ING verlangt App für Online-Banking: Welche Alternativen bleiben?

ING schließt Webzugang ohne App: PSD2 schreibt keine Installation vor

Die App installieren oder ausgeschlossen werden. Das ist das Ultimatum, das ING einem Teil seiner Kunden für den Online-Zugang ab September gestellt hat, wobei noch kein konkretes Datum bestätigt wurde. Ohne App kein Webzugang: Die Alternativen der Bank sind ein Anruf per Telefon oder der Besuch einer Filiale. Als Argument dient die PSD2, die europäische Zahlungsrichtlinie. Das Problem ist, dass die PSD2 keine spezifische Anwendung erwähnt.

Die Maßnahme wird in einer regulatorischen Sprache verpackt, die rechtlich nicht haltbar ist. Und hier beginnt der Konflikt: zwischen denen, die in der Änderung eine kommerzielle Verpflichtung sehen, die als Gesetz getarnt ist, und denen, die SMS-Validierung als Sicherheitslücke betrachten, die längst hätte geschlossen werden müssen.

Verpflichtet die PSD2 zur Installation der Bank-App?

Nein. Die europäische Zahlungsdiensterichtlinie schreibt die starke Kundenauthentifizierung (SCA) vor: zwei unabhängige Faktoren zur Bestätigung von Transaktionen. Das ist alles. Die Norm verlangt, dass die Validierung nicht von einem einzigen Element abhängt, aber kein Artikel schreibt vor, dass dieser zweite Faktor eine proprietäre Anwendung des Instituts sein muss.

Mehrere Banken haben den Prozess auf dem günstigeren Weg gelöst: ein Einmalcode per SMS. Banco Santander kombiniert das gewohnte Passwort mit dieser Nachricht; BBVA macht dasselbe, ebenso wie Openbank. Die wiederkehrende Schlussfolgerung ist für ING unangenehm: die Verpflichtung ist die doppelte Validierung, nicht die App. Wer sie nutzen möchte, kann es tun. Etwas anderes ist es, sie als den einzigen Ausweg zu verkaufen.

Die erforderlichen Berechtigungen der App

Hier liegt die zweite Front. Die App fordert im Play Store eine Liste von Berechtigungen, die weit über das hinausgeht, was die Funktion erfordert: Telefonstatus und Identität, genauer Standort (GPS und Netzwerk), ungefährer Standort, Zugriff auf den USB-Speicher, Kontakte, Kamera und Mikrofon. Um eine Überweisung zu validieren, ist die Kamera nicht erforderlich, es sei denn, sie wird für das Scannen des Ausweises benötigt.

Einige gehen noch weiter und behaupten, dass die App nur auf Geräten funktioniert, die unter der Kontrolle des Herstellers stehen: weder gerootete Handys noch Geräte mit angepassten ROMs. Das heißt, die Bank entscheidet, welches Telefon geeignet ist. Und das ist keine kleine Entscheidung, wenn der Kontozugriff von diesem einzigen Gerät abhängt.

SMS gegen App: Was ist anfälliger?

SMS haben einen schlechten technischen Ruf, und das zu Recht. Eine Textnachricht wird unverschlüsselt übertragen und kann mit einer Vielzahl von Methoden abgefangen werden, beginnend bei jeder installierten App, die die Berechtigung zum Lesen und Senden von Nachrichten hat. Ein zeitlich begrenzter Einmalcode ist eine Barriere, aber keine unüberwindbare Mauer.

Das Gegenargument der App-Befürworter ist genau das: Das SMS-System sei nicht reparabel, während eine Validierung innerhalb der App möglich sei. Die Diskussion bleibt an einem Punkt ungelöst: Die dokumentierten Angriffe auf die SMS-Doppelvalidierung waren sehr gezielte Angriffe und keine massenhaften Vorfälle. Niemand hat bisher eine großflächige Kompromittierung nachgewiesen.

Und es gibt ein Detail, das oft vergessen wird: Wenn man die gesamte Sicherheit auf das Mobiltelefon konzentriert, verliert der Kunde, der sein Telefon verliert oder gestohlen wird, die Kontrolle über sein Konto. Früher gab es Koordinatenkarten, Ausweise und Passwörter auf verschiedenen Medien. Jetzt gibt es einen einzigen Single Point of Failure.

Welche Alternativen bleiben, um die App nicht zu installieren?

Eigentlich drei. Telefonbanking, die physische Filiale und, für die Technischversierten, ein Android-Emulator auf dem Computer: BlueStacks oder Ähnliches installieren und die App innerhalb des PCs ausführen, um das Telefon zu umgehen. Ein Workaround, keine elegante Lösung.

Die vierte Option, die verstärkt diskutiert wird, ist der Bankwechsel. Die Profile, die den größten Widerstand leisten, sind genau jene, die noch nie etwas installieren wollten. Wenn der Preis für Online-Banking die Preisgabe der Mobilfunkberechtigungen ist, beginnt man, das Girokonto mit anderen Augen zu sehen. Es gibt auch diejenigen, die daran erinnern, dass nicht jeder ein leistungsfähiges Smartphone besitzt: Es gibt alte und überlastete Endgeräte, die abgehängt werden.

Wie sieht der Zugang Ende September aus?

Der Stand der Dinge zum Zeitpunkt der letzten Meldungen entspricht nicht der ursprünglichen Ankündigung. Am 23. September konnten viele Konten weiterhin ganz normal über das Web zugreifen, ohne dass eine App installiert war. Am 27. wurden Überweisungen über die üblichen Wege abgeschlossen. Die mobile Validierung wurde bereits als optional für Inhaber von Gehaltskonten beschrieben, während der Rest weiterhin ohne sie auskam.

Es gab jedoch einen Tag mit zeitweiligen Störungen: Die Website lehnte Kunden nach der Eingabe der Zugangsdaten ab, sendete den Code, ließ den Vorgang aber nicht fortfahren, während der mobile Zugang funktionierte. Am nächsten Tag kehrte alles ohne offizielle Erklärung zur Normalität zurück.

Angesichts dieses Szenarios scheint es schwierig, die App bis zum Jahresende der gesamten Kundenbasis aufzuzwingen. Es ist sehr wahrscheinlich, dass die nächste Ankündigung in einem anderen regulatorischen Gewand erfolgt.