Mehrere Dutzend Kunden verschiedener Banken, die sich die Transaktionsnummern für Bankgeschäfte per SMS auf ihr Handy mit Telekom-Vertrag schicken lassen, wurden aktuell Opfer einer neuen Betrugsmasche. Wie diese funktionier und was man dagegen tun kann, sagen ARAG Experten.
Der aktuelle Fall
Betroffen sind Bankkunden, die ihr Internetbanking mit Mobilfunkverträgen bei der Deutschen Telekom kombiniert haben. Bei dem sogenannten mTAN-Verfahren wählt man sich vom Rechner, Laptop oder Smartphone in das Kontosystem der Bank ein. Um eine Überweisung durchzuführen, schickt die Bank eine Transaktionsnummer (TAN) an die Handynummer des Kontoinhabers. Mit diesem Zahlencode gibt der Bankkunde die Überweisung frei. Im aktuellen Fall haben sich die Kriminellen zunächst illegal Zugang zum Kundencomputer verschafft und dort die Kontodaten ausspioniert. Dann verschafften sie sich die Handynummer ihres Opfers, gaben sich gegenüber der Telekom als Betreiber eines Mobilfunk-Shops aus, der im Auftrag des Kunden eine neue SIM-Karte für die Handynummer freischalten möchte – so konnten sie widerrechtliche Überweisungen steuern und bis zu fünfstelligen Summen kassieren.
Ist mTAN sicher?
Die Banken beharren darauf, dass das mTAN-Verfahren nach wie vor sicher sei. Schließlich sind die Computer der Bankkunden mit schädlicher Software infiziert worden, nicht die eigenen Systeme. Die Telekom hat hingegen Verbesserungsbedarf eingeräumt und verschärfte bereits das Verfahren zur Identifikation der Mobilfunk-Shops. Laut ARAG Experten ist Online-Banking mit einem TAN-Generator derzeit die bessere Alternative: Dabei nutzt man ein elektronisches Zusatzgerät zum Laptop. In das Lesegerät steckt man die eigene Bankkarte, worauf die TAN erzeugt wird. Der TAN-Generator informiert auch über Ziel und Zweck der Überweisung. Die Hürden für Betrüger sind hoch. Mindestens genauso sicherer ist das photoTAN-Verfahren. Dabei benutzt der Bankkunde ein Smartphone mit installierter photoTAN-App, um Transaktionsnummern zu generieren. Die Variante des Brief-TAN-Verfahrens gilt hingegen als unsicher und veraltet. Die TAN werden dabei in Briefen verschickt – die abgefangen werden und so in falsche Hände geraten können.
Wie Bankkunden sich sonst noch schützen können
Bankkunden sollten in kurzen Abständen die Kontoauszüge prüfen. Wenn es Ungereimtheiten auftreten, sollten sie diesen nachgehen. Falls diese sich nicht erklären lassen, sollten sich Kunden schnell mit ihrer Bank in Verbindung setzen und das Konto sperren lassen, bevor die Betrüger es leerräumen. Zudem sollte Strafanzeige bei der Polizei gestellt werden. ARAG Experten raten auch dazu, das Betriebssystem und den Virenschutz des heimischen Computers immer aktuell zu halten. Damit kann man Sicherheitslücken vorbeugen. Wichtig ist auch, für den Zugang zum Onlinebanking ein sicheres Passwort zu wählen, das folgende Kriterien erfüllt:
· Es besteht aus mindestens acht Zeichen.
· Es enthält Groß- und Kleinbuchstaben, Ziffern und Sonderzeichen.
· Es enthält weder Geburtsdaten noch den eigenen Namen, 123456… oder das Wort "Passwort".
Wichtig ist außerdem, Passwörter öfter mal zu wechseln; am besten alle sechs bis acht Wochen. Auch sollte man niemals die Seite der Bank über einen Link aus einer E-Mail öffnen.
Wer haftet für entstandenen Schaden?
Laut ARAG Experten gilt der Grundsatz: Haben Bankkunden keinen Auftrag für eine Überweisung erteilt, muss das jeweilige Institut für die Schäden durch illegale Abbuchungen haften. Bankkunden müssen den Schaden allerdings selbst tragen, wenn sie leichtfertig mit ihren TAN umgehen. Dies entschied der Bundesgerichtshof in einem grundsätzlichen Urteil. Ein Rentner verlor 5.000 Euro, weil er auf eine angebliche Aufforderung seiner Bank hereingefallen war und zehn Transaktionsnummern weitergab. Die Bank hatte zwar vor solchen Fallen gewarnt und ihren Kunden mitgeteilt, dass sie niemals die Herausgabe mehrerer Geheimzahlen verlange. Der Rentner folgte jedoch der Aufforderung. Daraufhin wurden 5.000 Euro von seinem Konto auf eine griechische Bank überwiesen, die Empfänger konnten nicht ermittelt werden. Der Rentner verlangte von der Bank das Geld zurück – umsonst: Bank und Gerichte sahen den Kunden in der Verantwortung, der auf seinem Schaden sitzen blieb (BGH, Az: XI ZR 96/11).
