Banking-Apps von Comdirect und Co. Wie sicher sind die eigentlich?

Die Comdirect-App und die Sicherheit ist Thema dieses Beitrages. Aber anfangen möchte ich anders: Es passierte abends auf der gut belebten Düsseldorfer Einkaufsmeile Schadowstrasse: Mein Handy klingelt, ich telefoniere kurz, stecke das Gerät in die Manteltasche und gehe weiter. Offenbar hat mich dabei ein Taschendieb beobachtet und seine langen Finger mobilisiert. Eine halbe Stunde später merke ich: Handy weg.

Es war natürlich leichtsinnig von mir, für jeden sichtbar das Handy in eine Außentasche zu stecken. Ebenso leichtsinng war es, keine Displaysperre einzurichten. Bis zur Sperrung konnte der Dieb meine Mails lesen, meine Fotos angucken usw.

Comdirect bietet Banking-App für Iphone und Ipad

Daran musste ich denken, als heute die Comdirect per Pressemitteilung verkündete, sie habe nun auch eine Banking-App für Iphone und Ipad. Auszug:

Viele wollen daher auch während des Urlaubs ihren Konto- oder Depotstand im Blick haben. “Mit der kostenlosen Banking App der comdirect bank für iPhone und iPad ist das praktisch von jedem Ort im In- und Ausland möglich”, sagt Helge Fobbe, Leiter Webmanagement bei der comdirect. Die App ermöglicht zum Beispiel Überweisungen oder Kontostandsabfragen und beinhaltet eine Depotübersicht. Eine Geldautomatensuche führt Nutzer innerhalb Deutschlands direkt zum nächsten Automaten, an dem kostenlos Bargeld abgehoben werden kann. Ein weiterer Vorteil: Die App der comdirect ist multibankfähig. Damit lassen sich Konten von nahezu allen deutschen Banken und Sparkassen ganz einfach im Blick behalten.

Praktisch sind die Bankterminals für die Hosentasche ohne Zweifel. Vielleicht gibt es sie sogar eines Tages für die wachsende Zahl von Android-Nutzern. Aber würde ich mir dann so eine App runterladen? Wenn ich an die Sicherheit denke, kommen mir Bedenken. Wer das Passwort knackt, hat zumindest Zugang zu allen Kontodaten. Schwachstellen können einerseits die Apps selber sein (und die Schwachstellen gab es bereits), andererseits das Betriebssystem.

Comdirect: Missbrauchsrisko trägt Kunde

Die Comdirect erklärte auf Anfrage, der App-Produzent sei eine renommierte Firma mit Zertifizierung. Das Missbrauchsrisko trägt gleichwohl der Kunde, es gelten die selben Bedingungen wie für das Online-Banking am Windows-PC zu Hause. Was kann im schlimmsten Fall schiefgehen? Klar, wer Tans auf dem Handy speichert, ist selber schuld. Mein erster Gedanke war aber, dass ein Handy-Dieb sich künftig eine Tan direkt auf das geklaute Handy schicken lässt. Denn immer mehr Banken stellen derzeit auf SMS-Tan um (auch Mobile-Tan oder mTan genannt). Der Freigabe-Code für eine Transaktion kommt per SMS auf ein vorher registriertes Handy.

Wie es bei der Comdirect heißt, ist es nicht möglich, per Handy eine Transaktion in Auftrag zu geben und auf das gleiche Handy eine TAN-SMS zu bekommen. Der Zentrale Kreditausschuss (ZKA), ein Branchenverband, habe eine 2-Kanal-Trennung vorgeschrieben. Der ZKA schreibt:

Dies impliziert bereits, dass die Verwendung des mobileTAN-Verfahrens z. B. über nur ein mobiles Smartphone für beide Kommunikationsstrecken nicht zulässig ist und daher in den Kundenbedingungen für das Online-Banking explizit ausgeschlossen wird.

Nur: Was nutzt dann die App, wenn ich noch ein zweites Handy brauche, um die SMS-Tan zu erhalten und eine Überweisung wirklich auszuführen? Es bleibt ohne zweites Handy nur das Vergnügen, sich jederzeit und überall den Kontostand anzuschauen. Und so gross ist das Vergnügen manchmal gar nicht.