Webbanking auf Smartphone / Tablet - Teil 5 – Der Angriff beginnt manchmal mit einem Blick über die Schulter

Unverbindliche KI generierte Beispielillustration

In Teil 4 ging es darum, warum ein gepflegter Computer eine gute Grundlage für Webbanking sein kann.

Doch selbst moderne Sicherheitstechnik kann erheblich an Wirkung verlieren, wenn ein Angreifer eine besonders wichtige Information kennt:

den Gerätecode des Smartphones oder Tablets.

Und genau deshalb kann der Angriff beginnen, lange bevor das Gerät tatsächlich gestohlen wird.

Shoulder Surfing – der Blick über die Schulter

„Shoulder Surfing“ bedeutet, dass jemand heimlich beobachtet, wie ein anderer Mensch einen PIN-Code, ein Passwort oder den Gerätecode seines Smartphones eingibt.

Das kann beispielsweise passieren:

• im Bus,

• in der Tram,

• im Zug,

• im Café,

• beim Warten an einer Kasse,

• auf einem Bahnhof,

• am Flughafen,

• oder überall dort, wo Menschen dicht hintereinander stehen oder sitzen.

  
  

Der Täter muss dabei nicht unmittelbar neben seinem Opfer stehen.

Es genügt, die Eingabe aus einem günstigen Winkel beobachten zu können.

Besonders problematisch wird die Situation, wenn der Täter anschließend auch noch das Smartphone bekommt.

Dann besitzt er möglicherweise:

das Gerät und den dazugehörigen Entsperrcode.

Warum der Gerätecode so wertvoll ist

Umgangssprachlich könnte man ihn als eine Art „Mastercode“ bezeichnen.

Technisch ist das nicht ganz richtig.

Der Gerätecode ist nicht automatisch das Passwort für Webbanking, E-Mail, Auto-App oder Alarmanlage.

Er ist jedoch ein zentraler Teil des Vertrauensmodells des Smartphones.

Kennt ein Dieb den Gerätecode, fällt deshalb eine wichtige Sicherheitsbarriere weg.

Je nach Gerät, Betriebssystem und persönlichen Einstellungen kann er möglicherweise:

• das Smartphone entsperren,

• bereits angemeldete Apps öffnen,

• E-Mails und Nachrichten lesen,

• Benachrichtigungen und Bestätigungscodes sehen,

• persönliche Dokumente öffnen,

• auf gespeicherte Zugangsdaten zugreifen,

• Sicherheits- und Kontoeinstellungen verändern,

• oder versuchen, Kennwörter anderer Dienste zurückzusetzen.

  
  

Das bedeutet nicht, dass automatisch jede Banking-App geöffnet werden kann.

Viele Banken verlangen einen zusätzlichen PIN oder biometrische Bestätigung.

Auch Auto-Apps, Alarmanlagen oder andere sensible Anwendungen können eigene Sicherheitsmechanismen besitzen.

Das Problem entsteht durch die Kombination vieler Zugänge auf einem einzigen Gerät.

Der Dieb besitzt möglicherweise nicht nur das Telefon.Er hat gleichzeitig das Gerät, den Gerätecode, das E-Mail-Postfach, eingehende Nachrichten und bereits angemeldete Anwendungen vor sich.

Der Passwortmanager wird zum digitalen Schlüsseltresor

Viele Menschen merken sich heute kaum noch jedes einzelne Kennwort.

Bei Apple werden Passwörter und Passkeys über die Passwörter-App beziehungsweise den iCloud-Schlüsselbund gespeichert.

Bei Android und Chrome übernimmt häufig der Google Passwortmanager diese Aufgabe.

Das ist komfortabel und grundsätzlich gut abgesichert.

Es bedeutet jedoch auch:

Auf dem Smartphone befinden sich möglicherweise Zugangsmöglichkeiten für einen großen Teil des digitalen Lebens.

