Der 900-Millionen-Dollar-Fehler der Citibank: die Revlon-Zahlung und ein einziges Kästchen

• Primärquelle ist das Urteil des US-Bezirksgerichts für den Southern District of New York vom 16. Februar 2021, Richter Jesse M. Furman.
• Die Citibank wollte etwa 7,8 Millionen Dollar Zinsen überweisen. Zusätzlich gingen fast 900 Millionen Dollar ihres eigenen Geldes hinaus.
• Laut Handbuch hätten drei Felder angehakt sein müssen: FRONT, FUND und PRINCIPAL. Angehakt war nur PRINCIPAL.
• Die Freigabe durch drei Personen fing den Fehler nicht ab. Die letzte Warnung zeigte den Betrag nicht.

Was geschah: 11. August 2020

Die Citibank war Verwaltungsagent für einen syndizierten Kredit über 1,8 Milliarden Dollar mit sieben Jahren Laufzeit, den Revlon 2016 aufgenommen hatte. Ihre Aufgabe war, die Zins- und Tilgungszahlungen von Revlon an die Kreditgeber weiterzuleiten.

Am 11. August 2020 stand ein „Roll-up“ an. Fünf Kreditgeber tauschten ihre Anteile am Kredit von 2016 gegen Anteile an einem anderen Kredit von Revlon. Der Kredit sollte mit den übrigen Kreditgebern neu aufgesetzt werden. Laut Urteil war der einfachste, vielleicht einzige Weg, das in Flexcube abzubilden, den Kredit so einzugeben, als würde er vollständig zurückgezahlt.

Der Plan: Alle bekommen die aufgelaufenen Zinsen, das Kapital dagegen wird auf ein internes Konto gebucht, das sogenannte „Wash Account“. Dieses Konto diente für Buchungen, bei denen kein Geld die Bank verlässt.

Bildschirm und Handbuch

Jede in Flexcube eingegebene Zahlung ging standardmäßig als Überweisung aus der Bank. Das Urteil nennt auch den Grund: Die große Mehrheit der Vorgänge waren ohnehin Zahlungen an Dritte.

Um den Standard zu stoppen, gab es auf dem Bildschirm ein Menü. In jeder Zeile standen ein Komponentenname, ein Kontofeld und ein Kästchen. Das interne Handbuch der Bank verlangte, zum Stoppen des Kapitals die Felder FRONT, FUND und PRINCIPAL alle drei auf das interne Konto zu setzen.

Der Mitarbeiter, der den Vorgang anlegte, hakte zwischen 17:15 und 17:45 Uhr nur das Kästchen PRINCIPAL an. Laut Urteil glaubten alle drei Personen, die den Vorgang ansahen, dass dieses Feld reichen würde.

Sechs Augen

Der Vorgang unterlag dem Freigabeverfahren, das die Bank „Six-Eye“ (sechs Augen) nennt. Ohne dass drei Personen den Vorgang nacheinander geprüft und freigegeben hatten, floss kein Geld.

1. 1. Ersteller

   Gibt die Zahlung in Flexcube ein. Hakt nur das Kästchen PRINCIPAL an.

2. 2. Prüfer

   Sieht sich den Vorgang an. Glaubt, dass das Kapital auf das interne Konto geht.

3. 3. Freigebender

   Gibt per E-Mail frei: „Looks good, please proceed.“

4. 4. Stoppschild

   Sagt „Das Geld verlässt die Bank“. Zeigt keinen Betrag. Antwort: „YES“.

5. 5. Ergebnis

   Zusätzlich zu den Zinsen gehen etwa 894 Millionen Dollar Kapital an die Kreditgeber.

Abbildung: meine Darstellung nach der Abfolge im Urteil. Die Personen nenne ich nicht beim Namen, sondern nach ihrer Rolle.

Im letzten Schritt sah der Prüfer eine Warnung auf seinem Bildschirm. Das Urteil nennt sie „Stop Sign“ (Stoppschild). Der Text lautete sinngemäß: Das verwendete Konto ist ein Überweisungskonto, das Geld verlässt die Bank, möchten Sie fortfahren?

