Das Smartphone ist längst Geldbörse, Bankschalter, Kreditkarte und Schlüssel zu zahlreichen persönlichen Konten in einem. Was passiert, wenn dieses Gerät in die Hände professioneller Krimineller gerät, zeigt ein besonders drastischer Fall, über den ARD Marktcheck berichtet.
Patrick O’Leary wird während einer Geschäftsreise in London das Handy gestohlen. Nur einen Tag später ist sein Konto bei der Onlinebank N26 praktisch leer.
Nach Angaben des Betroffenen befanden sich zuvor rund 122.000 Euro auf dem Konto.
Übrig bleiben 23,53 Euro.
Doch damit nicht genug: Die Täter sollen Überweisungslimits verändert, zahlreiche hohe Zahlungen nach Indien ausgelöst und schließlich sogar einen Kredit über 20.000 Euro in seinem Namen aufgenommen haben.
Der Fall wirft eine für Millionen Bankkunden relevante Frage auf: Wie kann ein Konto trotz Zwei-Faktor-Authentifizierung derart umfassend übernommen werden?
Ein kurzer Moment – dann ist das Smartphone weg
Der Fall beginnt mit einer alltäglichen Situation.
O’Leary berichtet, während seiner Geschäftsreise in London mit einem Mann ins Gespräch gekommen zu sein. Dieser habe angeboten, ihm auf Google Maps den Standort einer Pizzeria zu zeigen.
O’Leary übergibt ihm sein Smartphone.
Dann soll ein zweiter Mann das Gerät aus der Hand gerissen haben und davongelaufen sein.
Aus seinem Hotel verständigt O’Leary seine Frau. Das Smartphone kann zwar noch geortet werden, doch die Bemühungen, es mithilfe der Londoner Polizei zurückzubekommen, bleiben erfolglos.
Am folgenden Tag kommt die eigentliche Überraschung.
Von 122.000 Euro bleiben 23,53 Euro
Zurück in Deutschland greift O’Leary auf sein Bankkonto zu.
Dort entdeckt er zahlreiche Transaktionen.
Von rund 122.000 Euro seien lediglich 23,53 Euro übrig geblieben.
Für den Betroffenen ist vor allem unverständlich, wie die Täter die Sicherheitsmechanismen überwinden konnten.
Das N26-Konto war mit seinem Smartphone verknüpft. Nach Darstellung von Marktcheck war für Überweisungen zusätzlich eine PIN erforderlich. Der Betroffene erklärte, die erforderlichen Informationen nicht auf dem Smartphone gespeichert zu haben.
Wie die Kontoübernahme technisch tatsächlich erfolgte, ist damit nicht geklärt.
Und genau diese Einschränkung ist entscheidend.
Es ist nicht bewiesen, dass die Zwei-Faktor-Authentifizierung „geknackt“ wurde
Der Fall sollte nicht vorschnell so dargestellt werden, als sei bereits bewiesen, dass Kriminelle die Zwei-Faktor-Authentifizierung von N26 technisch ausgehebelt hätten.
Das wissen wir bislang nicht.
ARD Marktcheck schreibt ausdrücklich, dass den Betroffenen bis heute unklar sei, wie die Täter Zugriff auf das Konto erlangen konnten. N26 machte gegenüber der Redaktion keine konkreten Angaben zum individuellen Fall.
Denkbar sind bei Kontoübernahmen grundsätzlich unterschiedliche Angriffspfade – von ausgespähten Zugangsdaten über bereits bestehende Sitzungen und Zugriffsmöglichkeiten auf E-Mail oder SMS bis zu technischen Schwachstellen oder Social Engineering.
Welcher Weg hier genutzt wurde, lässt sich aus den öffentlich bekannten Informationen nicht feststellen.
IT-Experte: 2FA ist sicher – aber nicht unüberwindbar
Auch die Aussage, Zwei-Faktor-Authentifizierung sei grundsätzlich unsicher, wäre zu pauschal.
Der von Marktcheck befragte IT-Sicherheitsexperte Benjamin Mejri beschreibt 2FA vielmehr als relativ sichere Anmeldemethode, mit der sich zahlreiche Angriffe verhindern lassen.
