Im geschilderten Fall sehe ich zwei problematische Aspekte:
Durch die Aktivierung von Apple Pay kann mit nur einer gültigen TAN ein Schaden von mehreren 10.000 € verursacht werden. Das dürfte auch der Grund sein, wieso sich Betrüger auf diese Methode fokussieren. Insbesondere wenn Banken sowas wie Überweisungstageslimits usw. haben, die deutlich geringer ist, ist sowas aus Betroffenensicht natürlich ein Hohn, zumal die meisten Kunden an Apple Pay gar kein Interesse und nichts am Hut haben dürften und auch von diesem spezifischen Risiko nichts ahnen.
Apple sollte auf Grund seiner permanent gesammelten Daten übrigens problemlos in der Lage sein, das verwendete iPhone nicht nur zu identifizieren, sondern auch dessen Bewegungs- und Nutzungshistorie, sodass ein Aufspüren in vielen Fällen möglich sein müsste. Ob sie das machen oder ob sie lieber die Illusion für ihre Kunden aufrechterhalten, sie seinen nicht verfolgbar, weiß ich natürlich nicht.
Zweite Problematik ist der Umstand, dass 2FA hier durch eine einfache Bestätigung realisiert ist. Das ist ein Verfahren, das vergleichsweise erfolgreich auszuhebeln ist (Stichwort z.B. Fatigue Attack), nicht nur im Banking-Bereich. Viel sicherer sind 2FA-Verfahren, in denen der Nutzer eine TAN auf dem Anmeldegerät (hier Onlinebanking) aktiv eingeben muss. Die Hürde, das Opfer zur Herausgabe dieser zu bewegen, liegt deutlich höher (aber auch das ist natürlich nicht unmöglich).
Ich weiß nicht, wie die App der Sparkasse Karlsruhe umgesetzt ist im Detail, also ob z.B. solche Autorisierungsanfragen auch dann zum Nutzer durchdringen (als Push-Nachricht z.B.), wenn er gar nicht aktiv die App benutzt, und wie transparent oder auch nicht diese gestaltet sind und wie sie von anderen Systemmitteilungen usw. sich abhebt (sprich wie offewnsichtlich für den Nutzer es ist, woher diese Meldung kommt und wie sie zuzuordnen ist). Hier ist ein 2FA-Gerät, das ausschließlich für diese Anwendung (also hier Online-Banking) eingesetzt wird und das vom Nutzer dafür ausdrücklich vor dem Einsatz aktiviert/angeschaltet werden muss, deutlich sicherer. Damit wäre der hier zu beklagende Angriff nicht möglich gewesen.
www.spiegel.de
. Nichtsdestotrotz kann ich die Dinger nur jedem empfehlen.
www.sparkasse-sw-has.de
www.vr-dienste.de
help.reiner-sct.com
www.morgenpost.de
