1 Punkte von GN⁺ 2023-11-27 | 1 Kommentare | Auf WhatsApp teilen
  • Monzo hat eine Funktion eingeführt, mit der Nutzer in der App prüfen können, ob sie tatsächlich mit einem Monzo-Mitarbeiter telefonieren, um Schäden durch Betrüger zu verringern, die sich als Bankmitarbeiter ausgeben und zu Überweisungen verleiten
  • Öffnet man während eines Anrufs die App, erscheint oben im Home-Tab ein Banner mit dem Monzo call status; wenn dort steht, dass kein Teammitglied im Gespräch ist, sollte man sofort auflegen und den Vorfall melden
  • Auch wenn die Person am Telefon behauptet, sie werde wegen technischer Probleme oder wegen eines Spezialteams nicht im Status angezeigt, sollte man ihr nicht glauben; ohne Statusprüfung sollte man das Gespräch nicht fortsetzen, bis die Internetverbindung wiederhergestellt ist
  • Monzo ruft nicht ohne vorherige Abstimmung per In-App-Chat an und fordert Nutzer nicht auf, Geld auf ein Verwahrkonto zu überweisen, Geld aus einem Pot abzuheben, Zahlungen zu genehmigen, die PIN weiterzugeben, einen Kredit aufzunehmen oder Monzo Flex zu nutzen
  • In Großbritannien gingen 2022 durch Betrug mit vorgetäuschter Identität rund 170 Millionen Pfund verloren; Monzo teilte mit, dass innerhalb von Call Status monatlich etwa 700 Betrugsmeldungen eingehen

Monzo call status in der App prüfen

  • Dieser Beitrag gibt den Stand zum Zeitpunkt der Veröffentlichung wieder; aktuelle Informationen sollten auf monzo.com oder in der Monzo-App geprüft werden
  • Die neue Funktion ermöglicht es Nutzern, direkt in der App zu prüfen, ob die anrufende Person tatsächlich ein Monzo-Mitarbeiter ist
  • Öffnet man während eines Anrufs die Monzo-App, erscheint oben im Home-Tab ein Banner mit dem Monzo call status
    • Wenn angezeigt wird, dass kein Monzo-Teammitglied im Gespräch ist, sollte man sofort auflegen und den Vorfall melden
    • Die Meldung kann durch Antippen des call status gestartet werden
    • Wenn angezeigt wird, dass ein Monzo-Teammitglied im Gespräch ist, kann man das Telefonat fortsetzen
  • Auch wenn die Person am Telefon technische Probleme oder ein spezialisiertes Team als Grund nennt, warum sie nicht im Status erscheint, sollte man ihr nicht glauben
  • Wenn keine Internetverbindung besteht, spiegelt der call status dies wider; empfohlen wird, nicht mit jemandem zu sprechen, der sich als Monzo ausgibt, bis man wieder verbunden ist und den Status prüfen kann

Was Monzo nicht von Nutzern verlangt

  • Monzo ruft nicht ohne vorherige Abstimmung per In-App-Chat an; bei einem Anruf stellt Monzo Sicherheitsfragen, bevor über das Konto gesprochen wird
  • Monzo fordert Nutzer nicht zu folgenden Handlungen auf
    • Geld auf ein Verwahrkonto, Sicherheitskonto oder ein anderes Konto überweisen
    • Geld aus einem Pot abheben
    • Aus irgendeinem Grund eine Zahlung leisten oder Geld überweisen
    • Eine Benachrichtigung auf dem Smartphone bestätigen
    • Betrugs- oder Zahlungswarnungen ignorieren
    • PIN oder persönliche Daten weitergeben
    • Einen Kredit aufnehmen oder Monzo Flex nutzen

Schäden durch Betrug mit vorgetäuschter Identität und Meldeablauf

  • Bei Betrug mit vorgetäuschter Identität geben sich Kriminelle als jemand anderes aus und bringen Nutzer dazu, Geld zu senden; dies wird auch Banküberweisungsbetrug oder authorised push payment fraud genannt
  • In Großbritannien gingen 2022 durch Betrug mit vorgetäuschter Identität rund 170 Millionen Pfund verloren
  • Monzo erklärte, dass Nutzer durch den hinzugefügten call status prüfen können, ob die Person am Telefon wirklich ein Monzo-Mitarbeiter ist, und dass seit Einführung der Funktion innerhalb von Call Status monatlich etwa 700 Betrugsmeldungen eingehen
  • Als nächsten Schritt prüft Monzo, die Funktion zusätzlich zum aktuellen Ort unter Privacy & settings auch an einer auffälligeren Stelle anzuzeigen, damit sie während eines Anrufs schneller gefunden werden kann