Problematisch kann es werden, wenn ein Angreifer bereits Kontrolle über das Endgerät besitzt.
Dann können – abhängig von System, Anwendung und möglicher Sicherheitslücke – zusätzliche Angriffsmöglichkeiten entstehen. Mejri verweist unter anderem darauf, dass Schwachstellen in Multifaktor-Anwendungen denkbar sind oder Daten einer App auf einem Gerät eine Rolle spielen könnten.
Die richtige Schlussfolgerung lautet deshalb nicht:
„2FA ist nutzlos.“
Sondern:
2FA erhöht die Sicherheit erheblich, bietet aber keinen absoluten Schutz, insbesondere wenn das für die Authentifizierung verwendete Gerät selbst kompromittiert wird.
Wenn Banking und Freigabe auf demselben Smartphone stattfinden
Genau hier liegt eine interessante Diskussion über moderne Banking-Apps.
Der im Marktcheck-Beitrag zitierte Fachanwalt für Bank- und Kapitalmarktrecht Ulrich Schulte am Hülse kritisiert, dass bei N26 Banking-App und Freigabefunktion in derselben Software beziehungsweise auf demselben Gerät zusammenkommen.
Andere Systeme trennen Banking und TAN-Freigabe stärker.
N26 hält dagegen, dass starke Kundenauthentifizierung zwei voneinander unabhängige Authentifizierungselemente voraussetzt, diese aber durchaus auf demselben mobilen Endgerät implementiert werden können, sofern die regulatorischen und technischen Anforderungen an deren Unabhängigkeit und Sicherheit eingehalten werden.
Damit stehen sich zwei unterschiedliche Betrachtungen gegenüber: die regulatorisch-technische Zulässigkeit einerseits und die Frage nach der möglichst robusten praktischen Sicherheitsarchitektur andererseits.
N26 hat seine Authentifizierung inzwischen weiterentwickelt
Für die aktuelle Bewertung ist außerdem wichtig, nicht ausschließlich den im konkreten Fall verwendeten technischen Stand zu betrachten.
N26 beschreibt aktuell unterschiedliche Authentifizierungswege. Beim Login ohne das neuere „Keyless“-Verfahren können beispielsweise E-Mail-Adresse und Passwort sowie die Bestätigung über das verknüpfte Gerät beziehungsweise unter bestimmten Umständen ein SMS-Code zum Einsatz kommen.
Mit „Keyless“ hat die Bank zudem eine biometrische Authentifizierung für die Kopplung neuer Geräte eingeführt. Nach Angaben von N26 werden dabei Nutzer und Gerät authentifiziert; die Bank bezeichnet das Verfahren als phishing-resistente Multi-Faktor-Authentifizierung.
Das ist für die Einordnung wichtig: Aus einem konkreten Betrugsfall darf nicht automatisch geschlossen werden, dass jeder heutige Authentifizierungsweg auf dieselbe Weise angreifbar wäre.
Die noch größere Frage: Warum wurden die Transaktionen nicht gestoppt?
Der technisch ungeklärte Zugriff ist jedoch nur die erste Hälfte des Falls.
Die zweite betrifft die Betrugserkennung der Bank.
Nach Darstellung der O’Learys veränderten die Täter innerhalb kurzer Zeit das Überweisungslimit und tätigten zahlreiche hohe Überweisungen nach Indien.
Der Betroffene gibt an, zuvor keine entsprechenden Zahlungen vorgenommen zu haben.
Damit stellt sich unabhängig vom ursprünglichen Kontozugriff die Frage:
Wann muss eine Bank erkennen, dass das aktuelle Zahlungsverhalten erheblich vom bisherigen Verhalten eines Kunden abweicht?
Gerade moderne Betrugsprävention soll schließlich nicht ausschließlich überprüfen, ob eine formal korrekte Authentifizierung vorliegt.
Sie soll auch ungewöhnliche Transaktionsmuster erkennen.
N26: Systeme bewerten fortlaufend Risikosignale
N26 erklärte gegenüber Marktcheck allgemein, dass die eigenen Systeme fortlaufend verschiedene Risikosignale bewerten.
Diese könnten in unterschiedlichen Phasen der Kontoaktivität Warnmeldungen auslösen und zusätzliche Überprüfungen zur Folge haben.
