BBVA-Sicherheit: DNI und sechsstelliger Code

BBVA setzt bei der Anmeldung auf DNI und einen sechsstelligen Code

Der Zugang zum BBVA-Konto wird durch zwei Daten geschützt: die Steueridentifikationsnummer (NIF) des Inhabers und ein sechsstelliges alphanumerisches Passwort. Das ist alles. Die Sicherheit des Online-Bankings von BBVA stützt sich auf diese Kombination, die seit einem Jahrzehnt unverändert ist. Nutzer beschreiben sie offen als unzureichend für eine Institution dieser Größe. Der Kern des Problems liegt nicht im operativen Ablauf, sondern beim Login.

Welche Sicherheitsmaßnahmen verlangt BBVA für den Kontozugang?

Die Anmeldung über den Online-Kanal von BBVA erfolgt mit dem NIF des Nutzers und einem sechsstelligen alphanumerischen Passwort. Dies ist kein Einzelfall im spanischen Bankensektor, aber angesichts der Größe des Instituts besonders auffällig. Bei anderen Banken ist das Muster identisch oder schwächer: Openbank verlangt den DNI und vier Ziffern, und bei Banco Sabadell funktioniert der Zugang mit vier Ziffern wie eine PIN.

Der NIF ist keine geheime Information. Er findet sich in durchgesickerten Datenbanken, Lohnabrechnungen oder Verträgen. Daher ist dieses kurze Passwort der einzige echte Schutzfaktor. Alles Weitere hängt davon ab, dass niemand das Passwort wiederverwendet hat oder auf eine gefälschte Website hereingefallen ist.

Wie schnell lässt sich ein sechsstelliges Passwort knacken?

Wenn ein Angreifer die Datenbank mit Benutzernamen und Passwörtern erlangt, stellt das sechsstellige Passwort kein Hindernis mehr dar. Technische Analysen sind eindeutig: Mit den Hashwerten lassen sich solche Codes per Wörterbuch- oder Brute-Force-Angriff leicht entschlüsseln. Manche Schätzungen gehen von einer Woche aus, um alle Kundenkonten zu kompromittieren, wobei es wahrscheinlich schneller geht. Ein alphanumerischer Sechser-Code ist laut Analyse SEHR schwach. Die letzte verbleibende Barriere wäre die Zwei-Faktor-Authentifizierung – und genau hier beginnt das nächste Problem.

Das „irreversibel verschlüsselte“ Passwort, das die Bank häppchenweise abfragt

BBVA behauptet auf seiner Website, Passwörter niemals im Klartext zu speichern und irreversibel zu verschlüsseln. Dieselbe Seite erklärt jedoch, dass Kunden beim Anruf im Contact Center zwei zufällige Positionen ihres Codes genannt werden müssen, nie das gesamte Passwort. Die Frage drängt sich auf: Wie können zwei isolierte Zeichenpositionen eines theoretisch nicht lesbaren Passworts validiert werden? Dafür muss es rekonstruierbar sein.

Zu diesem Widerspruch geschildert Insiderberichte: Ein Teil der Kundenkommunikation – E-Mails, PDFs, Warnungen – wurde historisch mit veralteten Tools erstellt, deren Vorlagen bei jeder Änderung manuell neu geschrieben wurden. Bezüglich Outsourcing gibt es zwei Sichtweisen: Kritiker argumentieren, dass die Kette von Tochtergesellschaften und Beratern den Zugriff auf sensible Daten vervielfacht. Befürworter halten dagegen, dass eigene Mitarbeiter mit privilegierten Zugängen die Schwachstellen noch besser kennen.

Zwei Betrugsfälle mit Tausenden Euro und eine distanzierte Bank

Die konkreten Fälle betreffen echtes Geld. Einer Kundin wurden etwa 4.000 Euro gestohlen; der Fall landete vor Gericht, weil die Bank zunächst jede Verantwortung ablehnte. Ein anderer Kunde verlor 3.000 Euro durch eine SMS-Falle, und laut seiner Aussage wusch die Bank ihre Hände in Unschuld. Weitere Berichte erwähnen Nachrichten, die sich als BBVA ausgeben und sich in dieselben Chatverläufe wie echte SMS mischen, sodass eine Unterscheidung kaum möglich ist. Ein Teilnehmer erwähnt zudem eine Rüge der Spanischen Datenschutzbehörde (AEPD) gegenüber dem Institut.

SMS, SIM-Duplizierung und die Lücke bei der Zwei-Faktor-Authentifizierung

Die zweite Front ist die Authentifizierung bei Transaktionen. Es gibt Berichte über Überweisungen per App, die weder PIN noch zusätzliche Bestätigung verlangen; wenn Zwei-Faktor-Authentifizierung eingesetzt wird, erfolgt dies per SMS. Und SMS sind angreifbar: Laut den häufigsten Berichten genügt es, den Mobilfunkanbieter anzurufen, sich als Kontoinhaber auszugeben – der bereits Opferdaten kennt, falls er zuvor Zugriff hatte – und ein SIM-Duplikat an eine andere Adresse senden zu lassen. Wenn der Eigentümer reagiert, hat er oft schon Empfang verloren, und das Konto leert sich. Der empfohlene Schutz ist eine PIN beim Mobilfunkanbieter. Sie unterscheidet einen Schreckmoment von einem Totalverlust.

FIDO2: Authentifizierung ohne Handy oder SMS

Technische Alternativen existieren längst: FIDO2-Sicherheitsschlüssel und WebAuthn. Sie ermöglichen die Authentifizierung durch Einfügen eines physischen Schlüssels, Eingabe einer PIN und Berührung des Geräts, unabhängig von Smartphone, SIM-Karte oder SMS-Codes. Zudem wird kritisiert, dass klassische TAN-Listen gegen die europäische Richtlinie zur starken Kundenauthentifizierung (PSD2) verstoßen, da sie einfach per Foto geklont werden können. Die Bankenbranche hält dennoch am Benutzername-Passwort-Paar und SMS-Codes fest.

Was müsste passieren, damit eine Bank wie BBVA ein zehn Jahre altes Zugangssystem ändert? Bislang fallen die Probleme zulasten der Kunden. Die Frage ist nicht, ob sich die Banken bessere Sicherheit leisten können, sondern warum sie diese nicht längst implementiert haben.