Banken, die MFA als optional behandeln, setzen Kunden weiterhin dem Risiko von Kontoübernahmen aus

Finanzinstitute erlauben einigen Kunden weiterhin, sich ohne Multi-Faktor-Authentifizierung anzumelden – eine Lücke, die Kontoübernahmen für Kriminelle erleichtern kann, wie ein aktueller Bericht über einen Diebstahl von Altersvorsorge- und Bankguthaben zeigt, bei dem einer 84-jährigen Frau Geld von mehreren Konten abgebucht wurde.

In dem beschriebenen Fall gelang es Betrügern offenbar zunächst, ein Altersvorsorgekonto zu kompromittieren, bevor sie sich anschließend den Giro- und Sparkonten bei einer anderen Bank zuwandten. Außerdem erhielten sie Zugriff auf Gmail und erstellten Filter, die Bank- und Altersvorsorgewarnungen in den Papierkorb verschoben, wodurch die Wahrscheinlichkeit sank, dass die Hinweise schnell bemerkt wurden. Die gestohlenen Altersvorsorgegelder konnten später zurückgeholt werden, doch die Verluste bei der Bank beliefen sich vor der Erstattung auf rund 30.000 US-Dollar.

Sicherheitslücken und Nutzergewohnheiten

Der Vorfall scheint mit wiederverwendeten oder ähnlichen Passwörtern bei mehreren Diensten zusammenzuhängen. Hinzu kam, dass für die betroffenen Konten keine MFA vorgeschrieben war. Sicherheitsexperten zufolge ist dieses Muster weiterhin weit verbreitet: Wird ein Dienst kompromittiert, versuchen Angreifer möglicherweise, die Zugangsdaten auch an anderer Stelle zu verwenden – eine Taktik, die häufig als Credential Stuffing bezeichnet wird.

Einige Banken, darunter große überregional tätige Institute, machen MFA für viele Kunden weiterhin optional. In manchen Fällen werden Aufforderungen zur Eingabe eines zweiten Faktors nur angezeigt, wenn die Anmeldeaktivität ungewöhnlich erscheint. Auch bei Google-Konten liegt es häufig in der Verantwortung der Nutzer, ihre Konten mit stärkeren Anmeldemethoden zu schützen.

Warum Banken zögern

Branchenbeobachter zufolge wägen Institute Sicherheit häufig gegen Komfort ab. Zusätzliche Anmeldeschritte können Kunden frustrieren, zu mehr Supportanfragen führen und möglicherweise die Anmelde- oder Kundenbindungsraten beeinträchtigen. Diese Zurückhaltung hat die breitere Einführung stärkerer Authentifizierung verlangsamt.

Gleichzeitig garantieren Bankvorschriften und Verbraucherschutzmaßnahmen keine unkomplizierte Rückerstattung, wenn Geld gestohlen wird. In den Vereinigten Staaten gelten Fristen für Widersprüche und Untersuchungszeiträume. Eine Erstattung erfolgt jedoch nicht automatisch, wenn eine Bank zu dem Schluss kommt, dass die Transaktionen legitim erschienen.

Stärkere Optionen sind verfügbar

Sicherheitsexperten zufolge sind Passkeys die beste moderne Authentifizierungsmethode. Sie basieren auf kryptografischen Schlüsseln, die auf dem Gerät des Nutzers gespeichert werden, und sind so konzipiert, dass sie Phishing widerstehen. Herkömmliche Einmalcodes, die per SMS oder E-Mail versendet werden, sind weiterhin weit verbreitet, können jedoch abgefangen oder Nutzern durch Social Engineering entlockt werden.

• Wiederverwendete Passwörter stellen weiterhin ein erhebliches Risiko für die Übernahme von Konten dar.
• SMS- und E-Mail-Codes sind besser als kein zweiter Faktor, aber nicht ideal.
• Passkeys gelten zunehmend als sicherere Alternative.
• Einige große Banken beginnen, stärkere Anmeldeoptionen einzuführen.

Die übergeordnete Botschaft des Vorfalls ist eindeutig: Wenn Banken MFA optional lassen, übertragen sie einen größeren Teil der Verantwortung auf die Kunden, obwohl die finanziellen Folgen eines Sicherheitsvorfalls schwerwiegend sein können.