Das Symptom
Die Bank bietet ihre Freigabe-App fürs Handy an, die Banking-App liegt schon
daneben, und beim Einrichten beschleicht einen das Gefühl, etwas Verbotenes zu
tun. Im Bekanntenkreis heißt es, das dürfe man gar nicht, das seien dann keine
zwei Faktoren mehr, und irgendwo habe die Bank sich damit aus der Haftung
gestohlen. Gleichzeitig funktioniert es tadellos, und ein zweites Gerät liegt
nicht herum.
Die „Layer 8“-Wahrheit
Hier lohnt es sich, die verbreitete Behauptung einmal am Text zu messen, denn
sie stimmt so nicht. Verboten ist es nicht. Die Delegierte Verordnung (EU)
2018/389 kennt den Fall so genau, dass sie ihm einen eigenen Begriff gibt:
Artikel 9 Absatz 2 spricht vom Mehrzweckgerät und verlangt für den Fall, dass
ein Element der starken Kundenauthentifizierung oder der Authentifizierungscode
selbst davon verwendet wird, „Sicherheitsmaßnahmen zur Minderung des Risikos
[…], das aus der missbräuchlichen Verwendung eines solchen Mehrzweckgeräts
erwachsen würde“. Absatz 3 zählt diese Maßnahmen auf: getrennte sichere
Ausführungsumgebungen für die auf dem Gerät installierte Software, Mechanismen
gegen unbemerkte Veränderung von Software oder Gerät und Mechanismen zur
Eindämmung der Folgen, falls doch etwas verändert wurde. Das ist die Sprache
einer Erlaubnis mit Auflagen, nicht die eines Verbots. Und die Auflagen richten
sich an die Bank, die dafür sorgen muss, dass ihre App das leistet.
Der zweite Teil der Behauptung – zwei Apps auf einem Gerät seien keine zwei
Faktoren – geht am Begriff vorbei. § 1 Absatz 24 des
Zahlungsdiensteaufsichtsgesetzes verlangt mindestens zwei Elemente aus den
Kategorien Wissen, Besitz und Inhärenz, die in dem Sinne unabhängig sind, „dass
die Nichterfüllung eines Kriteriums die Zuverlässigkeit der anderen nicht in
Frage stellt“. Unabhängigkeit ist damit eine Eigenschaft der Elemente
zueinander, kein Abstandsmaß in Zentimetern. Ein Wissens-Element bleibt ein
Wissens-Element, auch wenn es auf demselben Bildschirm eingegeben wird, auf dem
der Besitz nachgewiesen wird.
Womit die Kritiker allerdings recht behalten: Ein gemeinsames Gerät ist ein
gemeinsamer Ausfallpunkt, und darauf zielt die ganze Konstruktion aus Artikel 9
Absatz 2 und 3. Das BSI zieht daraus die praktische Konsequenz und rät klar zur
Trennung – die in Deutschland verwendeten TAN-Verfahren seien sicher, „solange
die Nutzerinnen und Nutzer Banking und TAN-Erstellung immer auf
unterschiedlichen Geräten durchführen“. Beides zusammen ergibt eine
unspektakuläre Wahrheit: Wer beides auf einem Telefon hat, tut nichts
Unerlaubtes und muss auch nichts überstürzt umbauen. Wer die Wahl hat, nimmt
trotzdem die Trennung. Und wer sie nicht hat, holt sich den größten Teil des
Unterschieds über drei banale Dinge zurück: kein verändertes Betriebssystem,
Apps nur aus der offiziellen Quelle – und jede Freigabe wirklich lesen, statt
sie wegzutippen.
Die echte, verifizierte Lösung
1000 % faktenbasiert. Jeder Befehl ist real, jeder Pfad existiert. Schritt für Schritt:
1.Den eigenen Aufbau nüchtern einordnen
Erst einmal: Wenn Banking-App und Freigabe-App auf demselben Telefon liegen, ist nichts verboten und nichts kaputt. Was zutrifft, ist etwas anderes: Beide Elemente liegen hinter derselben Gerätesperre und in demselben Betriebssystem. Fällt das Gerät aus – Verlust, Diebstahl, Schadsoftware –, fällt beides gleichzeitig aus. Genau diesen Fall meint Artikel 9 Absatz 2 der Delegierten Verordnung (EU) 2018/389 mit dem Risiko, das aus der missbräuchlichen Verwendung eines Mehrzweckgeräts erwächst.