Das Urteil schreibt auch klar, was die Warnung nicht zeigte. Sie sagte nicht, wie viel Geld abfließen würde. Sie sagte auch nicht, ob es sich um Zinsen oder Kapital handelte. Weil der Abfluss der Zinsen ohnehin erwartet wurde, lautete die Antwort „YES“.

Am nächsten Morgen

Um 18:53 Uhr schickte der Ersteller dem Prüfer Screenshots des Vorgangs. Darauf standen im Feld „Amount Paid“ 7,8 Millionen Dollar Zinsen und 894 Millionen Dollar Kapital. Der Ersteller selbst sah darin kein Problem: Laut Urteil nahm er fälschlich an, das System zeige das Kapital als auf das interne Konto „gezahlt“.

Der Fehler fiel am Morgen des 12. August beim täglichen Abgleich auf. Der freigebende Manager hielt ihn zunächst für einen Softwarefehler und schrieb seinem Team eine E-Mail mit dem Betreff „Urgent Wash Account Does not Work“.

Im Lauf des Tages zeigte sich, dass es kein technischer Fehler war. Laut Urteil war die Ursache menschliches Versagen: Die Felder FRONT und FUND waren nicht ausgewählt worden. 315 Kreditgeber hatten ihren Anteil an 893.944.008,52 Dollar Kapital erhalten.

Nachbildung des Bildschirms: Haken Sie das eine Kästchen selbst an

Das Urteil enthält ein Bild des Bildschirms (Abbildung 1). In den Zeilen stehen Komponentennamen, daneben Kontofelder und eine Spalte mit Kästchen unter der Überschrift „Overwrite default settlement instruction“. Das einzige angehakte Kästchen steht in der Zeile PRINCIPAL.

Die Demo unten kopiert diesen Bildschirm nicht. Sie bildet die im Urteil beschriebene Regel auf einem fiktiven Bildschirm nach. Genehmigen Sie zuerst mit „Logik wie im Urteil beschrieben“, wechseln Sie dann zu „Mein Gestaltungsvorschlag“ und versuchen Sie es mit denselben Kästchen noch einmal.

Auf dem ersten Bildschirm sagen Ihnen die Kästchen etwas: PRINCIPAL geht auf das interne Konto. Das stimmt, ist aber unvollständig. Der Bildschirm sagt nicht, was es bedeutet, dass die anderen beiden Felder leer bleiben.

Auf dem zweiten Bildschirm stehen dieselben Kästchen. Der Unterschied ist, dass der Bildschirm das Ergebnis für Sie zusammenrechnet. Der Gesamtbetrag aktualisiert sich bei jeder Änderung. Fließt das Kapital ab, bleibt der Button gesperrt, bis Sie bestätigen, dass Sie das wissen.

Haken Sie auch FRONT und FUND an und versuchen Sie es noch einmal. In meiner Nachbildung sagt das Stoppschild des ersten Bildschirms denselben Satz, weil die Zinsen weiterhin die Bank verlassen. Zwischen richtiger und falscher Anweisung ist im Moment der Freigabe kein Unterschied zu sehen.

Auf dem zweiten Bildschirm sinkt die Summe dagegen auf 7,8 Millionen Dollar, und die Warnung verschwindet. Die Person arbeitet mit denselben Kästchen, sieht das Ergebnis aber mit eigenen Augen. Sehen Prüfer und Freigebender dieselbe Übersicht, schauen alle drei Augenpaare auf dieselbe Zahl.

Ich habe hier keine neue Regel hinzugefügt. Die Regel im Handbuch gab es schon. Ich habe nur ihr Ergebnis auf den Bildschirm geschrieben.

Was wir wissen und was nicht

Die Darstellung des Vorfalls auf dieser Seite beruht auf zwei Gerichtsentscheidungen. In der Tabelle trenne ich, was in den Urteilen steht und was nicht.

Richter Furman bezeichnet den Vorfall in der Einleitung des Urteils als „einen der größten Patzer der Bankgeschichte“. Laut demselben Abschnitt entsprachen die gezahlten Beträge auf den Cent genau dem Kapital und den Zinsen, die Revlon den Kreditgebern schuldete.