1 Kommentare

 
GN⁺ 2023-11-27
Hacker-News-Kommentare
  • Ich war vor Kurzem Ziel eines Phishing-Betrugs gegen eine britische Online-Bank, allerdings nicht Monzo, und die Masche war äußerst ausgefeilt.
    Die Täter kannten sogar die Bank-Transaktionsnummer, die weder in den letzten Umsätzen noch in üblichen qif-Exports auftaucht; dadurch klang auch der Grund für den Anruf plausibel.
    Sie hatten außerdem öffentlich verfügbare Informationen über meinen Namen und meine Familie recherchiert, die Anrufer-ID gefälscht, und das Gesprächsskript war so ausgeklügelt, dass ich nicht weiß, ob solche zusätzlichen Schutzmaßnahmen viel geholfen hätten.
    Zum Glück habe ich den Vorgang nicht bis zum Ende durchgezogen und kein Geld verloren.
    Es sieht eindeutig danach aus, dass es bei der Bank ein schwerwiegendes Datenleck gab, und online finden sich auch andere Berichte dazu. Meiner Ansicht nach sollte das Gesetz Banken verpflichten, Sicherheitsvorfälle der ICO zu melden und Art sowie Umfang des Vorfalls öffentlich zu dokumentieren.
    Dabei habe ich erfahren, dass man im Vereinigten Königreich unter 159 direkt mit der Betrugsabteilung der meisten Banken verbunden werden kann: https://stopscamsuk.org.uk/159
    Außerdem habe ich von der polizeilichen Action-Fraud-Hotline für Cybercrime-Meldungen erfahren: https://www.actionfraud.police.uk/what-is-action-fraud
    Die Phisher waren hartnäckig: 15 Minuten später riefen sie erneut an, gaben sich als Betrugsabteilung der Bank aus und behaupteten, sie würden „meinen Anruf zurückrufen“; zwei Wochen später riefen sie noch einmal an und behaupteten, Action Fraud zu sein.
    Ganz gleich, wie gut man glaubt, auf solche Angriffe vorbereitet zu sein: Ich würde empfehlen, bei jedem Anruf extrem vorsichtig zu sein, egal welche Identität die andere Person vorgibt.
    Ich habe auch ein Monzo-Konto, aber selbst wenn sie anrufen würden, würde ich diese Funktion nicht nutzen. Auflegen und selbst anrufen. Man sollte nicht zulassen, dass die Gegenseite einen anruft.