Dazu können gehören:

• E-Mail,

• Online-Shops,

• soziale Netzwerke,

• Cloudspeicher,

• Kundenportale,

• Reiseportale,

• Versicherungen,

• Auto-App,

• Alarmanlage,

• Smart Home,

• Streaming-Dienste,

• Verwaltungsdienste,

• und viele weitere Konten.

Auch Passkeys können dort gespeichert sein.

Der Passwortmanager wird damit zu einem digitalen Schlüsselbund beziehungsweise Schlüsseltresor.

Wallet und Passwortspeicher sind nicht dasselbe

Eine wichtige Unterscheidung:

Apple Wallet oder Google Wallet speichern insbesondere Zahlungs-, Identitäts- oder andere Karten.

Passwörter werden dagegen über den Apple- beziehungsweise Google-Passwortmanager verwaltet.

Bei einem verlorenen Smartphone müssen jedoch beide Bereiche berücksichtigt werden.

Denn neben Zugangsdaten können auch digitale Zahlungsmittel auf dem Gerät hinterlegt sein.

Wenn das Smartphone weg ist, zählt jede Minute.

Das eigentliche Problem wird vielen Menschen erst bewusst, wenn sie feststellen:

Das Telefon ist weg – und der Täter könnte meinen Gerätecode kennen.

Dann entsteht schnell erheblicher Zeitdruck.

Plötzlich müssen viele Fragen gleichzeitig beantwortet werden:

• Ist das Smartphone noch online?

• Ist es bereits entsperrt?

• Kann jemand meine E-Mails lesen?

• Kommt er an gespeicherte Passwörter?

• Ist meine Banking-App geöffnet?

• Kann LuxTrust betroffen sein?

• Welche Karten sind auf dem Gerät hinterlegt?

• Ist meine Auto-App angemeldet?

• Kann meine Alarmanlage über die App gesteuert werden?

• Kann ich das Smartphone noch aus der Ferne sperren?

• Komme ich selbst noch in meine Konten?

Viele Dienste hängen voneinander ab

Besonders kritisch ist das primäre E-Mail-Konto.

Denn über E-Mail werden bei vielen Diensten:

• Kennwortänderungen bestätigt,

• Sicherheitswarnungen verschickt,

• Wiederherstellungslinks zugestellt,

• und neue Geräte angemeldet.

Gelangt ein Täter sowohl an das Smartphone als auch an das E-Mail-Konto, kann sich das Risiko auf weitere Dienste ausweiten.

Ähnliches gilt für einen Passwortmanager.

Sind dort viele Zugangsdaten gespeichert, betrifft der Vorfall nicht mehr nur das Telefon.

Die zentralen Konten sind besonders wichtig

Besondere Aufmerksamkeit verdienen:

Apple Account beziehungsweise Google-Konto

und

das primäre E-Mail-Konto.

Diese Konten dienen bei vielen anderen Diensten als Wiederherstellungsweg.

Wer dort die Kontrolle gewinnt, kann möglicherweise versuchen:

• Passwörter anderer Konten zurückzusetzen,

• Sicherheitsmeldungen abzufangen,

• Wiederherstellungsdaten zu verändern,

• eigene Geräte hinzuzufügen,

• vorhandene Geräte abzumelden,

• oder den eigentlichen Besitzer aus seinem Konto auszusperren.

Wenn der Täter schneller ist

Jetzt entsteht der eigentliche Stress.

Der Besitzer versucht vielleicht, sein Apple- oder Google-Passwort zu ändern.

Doch die Bestätigung soll ausgerechnet auf das gestohlene Smartphone gesendet werden.

Er möchte das E-Mail-Konto sichern.

Aber auch dort wird eine Zwei-Faktor-Bestätigung auf dem verschwundenen Gerät verlangt.

Er möchte den Passwortmanager kontrollieren.

Doch dafür benötigt er wiederum eine Sicherheitsbestätigung.

Aus einem technischen Problem wird damit sehr schnell eine enorme Stresssituation.

Man verliert nicht nur ein Telefon.Im schlimmsten Fall kämpft man gleichzeitig darum, die Kontrolle über die eigene digitale Identität zu behalten.