Der aktuelle Fall
Betroffen sind Bankkunden, die ihr Internetbanking mit Mobilfunkverträgen bei der Deutschen Telekom kombiniert haben. Bei dem sogenannten mTAN-Verfahren wählt man sich vom Rechner, Laptop oder Smartphone in das Kontosystem der Bank ein. Um eine Überweisung durchzuführen, schickt die Bank eine Transaktionsnummer (TAN) an die Handynummer des Kontoinhabers. Mit diesem Zahlencode gibt der Bankkunde die Überweisung frei. Im aktuellen Fall haben sich die Kriminellen zunächst illegal Zugang zum Kundencomputer verschafft und dort die Kontodaten ausspioniert. Dann verschafften sie sich die Handynummer ihres Opfers, gaben sich gegenüber der Telekom als Betreiber eines Mobilfunk-Shops aus, der im Auftrag des Kunden eine neue SIM-Karte für die Handynummer freischalten möchte – so konnten sie widerrechtliche Überweisungen steuern und bis zu fünfstelligen Summen kassieren.
Ist mTAN sicher?
Die Banken beharren darauf, dass das mTAN-Verfahren nach wie vor sicher sei. Schließlich sind die Computer der Bankkunden mit schädlicher Software infiziert worden, nicht die eigenen Systeme. Die Telekom hat hingegen Verbesserungsbedarf eingeräumt und verschärfte bereits das Verfahren zur Identifikation der Mobilfunk-Shops. Laut ARAG Experten ist Online-Banking mit einem TAN-Generator derzeit die bessere Alternative: Dabei nutzt man ein elektronisches Zusatzgerät zum Laptop. In das Lesegerät steckt man die eigene Bankkarte, worauf die TAN erzeugt wird. Der TAN-Generator informiert auch über Ziel und Zweck der Überweisung. Die Hürden für Betrüger sind hoch. Mindestens genauso sicherer ist das photoTAN-Verfahren. Dabei benutzt der Bankkunde ein Smartphone mit installierter photoTAN-App, um Transaktionsnummern zu generieren. Die Variante des Brief-TAN-Verfahrens gilt hingegen als unsicher und veraltet. Die TAN werden dabei in Briefen verschickt – die abgefangen werden und so in falsche Hände geraten können.
Wie Bankkunden sich sonst noch schützen können
Bankkunden sollten in kurzen Abständen die Kontoauszüge prüfen. Wenn es Ungereimtheiten auftreten, sollten sie diesen nachgehen. Falls diese sich nicht erklären lassen, sollten sich Kunden schnell mit ihrer Bank in Verbindung setzen und das Konto sperren lassen, bevor die Betrüger es leerräumen. Zudem sollte Strafanzeige bei der Polizei gestellt werden. ARAG Experten raten auch dazu, das Betriebssystem und den Virenschutz des heimischen Computers immer aktuell zu halten. Damit kann man Sicherheitslücken vorbeugen. Wichtig ist auch, für den Zugang zum Onlinebanking ein sicheres Passwort zu wählen, das folgende Kriterien erfüllt:
· Es besteht aus mindestens acht Zeichen.
· Es enthält Groß- und Kleinbuchstaben, Ziffern und Sonderzeichen.
· Es enthält weder Geburtsdaten noch den eigenen Namen, 123456… oder das Wort "Passwort".
Wichtig ist außerdem, Passwörter öfter mal zu wechseln; am besten alle sechs bis acht Wochen. Auch sollte man niemals die Seite der Bank über einen Link aus einer E-Mail öffnen.
Wer haftet für entstandenen Schaden?
Laut ARAG Experten gilt der Grundsatz: Haben Bankkunden keinen Auftrag für eine Überweisung erteilt, muss das jeweilige Institut für die Schäden durch illegale Abbuchungen haften. Bankkunden müssen den Schaden allerdings selbst tragen, wenn sie leichtfertig mit ihren TAN umgehen. Dies entschied der Bundesgerichtshof in einem grundsätzlichen Urteil. Ein Rentner verlor 5.000 Euro, weil er auf eine angebliche Aufforderung seiner Bank hereingefallen war und zehn Transaktionsnummern weitergab. Die Bank hatte zwar vor solchen Fallen gewarnt und ihren Kunden mitgeteilt, dass sie niemals die Herausgabe mehrerer Geheimzahlen verlange. Der Rentner folgte jedoch der Aufforderung. Daraufhin wurden 5.000 Euro von seinem Konto auf eine griechische Bank überwiesen, die Empfänger konnten nicht ermittelt werden. Der Rentner verlangte von der Bank das Geld zurück – umsonst: Bank und Gerichte sahen den Kunden in der Verantwortung, der auf seinem Schaden sitzen blieb (BGH, Az: XI ZR 96/11).