    • Ich erinnere mich, dass es bei Festnetztelefonen eine Funktion gab, bei der die Gegenseite die Leitung halten konnte, selbst wenn man selbst aufgelegt hatte. Wenn man also die Bank zurückruft, kann man trotzdem wieder bei den Betrügern landen.
      https://security.stackexchange.com/questions/100268/does-han...
      Deshalb ist es besser, die Bank vom Mobiltelefon aus anzurufen.
    • Der Rat „auflegen und selbst anrufen“ wird zunehmend schwieriger umzusetzen. Selbst wenn man bei einer lokalen Filiale anruft, zu der tatsächlich eine Geschäftsbeziehung besteht, landet man im IVR, und es wird einem sehr schwer gemacht, einen echten Bankmitarbeiter zu erreichen.
    • Könnte die Schwachstelle nicht auch bei einem Open-Banking-Dienst liegen, der Bankdaten abruft und aggregiert anzeigt, wie Emma, Money Dashboard oder TrueLayer? Auch Marketing- und Gutscheinunternehmen wie Airtime Rewards nutzen inzwischen solche Integrationen.
    • Der beste Rat für den Umgang mit solchen Betrugsversuchen ist zu wissen, dass in einem Gespräch mit der Betrugsabteilung genau drei Dinge passieren können:
      1. „Haben Sie diese Zahlungen getätigt?“
      2. „Ja“ → „Vielen Dank, wir legen jetzt auf.“
      3. „Nein“ → „Vielen Dank, wir sperren die Karte und schicken eine neue Karte an die hinterlegte Adresse. Falls sich Ihre Adresse geändert hat, holen Sie sie bitte in einer Filiale ab.“
        Alles, was davon abweicht, ist ein Betrug durch jemanden, der sich als Betrugsabteilung ausgibt. Wenn nach irgendeiner Information außer „Haben Sie diese Zahlung getätigt?“ gefragt wird, ist es Betrug.
        Sie wissen bereits, wer Sie sind. Wenn sie es nicht wüssten, hätten sie Sie gar nicht erst angerufen.
    • Das Gesetz verpflichtet Banken bereits, Sicherheitsvorfälle der ICO zu melden. Zumindest sollte man diesen Vorfall der ICO melden; wenn möglich, wäre es auch gut, den Namen der Bank öffentlich zu nennen.
      Wenn es ein Wegwerf-Account ist, wäre es vielleicht besser, es wenigstens in diesem Thread zu hinterlassen, damit andere davon erfahren können.
  • Was wirklich nötig ist, ist umgekehrte Zwei-Faktor-Authentifizierung. Wenn ich mit jemandem telefoniere, der sensible Informationen verlangt, sollte ich in dessen App oder auf dessen Website eine sechsstellige Zahl erzeugen und die Person am anderen Ende auffordern können, sie zu verifizieren. Wenn sie das nicht kann, ist sie kein Bankmitarbeiter.
    Chase hat mich einmal angerufen, um eine Transaktion zu prüfen, die wie Betrug aussah. Der Mitarbeiter, der angeblich aus der Betrugsabteilung war, schickte mir als Erstes einen SMS-Code für die Zwei-Faktor-Authentifizierung, in dem ausdrücklich stand: „Mit niemandem teilen“.
    Als ich ihn auf diese Formulierung hinwies, sagte er: „Stimmt, aber ich brauche ihn, um zu bestätigen, dass Sie die Person sind, die ich erreichen will; wenn Sie ihn nicht herausgeben, sperre ich Ihr Konto.“
    Am Ende wurde mein Konto gesperrt, und ich konnte erst wieder auf meine Karte und das neue Konto zugreifen, nachdem ich in eine Filiale gegangen war, zwei Lichtbildausweise vorgelegt und eine neue Benutzer-ID sowie ein neues Passwort erstellt hatte.
    Ich habe mich beim Filialleiter und bei allen, die es hören konnten, nachdrücklich darüber beschwert, was für eine schreckliche Praxis solche widersprüchlichen Sicherheitsanweisungen sind.