Webbanking

Bei einem möglichen kompromittierten Bankzugang reicht es nicht, irgendwann später ein Passwort zu ändern.

Die Bank sollte möglichst schnell verständigt werden.

Gegebenenfalls müssen überprüft oder gesperrt werden:

• Webbanking,

• registriertes Smartphone,

• Karten,

• Zahlungsfunktionen,

• Zahlungsfreigaben.

  
  

Auto-App

Auch moderne Fahrzeuge sind zunehmend mit Benutzerkonto und Smartphone-App verbunden.

Je nach Hersteller und Modell können darüber beispielsweise:

• Fahrzeugstatus,

• Standort,

• Ladezustand,

• Verriegelungsfunktionen,

• Klima- oder Komfortfunktionen

verfügbar sein.

Die Möglichkeiten unterscheiden sich stark von Hersteller zu Hersteller.

Wer eine solche App verwendet, sollte das zugehörige Konto deshalb ebenfalls in den persönlichen Notfallplan aufnehmen.

Alarmanlage und Smart Home

Dasselbe gilt für:

• Alarmanlagen,

• Überwachungskameras,

• Türsteuerungen,

• Garagentore,

• Smart-Home-Systeme.

• 
  

Ist die App auf dem gestohlenen Smartphone noch angemeldet, sollte geprüft werden:

• Kann das Gerät aus dem Konto entfernt werden?

• Können aktive Sitzungen beendet werden?

• Muss das Passwort geändert werden?

• Sind unbekannte Geräte oder Benutzer hinzugekommen?

Wichtig: Eine reine Passwortänderung beendet je nach Dienst nicht automatisch jede bestehende Sitzung.Auch bereits angemeldete Geräte müssen überprüft werden.

Und genau dann entsteht Stress

In der Theorie klingt der Ablauf einfach:

Smartphone sperren, Bank informieren, Passwörter ändern.

In der Realität sitzt der Betroffene vielleicht gerade:

• in der Tram,

• im Bahnhof,

• im Ausland,

• im Restaurant,

• oder mitten auf einer Reise.

  
  

Das vertraute Smartphone ist weg.

Vielleicht befindet sich darauf der Passwortmanager.

Vielleicht wird es für Zwei-Faktor-Authentifizierung verwendet.

Vielleicht verlangt das E-Mail-Konto eine Bestätigung auf genau diesem Gerät.

Und gleichzeitig besteht die Sorge, dass jemand anderes bereits versucht, schneller zu sein.

Man muss möglicherweise innerhalb kurzer Zeit:

• die Bank verständigen,

• Webbanking absichern,

• Karten sperren,

• LuxTrust suspendieren,

• das Smartphone aus der Ferne sperren,

• die SIM beziehungsweise eSIM sperren,

• Apple- oder Google-Konto kontrollieren,

• E-Mail absichern,

• wichtige Kennwörter ändern,

• Passwortmanager überprüfen,

• Auto-App absichern,

• Alarmanlage und Smart Home kontrollieren,

• und anschließend weitere sensible Konten überprüfen.

Wer all dies erst im Ernstfall organisieren muss, verliert wertvolle Zeit.

Vorbereitung statt Hektik

Der beste Schutz besteht deshalb nicht darin, im Ernstfall besonders schnell tippen zu können.

Der bessere Schutz besteht darin, vorher zu wissen, was zu tun ist.

Dazu gehören:

• starker Gerätecode,

• biometrische Entsperrung,

• aktivierter Diebstahlschutz,

• kurze automatische Sperrzeit,

• zusätzliche Absicherung sensibler Apps,

• Banknummer separat aufbewahren,

• Zugang zur Apple- oder Google-Geräteverwaltung kennen,

• Wiederherstellungswege prüfen,

• und wissen, welche wichtigen Dienste auf dem Smartphone angemeldet sind.

