Phishing-Angriffe: Wie Banken ihre Kunden im Stich lassen

LONDON (IT BOLTWISE) – Der Fall von Bernhard K. und seiner Frau wirft ein Schlaglicht auf die unzureichenden Sicherheitsmaßnahmen von Banken im Kampf gegen Phishing-Betrug. Während die Postbank den Betrug anerkennt, bleibt die finanzielle Verantwortung bei den Kunden.

Der Fall von Bernhard K. und seiner Frau zeigt eindrucksvoll, wie unzureichend Banken ihre Kunden vor Phishing-Betrug schützen. Innerhalb weniger Stunden verloren die Eheleute 69.500 Euro, ihr gesamtes Altersvermögen, durch eine Überweisung auf ein Konto in Malta. Dieses Konto wurde ohne ihr Wissen eröffnet, was Fragen zur Verantwortung der Banken aufwirft.

Obwohl die Postbank den Betrug anerkannte, weigerte sie sich, den Verlust zu erstatten. Die Bank argumentierte mit grober Fahrlässigkeit seitens der Kunden, die möglicherweise auf einen schadhaften Link geklickt oder einen Code falsch eingegeben haben könnten. Diese Argumentation ist nicht neu, doch die Beweispflicht liegt formal bei der Bank, was in der Praxis selten durchgesetzt wird.

Eine Studie der Europäischen Bankenaufsicht zeigt, dass in 79 Prozent der Fälle von betrügerischen Überweisungen die Kunden den finanziellen Schaden tragen. Bei Kreditkartenbetrug hingegen wird die Belastung meist geteilt. Diese Schieflage will die EU-Kommission nun ändern und prüft, ob Banken auch bei Social-Engineering-Angriffen haften sollen.

Besonders brisant ist das Ziel der Überweisung: Malta. Das Land stand bis 2023 auf der grauen Liste der internationalen Antigeldwäschebehörde FATF. Ein Drittel aller grenzüberschreitenden Betrugsfälle in Europa endet im Ausland, obwohl nur vier Prozent aller Überweisungen ins Ausland gehen.

Der involvierte Zahlungsdienstleister Openpayd hatte keine direkte Beziehung zum Ehepaar K. Die Plattform Crypto.com, bei der das Konto angeblich eröffnet wurde, betont ihre hohen Sicherheitsstandards. Dennoch erhielten Kriminelle Zugang über einen abgefangenen Aktivierungscode.

Die Deutsche Bank, Muttergesellschaft der Postbank, plant nun, ihre Sicherheitsmaßnahmen zu verbessern. QR-Codes, zusätzliche Freigaben und Standortabgleiche sollen künftig helfen, Betrug zu verhindern. Doch für Familie K. kommt das zu spät. Der Ombudsmann schlug vor, die Bank solle 52.000 Euro erstatten, doch die Bank lehnte ab und bot stattdessen 13.900 Euro als Kulanz an.

Experten wie Jan Otto von PwC sehen zahlreiche ungenutzte Möglichkeiten zur Betrugsabwehr. Moderne Systeme könnten Verhalten, Gerät, Ort und Transaktionsmuster berücksichtigen, doch aus Kostengründen oder Angst vor Falsch-Alarmen werden sie selten eingesetzt.

Der Fall der Familie K. ist exemplarisch für die Schwächen des Systems. Banken digitalisieren vor allem den Risikotransfer auf den Kunden, während die rechtlichen Hürden, das Geld zurückzubekommen, hoch sind. Die Informationsasymmetrie und die institutionelle Abwehrhaltung der Banken sorgen dafür, dass Betrüger leichtes Spiel haben, während Geschädigte kaum Chancen haben.

Was bleibt, ist ein Gefühl der Ohnmacht und ein Flickenteppich aus Kulanz, Rechtsstreit und Vertrauensverlust. Wer sich beim Onlinebanking nicht mehr sicher fühlen kann, verliert mehr als nur Geld. Er verliert das Vertrauen in ein System, das eigentlich schützen soll.

Unseren KI-Morning-Newsletter «Der KI News Espresso» mit den besten KI-News des letzten Tages gratis per eMail - ohne Werbung: Hier kostenlos eintragen!