Die Antwerp Exchange Bank aus Ohio hat den Finanztechnologieanbieter Fiserv vor einem Bundesgericht verklagt. Die Bank wirft dem Unternehmen vor, seine Sicherheitskontrollen irreführend dargestellt und sich damit Zugang zu Kundendaten verschafft zu haben. Es ist die zehnte verwandte Klage, die Anwalt Charles Nerko seit 2018 betreut – und die erste, die eine Bank statt einer Kreditgenossenschaft eingereicht hat. Im Mittelpunkt stehen der Schutz von Kontodaten, die Mehr-Faktor-Authentifizierung und mögliche Gebühren bei einer Beendigung der Geschäftsbeziehung mit Fiserv. Ein Gericht hat bislang nicht entschieden, ob die Cybersicherheitsmaßnahmen des Unternehmens ausreichen.
Die Antwerp Exchange Bank reichte ihre Klage am 8. Oktober vor einem Bundesgericht in Toledo im US-Bundesstaat Ohio ein. Das Institut verfügt über Vermögenswerte von 161 Millionen US-Dollar. Fiserv betreut rund 10.000 Finanzinstitute. Der Streit berührt damit auch die Frage, wie Banken und Kreditgenossenschaften die Verantwortung für Authentifizierung und Sicherheitsfunktionen aufteilen, wenn sie externe Kernbankensysteme nutzen.
Antwerp stützt Klage auf Geschäftsgeheimnisse
Die Klage beruft sich ausschließlich auf den US-amerikanischen Defend Trade Secrets Act und das entsprechende Recht des Bundesstaates Ohio. Nach Darstellung der Bank sind Kundenidentitäten und Kontodaten Geschäftsgeheimnisse. Fiserv soll sich diese Informationen durch falsche Angaben zu seinen Sicherheitskontrollen in Verträgen und Compliance-Unterlagen beschafft haben. Anders als einige frühere Klägerinnen macht Antwerp weder Vertragsbruch noch Betrug geltend. Die rechtliche Argumentation beschränkt sich damit auf die unrechtmäßige Aneignung von Geschäftsgeheimnissen.
Die Klageschrift nennt neun Fiserv-Systeme, die bei der Bank im Einsatz sind, und behauptet, einige davon böten keine Mehr-Faktor-Authentifizierung. Das Kernbankensystem Premier speichert Kundendaten. Laut Klageschrift melden sich Bankmitarbeiter mit Benutzername und Passwort an und erhalten „regelmäßig“ einen Einmalcode per E-Mail. Außerdem können sie Codes über eine Authenticator-App beziehen. Unter Verweis auf Empfehlungen des National Institute of Standards and Technology argumentiert die Bank, dass E-Mail-Codes nicht als zweiter Authentifizierungsfaktor gelten. Ob Antwerp die Option mit der Authenticator-App aktiviert hat, geht aus der Klage nicht hervor. Nerko wollte sich nicht zu den Sicherheitseinstellungen einzelner Kunden äußern.
Nach dem Login können Mitarbeiter laut Klageschrift auf Kontonummern, Anschriften und Sozialversicherungsnummern von Kunden zugreifen. Einen konkreten Datenschutzvorfall oder einen Betrugsschaden bei der Bank nennt die Klage jedoch nicht. Nerko sagte, die beiden jüngsten Klagen setzten nicht voraus, dass es bereits zu einem Sicherheitsvorfall gekommen sei. Antwerp behauptet zudem, ein Wechsel von Fiserv könne eine Kündigungsgebühr in „siebenstelliger Höhe“ auslösen, ohne einen konkreten Betrag zu nennen. Bankchef Jeff Mumma erklärte, ein Institut sollte keine kündigungsbedingten Gebühren mehr schulden, wenn ein Anbieter seine Verpflichtungen nicht erfüllt habe.
Fiserv verweist auf wählbare Sicherheitsfunktionen
Fiserv hat in dem Verfahren der Antwerp Exchange Bank bislang keine Stellungnahme eingereicht. In anderen verwandten Verfahren argumentierte das Unternehmen jedoch wiederholt, mehrere seiner Systeme böten stärkere Anmeldeschutzmaßnahmen, deren Aktivierung den Kunden überlassen bleibe. In einem Schriftsatz vom 5. Oktober erklärten Fiservs Anwälte, Kunden bestimmten letztlich selbst, welches Risiko sie akzeptierten. Ein Unternehmenssprecher sagte, Fiserv stelle Sicherheits- und Authentifizierungstools für unterschiedliche Bedürfnisse und Präferenzen bereit. Weder Antwerp noch die Marshall Community Credit Union aus Michigan hätten einen konkreten Sicherheitsvorfall mit Auswirkungen auf Kunden oder Daten benannt. Fiserv hält die Vorwürfe nach eigenen Angaben für unbegründet und will sich vor Gericht verteidigen.
