Ausgangspunkt

Das gute alte Bargeld kommt allmählich aus der Mode. Schweden brüstet sich als Vorzeige-Land beim bargeldlosen Bezahlen. Im ganzen Königreich verweigert längst eine wachsende Zahl von Geschäften und Restaurants die Annahme von Scheinen und Münzen. Verbraucher zahlen zunehmend mit Kreditkarten oder gar ihrem Mobiltelefon.
In Deutschland ist ein ähnlicher „Trend“ zu beobachten – wenn auch in abgeschwächter Form. Besonders kleine Geschäfte und Restaurants bieten jedoch hierzulande oftmals keine Kartenzahlung oder mobiles Bezahlen an. Aber die Akzeptanz und das Interesse bei Händlern und Kunden wächst.

Informationen zu Apple Pay

Die bei Apple Pay zum Einsatz kommende Near Field Communication (NFC)-Technik ist auch nicht mehr neu. NFC steht hier für den kabellosen Datenaustausch zwischen zwei Geräten: dem iPhone/iPad/Apple Watch… und dem Kassenterminal. Viele EC- und Kreditkarten nutzen diese Technologie bereits – mit all seinen Vor- und Nachteilen.
Aber was ist denn nun eigentlich der Mehrwert/die Innovation von Apple Pay? Der Dienst soll eine bequeme, sichere und vertrauliche Methode zur Bezahlung mit der Apple Watch, dem iPhone, iPad und Mac bieten. Ähnlich wie bei PayPal, soll man mit Apple Pay auch direkt in der App „Nachrichten“ Geld an Freunde und Verwandte senden oder von diesen empfangen können.

Partner von Apple Pay

Welche Banken im Detail ihre Konten und Karten für den Zahlungsdienst freischalten steht ebenfalls noch nicht fest. Mit dabei sind allerdings „große Player“ wie die Hypovereinsbank und die Deutsche Bank. Daneben ist Apple Pay mit den drei großen Kreditunternehmen American Express, Visa und Mastercard kompatibel. Kreditkarten von Amazon sollen wohl aber nicht unterstützt werden. Bei den Händlern ist die bisherige Liste der Teilnehmenden schon länger – u.a. sind Aldi, Lidl, Netto, Real, Kaufland, H&M, S. Oliver, Esprit, Aral, Shell, Saturn, Media Markt, Burger King, McDonald’s, Starbucks und Vapiano bereits mit von der Partie.

Vorteile von Apple Pay

Apple Pay fungiert nicht als eigenes Konto oder Kreditkarte – vielmehr werden bestehende Kreditkarten oder Bankkonten in Apple Pay hinterlegt. Die Konto- und Kreditkartennummer wird allerdings nicht direkt zur Identifikation herangezogen. Stattdessen wird eine interne Gerätekontonummer seitens Apple für den Bezahlvorgang verwendet und an das Kassenterminal übertragen. Dadurch können Händler die privaten Karten-/Konto-Informationen nicht zurückverfolgen. Die Kreditkartendaten sind dadurch grundsätzlich besser geschützt. Die Authentifikation wird bei Apple Pay mit einem Fingerabdruck oder der sog. Face-ID (Gesichtserkennung) auf dem iPhone realisiert.
Ein weiterer großer Vorteil: Apple Pay ist komfortabel und einfach. Eine volle Geldbörse, eine PIN, die man sich schlecht merken kann und zickige Chipkartenleser gehören damit der Vergangenheit an. Einfach nur das iPhone oder die Apple Watch an das Kassenterminal halten, bestätigen, fertig.

Nachteile

Die Zahl der qualifizierten Apple-Geräte, die zur Nutzung von Apple Pay freigeschaltet sind, ist überschaubar. Es können nur neuere Apple-Geräte genutzt werden. Diese Einschränkung trifft ebenfalls auf die genannten Bank- und Handelspartner zu. Mithin kann (bislang) nur von einer „Insellösung“ gesprochen werden.
Daneben teilt Apple Pay das Schicksal jeder App: Neue Updates der Software können Bugs und Fehler mit sich bringen. In der Folge kann der Bezahlungsvorgang nicht durchgeführt werden. In Ländern, in den Apple Pay bereits nutzbar ist, gab es bereits Zwischenfälle auf Seiten des Lesegerätes, wodurch dort – schlussendlich – nicht mit Apple Pay bezahlt werden konnte.

