Bankkunde erhält 2.900 Euro zurück

Von: Matthias Knapp

Bozen – Nach einer erfolglosen Beschwerde bei einer europäischen Großbank, die in Italien überwiegend als Onlinebank tätig ist, hat die Verbraucherzentrale Südtirol (VZS) für ein Mitglied Rekurs bei der Schlichtungsstelle ABF (Arbitro Bancario Finanziario) eingelegt. Mit Erfolg: Der ABF gab dem Rekurs statt und sprach dem Kunden die Rückerstattung von 2.900 Euro zu.

Auch in diesem Fall ging es um Phishing bzw. einen Betrug im Zusammenhang mit dem Online-Banking. Der Fall weist jedoch einige Besonderheiten auf.

Im Mittelpunkt stand die Frage, wie die Betrüger Zugang zum Online-Banking erhalten konnten. Eine wichtige Rolle spielte dabei auch die Tatsache, dass kurz vor den beanstandeten Überweisungen der Zugangs-PIN geändert worden war.

Nach Angaben der Bank hatten die Betrüger mit den Zugangsdaten des Kunden versucht, sich im Online-Banking anzumelden. Die übliche Bestätigung über eine Push-Nachricht auf dem Smartphone erfolgte jedoch nicht. Stattdessen wurde ein alternatives sogenanntes „Offline-Verfahren“ verwendet. Dabei wird am Computer ein Code angezeigt, der in die Banking-App eingegeben werden muss. Die App erzeugt daraufhin einen weiteren Code, mit dem der Zugang am Computer freigegeben werden kann.

Nach Ansicht der VZS könnten die Betrüger dieses Verfahren ausgenutzt haben, indem sie den Kunden telefonisch als vermeintliche Bankmitarbeiter dazu brachten, die erforderlichen Codes über seine Banking-App zu erzeugen und weiterzugeben.

Eine weitere Besonderheit war, dass unmittelbar vor den betrügerischen Überweisungen der Zugangs-PIN für das Online-Banking geändert worden war. Nach den vorliegenden Unterlagen konnte dieser PIN damals mithilfe von Debitkartendaten geändert werden. Die VZS äußerte daher Zweifel an der Sicherheit dieses Verfahrens. Insbesondere stellte sich die Frage, ob der PIN bzw. die Daten einer Debitkarte zur Änderung eines anderen, davon unabhängigen Authentifizierungsfaktors verwendet werden dürfen.

Entscheidend für den Ausgang des Verfahrens war jedoch, dass die Bank nicht alle Schritte der sogenannten starken Kundenauthentifizierung (SCA) ausreichend nachweisen konnte. Insbesondere blieb unklar, wie die einzelnen Codes beim alternativen Offline-Verfahren eingegeben und verwendet wurden.

Der ABF stellte klar, dass die Bank zunächst die ordnungsgemäße Authentifizierung nachweisen muss. Fehlt dieser Nachweis, muss nicht mehr geprüft werden, ob der Kunde möglicherweise grob fahrlässig gehandelt hat.

Da die vorgelegten Nachweise nicht ausreichten, gab der ABF dem Rekurs vollständig statt. Dem Kunden wurden somit 2.900 Euro Rückerstattung zugesprochen.

Inzwischen hat die Bank ihre Verfahren zur Wiederherstellung des Zugangs verändert und die Sicherheit verstärkt. Dabei kommen unter anderem Ausweisdokumente und biometrische Kontrollen zum Einsatz.

Aktuell zeichnet sich auch eine Zunahme von Betrugsfällen ab, die über das Telefon angebahnt werden. Betrüger geben sich telefonisch als Ordnungskräfte aus (Postpolizei, Carabinieri, …) und verlangen von den Betroffenen, Überweisungen zu tätigen, indem sie geschickt erfundene Szenarien präsentieren – dass z.B. gegen die Bank der Betroffenen eine Ermittlung laufe, und dass die Überweisung ein Beweismittel darstellen würde.

„Grundsätzlich ist Vorsicht geboten, wenn unbekannte Personen, die sich beispielsweise als Bankmitarbeiter oder Polizisten ausgeben, nach Codes fragen oder dazu auffordern, sich ins Online-Banking oder in das Online-Zahlungssystem der eigenen Karte einzuloggen oder ein Programm zu installieren. In solchen Fällen sollte das Gespräch beendet und die betreffende Stelle über ihre offiziellen Kontaktkanäle kontaktiert werden. Zudem sollten Sie keinesfalls auf Aufforderung unbekannter Personen Ihre Homebanking-App öffnen, um etwaige Transaktionen oder andere Vorgänge zu bestätigen oder freizugeben. Nehmen Sie sich Zeit und lassen Sie sich nicht unter Druck setzen. Betrüger versuchen häufig, durch künstlich erzeugte Dringlichkeit ihre Opfer zu unüberlegten Handlungen zu bewegen.“ so Gunde Bauhofer. „In diesem Fall ist die Angelegenheit für den Betroffenen glimpflich ausgegangen. Dennoch gilt: Vorsicht ist der beste Schutz vor Betrug.“