In einem Verfahren der Midwest Family Federal Credit Union aus Indiana erklärte Fiserv, die Kreditgenossenschaft habe zusätzliche Sicherheitsfunktionen nicht aktiviert und einen Wechsel auf das aktualisierte Authentifizierungsprodukt SecureNow abgelehnt. SecureNow ergänzt laut Fiserv die Online-Banking-Anwendung Virtual Branch und die Mobile-Banking-App Mobiliti um Mehr-Faktor-Authentifizierung. Das Produkt ersetzt demnach das ältere System Enhanced Authentication. Für SecureNow fällt nach Angaben des Unternehmens eine zusätzliche Gebühr an. Einige Kläger halten es für unzumutbar, Kunden während der Vertragslaufzeit zum Wechsel auf ein kostenpflichtiges Produkt zu verpflichten.
Aus den Gerichtsunterlagen geht zudem hervor, dass sich die Sicherheitsfunktionen zwischen den Fiserv-Systemen unterscheiden. Ein Fiserv-Manager erklärte in einer eidesstattlichen Aussage aus dem Jahr 2025, dass das Kernbankensystem Portico im April eine Mehr-Faktor-Prüfung bei der Anmeldung zum Online-Banking eingeführt habe. Codes aus einer Authenticator-App seien ab Juni verfügbar gewesen. Ein anderes Kernbankensystem für Kreditgenossenschaften, CUSA, unterstützte diese Art der Verifizierung damals nicht. Wann die Option mit der Authenticator-App für das bei Antwerp eingesetzte System Premier verfügbar wurde, ist aus den vorliegenden Unterlagen nicht ersichtlich.
Gerichte lehnen zwei Eilanträge ab
Zwei Eilanträge, über die Gerichte bereits entschieden haben, wurden abgewiesen. Keine der Entscheidungen klärte jedoch, ob Fiservs Sicherheitskontrollen ausreichen. Im Juni 2025 lehnte ein Bundesrichter in Connecticut den Antrag der Cencap Federal Credit Union ab, Fiserv die Speicherung ihrer Informationen auf internetverbundenen Systemen ohne Mehr-Faktor-Authentifizierung zu untersagen. Zu den angeführten Gründen gehörte, dass die Kreditgenossenschaft mehrere Jahre mit der Klage gewartet hatte. Im Januar 2025 wies ein Bundesrichter in North Carolina außerdem den Antrag der Self-Help Credit Union zurück. Sie wollte den Internetzugriff auf Fiservs Supportportal Client360 sperren lassen und einen Ausstiegsplan verlangen.
Self-Help wurde später dazu verurteilt, Fiserv die damit verbundenen Anwaltskosten zu erstatten. Das Gericht befand, die Kreditgenossenschaft habe Fragen im Beweisverfahren umgangen. Es stellte außerdem fest, dass Self-Help bereits Jahre zuvor die Möglichkeit gehabt habe, die Authenticator-App-Codes von Portico zu nutzen. Am folgenden Tag zog die Kreditgenossenschaft ihren Antrag auf eine einstweilige Verfügung zurück. Nerko sagte, Self-Help habe eine zuvor von Fiserv angebotene Vereinbarung angenommen: Sie durfte das Unternehmen noch im selben Jahr verlassen, ohne vorab eine Kündigungsgebühr zu zahlen. Ein Eilantrag der FiCare Federal Credit Union, Fiserv daran zu hindern, über sein Callcenter Kartensperren wegen Betrugsverdachts automatisch aufzuheben, ist weiterhin anhängig.
Die übrigen Verfahren haben bislang unterschiedliche Verläufe genommen. Im Juni lehnte ein Bundesrichter in Kalifornien es ab, die Klage der Polam Federal Credit Union abzuweisen. Die Fragen ließen sich besser beurteilen, nachdem die Parteien Beweise ausgetauscht hätten. Eine Klage der Bessemer System Federal Credit Union aus Pennsylvania durfte zunächst weitergeführt werden; die Parteien einigten sich 2024 später auf eine Einstellung des Verfahrens. Zwei weitere Kreditgenossenschaften aus New York legten ihre Klagen 2023 durch Vergleich bei. Das Verfahren von Cencap wurde im April eingestellt, nachdem die Parteien einen Vergleich gemeldet hatten. Die sieben übrigen von Nerko betreuten Fälle sind weiterhin offen. In keinem der zehn Verfahren hat Fiserv bislang einen Gerichtsbeschluss erreicht, der sämtliche Vorwürfe direkt abweist.