    • Die Beschwerde sollte nicht an den Filialleiter gehen, sondern an das Office of the Comptroller of the Currency, das Consumer Financial Protection Bureau und die Presse.
      Der Filialleiter hat vermutlich weder Kontrolle über solche Richtlinien noch eine echte Möglichkeit, die Beschwerde an Stellen weiterzugeben, die handlungsbefugt sind.
      Allerdings könnte Chase das inzwischen behoben haben. Stand 2023 konnte die Sapphire-Kreditkartenabteilung von Chase bestätigen, ob eine Transaktion legitim oder betrügerisch war, und gegenüber einem Kundendienstmitarbeiter in Echtzeit die Identität verifizieren, ohne diese Erfahrung zu wiederholen.
      Man kann auf E-Mail- oder SMS-Benachrichtigungen antworten, die eine bestimmte Transaktion erwähnen, um sie zu verifizieren, und für Versuche zur Identitätsprüfung in Echtzeit wird auch die mobile App genutzt.
    • Bist du sicher, dass die Person am Telefon wirklich ein Chase-Mitarbeiter war? Manchmal ist es möglich, durch zu viele Login-Versuche ein Konto zu sperren, auch ohne tatsächlich Login-Zugriff zu haben.
    • Was nötig ist, ist nicht umgekehrte Zwei-Faktor-Authentifizierung, sondern gegenseitige Authentifizierung. Ausgehend von einem bereits geteilten Geheimnis sollten beide Seiten eines Telefonats ihre Identität innerhalb eines einzigen Verfahrens gleichzeitig gegenseitig bestätigen können.
      Idealerweise sollten auch menschenlesbare Metadaten angehängt sein, die den Zweck der Authentifizierung erklären.
      Dann muss die Bank nicht darum bitten, eine SMS vorzulesen, der Kunde muss nicht raten, ob das echt ist, und beide Seiten wissen in natürlicher Sprache eindeutig, welchem Zweck die Authentifizierung dient.
      Wenn eine Internetverbindung vorhanden ist, sollte die gesamte Kommunikation über das Internet laufen, und auf beiden Seiten sollte nur eine einfache Oberfläche wie „Bestätigen“ oder „Ablehnen“ übrig bleiben.
      Auch ohne Internet sollte dasselbe Protokoll möglich sein, etwa indem man ein paar Sätze vorliest und das Gehörte eingibt.
    • Du hast richtig reagiert. Ich habe nicht einmal zwei Lichtbildausweise. Wenn ich die Wahl gehabt hätte, wäre ich wahrscheinlich sofort zu einer anderen Bank gewechselt.
    • Man würde erwarten, dass die Betrugsabteilung einer Großbank deutlich besser ist, aber die Realität sieht anders aus. Ihre Anrufe sind von Phishing-Angriffen kaum zu unterscheiden.
      Normalerweise lege ich höflich auf und sage, dass ich die Betrugsabteilung über die auf der Website angegebene Telefonnummer kontaktieren werde. Mein Konto wurde dabei noch nie gesperrt.
  • Bei Ally Bank wirkt es dagegen so, als hätten sie ihre Debitkarten an den schlechtesten Anbieter ausgelagert
    Die haben mich angerufen und nach meiner Sozialversicherungsnummer gefragt. Als ich fragte: „Ist das eine Sicherheitsschulung? Testen Sie mich gerade?“, sagten sie nein und meinten, meine Karte sei kürzlich verwendet worden. Tatsächlich war ich es gewesen, der 400 Dollar abheben wollte
    Ich sagte, dass ich bei einem eingehenden Anruf nichts bestätigen oder verneinen werde
    Diese unhöfliche Person sagte, meine Debitkarte bleibe gesperrt, bis ich die Fragen beantworte, und ich sagte, okay, dann rufe ich die Bank direkt an
    Meine Karte ist immer noch gesperrt

