Ausgangslage

Auch wenn gar nicht alle Details der Sicherheitslücken bekannt sind, war das Entsetzen innerhalb der Branche einigermaßen groß. Den bayerischen IT-Forschern ist es gelungen, eine bekannte Sicherheitslücke auszunutzen und auf diese Weise den digitalen Zahlungsverkehr auf dem Handy mit einem gezielten Angriff zu manipulieren. Den Wissenschaftlern der Universität Erlangen-Nürnberg gelang es, während eines Online-Banking-Prozesses auf das Smartphone zuzugreifen und das Geld unbemerkt auf ein anderes Konto umzuleiten. Betroffen sind Apps, die Online-Banking und die anschließende TAN-Ein- und Ausgabe auf dem selben Gerät realisieren – frei nach dem Motto: Wenn erst einmal der Zugang zum Handy besteht und hier beide Apps (Banking und TAN-Erzeugung) gleichzeitig ausgeführt werden, dann ist es auch leichter, die Prozesse parallel auszulesen, anzugreifen und schlussendlich (kriminell) zu beeinflussen.
Aber wie konnte dieses Einfallstor gleich bei 31 verschiedenen Banking-Apps gleichzeitig auftreten? Um das individuelle Design kümmern sich die unterschiedlichen Banken meist selbst, aber die Sicherheit ist ein heikles Thema. Hier bedienten sich die Geldinstitute einer spezialisierten IT-Sicherheitsfirma namens „Promon“. Einige Banken lagerten diesen sicherheitsrelevanten Bereich also an einen externen Dienstleister aus. Mit der Folge, dass wenn das System einmal angreifbar ist, sich dieser Fehler auf alle Banking-Apps auswirkt, die auf den „Promon-Unterbau“ setzen.

Kritik an den betroffenen Banking-Apps

Der Fakt selbst – also unsichere Online-Banking-Apps von namenhaften Banken – ist schon erschütternd, aber die Schuld ist nicht nur bei der externen IT-Sicherheitsfirma zu suchen. Mitschuld tragen auch die Kunden, die immer wieder smarte Banking-Lösungen einfordern, die nur auf eine möglichst komfortable Bedienung abzielt. Aber Verantwortung tragen ebenso die Geldhäuser, die diese wichtige Aufgabe delegieren, anstatt eigene und vor allem wirklich sichere Lösungen zu entwickeln. Es ist äußerst problematisch, dass diesen Rufen nach mehr Komfort (zu Lasten der Sicherheit), Gehör geschenkt und auf unabhängige Zwei-Faktor-Authentifizierung verzichtet wurde. Das ist ein Verfahren, bei dem zwei voneinander unabhängige Geräte nötig sind, um Transaktionen zu tätigen.

Handlungsempfehlung

Klar, dieser Vorfall ist alarmierend, aber auf die bequemen Online-Banking-Funktionen müssen Sie trotzdem nicht pauschal verzichten. Beachten sollten Sie jedoch sehr genau, welche Banking-App Sie bevorzugen und anschließend herunterladen. Trotz einiger Sicherheitsprüfungen in den App-Stores, gelingt es kriminellen Hackern (leider) immer wieder, Schadsoftware in die jeweilige Plattform einzuschleusen. Hier hilft nur eine Recherche oder eine direkte Anfrage bei Ihrer Bank. Weiterhin sollten Sie unbedingt Ihr Betriebssystem, welches auf Ihrem Smartphone läuft, auf dem aktuellen Stand halten. Nur so können Sicherheitslücken geschlossen werden. Dies kann für Android-Nutzer ein (unüberwindbares) Problem darstellen, da leider einige Hersteller nur verzögert und im Falle älterer Geräte sogar oft gar keine Software-Updates mehr anbieten. Bei älteren Android-Telefonen mit deutlich veralteter Software ist daher kritisch zu überdenken, ob Sie mit einen tendenziell unsicheren Smartphone sensible Bankgeschäfte tätigen wollen. Rechtlich könnte ein solches Verhalten schon als fahrlässig eingestuft werden – mit der Folge, dass Ihre Bank bei einem dadurch bedingten Schadensfall, den Schaden möglicherweise nicht reguliert. Das sollten Sie vermeiden.