Für das abgeflossene Kapital verwendet das Urteil die Formulierung „almost $900 million“. Die genaue Zahl ist 893,9 Millionen Dollar.

Rechtliche Folgen

Richter Furman entschied am 16. Februar 2021, dass die Kreditgeber, die das Geld nicht zurückgaben, im Recht waren. Begründung war die Regel „Discharge for Value“ im Recht des Bundesstaats New York: Die Zahlung deckte die Schuld auf den Cent, und die Empfänger wussten nichts von dem Fehler.

Die Citibank ging in Berufung. Das US-Berufungsgericht für den 2. Bezirk hob die Entscheidung am 8. September 2022 auf und verwies den Fall zurück. Nach Ansicht des Gerichts mussten die Empfänger den Fehler erkennen. Außerdem war der Kredit zu diesem Zeitpunkt noch nicht fällig, bis zur Fälligkeit blieben drei Jahre.

Dieser Abschnitt ist eine Zusammenfassung und keine Rechtsberatung.

Meine Notiz

Diesen Fall erzähle ich in Audits oft, weil es so leicht ist, die Schuld bei Menschen zu suchen. Wenn drei erfahrene Personen denselben falschen Glauben teilen, liegt das Problem eher am Bildschirm als am Glauben. Der Bildschirm gab der Person, die das Kästchen anhakte, das Gefühl „passt“. Das Ergebnis sagte er nicht.

Die eigentliche Lehre ist für mich: Der Bestätigungsbildschirm einer gefährlichen Aktion sollte ihr Ergebnis als Zahl zeigen. „Das Geld verlässt die Bank“ ist ein Satz. „901,7 Mio. $ verlassen die Bank“ ist ein Moment der Entscheidung. Beim zweiten hält man inne.

Auch die Voreinstellung spielt eine Rolle. Hier schickte jedes leere Kästchen das Geld hinaus, das teuerste Ergebnis war also der Standard. Können Sie den Standard nicht ändern, muss der Übersichtsbildschirm klar sagen, was er bewirkt.

Die Checkliste aus dem Handbuch würde ich auf den Bildschirm holen. Müssen drei Felder gemeinsam angehakt werden, kann der Bildschirm das in einer Option bündeln: „Kapital auf dem internen Konto behalten.“ Die Person wählt ihre Absicht, die Felder füllt das System.

So prüfen Sie Ihr eigenes Produkt

Kleine Kopien dieses Fehlers gibt es auch außerhalb des Bankwesens. Die Sammelerstattung im Shop-Backend oder der Button „Alle Einträge löschen“ in einem SaaS-Produkt tragen dasselbe Risiko.

• Zeigt der Bestätigungsbildschirm vor jeder Aktion, die sich nicht rückgängig machen lässt, den betroffenen Betrag oder die Zahl der Einträge?
• Ist der Warntext auch im erwarteten Fall derselbe? Eine Warnung, die jedes Mal erscheint, liest nach einer Weile niemand mehr.
• Sind Felder, die sich gemeinsam ändern müssen, auf dem Bildschirm eine einzige Option oder eine Regel im Handbuch?
• Sieht die freigebende Person den Bildschirm, den der Ersteller gesehen hat, oder nur seine Zusammenfassung in einer E-Mail?

Der letzte Punkt war in diesem Fall wichtig. Laut Urteil stand in den Freigabe-E-Mails, dass das Kapital auf das interne Konto geht: „Principal set to Wash“, „Principal is going to wash“. Die E-Mails wiederholten den Glauben des Teams. Was der Bildschirm tatsächlich tun würde, war etwas anderes.

Für Warntexte lesen Sie das Muster Fehlermeldungen, für riskante Abläufe in Finanzprodukten den Ratgeber zu Fintech-UX. Wie Teams einen Bildschirm unterschiedlich verstehen, beschreibe ich auf der Seite zum mentalen Modell. Gestaltungsprinzipien, die Fehler von vornherein verhindern, finden Sie bei Nielsens 10 Heuristiken.

Wollen Sie, dass ich die unumkehrbaren Abläufe in Ihrem Produkt prüfe, gibt es genau dafür das UX Audit.