Fazit

Aus der Perspektive des Datenschutzes, ist die Authentifizierung mit dem Fingerabdruck oder einer Gesichtserkennung (Face-ID) prinzipiell als sicherer einzustufen, als auf eine PIN zurückzugreifen. Positiv ist auch, dass Apple nur mittelbar die persönlichen Karten- und Kontoinformationen verwendet, indem an den Händler die Geräte-ID des Apple Pay-Geräts und nicht die Kartennummer übertragen wird.
Problematisch ist allerdings, dass es sich bei jedem dieser Zahlungsdienstleister – wie auch bei dem Konkurrenten Google Pay – um Drittanbieter handelt. Sie stellen also diesen Anbietern Ihre sensiblen Kontodaten zur Verfügung. Dabei setzen Sie sich grundsätzlich immer der steigenden Gefahr im Bezug auf Cyberkriminalität aus.
Gewiss, Sie brauchen, wenn Sie Apple Pay nutzen, keine physische Kreditkarte mehr (die Ihnen gestohlen werden und auf diese Weise missbraucht werden könnte), aber auch die erhöhte Sicherheit von Apple-Geräten ist nicht „unhackbar“.
Daher empfehle ich Ihnen – wenn Apple Pay in Deutschland zur Verfügung steht, sofern Sie ein qualifiziertes Apple Produkt und auch eine teilnehmende Kreditkarte besitzen – möglichst wenige Konten/Karten zu hinterlegen und deren Abbuchungen regelmäßig zu kontrollieren. Überdies sollten Sie sich bei Ihrer Bank über die Haftungsbedingungen im Missbrauchsfalle informieren.

Besitzen Sie ein kompatibles Apple-Gerät?
Zahlen Sie bereits mit mobilen Bezahlungsmethoden?
Ich bin auf Ihre Erfahrungen gespannt.
Lassen Sie uns diskutieren und kommentieren Sie diesen Beitrag!
__
Titelbild (CCO Public Domain)
__

Ausgangslage

Auch wenn gar nicht alle Details der Sicherheitslücken bekannt sind, war das Entsetzen innerhalb der Branche einigermaßen groß. Den bayerischen IT-Forschern ist es gelungen, eine bekannte Sicherheitslücke auszunutzen und auf diese Weise den digitalen Zahlungsverkehr auf dem Handy mit einem gezielten Angriff zu manipulieren. Den Wissenschaftlern der Universität Erlangen-Nürnberg gelang es, während eines Online-Banking-Prozesses auf das Smartphone zuzugreifen und das Geld unbemerkt auf ein anderes Konto umzuleiten. Betroffen sind Apps, die Online-Banking und die anschließende TAN-Ein- und Ausgabe auf dem selben Gerät realisieren – frei nach dem Motto: Wenn erst einmal der Zugang zum Handy besteht und hier beide Apps (Banking und TAN-Erzeugung) gleichzeitig ausgeführt werden, dann ist es auch leichter, die Prozesse parallel auszulesen, anzugreifen und schlussendlich (kriminell) zu beeinflussen.
Aber wie konnte dieses Einfallstor gleich bei 31 verschiedenen Banking-Apps gleichzeitig auftreten? Um das individuelle Design kümmern sich die unterschiedlichen Banken meist selbst, aber die Sicherheit ist ein heikles Thema. Hier bedienten sich die Geldinstitute einer spezialisierten IT-Sicherheitsfirma namens „Promon“. Einige Banken lagerten diesen sicherheitsrelevanten Bereich also an einen externen Dienstleister aus. Mit der Folge, dass wenn das System einmal angreifbar ist, sich dieser Fehler auf alle Banking-Apps auswirkt, die auf den „Promon-Unterbau“ setzen.

Kritik an den betroffenen Banking-Apps

Der Fakt selbst – also unsichere Online-Banking-Apps von namenhaften Banken – ist schon erschütternd, aber die Schuld ist nicht nur bei der externen IT-Sicherheitsfirma zu suchen. Mitschuld tragen auch die Kunden, die immer wieder smarte Banking-Lösungen einfordern, die nur auf eine möglichst komfortable Bedienung abzielt. Aber Verantwortung tragen ebenso die Geldhäuser, die diese wichtige Aufgabe delegieren, anstatt eigene und vor allem wirklich sichere Lösungen zu entwickeln. Es ist äußerst problematisch, dass diesen Rufen nach mehr Komfort (zu Lasten der Sicherheit), Gehör geschenkt und auf unabhängige Zwei-Faktor-Authentifizierung verzichtet wurde. Das ist ein Verfahren, bei dem zwei voneinander unabhängige Geräte nötig sind, um Transaktionen zu tätigen.