Welche konkreten Kriterien, Parameter oder Schwellenwerte verwendet werden, legt die Bank aus Sicherheitsgründen nicht offen.
Zum konkreten Fall äußerte sich N26 trotz einer vom Kunden erteilten Schweigepflichtentbindung gegenüber der Redaktion nicht näher.
Damit bleibt eine entscheidende Frage unbeantwortet:
Warum führten die ungewöhnlichen Aktivitäten im konkreten Fall offenbar nicht rechtzeitig dazu, weitere Transaktionen zu verhindern?
Dann kommt auch noch ein Kredit über 20.000 Euro hinzu
Besonders außergewöhnlich erscheint ein weiterer Vorgang.
Nach Angaben des Betroffenen nahmen die Täter zusätzlich einen Kredit über 20.000 Euro in seinem Namen auf.
O’Leary stellt deshalb die naheliegende Frage, weshalb jemand, der zu Beginn des Tages mehr als 122.000 Euro auf seinem Konto hat, wenige Stunden später einen Kredit über 20.000 Euro benötigt.
Nach dem Bericht verlangt N26 von ihm die Rückzahlung dieses Kredits.
Die Bank erklärte gegenüber Marktcheck allgemein, mögliche gesetzliche Erstattungsansprüche würden anhand der individuellen Umstände eines Falles geprüft.
Familie O’Leary hat inzwischen Klage gegen N26 eingereicht.
Damit ist die rechtliche Auseinandersetzung nicht abgeschlossen.
Wer haftet bei nicht autorisierten Zahlungen?
Für Verbraucher ist die Haftungsfrage besonders wichtig.
Dabei darf ein spektakulärer Einzelfall nicht zu der Annahme führen, dass ein Kunde bei einer Kontoübernahme automatisch auf seinem gesamten Schaden sitzen bleibt.
Bei nicht autorisierten Zahlungsvorgängen gelten gesetzliche Regeln über Erstattung und Haftung. Entscheidend kann im Streitfall unter anderem sein, ob die Zahlungen tatsächlich vom Kunden autorisiert wurden und welche Umstände zur Kontoübernahme geführt haben.
Dass eine Zahlung technisch mit einem Authentifizierungsverfahren freigegeben wurde, beantwortet nicht automatisch sämtliche rechtlichen Haftungsfragen.
Bei hohen Schäden sollten Betroffene deshalb nicht allein auf telefonische Aussagen vertrauen, sondern gegebenenfalls fachkundigen rechtlichen Rat einholen.
Banken kennen das normale Zahlungsverhalten ihrer Kunden
Der von Marktcheck befragte Fachanwalt Schulte am Hülse verweist auf die Bedeutung von Präventionssystemen.
Banken können aus dem bisherigen Verhalten eines Kunden typische Muster ableiten: beispielsweise übliche Empfänger, Zielländer, Beträge und Transaktionsfrequenzen.
Weicht eine Zahlung erheblich von dieser sogenannten Baseline ab, kann dies ein Risikosignal darstellen.
Natürlich ist nicht jede ungewöhnliche Überweisung Betrug.
Menschen kaufen Immobilien, Autos, investieren Geld oder überweisen erstmals große Summen ins Ausland.
Eine automatische Sperre jeder ungewöhnlichen Zahlung wäre deshalb ebenfalls problematisch.
Bei einer Kombination mehrerer Auffälligkeiten – beispielsweise verändertem Limit, zahlreichen hohen Auslandsüberweisungen und weiteren ungewöhnlichen Kontoaktivitäten – stellt sich aber die Frage, welche zusätzlichen Prüfungen angemessen sind.
Verbraucherzentrale fordert mehr Verantwortung der Banken
Niels Nauhauser von der Verbraucherzentrale Baden-Württemberg sieht die Finanzbranche ebenfalls stärker in der Verantwortung.
Wenn Finanzinstitute immer mehr Dienstleistungen ins Onlinebanking verlagern, entstehen nach seiner Argumentation zugleich neue Betrugsmöglichkeiten.
Banken könnten sich deshalb nicht darauf beschränken, auf ihren Internetseiten vor Betrugsmaschen zu warnen und die Verantwortung weitgehend bei ihren Kunden abzuladen.