COMPUTERHELLEF-TIPPStellen Sie sich einmal bewusst folgende Frage:„Mein Smartphone ist jetzt gestohlen worden. Der Dieb kennt meinen Gerätecode. Ich habe nur noch meinen Computer zur Verfügung. Kann ich meine wichtigsten Konten jetzt sperren und meine digitale Identität schützen? “Wenn Sie darauf keine klare Antwort haben, sollte der persönliche Notfallplan vorbereitet werden, bevor tatsächlich etwas passiert.

Warum ein separater Computer im Notfall wichtig sein kann

Hier zeigt sich ein weiterer Vorteil eines gepflegten Heimcomputers.

Er kann nach einem Smartphoneverlust zum unabhängigen Zugangspunkt werden.

Über ihn lassen sich – sofern die notwendigen Zugangsmöglichkeiten vorhanden sind – möglicherweise:

• Apple- oder Google-Konto öffnen,

• E-Mail überprüfen,

• Bank kontaktieren,

• Passwörter ändern,

• Geräte aus Konten entfernen,

• Smartphone orten oder sperren,

• und wichtige Informationen abrufen.

Wer hingegen sämtliche Passwörter, Bestätigungsmöglichkeiten und Notfallinformationen ausschließlich auf dem verlorenen Smartphone gespeichert hat, steht möglicherweise vor einem zusätzlichen Problem.

In der nächsten Folge

Ein gestohlenes Smartphone ist nur eine Möglichkeit, Bankdaten zu verlieren.

Oft brauchen Kriminelle das Gerät überhaupt nicht.

Eine gefälschte SMS, eine täuschend echte Bankseite oder ein manipuliertes Suchergebnis kann genügen, damit der Benutzer seine Zugangsdaten selbst preisgibt.

In Teil 6 schauen wir deshalb auf Phishing und gefälschte Banking-Seiten – und darauf, warum auch Luxemburger Bankkunden davon betroffen sind.

---

IT-Hilfe mit Herz seit 2005

Unsere Dienstleistungen

Unsere Leistungen

• Persönliche Beratung vor dem Notebook- oder Computerkauf

• Prüfung und Bewertung gebrauchter Geräte

• Kontrolle von Akku, Festplatte und SSD

• Überprüfung von Leistung, Ausstattung und Sicherheitszustand

• CHDH-Schlüsselfertigsystem für sofort einsatzbereite Computer

• Professionelle Einrichtung neuer Computer

• Entfernung unnötiger Testprogramme und Werbesoftware

• Installation wichtiger Updates und Sicherheitsfunktionen

• Einrichtung von Benutzerkonten, Programmen, Druckern und Zubehör

• Übertragung persönlicher Daten, E-Mails und Programme

• Planung, Erstellung und Konfiguration von Netzwerken

• Einrichtung von WLAN, Routern, Access Points und Netzwerkgeräten

• Optimierung bestehender Netzwerke für mehr Stabilität und Reichweite

• Beratung bei der Auswahl geeigneter NAS-Speicherlösungen

• Installation und Inbetriebnahme von NAS-Systemen

• Einrichtung von Benutzern, Zugriffsrechten, Freigaben und Datensicherungen

• Wartung, Aktualisierung und Funktionskontrolle von NAS-Systemen

• Wartung, Fehlerdiagnose und Reparatur von Computern und Netzwerken

• 
  

COMPUTERHELLEF DOHEEM – persönliche IT-Beratung, schlüsselfertige Computersysteme, zuverlässige Netzwerklösungen und sichere Datenspeicherung aus einer Hand.

Hinweis: Dieser Artikel wurde mit Unterstützung künstlicher Intelligenz erstellt und verwendet ein KI generiertes Bild. Trotz sorgfältiger Recherche und Prüfung können einzelne Angaben unvollständig oder fehlerhaft sein. Eine Haftung für die Richtigkeit, Vollständigkeit oder Aktualität der Inhalte wird nicht übernommen. Leserinnen und Leser werden gebeten, sich bei wichtigen Entscheidungen zusätzlich aus verlässlichen Quellen zu informieren.