    • In so einem Fall hat man auch die Möglichkeit, sich bei der Bankenaufsicht des Bundesstaats, dem CFPB, der FDIC und der FTC zu beschweren
      Wenn man höflich vorgehen will, kann man der Bank einen Brief schreiben, erklären, was passiert ist, und die Aufsichtsbehörden in Kopie setzen. Dann landet es wahrscheinlich in der Rechtsabteilung und kann zu einer Änderung der Richtlinien oder zu einer Entschädigung führen
      [1] https://www.consumerfinance.gov/ask-cfpb/how-do-i-find-my-st...
      [2] https://www.consumerfinance.gov/complaint/
      [3] https://www.fdic.gov/contact/
      [4] https://reportfraud.ftc.gov/#/
    • Völlig absurd. Mir ist mit Citibank etwas Ähnliches passiert
      Ich hatte beschlossen, ein M2 MacBook Pro zu kaufen, als der nahegelegene Apple Store in weniger als 30 Minuten schloss, also rannte ich los und hatte dabei meine Geldbörse vergessen
      Ich dachte, das sei kein Problem, weil alle meine Karten in Apple Pay waren, aber egal mit welcher Karte ich zahlen wollte, es wurde eine Betrugssperre ausgelöst
      Der Apple-Mitarbeiter sagte, Amex sei am pingeligsten, also rief ich Citi an, und der Supportmitarbeiter sagte, er habe „einen Code an mein Handy geschickt“
      In der SMS stand: „Citi ID Code: 671865. We'll NEVER call or text for this code“, und als ich sagte: „In dieser SMS steht, dass Sie niemals am Telefon nach diesem Code fragen, aber genau das tun Sie gerade“, lachte er und sagte: „Ja, ich weiß, dass das da steht, aber Sie müssen ihn mir vorlesen“
      Widerwillig las ich ihn vor, die Kartensperre wurde aufgehoben, aber als ich erneut bezahlte, wurde sie wieder gesperrt. Am Ende rannte ich nach Hause, holte meine Geldbörse und rannte zurück; der Apple-Mitarbeiter ließ mich ungefähr eine Minute vor Ladenschluss noch hinein
      Das war vor etwa sechs Monaten, aber die Citi-App zeigt immer noch an, dass die Karte gesperrt sei und „dringend ein Gespräch erforderlich“ sei. Zahlungen laufen jedoch weiter, als wäre nichts gesperrt
      Ich lasse diesen Limbo-Zustand bestehen, um zu debuggen, was da passiert, und habe die Karte seitdem nicht wieder benutzt, außer wenn ein Terminal wirklich keine Amex akzeptiert
    • Es ist schwer zu glauben, wie schlecht das Sicherheitsniveau von Finanzinstituten ist
      Bei einem früheren Arbeitgeber mussten wir unsere Firma im Kreditorensystem eines Kunden registrieren, das von US Bank betrieben wurde
      Man sagte uns, wir würden die Registrierungsanleitung per Post erhalten, und eine Woche später kam ein Brief, in dem stand: „Um die Einrichtung zu starten, gehen Sie auf https://bit.ly/...“. Natürlich hielt ich das für Phishing
      Aber als ich darüber nachdachte, wer in der Lage wäre, ein Registrierungspaket genau an den richtigen Ort und zum richtigen Zeitpunkt zu schicken, kam eigentlich nur ein Insider infrage
      Ich rief bei US Bank an, und sie bestätigten, dass dieses Paket tatsächlich legitim war und dass sie wirklich einen bitly-Link verwenden. Einfach unfassbar
    • Ich hatte eine ähnliche Erfahrung mit der britischen Sainsbury’s Bank
      Nach einer fehlgeschlagenen Transaktion kam plötzlich ein Anruf, und als ich die verlangten Informationen nicht herausgab, sperrten sie mein Konto. Zum Entsperren musste ich physische Unterlagen einschicken, was Geld kostete
      Zu einer anderen Bank zu wechseln war einfach, und sie haben einen Kunden nach 15 Jahren verloren. Gut gemacht, Sainsbury’s Bank
    • Die Sicherheitspraktiken wirken miserabel und deine Reaktion war richtig, aber ich frage mich, warum du nicht bei der Bank angerufen hast, um die Karte entsperren zu lassen und Feedback zu geben, dass ihr Outsourcing-Anbieter miserabel ist
  • Eine gute Funktion, aber das Grundproblem ist, dass Menschen dem völlig unsicheren Telefonsystem zu sehr vertrauen
    Jeder muss mit seinen älteren Eltern „dieses Gespräch“ führen. Man muss sie davon überzeugen, niemals per Telefon oder E-Mail Geschäfte zu machen, wenn sie die Konversation nicht selbst begonnen haben
    Seriöse Unternehmen rufen nicht an und verlangen, dass man Geld bezahlt, Zugriff auf den Computer gewährt oder Sicherheitscodes herausgibt
    Immer auflegen und über die offizielle Nummer zurückrufen, selbst wenn es sich wirklich wie eine Frage von Leben und Tod anfühlt. Kleiner Hinweis: Das ist es nicht
    Meine Eltern sind wachsam, weil sie früher schon einmal betrogen wurden, aber ich glaube trotzdem nicht, dass sie vorsichtig genug sind
    Wegen ihres Alters werden sie auch stark angegriffen. Bei meinem letzten Besuch klingelte das Telefon alle ein bis zwei Stunden, und es war jedes Mal Betrug oder Spam. Beim nächsten Mal könnte ein raffinierterer Angriff funktionieren
    Diese Art von Betrug durch externe Anrufer wird wohl weitergehen, bis diese Generation verschwunden ist. Der Instinkt „Telefonen vertraut man“ ist einfach zu stark
    Natürlich werden Betrüger in meiner Generation etwas finden und ausnutzen, dem wir instinktiv vertrauen