Das ist ein wichtiger Punkt in der Debatte.
Banking wird immer komfortabler. Kredite, Limitänderungen, Überweisungen und Kontoverwaltung lassen sich innerhalb weniger Minuten auf einem einzigen Smartphone erledigen.
Der Komfort erhöht jedoch gleichzeitig die möglichen Folgen, wenn dieses zentrale Gerät kompromittiert wird.
Großbritannien meldet Millionenverluste nach Handydiebstählen
Der Fall O’Leary ist nach dem Bericht kein vollständig isoliertes Phänomen.
ARD Marktcheck verweist auf eine wachsende Zahl entsprechender Fälle in Großbritannien. 2025 entstand dort demnach durch Mobile-Banking-Betrug nach Handydiebstählen ein Schaden von umgerechnet mehr als 51 Millionen Euro.
Ein bekanntes Vorgehen ist sogenanntes „Shoulder Surfing“.
Kriminelle beobachten Menschen bei der Smartphone-Nutzung und versuchen dabei beispielsweise PINs oder Passwörter auszuspähen.
Anschließend wird das Gerät gestohlen.
Der Täter besitzt dann nicht nur das Smartphone, sondern möglicherweise bereits eine entscheidende Information zum Entsperren oder für den Zugriff auf bestimmte Anwendungen.
Nach einem Handydiebstahl zählt jede Minute
Für Verbraucher folgt daraus eine wichtige Konsequenz: Ein gestohlenes Smartphone sollte heute ähnlich behandelt werden wie eine gestohlene Brieftasche mit Bankkarten – möglicherweise sogar noch dringlicher.
N26 empfiehlt aktuell, ein verlorenes oder gestohlenes Gerät möglichst sofort aus der Ferne zu sperren beziehungsweise gegebenenfalls zu löschen und die SIM-Karte beim Mobilfunkanbieter sperren zu lassen.
Danach sollten insbesondere E-Mail-Konten abgesichert werden.
Das ist entscheidend, weil Zugriff auf das E-Mail-Postfach unter Umständen das Zurücksetzen von Passwörtern anderer Dienste ermöglicht.
Besteht die Gefahr eines Zugriffs auf das Bankkonto, sollte dieses beziehungsweise die betroffene Karte unverzüglich gesperrt werden. N26 stellt dafür nach eigenen Angaben auch telefonische Notfallmöglichkeiten bereit.
Auch das E-Mail-Konto gehört zur Sicherheitskette
Dieser Punkt wird häufig unterschätzt.
Die Sicherheit einer Banking-App endet nicht an der Banking-App.
Wer Zugriff auf das Smartphone besitzt, könnte je nach Geräteschutz möglicherweise auch Zugriff auf E-Mails, SMS, Passwortmanager oder andere Konten erhalten.
Damit können sich mehrere Sicherheitsmechanismen gegenseitig beeinflussen.
N26 empfiehlt deshalb nach einem Smartphoneverlust ausdrücklich, das E-Mail-Passwort von einem vertrauenswürdigen Gerät aus zu ändern, aktive Sitzungen zu beenden und zu überprüfen, ob Wiederherstellungsinformationen verändert wurden.
Ist Zwei-Faktor-Authentifizierung also noch sicher?
Grundsätzlich: Ja, sie bleibt ein wichtiger Sicherheitsmechanismus.
Der Fall O’Leary beweist nicht, dass 2FA generell wirkungslos ist.
Auch der von Marktcheck befragte Sicherheitsexperte bezeichnet Zwei-Faktor-Authentifizierung als relativ sichere Methode, durch die viele Angriffe ausgeschlossen werden können.
Das eigentliche Problem entsteht, wenn mehrere Sicherheitsfunktionen auf einem Gerät zusammenlaufen und ein Angreifer dieses Gerät kontrollieren kann oder zusätzliche Zugangsinformationen besitzt.
Deshalb ist die entscheidende Frage nicht nur, ob eine Bank „2FA“ verwendet.
Entscheidend ist auch, wie die Faktoren technisch voneinander getrennt sind, wie ein neues Gerät registriert werden kann und welche zusätzliche Betrugserkennung bei ungewöhnlichen Vorgängen greift.
