Die Betrüger erbeuteten 3 Mio. Euro allein in Deutschland. Auch Unternehmen in Tschechien sind betroffen.
Betrüger haben bei einer weltweiten Internet-Attacke gegen den Emissionshandel mit Emissionsrechten 3 Mio. Euro Beute allein in Deutschland gemacht. Das bestätigten das Umweltbundesamt (UBA) und die ihr unterstellte Emissionshandelsstelle DEHSt am Mittwoch in Berlin. Das Bundeskriminalamt (BKA) ist eingeschaltet. Der Erwerb von CO2- Zertifikaten berechtigt Kraftwerksbetreiber und energieintensive Industrie wie auch Papier-und Zementfabriken zum begrenzten Ausstoß von Kohlendioxid.
Tschechien ebenfalls betroffen
Erfolgreich waren die Täter auch in Tschechien, wie die EU-Kommission mitteilte. Danach wurden 17 nationale Handelsregister der EU geschlossen. Die betroffenen Unternehmen und das UBA haben inzwischen Strafanzeigen gegen Unbekannt erstattet. Von den Fahndern des BKA in Wiesbaden hieß es: "Wir kennen den Fall und prüfen den Sachverhalt."
Der Verlust von 3 Mio. Euro betrifft nur sieben von 2000 Kunden des deutschen Handelssystems mit Kohlendioxid(CO)-Zertifikaten. Allerdings gelten sie selbst als nicht ganz schuldlos, wie DEHSt-Leiter Hans-Jürgen Nantke, deutlich machte. Sie seien "leider" auf die E-Mail-Anfragen nach Konto-Passwörtern hereingefallen, "obwohl wir immer wieder Warnungen vor dem Phishing (bekannt aus dem Online-Banking) ausgesprochen haben", sagte er .
Gut durchorganisierter Coup
Die Herkunft der Betrüger ist laut Nantke bisher unbekannt: "Es stecken Kriminelle dahinter, die das Handelssystem weltweit mit ihren E-Mails überzogen haben. Das war ein gut durchorganisierter Coup." Um einen typischen Hacker-Angriff auf die Internet-Plattform habe es sich nicht gehandelt.
Innerhalb kurzer Zeit hätten die Betrüger mit den Daten der Geschädigten rund 250.000 CO2-Zertifikate von deren Konten gestohlen und auf ihr Konto nach Dänemark überwiesen, sagte Nantke. Von dort seien die Verschmutzungsrechte mit dem aktuellen Börsenwert von je 12 Euro über weitere Konten geleitet worden. "Dann sind sie an Emissionshändler weiterverkauft worden." Eine Rückgabepflicht für die unberechtigt erworbenen Emissionen werde geprüft. Die Fälle seien von den sieben Unternehmen bei der Handelsstelle gemeldet worden.
Handel nicht gefährdet
Der Handel mit CO2-Zertifikaten über die Leipziger EEX-Börse und Broker sei nicht gefährdet, betonte Nantke. Die Eintragungen in die amtlichen Datenbanken seien gleich gesperrt worden, nachdem die Behörden am letzten Donnerstag Wind von dem Datendiebstahl bekommen hatten. Von diesem Donnerstag an seien die Register für die Daten-Erfassung wieder geöffnet. Die bisherigen Konto-Zugänge seien jetzt bereits geändert worden. Daneben gelte aus Sicherheitsgründen ohnehin schon, dass die Unternehmen alle 60 Tage das Passwort ändern müssten.
Auch an der Leipziger Börse EEX hieß es, der Börsenhandel sei nicht beeinträchtigt worden. Die Brüsseler EU-Kommission stellt nun Empfehlungen für mehr Sicherheit zusammen und wird sie an die EU-Mitgliedsstaaten senden. Die deutsche Emissionshandelsstelle hatte bereits am letzten Freitag die Unternehmen gewarnt.
"Vier-Augen-Prinzip"
Sicherheitsmaßnahmen seien das "Vier-Augen-Prinzip" bei Aufträgen sowie automatische Benachrichtigungen bei der Einloggung im Register. "Klar ist jedoch, dass ein absoluter Schutz vor Betrug (...) immer auch der Mitwirkung durch die Nutzer bedarf." Die "Financial Times Deutschland" (Mittwoch) hatte über einen groß angelegten Datendiebstahl und Hacker-Angriff auf den Emissionshandel berichtet.
Im Emissionshandel wird der nach EU-Recht in den einzelnen Mitgliedsstaaten zulässige nationale Höchstausstoß von Kohlendioxid auf die Kraftwerksindustrie und andere Industriezweige teilweise kostenlos verteilt. Wer aufgrund einer höheren Produktion mehr CO2-Emissionsrechte benötigt, kann sie sich bei anderen Marktteilnehmern im Börsenhandel kaufen und teilweise ersteigern. Im laufenden Jahr darf die deutsche Industrie höchstens 452 Mio. t CO2 in die Luft pusten. Davon laufen 41 Mio. t über Versteigerungen.