    • Es liegt wahrscheinlich weniger am Alter, sondern eher daran, dass sie schon einmal betrogen wurden und ihre Daten deshalb auf einer Liste verifizierter Opfer stehen
      Solche Listen werden untereinander geteilt, weil man annimmt, dass diese Personen mit höherer Wahrscheinlichkeit auf den nächsten Betrug hereinfallen als zufällige Nummern
    • Das müsste man allen immer wieder einprägen, und es ist erstaunlich, dass das noch nicht der Fall ist
      Ich bekomme regelmäßig E-Mails von Händlern und Banken, in denen steht: „Wir werden Sie niemals anrufen und nach Geld oder persönlichen Daten fragen“
      Und dort steht auch, dass man auflegen und die offizielle Nummer der jeweiligen Institution anrufen soll, wenn man sich nicht sicher ist
      Der schnellste Weg, die offizielle Nummer zu finden, ist ein Blick auf die Rückseite der Debit- oder Kreditkarte. Dort sollte sie aufgedruckt sein
      Im Unterschriftsfeld der Karte sollte man nicht unterschreiben, sondern lieber etwas wie „SEE ID“ schreiben
  • Wie in „Privacy & settings — Aktueller Standort — wäre die natürliche Stelle, aber es sollte auch an anderen Stellen sichtbar sein“ dürfte der nächste Schritt darin bestehen, vor dem Anruf eine App-Push-Benachrichtigung zu senden und direkt nach dem Login in der App ein Banner anzuzeigen.
    Wenn an verschiedenen Stellen in der App ein visueller Hinweis erscheint wie „Wenn Sie gerade telefonieren, sollte das nicht der Fall sein“, kann das die Erfolgschancen von Angreifern verringern.

    • Ich weiß nicht, wie iOS damit umgeht, aber unter Android kann man die Berechtigung erhalten, zu prüfen, ob der Nutzer gerade telefoniert.
      Normalerweise wird das genutzt, um Medien stummzuschalten, wenn ein Anruf eingeht, aber bei einer sensiblen App könnte man auf dem Homescreen auch anzeigen, ob ein echter Support-Mitarbeiter gerade versucht, Kontakt aufzunehmen.
      Anrufdetails wie Telefonnummern bekommt man vermutlich nicht leicht, aber mit den passenden Berechtigungen scheint es auch möglich, eine nutzergemeldete Liste betrügerischer Nummern zu pflegen und eine Benachrichtigung zu senden, wenn ein bekannter Betrüger anruft.
    • In der gesamten App wäre das vielleicht zu ablenkend, aber es auf wichtigen Screens wie der Transaktionsbestätigung zu platzieren, ist eine gute Idee.
    • Die UX ist falsch. Wenn die Bank wirklich gerade telefoniert, sollte in der App ein auffälliges Banner erscheinen; wenn nicht, sollte gar nichts zu sehen sein.
  • Meine Bank hat seit einigen Jahren eine ähnliche Funktion.
    Wenn jemand anruft, wird man aufgefordert, die Handy-App zu öffnen, und in der App erscheint als Banner eine In-App-Benachrichtigung nach dem Motto: „Drücken Sie OK, um zu bestätigen, dass dies die Person ist, mit der Sie gerade sprechen.“
    Bevor man bestätigt, kann die andere Person nicht auf Kontodetails zugreifen.

    • Das bedeutet, dass die Verifizierung nur angestoßen wird, wenn wirklich ein Bankmitarbeiter anruft. Betrüger werden das nicht tun, und wenn der Kunde nicht selbst nachhakt, kann der Betrug weitergehen.
      Ich habe Angst, dass mir mit zunehmendem Alter die Geistesgegenwart verloren geht, mich vor solchem Bankbetrug zu schützen. Eine Lösung kenne ich nicht.
    • Diese Funktion wirkt nicht nur wie Schutz vor Betrügern, sondern auch vor internen Angriffen.
      Es kann helfen, wenn Kunden bemerken und misstrauisch werden, dass ein Angreifer keine Bestätigung verlangt; solche Leute dürften aber eher selten sein, und Betrüger können Bedenken mit plausibel klingenden Ausreden gut zerstreuen.
  • Ich frage mich, ob diese Funktion auch funktioniert, wenn ich Monzo anrufe. Wenn nach der Angabe von Informationen dieselbe Anzeige in der App erscheint, öffnet das die Tür für einen Man-in-the-Middle-Angriff.
    In diesem Fall könnte der Angreifer dadurch legitim wirken, was den Angriff sogar deutlich gefährlicher macht.