Handlungsempfehlung

Klar, dieser Vorfall ist alarmierend, aber auf die bequemen Online-Banking-Funktionen müssen Sie trotzdem nicht pauschal verzichten. Beachten sollten Sie jedoch sehr genau, welche Banking-App Sie bevorzugen und anschließend herunterladen. Trotz einiger Sicherheitsprüfungen in den App-Stores, gelingt es kriminellen Hackern (leider) immer wieder, Schadsoftware in die jeweilige Plattform einzuschleusen. Hier hilft nur eine Recherche oder eine direkte Anfrage bei Ihrer Bank. Weiterhin sollten Sie unbedingt Ihr Betriebssystem, welches auf Ihrem Smartphone läuft, auf dem aktuellen Stand halten. Nur so können Sicherheitslücken geschlossen werden. Dies kann für Android-Nutzer ein (unüberwindbares) Problem darstellen, da leider einige Hersteller nur verzögert und im Falle älterer Geräte sogar oft gar keine Software-Updates mehr anbieten. Bei älteren Android-Telefonen mit deutlich veralteter Software ist daher kritisch zu überdenken, ob Sie mit einen tendenziell unsicheren Smartphone sensible Bankgeschäfte tätigen wollen. Rechtlich könnte ein solches Verhalten schon als fahrlässig eingestuft werden – mit der Folge, dass Ihre Bank bei einem dadurch bedingten Schadensfall, den Schaden möglicherweise nicht reguliert. Das sollten Sie vermeiden.

Fazit

Der vorliegend Fall zeigt exemplarisch, wie verwundbar sicherheitsrelevante IT-Systeme sein können. Damit geht es hier ganz konkret um unser Geld. Es lohnt sich also, nicht blind nur irgendeine Banking-App herunterzuladen und das komfortabelste TAN-Verfahren auszuwählen, sondern konsequent eine möglichst sichere Lösung zu favorisieren. Dazu gehört, dass Sie das eigentliche Banking und das Erstellen der entsprechenden TAN nicht auf dem selben Gerät ausführen. Ebenso sollten Sie den Bereich, der in Ihrer Sphäre liegt – Ihr Smartphone – stets mit der neusten Software pflegen, um die Möglichkeit von Cyberangriffen zu reduzieren. Eine vollständige Sicherheit werden Sie nicht erreichen. Das sollte Ihnen bewusst sein. Es muss ja schließlich auch einen Grund geben, warum Sie diesen einen Freund/Bekannten haben, der kein Online-Banking betreibt…

Lesen Sie auch meine Artikel zur Sicherheit von der Sofortüberweisung, Paypal und Paydirekt.
Welche Erfahrungen haben Sie gemacht? Hatten Sie mit Ihrer Bank wegen eines Online-Banking-Zwischenfalls schon einmal Ärger? Lassen Sie es mich wissen und kommentieren Sie diesen Beitrag!

__

Titelbild (CCO Public Domain)

__

Wie können Sie sich schützen?

Ausgangslage

Die Angst um das sog. „gläserne Bankkonto“ ist nicht neu. Seit 2005 dürfen sich die Finanzämter Zugriff auf das Bankkonto von Steuerpflichtigen verschaffen, sobald konkrete Verdachtsmomente vorliegen, dass falsche Angaben über die jeweiligen Vermögens- und Einkommensverhältnisse eingereicht wurden. Die anfängliche Aufregung ist in den vergangenen Jahren verflogen. Wahrscheinlich auch, weil es sich bei den Finanzämtern um Behörden handelt, denen man grundsätzlich keinen Missbrauch mit diesem weitreichendem Instrumentarium unterstellt.

Ab 2018 könnte es aber wieder unruhig unter den Verbraucher- und Datenschützern werden:

Dann können nämlich nicht nur die Steuerbehörden auf Ihr Konto zugreifen, sondern auch privatwirtschaftliche Unternehmen – primär natürlich digitale Zahlungsdienste wie PayPal, Sofortüberweisung & Co.

Im Vorfeld müssen sich diese Unternehmen jedoch erst einmal die Zugriffsgenehmigung des Kunden einholen. Auf diese Weise können Bankkunden diesen empfindlichen Einblick auf das eigene Konto aktiv verhindern.

Gerade im Zusammenhang mit dem (leider populären) Zahlungsdienst „Sofortüberweisung“ ist seit Jahren bereits bekannt, dass Sie dem dahinterstehenden schwedischen Unternehmen durch die Benutzung des Dienstes schon jetzt die Zugangsdaten zu Ihrem Online-Banking-Zugang bereitstellen.

