoisolierung, nicht die Verfügbarkeit.

Lloyds erklärte, man werde „vollumfänglich“ mit der FCA und dem ICO zusammenarbeiten, entschädige betroffene Kunden im Rahmen der üblichen Praxis und habe eine Ursachenuntersuchung der nächtlichen Änderung eingeleitet. Das Treasury Select Committee veröffentlichte das Schreiben der Bank und drängte die Banken weiterhin auf Transparenz nach Vorfällen.