2.Nachsehen, welche Verfahren die Bank überhaupt anbietet
In den Sicherheitseinstellungen des Kontos steht oft mehr zur Auswahl, als beim ersten Einrichten angeboten wurde: photoTAN mit einem zweiten Gerät, ein TAN-Generator mit Karte, teils mehrere Verfahren parallel. Das BSI hält den externen Generator für die sicherste Variante, „da dieser vom Internet getrennt ist und ausschließlich für das Onlinebanking benutzt wird“. Für ein Konto, über das Gehalt und Miete laufen, lohnt der Blick in diese Liste mehr als jede weitere Sicherheits-App.
3.Das Gerät nicht verändern – und Updates einspielen
Hier greifen Vorschrift und Empfehlung ineinander. Artikel 9 Absatz 3 Buchstabe b verlangt Mechanismen, die sicherstellen, dass Software oder Gerät nicht verändert wurden. Wer root oder Jailbreak einsetzt, hebt genau diese Annahme auf – und viele Banking-Apps verweigern dann den Dienst, was kein Schikanieren ist, sondern die Umsetzung dieser Ziffer. Dazu die Grundpflege: Betriebssystem aktuell halten, Banking- und TAN-App stets in der neuesten Version betreiben.
4.Apps nur aus der offiziellen Quelle beziehen
Das BSI formuliert es als Regel für Mobile Banking: die Software nur von vertrauenswürdigen Quellen installieren, also von der Bank oder dem bekannten App-Store, stets die aktuellste Version verwenden und Softwareupdates einspielen, sobald sie verfügbar sind. Eine per Link nachinstallierte Freigabe-App ist der kürzeste bekannte Weg, beide Elemente auf einmal an Fremde zu verlieren.
5.Jede Freigabe inhaltlich lesen statt wegzutippen
Der wirksamste Schutz auf einem einzigen Gerät ist der Blick auf die Anzeige. § 55 Absatz 2 des Zahlungsdiensteaufsichtsgesetzes verlangt bei elektronischen Fernzahlungsvorgängen eine starke Kundenauthentifizierung, „die Elemente umfasst, die den Zahlungsvorgang dynamisch mit einem bestimmten Betrag und einem bestimmten Zahlungsempfänger verknüpfen“. Artikel 5 Absatz 1 der Verordnung schreibt dazu vor, dass Zahlungsbetrag und Zahlungsempfänger dem Zahler angezeigt werden und dass jede Änderung an Betrag oder Empfänger den Code ungültig macht. Wer Betrag und Empfänger tatsächlich liest, entwertet einen ganzen Angriffstyp.
6.Gerätesperre, Abmelden, Limit
Drei Punkte aus den BSI-Empfehlungen, die auf einem gemeinsam genutzten Gerät besonders zählen: die Sperrfunktion des Telefons nutzen, sich nach dem Banking über Logout korrekt abmelden statt die App nur wegzuwischen, und mit der Bank ein Limit für tägliche Geldbewegungen vereinbaren. Das Limit ist der einzige dieser Punkte, der auch dann noch wirkt, wenn alles andere schiefgegangen ist.
7.Den Verlustfall vorbereiten, bevor er eintritt
Wenn Banking und Freigabe auf demselben Telefon liegen, ist der Verlust des Telefons der Ernstfall. Das BSI: bei Verlust des mobilen Gerätes unverzüglich die SIM-Karte und alle Zugänge zu den hinterlegten Bankkonten sperren lassen. Dafür brauchst du zwei Dinge, die nicht auf diesem Telefon liegen dürfen: die Sperrnummer deiner Bank und ein zweites Gerät oder einen Anschluss, von dem aus du anrufen kannst. Eine Notiz im Portemonnaie erfüllt diesen Zweck vollständig.