    • Das setzt voraus, dass man überhaupt erst telefonisch mit Monzo verbunden wird.
      Unter den Nummern, die ich finden kann, führt keine zu einem Menschen; man wird endlos darauf verwiesen, den In-App-Chat zu benutzen. Dieser Chat ist aber eher „Hinterlassen Sie eine Nachricht, wir sehen sie uns am Montag an“ als echter Live-Chat.
      Monzo hat einmal fast fünf Tage lang alle meine Bankkonten eingefroren, weil eine Betrugspräventionsmaßnahme ausgelöst wurde.
      In der Theorie großartig, aber schrecklich, wenn man tatsächlich mit niemandem sprechen kann.
    • Warum ermöglicht man Telefonate nicht einfach als sicheren Sprachchat innerhalb der App?
  • Am besten wäre eine Bank, die weder Anrufe noch SMS über das bestehende Telefon- und Mobilfunknetz nutzt und auch keine E-Mails verwendet. Sie sollte immer sichere In-App-Kommunikation einsetzen.
    Für den Zugriff sollten sicheres Device Binding, Passwort/PIN und biometrische Authentifizierung verwendet werden; für die Ersteinrichtung und das Zurücksetzen von Zugangsdaten vorab registrierte und sicher zugestellte FIDO2-Token (Yubikey) sowie In-App-Video-KYC.
    Beim Zurücksetzen von Zugangsdaten sollte man sich nicht auf andere Kanäle verlassen. Nutzer sollten vom ersten Tag an darauf trainiert werden, dass sie auf keinem anderen Weg kontaktiert werden, damit sichere Erwartungen entstehen.
    Innerhalb der App sollte für jede Geldtransaktion eine zusätzliche Authentifizierung verlangt werden, und serverseitig sollten transaktionsbezogene und tägliche Überweisungslimits gelten.
    Für hohe Überweisungen sollte der Empfänger zum Konto hinzugefügt werden müssen, mit einer Abkühlfrist von ein bis zwei Tagen; in dieser Zeit sollte der Nutzer informiert werden und ausreichend Gelegenheit haben einzugreifen, falls es sich seiner Meinung nach um einen Fehler oder Betrug handelt.
    Sofortzahlungen mit geringer Reibung sollten nur an vorab verifizierte und registrierte Händleradressen erlaubt sein.
    Für sofortige Überweisungen zwischen Privatpersonen braucht es Geschwindigkeitsbegrenzungen sowie einen rechtlichen Rahmen, der bei Betrug Rückholung und Strafverfolgung ermöglicht.
    Außerhalb des Netzwerks, etwa bei internationalen Sofortüberweisungen, sollte der Empfänger zwingend verifiziert und dem Konto des Zahlers hinzugefügt werden müssen; außerdem braucht es einen Betrugsschutzfonds, der schnelle Rückholung ermöglicht, sowie einen Rechtsrahmen für internationale Strafverfolgung.
    Wenn man ohne solche Schutzmaßnahmen nur die Geschwindigkeit von Banktransaktionen erhöht, führt das zwangsläufig zu größeren Betrugsschäden, als sie traditionell akzeptiert wurden.

