Experten der US-amerikanischen Cybersicherheitsfirma Fortinet warnten kürzlich vor einem Trojaner, der es auf sensible Daten deutscher Bankkunden abgesehen hat. Der Schädling tarnt sich als E-Mail- oder Online-Banking-App und befällt Smartphones und andere Geräte, die unter dem Betriebssystem Android laufen. Er späht Log-in-Daten für das Onlinebanking aus, greift Kreditkartendaten ab, kann überdies SMS verschicken und empfangen und sogar Anrufe tätigen. Den Schädling zu erkennen und loszuwerden ist schwierig, so die Fortinet-Spezialisten. Am besten, man fängt ihn sich gar nicht erst ein.
Internetnutzer sollten keine Apps aus dubiosen Quellen installieren, mahnen Cybersicherheitsexperten. Auch bei E-Mails unbekannter Absender ist Vorsicht geboten. Sogenannte Phishing-Mails enthalten oft einen Link, über den Betrüger Daten abfischen oder Schadsoftware auf Smartphone oder Computer installieren. Verbraucherschützer sammeln laufend Informationen über Betrugsfälle durch Phishing. Zuletzt hatten es Cyberkriminelle vor allem auf Kunden des Online-Bezahldienstes Paypal, der Direktbank ING-Diba, der Commerzbank und der Postbank abgesehen.
Einerseits sind Bankkunden grundsätzlich dazu angehalten, im Internet Vorsicht walten zu lassen. Andererseits müssen auch die Banken selbst ihre Kunden vor Online-Betrügern schützen. Das Analysehaus S.W.I. Finance hat im Auftrag des Handelsblatts untersucht, welchen Geldhäusern das besonders gut gelingt. Dazu hat es das Online-Banking der sechs größten, bundesweit aktiven Filialbanken sowie der größten Sparkasse und der größten Volks- und Raiffeisenbank unter die Lupe genommen, außerdem die Internet-Angebote der zehn größten Direktbanken.
Die Experten des Analysehauses haben zwischen März und November 2016 die Sicherheits- und Legitimationsverfahren der Banken untersucht. Sie analysierten, welche Verfahren die Banken zur Verfügung stellen und wie sicher diese sind. Darüber hinaus testeten sie die Qualität der Kundenkommunikation. Sie untersuchten etwa, die freundlich und hilfsbereit die Mitarbeiter der Telefon-Hotline sind, wie gut sie auf Kundenfragen eingehen, wie umfangreich und verständlich E-Mails an Kunden ausfallen und wie rasch und individuell Bankmitarbeiter in sozialen Medien auf Kundenfragen eingehen.
Das Ergebnis: Unter den Filialbanken schnitt die Postbank am besten ab. Sie erzielte bei den Sicherheitsverfahren das beste Ergebnis, zusammen mit ihrer Konzernmutter Deutsche Bank – die allerdings wegen ihrer Kundenkommunikation insgesamt nur auf Platz drei landete. „Kunden konnten bei beiden Banken aus einer Vielzahl an Legitimationsverfahren wählen. Nutzer mit unterschiedlichen Anforderungen an das Online-Banking kamen hier auf ihre Kosten“, heißt es von S.W.I. Finance.
Bei der Postbank können Kunden Transaktionen zum Beispiel von unterwegs mittels Fingerabdruck freigeben. Die Deutsche Bank bietet unter anderem das mTAN- und das photoTAN-Verfahren zur Freigabe von Überweisungen an. Beim mTAN-Verfahren bekommen Nutzer eine TAN, also eine Transaktionsnummer, per SMS auf das Smartphone geschickt. Beim photoTAN-Verfahren werden Transaktionsdaten als Grafik auf dem Smartphone angezeigt und mit einer speziellen App entschlüsselt.
Den zweiten Platz im Gesamtranking und den dritten Platz im Sicherheitsranking belegte die Berliner Volksbank. Sie bietet unterschiedliche Sicherheitsverfahren an, mit denen sie sowohl klassischen PC-Nutzern als auch Nutzern mobiler Geräte gerecht wird, loben die S.W.I.-Experten.
Auf dem letzten Platz landete die Targobank. „Das Institut bot seinen Kunden nur wenige Legitimationsverfahren zur Auswahl, von denen keins zu den als sicher eingestuften Verfahren gehörte“, kritisieren die Tester. Neben einer indizierten TAN-Liste (iTAN) stellte die Targobank mobile TANs zur Verfügung. Das iTAN-Verfahren gilt als veraltet. Dabei nutzen Kunden eine bestimmte Transaktionsnummer aus einer Papier-Liste, um Online-Bankgeschäfte zu tätigen.