Fazit

Der vorliegend Fall zeigt exemplarisch, wie verwundbar sicherheitsrelevante IT-Systeme sein können. Damit geht es hier ganz konkret um unser Geld. Es lohnt sich also, nicht blind nur irgendeine Banking-App herunterzuladen und das komfortabelste TAN-Verfahren auszuwählen, sondern konsequent eine möglichst sichere Lösung zu favorisieren. Dazu gehört, dass Sie das eigentliche Banking und das Erstellen der entsprechenden TAN nicht auf dem selben Gerät ausführen. Ebenso sollten Sie den Bereich, der in Ihrer Sphäre liegt – Ihr Smartphone – stets mit der neusten Software pflegen, um die Möglichkeit von Cyberangriffen zu reduzieren. Eine vollständige Sicherheit werden Sie nicht erreichen. Das sollte Ihnen bewusst sein. Es muss ja schließlich auch einen Grund geben, warum Sie diesen einen Freund/Bekannten haben, der kein Online-Banking betreibt…

Lesen Sie auch meine Artikel zur Sicherheit von der Sofortüberweisung, Paypal und Paydirekt.
Welche Erfahrungen haben Sie gemacht? Hatten Sie mit Ihrer Bank wegen eines Online-Banking-Zwischenfalls schon einmal Ärger? Lassen Sie es mich wissen und kommentieren Sie diesen Beitrag!

__

Titelbild (CCO Public Domain)

__

Wie können Sie sich schützen?

Ausgangslage

Die Angst um das sog. „gläserne Bankkonto“ ist nicht neu. Seit 2005 dürfen sich die Finanzämter Zugriff auf das Bankkonto von Steuerpflichtigen verschaffen, sobald konkrete Verdachtsmomente vorliegen, dass falsche Angaben über die jeweiligen Vermögens- und Einkommensverhältnisse eingereicht wurden. Die anfängliche Aufregung ist in den vergangenen Jahren verflogen. Wahrscheinlich auch, weil es sich bei den Finanzämtern um Behörden handelt, denen man grundsätzlich keinen Missbrauch mit diesem weitreichendem Instrumentarium unterstellt.

Ab 2018 könnte es aber wieder unruhig unter den Verbraucher- und Datenschützern werden:

Dann können nämlich nicht nur die Steuerbehörden auf Ihr Konto zugreifen, sondern auch privatwirtschaftliche Unternehmen – primär natürlich digitale Zahlungsdienste wie PayPal, Sofortüberweisung & Co.

Im Vorfeld müssen sich diese Unternehmen jedoch erst einmal die Zugriffsgenehmigung des Kunden einholen. Auf diese Weise können Bankkunden diesen empfindlichen Einblick auf das eigene Konto aktiv verhindern.

Gerade im Zusammenhang mit dem (leider populären) Zahlungsdienst „Sofortüberweisung“ ist seit Jahren bereits bekannt, dass Sie dem dahinterstehenden schwedischen Unternehmen durch die Benutzung des Dienstes schon jetzt die Zugangsdaten zu Ihrem Online-Banking-Zugang bereitstellen.

Die Richtlinie: „Payment Services Directive 2 (PSD 2)“

Unter diesem sperrigem Namen tritt ab Januar 2018 eine EU-Richtlinie zur Regelung von Zahlungsdienstleistern in Kraft. Dahinter verbirgt sich u.a. die Idee der EU-Kommission, dass der europäische Kunde zukünftig alle Zahlungsdienste in nur noch einer App steuern und verwalten können soll. Dies soll den Wettbewerb stärken. Die Folgen sind indes gravierend: Die Richtlinie verpflichtet Banken, die Kontodaten ihrer Kunden (nach vorheriger Zustimmung) an Drittanbieter (andere Banken, Zahlungsdienstleister oder Unternehmen der Finanztechnologie) weiterzugeben. Diese können wiederum – ähnlich wie das Finanzamt – vollumfänglich auf das freigegebene Konto zugreifen, die kompletten Zahlungsdaten auslesen und sie schließlich in eigene Angebote integrieren.

Kritik an der EU-Richtlinie kommt von den Banken selbst

Nach dem Vorstellungsbild der EU-Kommission soll sich aus der Richtlinie für die Banken also ein Wettbewerbsvorteil ergeben. Der Bankenverband Öffentlicher Banken Deutschlands (VÖB) äußerte sich jedoch kritisch:

„Jeder Kunde muss sich Gedanken machen, wem er Zugriff auf seine Daten geben will.“

In dieser Äußerung zeigt sich, dass der Bankenverband (richtigerweise) großen Wert auf das Bankgeheimnis seiner Kunden sowie deren Datenschutz legt. Hierin liegt auch eines der Kernprobleme: Voraussetzung für eine solche Zugriffsmöglichkeit für Dritte sind natürlich klare Datenschutzbestimmungen.

Die „PSD-Richtlinie“ kollidiert insofern mit der im Mai 2018 kommenden Datenschutz-Grundverordnung

Ab dem 25.05.2018 werden sich europaweit die datenschutzrechtlichen Rahmenbedingungen für die Erhebung, Weitergabe und Verarbeitung von personenbezogener Daten vereinheitlichen.