    • Ich bin Monzo-Kunde, und ehrlich gesagt überrascht es mich, dass sie überhaupt eine Telefonoption anbieten.
      Ich erledige möglichst alles online; das ist für sie günstiger, für mich bequemer, und die oben genannten Gründe kommen dazu.
      Telefonate dürften nur in sehr seltenen Grenzfällen vorkommen, etwa bei älteren oder behinderten Kunden, komplexen Transaktionen oder gescheiterter Identitätsprüfung.
      Vielleicht rufen sie auch gar nicht an und haben diese Funktion nur für extrem seltene Fälle eingebaut. Allerdings wirkt die Erklärung „Wenn wir anrufen, ändert sich die Farbe“ auf jemanden, der gerade mit einem aggressiven Betrüger telefoniert, überzeugender als „Wir rufen niemals an“.
    • Das wäre zwar sehr sicher, würde aber so unbequem, dass es praktisch unbenutzbar wäre. Kunden würden eine andere Bank wählen, und in manchen Fällen könnte es sogar einfacher sein, Einlagen über die Aufsichtsbehörde oder ein Gericht zurückzubekommen, als einen unmöglichen Kontowiederherstellungsprozess zu durchlaufen.
    • Für technisch versierte Nutzer klingt das großartig, aber der Grund, warum Banken weiterhin Telefon, E-Mail und SMS nutzen, ist wahrscheinlich, dass die meisten Nutzer technisch nicht so versiert sind und stark an bereits vertrauten, wenn auch ungeeigneten Kommunikationsmitteln festhalten.
      In einem früher hier geteilten Beitrag aus der Inkassobranche gab es sinngemäß die Stelle: „Sie wären überrascht, wie wenig viele Menschen von Banken, Technik und grundlegender Mathematik verstehen.“
    • Gute Ideen, aber die Umsetzung ist wirklich nicht einfach. Der Hauptgrund ist organisatorische Trägheit, und es könnte außerdem ein Wettbewerbsnachteil gegenüber anderen Banken entstehen. Sicherheit und Komfort stehen tatsächlich oft in einem Trade-off.
      Du sagst: „Verlasst euch beim Zurücksetzen von Zugangsdaten nicht auf andere Kanäle“ — was passiert, wenn das Haus des Kunden abbrennt und Handy und Yubikey zusammen verschwinden?
      Den rechtlichen Rahmen für Rückholung und Strafverfolgung bei sofortigen Überweisungen zwischen Privatpersonen kann keine einzelne Bank festlegen.
      Wenn man bei hohen Überweisungen verlangt, den Empfänger hinzuzufügen und ein bis zwei Tage Abkühlfrist abzuwarten, kommt die Reaktion: „Warum bestimmen Sie, was ich mit meinem Geld tun darf und was nicht?“
      Es gibt auch reale Fälle, in denen man plötzlich einen großen Betrag an einen zuvor unbekannten Empfänger senden muss, etwa beim Kauf eines Gebrauchtwagens.
      Vorab registrierte FIDO2-Token wären wirklich gut, aber keine der Banken, mit denen ich zu tun hatte, unterstützte FIDO. Ich habe noch nicht einmal von so einer Bank gehört; wenn es sie gäbe, würde ich vielleicht sogar ein Konto eröffnen.
    • Funktionieren sicheres Device Binding, Passwort/PIN, biometrische Authentifizierung, vorab registrierte und sicher zugestellte FIDO2-Token sowie In-App-Video-KYC auch auf datenschutzfreundlichen ROMs wie GrapheneOS? Wenn nicht, ist das für mich weit von der besten Lösung entfernt.
  • Gibt es Banken oder Unternehmen, die proaktiv versuchen, ihre Kunden hereinzulegen? Also anrufen, dann ein paar Warnsignale einstreuen und sie so schulen.
    Gerade bei älteren Kunden kann eine heikle Generalprobe kurz vor einem echten Schaden helfen, das Betrugsrisiko zu senken.

    • Banken hierzulande verschicken verschiedene E-Mails mit Betreffzeilen, die „nach Betrug aussehen“, und wenn man sie öffnet, steht im Banner „Fallen Sie nicht auf solche Betrugsmaschen herein“ oder „So beginnt Betrug“.
      Eine Option, solche E-Mails abzuschalten, wäre ziemlich gut; im Moment erhöhen sie nur das Rauschen im Posteingang.
      Natürlich landen die betrugsähnlichen E-Mails der Bank im Posteingang, echte Betrugs-E-Mails dagegen im Spamordner.
    • Nicht an Kunden gerichtet, aber die Firma, bei der ich arbeite, schickt uns regelmäßig „Betrugs“-E-Mails.
      Wenn man auf den Link klickt, bekommt man ein verpflichtendes Phishing-Training zugewiesen. Dadurch bin ich vorsichtiger geworden.
    • Ist das ein simuliertes Penetration Testing für ältere Menschen? Klingt nach einem tollen Service.
    • Mehrere Banken, die ich nutze, machen das ständig.
      Allerdings nicht zu Schulungszwecken, sondern als Teil des normalen Betriebs; und wenn man diese sehr verdächtigen, voller Warnsignale steckenden „Dinge, die man niemals tun sollte“ ablehnt, kann man die gewünschte Angelegenheit nicht erledigen.
      Ich wurde am Telefon schon aufgefordert, einen Teil oder die gesamte PIN fürs Online-Banking anzugeben, und im Rahmen von 3DSecure sollte ich auf einer verdächtigen, beliebigen Website meine Kreditkarten-PIN eingeben.
      Das waren unterschiedliche Banken, beides waren echte Verfahren, und es kam wiederholt vor.
  • Gute Idee, aber es gibt ein Problem: Wenn man telefoniert und nicht im WLAN ist, ist das Modem an den Anruf gebunden und das Internet funktioniert nicht.
    Nach meinem Verständnis passiert das mit VoLTE nicht, aber das heißt, dass diese Funktion für sehr viele Menschen möglicherweise nicht funktioniert.

    • Genau. CSMA braucht VoLTE, oder andernfalls müssten die Daten aktiv bleiben, während der Anruf auf 3G zurückfällt.