Die Richtlinie: „Payment Services Directive 2 (PSD 2)“

Unter diesem sperrigem Namen tritt ab Januar 2018 eine EU-Richtlinie zur Regelung von Zahlungsdienstleistern in Kraft. Dahinter verbirgt sich u.a. die Idee der EU-Kommission, dass der europäische Kunde zukünftig alle Zahlungsdienste in nur noch einer App steuern und verwalten können soll. Dies soll den Wettbewerb stärken. Die Folgen sind indes gravierend: Die Richtlinie verpflichtet Banken, die Kontodaten ihrer Kunden (nach vorheriger Zustimmung) an Drittanbieter (andere Banken, Zahlungsdienstleister oder Unternehmen der Finanztechnologie) weiterzugeben. Diese können wiederum – ähnlich wie das Finanzamt – vollumfänglich auf das freigegebene Konto zugreifen, die kompletten Zahlungsdaten auslesen und sie schließlich in eigene Angebote integrieren.

Kritik an der EU-Richtlinie kommt von den Banken selbst

Nach dem Vorstellungsbild der EU-Kommission soll sich aus der Richtlinie für die Banken also ein Wettbewerbsvorteil ergeben. Der Bankenverband Öffentlicher Banken Deutschlands (VÖB) äußerte sich jedoch kritisch:

„Jeder Kunde muss sich Gedanken machen, wem er Zugriff auf seine Daten geben will.“

In dieser Äußerung zeigt sich, dass der Bankenverband (richtigerweise) großen Wert auf das Bankgeheimnis seiner Kunden sowie deren Datenschutz legt. Hierin liegt auch eines der Kernprobleme: Voraussetzung für eine solche Zugriffsmöglichkeit für Dritte sind natürlich klare Datenschutzbestimmungen.

Die „PSD-Richtlinie“ kollidiert insofern mit der im Mai 2018 kommenden Datenschutz-Grundverordnung

Ab dem 25.05.2018 werden sich europaweit die datenschutzrechtlichen Rahmenbedingungen für die Erhebung, Weitergabe und Verarbeitung von personenbezogener Daten vereinheitlichen.

Fazit und Aussicht

Auf der einen Seite soll also der Wettbewerb gestärkt werden, indem die Zugriffsmöglichkeiten auf Bankkonten durch Drittanbieter gelockert werden, auf der anderen Seite steht die Datenschutz-Grundverordnung, die einen möglichst restriktiven Umgang mit persönlichen Daten einheitlich normiert. Das passt augenscheinlich nicht zusammen.

Einige Unternehmen der Finanztechnologie werfen den Banken vor, dass diese eine Erweiterung des Wettbewerbs unterbinden wollen und sich deswegen auf das Datenschutz-Argument zurückziehen. Dem kann jedoch nur widersprochen werden: Es sind – neben den offenen datenschutzrechtlichen Fragen –  weitere rechtliche Fragen offen: Wer zahlt beispielsweise den Verlust, wenn bei einer Banktransaktion durch einen Drittanbieter ein Vermögensschaden (beispielsweise durch Cyberkriminalität) eintritt? Die Bank? Der naive Kunde, der einem Drittanbieter seine Bankzugangsdaten anvertraute? Oder doch der Drittanbieter selbst? Dieses Beispiel weist auf ein weiteres Problem hin: Bei jedem Onlinezugriff auf das eigene Bankkonto bestehen potenzielle Missbrauchsgefahren. Die Fallzahlen von Cyberkriminalität steigen nachweislich an.

Im Ergebnis ist es daher völlig unverständlich, warum die bestehenden Möglichkeiten (und Gefahren) weiter ausgeweitet werden sollen. Widersprechen Sie daher stets einer solchen Zugriffsmöglichkeit auf Ihr Konto durch Drittanbieter und verwenden Sie Ihren Online-Banking-Zugriff mit der erforderlichen Sorgfalt – denn es geht um Ihr Geld. Achten Sie zukünftig auch auf kleine Bestätigungskästchen und lesen Sie besonders gründlich und kritisch, wenn Sie Zahlungen über Drittanbieter abwickeln, wozu Sie im jeweiligen Einzelfall Ihre Zustimmung erteilen.

Wie stehen Sie zum Thema?

Positionieren Sie sich und lassen Sie uns diskutieren.

Ich freue mich über Ihre Kommentare.

__

Titelbild (CCO Public Domain)

__