Fazit und Aussicht

Auf der einen Seite soll also der Wettbewerb gestärkt werden, indem die Zugriffsmöglichkeiten auf Bankkonten durch Drittanbieter gelockert werden, auf der anderen Seite steht die Datenschutz-Grundverordnung, die einen möglichst restriktiven Umgang mit persönlichen Daten einheitlich normiert. Das passt augenscheinlich nicht zusammen.

Einige Unternehmen der Finanztechnologie werfen den Banken vor, dass diese eine Erweiterung des Wettbewerbs unterbinden wollen und sich deswegen auf das Datenschutz-Argument zurückziehen. Dem kann jedoch nur widersprochen werden: Es sind – neben den offenen datenschutzrechtlichen Fragen –  weitere rechtliche Fragen offen: Wer zahlt beispielsweise den Verlust, wenn bei einer Banktransaktion durch einen Drittanbieter ein Vermögensschaden (beispielsweise durch Cyberkriminalität) eintritt? Die Bank? Der naive Kunde, der einem Drittanbieter seine Bankzugangsdaten anvertraute? Oder doch der Drittanbieter selbst? Dieses Beispiel weist auf ein weiteres Problem hin: Bei jedem Onlinezugriff auf das eigene Bankkonto bestehen potenzielle Missbrauchsgefahren. Die Fallzahlen von Cyberkriminalität steigen nachweislich an.

Im Ergebnis ist es daher völlig unverständlich, warum die bestehenden Möglichkeiten (und Gefahren) weiter ausgeweitet werden sollen. Widersprechen Sie daher stets einer solchen Zugriffsmöglichkeit auf Ihr Konto durch Drittanbieter und verwenden Sie Ihren Online-Banking-Zugriff mit der erforderlichen Sorgfalt – denn es geht um Ihr Geld. Achten Sie zukünftig auch auf kleine Bestätigungskästchen und lesen Sie besonders gründlich und kritisch, wenn Sie Zahlungen über Drittanbieter abwickeln, wozu Sie im jeweiligen Einzelfall Ihre Zustimmung erteilen.

Wie stehen Sie zum Thema?

Positionieren Sie sich und lassen Sie uns diskutieren.

Ich freue mich über Ihre Kommentare.

__

Titelbild (CCO Public Domain)

__

Was ist „Sofortüberweisung“ und wie funktioniert das Bezahlsystem?

SOFORT Überweisung (SOFORT GmbH) ist ein Online-Zahlungssystem zur bargeldlosen Zahlung im Internet.

Der Kunde, der bei seinem Online-Einkauf SOFORT Überweisung als Zahlungsmöglichkeit auswählt, wird automatisch auf die verschlüsselte sofort.com-Zahlmaske weitergeleitet. Alle Bestelldaten werden automatisch übernommen und übermittelt, sodass der Zahlende anschließend die Bankleitzahl seiner Bank und die gewohnten Zugangsdaten, wie beim Online-Banking, eingeben muss (Identifikation). Anschließend muss die Überweisung mit dem gewählten TAN-Verfahren freigegeben werden (Authentifizierung).

Beim gesamten Zahlungsprozess fungiert die SOFORT GmbH als zwischengeschalteter technischer Dienstleister, der die Daten, die der Kunde in das gesicherte Zahlformular eingibt, verschlüsselt an sein individuelles Online Banking-Konto übermittelt. Der Onlinehändler erhält im Anschluss eine Echtzeitbestätigung über die Erstellung der Überweisung innerhalb des Online-Bankingbereichs des Kunden. Dank dieser Transaktionsbestätigung kann der Händler sicher sein, dass eine entsprechende Eingabe mit erfolgreicher PIN- und TAN-Übermittlung stattfand. Er kann daher die Bestellung umgehend bearbeiten und ggf. direkt verschicken.

Die SOFORT GmbH spricht von mehr als 35.000 Anbietern in 13 europäischen Ländern (Stand 03/2017), die das Verfahren zur Zahlung für ihre Kunden zur Verfügung stellen.

Sicherheit und Kritik

Die Nutzung der SOFORT Überweisung unterscheidet sich erst einmal nicht vom eigentlichen Online-Banking bei der jeweiligen Hausbank. Der Zahlende gibt alle erforderlichen Zugangsdaten ein, wie wenn er beispielsweise den Kontostand abruft, Daueraufträge bearbeitet oder Depotbestände einsieht. Diese Eingabe erfolgt jedoch nicht auf der Internetseite der jeweiligen Bank, sondern auf der sofort.com-Zahlmaske der SOFORT GmbH.

Darin liegt eine zentrale Kritik gegen diese Möglichkeit der Online-Zahlung. Frank-Christian Pauli vom „Verbraucherzentrale Bundesverband“ kommentierte dazu: „Der Kunde muss wissen, wozu er seine Einwilligung gibt, und das ist hier womöglich nicht gegeben“.

