ING nutzt DNI als Benutzername, Kontosperrung für jedermann möglich

ING sperrt Kundenkonten täglich, weil der Benutzername die DNI ist

Das Zugangsmodell von ING erlaubt es, Kunden aus ihrem eigenen Konto auszuschließen, ohne dass gestohlen wird, ohne dass ein Passwort erraten werden muss und ohne dass auf dem Papier etwas Schwerwiegendes passiert ist. Das Versagen liegt nicht im Schlüssel, sondern im Identifikator: Zum Einloggen müssen die DNI (spanische nationale Ausweisnummer) und das Geburtsdatum eingegeben werden, zwei Daten, die in jedem online veröffentlichten Lebenslauf stehen. Damit reicht es, einen Versuch zu starten.

Ein Kunde des Instituts kann seit Wochen normal nicht mehr operieren. Jeden Tag versucht jemand seinen Identifikator, verfehlt die drei zufälligen Zeichen des Sicherheitscodes und lässt den Zugang gesperrt. Die Wiederherstellung kostet einen Anruf und etwa eine Stunde telefonische Verwaltung. Am nächsten Tag beginnt der Zyklus wieder.

Der Benutzername bei ING ist die DNI und das Geburtsdatum

ING identifiziert den Kunden nicht durch einen erfundenen Alias, sondern durch seine DNI und sein Geburtsdatum. Auf Basis dieser beiden Felder wird ein sechsstelliger Schlüssel angefordert, von dem das System drei zufällige Zeichen abfragt. Wer die ersten beiden Daten kennt—banal für Arbeitgeber, Verkäufer oder jeden, der einen veröffentlichten Lebenslauf liest—kann so oft wie gewünscht versuchen, sich einzuloggen.

Diese drei Ziffern werden sie nie erraten, und darin besteht die Paradoxie. Der Mechanismus schützt das Guthaben, aber nicht die Tür. Der Identifikator ist nicht geheim, und das Sperrsystem, das Angreifer stoppen soll, wird zum Werkzeug, mit dem Dritte die Tür von außen schließen. Ohne Kosten, ohne nützliche Spuren und ohne IT-Kenntnisse.

Warum wird das Konto gesperrt, wenn niemand das Passwort errät?

Weil das System Fehler pro Benutzer zählt, nicht pro Herkunft. Nach dem dritten falschen Versuch sperrt das Institut das Konto als Sicherheitsmaßnahme und unterscheidet nicht mehr zwischen einem legitimen Inhaber, der sich irrt, und einem Dritten, der blind schießt. Jeder externe Versuch erzwingt eine manuelle Reaktivierung.

Der Betroffene beschreibt es unverblümt: Jeder, der ihn mit Karte bezahlt hat oder eine Überweisung erhalten hat, kennt bereits seinen Identifikator. Das Ergebnis ist eine häusliche, kostenlose und wiederholbare Denial-of-Service-Attacke, gegen die das Institut keine Alternative bietet. Der am häufigsten zirkulierende Vorschlag ist einfach: Einen vorherigen Faktor verlangen—zum Beispiel einen Wert der Koordinatenkarte—und dies nicht als Zugangsfehler zählen, solange dieser Faktor falsch ist. So würde die Sperre nur aktiviert, wenn der Versuch tatsächlich den Schlüssel erreicht.

Zehn Nummern auf einem Blatt: So antwortet ING auf IP-Anfragen

Der Betroffene forderte förmlich die IP-Adressen an, von denen aus Zugriffsversuche stattfanden. Die Antwort kam nach einer Woche Diskussion in Form eines Blatts mit zehn notierten Zahlen, geschickt an eine Filiale. Kaum mehr, als der Interessierte selbst hätte notieren können.

Wochen später teilte das Institut mit, diese Liste nicht mehr zu senden. Parallel begann der Kunde, Nachrichten mit Entsperrcodes zu erhalten, die er nicht angefordert hatte. Der Vergleich zwischen Anfrage und Lieferung ist, in den Worten des Geschädigten, "erbärmlich".

Kann man Kontosperrung ohne Diebstahl anzeigen?

Die Antwort der befragten Polizeikräfte ist dieselbe: Ohne effektiven Zugriff und ohne entwendetes Geld bleibt die Sache versuchter Betrug, und die Anzeige wird nicht bearbeitet. Der Betroffene fasst zusammen, dass das Papier ihm allein nützt.

Einige behaupten, der richtige Weg sei, trotzdem eine Akte anzulegen, da dies eine spätere Beschwerde gegen das Institut stärkt. Andere schlagen vor, direkt zum Bereitschaftsgericht zu gehen, wenn die Wache die Aufnahme des Berichts verweigert. Die grundlegende Debatte ist eine andere: Wenn das Aufbrechen eines Hauschlosses ohne Eindringen strafbar ist, sollte die Sperrung des Zugangs zu einem fremden Konto ähnlich behandelt werden.

Elektronisches Zertifikat schließt traditionellen Weg nicht aus

Eine vorgeschlagene Lösung ist, mit elektronischem Zertifikat einzuloggen und die Deaktivierung alter Schlüssel zu verlangen. Die anschließende Überprüfung war ernüchternd: Selbst wenn der Einstieg mit elektronischer DNI autorisiert wird, bleibt die traditionelle Methode aktiv. Die alte Tür ist noch da, und damit das Sperrrisiko.

Laut der Schilderung des Kunden sagte ihm der Filialleiter, es gebe keine andere Lösung, als kein Kunde mehr zu sein. Eine unkommerzielle Beratung, angesichts der Fakten wahrscheinlich ehrlich.

Mehrere Institute teilen dieselbe Schwachstelle

Das Problem ist nicht exklusiv für ING. Ein vergleichender Überblick eines Forumsnutzers über sechs Institute zeigt ein unbequemes Muster: COINC fragt E-Mail und Passwort ohne Koordinatenkarte; i-banesto und Openbank nutzen DNI mit achtstelligem Schlüssel; Popular-e nutzt Benutzername und sechs Ziffern; SelfBank nutzt Benutzername und alphanumerisches Passwort mit acht Zeichen; Activobank nutzt DNI ohne Buchstabe und vier Ziffern. Laut diesem Nutzer erlauben alle, einen Dritten durch dreimaliges Scheitern aus seinem Konto zu sperren.

Im Gegensatz dazu wirkt das Schweizer Modell, das ein UBS-Kunde beschreibt, fast außerirdisch: Identifikator, Passwort, eine vom Web generierte numerische Herausforderung—dort challenge genannt—ein von der Bank bereitgestellter Taschenrechner, die eingesteckte Karte und deren eigene PIN. Bei ING Luxemburg wird ein Digipass-Gerät hinzugefügt, laut einem anderen Teilnehmer. Das Detail zählt: Das System existiert bereits, ist bequem zu nutzen und dauert kaum eine halbe Minute länger beim Zugang.

Die vollständige Aufschlüsselung der Institute, Methoden und Schlüssellängen, Punkt für Punkt verglichen, ergibt ein Bild, das kein Institut zu veröffentlichen scheint.

Was ändern kann und was nicht

Kein Institut wird darauf verzichten, fehlgeschlagene Versuche zu messen, und das macht Sinn. Die Diskussion dreht sich darum, wann der Fehler zu zählen beginnt. Solange der Identifikator DNI und Geburtsdatum bleiben, ist jeder Kunde mit öffentlichem Lebenslauf ein leichtes und kostenloses Ziel. Wenn ein Institut seine Haltung ändert, geschieht dies wahrscheinlich eher aus Fruta als aufgrund eines Gerichtsurteils.