Ein weiterer Kritikpunkt bezieht sich nicht erst auf die Gefahr der unerlaubte Nutzung des Online-Banking-Zugangs, sondern setzt bereits einen Schritt zuvor an. Allein schon die Eingabe der kompletten Online-Banking-Zugangsdaten sehen Kritiker problematisch, da bei jeder Eingabe theoretisch die Möglichkeit eines Hackerangriffs besteht.

Ein dritter und letzter Kritikpunkt hinsichtlich der Sicherheit zielt auf eine mögliche Herabsetzung der Hemmschwelle von Internetnutzern im Bezug auf die Weitergabe von PINs und TANs ihrer Online-Banking-Zugangsdaten ab.

Gerichtsurteile zur „Sofortüberweisung“

Der Verbraucherzentrale Bundesverband (vzbv) klagte in einem Musterverfahren gegen die Deutsche Bahn-Tochter DB Vertrieb GmbH. Die Verbraucherschützer wollen verhindern, dass die Onlinezahlmethode SOFORT Überweisung als einziges kostenfreies Zahlverfahren (im Sinne des § 312a Abs. 4, Nr. 1 BGB) in Webshops angeboten werden kann.

Vor dem Landgericht (LG) Frankfurt im Juli 2015 gewann zunächst der vzbv. Das Gericht urteilte der Zahlungsdienst „SOFOT Überweisung“ sei ein gängiges, aber „kein zumutbares“ Verfahren im Sinne des § 312a IV, Nr. 1 BGB.

Am 24.08.2016 kassierte das Oberlandesgericht (OLG) Frankfurt die Entscheidung der ersten Instanz und entschied nun, dass das Zahlungsmittel SOFOT Überweisung „zumutbar und gängig“ i.S.d. § 312a IV, Nr. 1 BGB sei.

Der vzbv legte jedoch Rechtsmittel gegen das Urteil des OLG Frankfurt ein. Schlussendlich hatte nun der Bundesgerichtshof (BGH) über die Frage zu entscheiden, ob die SOFORT Überweisung als einziges kostenfreies Zahlungsverfahren im Onlineshop angeboten werden darf, um den Anforderungen des § 312a gerecht zu werden.

Am 18. Juli 2017 (KZR 39/16) kam das oberste deutsche Zivilgericht zu folgendem Urteil:

Fazit

Am Ende einer jeden Online-Shopping-Tour gilt es die immer gleiche Frage zu beantworten: „Mit welchem Zahlungsmittel möchten Sie bezahlen?“.

Die SOFOT Überweisung erscheint zumeist neben den „klassischen“ Bezahlmethoden wie Lastschrift, Kreditkarte oder Rechnung. Fraglich ist also, warum sie den anderen Zahlungsmöglichkeiten vorzuziehen oder aus welchen Gründen die SOFOT Überweisung abzulehnen ist.

Nach Angaben der SOFORT GmbH kam es seit der ersten Anwendung des Zahlungsverfahrens im Jahr 2005 bisher (03/2017) zu keinem Betrugsfall zu Lasten eines Kunden, der seine PIN und TAN in die Systeme der SOFORT GmbH eingegeben hat.

Jedoch wiegt das Argument schwer, dass die Hemmschwelle in Bezug auf den Umgang mit hochsensiblen Online-Banking-Daten abzusinken drohe. Anfangs schlossen einige Banken deshalb auch die Eingabe der Zugangsdaten zum Online-Banking auf fremden Seiten in ihren Allgemeinen Geschäftsbedingungen (AGB) aus. Kurz darauf schaltete sich allerdings das Bundeskartellamt ein und verbot einen derartigen Ausschluss, da hierdurch ein Wettbewerbsnachteil zu anderen Zahlungsdiensten entstehen würde.

Abschließend zeigt sich – gerade im Lichte der BGH-Entscheidung – ein sehr klares Bild, nach welchem sich deutlich mehr Argumente finden lassen, den Zahlungsdienst Sofortüberweisung nicht den anderen Zahlungsmethoden vorzuziehen.

Wichtig erscheint dabei aber auch, dass sich bei der Benutzung dieser und anderer Online-Zahlungsdienste eine gesunde Skepsis einstellt und Situationen vermieden werden, die überhaupt eine Gefahr für Online-Kriminalität eröffnen, etwa indem man auf die Bezahlart „per Nachnahme“ zurückgreift (hier können Beträge in bar beim Paketboten bezahlt werden) – denn auch hier gilt der Grundsatz: „Gelegenheit macht Diebe“.

Dieser Artikel wird stets aktualisiert. Zuletzt am 2. Dezember 2017.

Hier der Beitrag von Deutschlandfunk Nova.

__

Lesen Sie ebenfalls meine Artikel zu EU-Zahlungsdiensterichtlinie PSD II, NFC-Bankkarten, PayPal und Paydirekt.

__

Titelbild (CCO Public Domain)

__