CYBERSICHERHEIT Betrüger greifen technische Systeme an und manipulieren Menschen. Das Bundesamt für Cybersicherheit und die Berner Kantonalbank erklären, wie Banken reagieren und wie sich Privatpersonen schützen können.
Banken, Kreditkarten- und Zahlungsdienstleister sowie Versicherungen sind regelmässig mit Angriffen und Störungen konfrontiert. Im September zeigte Postfinance bei einzelnen Kunden vorübergehend falsche Kontostände an; später waren E-Finance und die App zeitweise nur langsam oder gar nicht erreichbar. Auch im Zusammenhang mit der Internetbank Revolut wurden Fälle bekannt, in denen Kriminelle mit angeblich erbeuteten Kundendaten Druck ausübten. Solche Vorfälle können Kundinnen und Kunden kaum selbst verhindern.
Wenn Vertrauen zur Falle wird
Anders liegt der Fall bei vielen Betrugsversuchen, die auf Social Engineering setzen. Ein Mann aus der Region bot auf Ricardo drei Stühle an. Kurz nach der Veröffentlichung meldete sich ein angeblicher Käufer über Whatsapp und wollte via Twint bezahlen. Eine mitgesandte, gefälschte Ricardo-Datei führte den Verkäufer auf eine vermeintliche E-Banking-Seite. Dort gab er seine Zugangsdaten ein. Innert weniger Minuten wurden mehrere Tausend Franken überwiesen. Weil der Betroffene rasch seine Bank kontaktierte und Anzeige erstattete, konnte ein Teil des Schadens verhindert werden.
Das Beispiel zeigt: Zwei-Faktor-Authentifizierung hilft nur, wenn Freigaben sorgfältig geprüft werden. Kriminelle erzeugen Zeitdruck, nutzen Hilfsbereitschaft aus und bringen Betroffene dazu, eine Zahlung selbst zu bestätigen. Solche Transaktionen sind für Banken schwer als Betrug zu erkennen, weil sie technisch wie normale Zahlungen aussehen.
Fragen an die Fachstellen
Der «Frutigländer» hat das Bundesamt für Cybersicherheit (BACS) und die Berner Kantonalbank (BEKB) zu Schutzmassnahmen, E-Banking und Twint befragt.
Welche Massnahmen sollte eine Bank treffen, um E-Banking und Kundendaten zu schützen?
BACS: Schweizer Banken verfügen seit Langem über umfangreiche Sicherheitsmassnahmen. Betrüger setzen deshalb vor allem auf Social Engineering und überzeugen Kundinnen und Kunden beispielsweise, sich selbst einzuloggen und eine Zahlung freizugeben. Solche Transaktionen sind für Banken schwerer zu erkennen.
BEKB: Wir kombinieren technische und organisatorische Sicherheitsmassnahmen. Zu den eingesetzten Technologien äussern wir uns aus Sicherheitsgründen nicht im Detail.
Braucht E-Banking eine Art zusätzlichen digitalen Tresor?
BACS: Wir äussern uns grundsätzlich nicht zu Architekturentscheiden einzelner Unternehmen oder Branchen.
BEKB: Unser E-Banking verfügt bereits über verschiedene Sicherheitsmechanismen. Ein zusätzlicher Tresor würde aus heutiger Sicht keinen wesentlichen Sicherheitsnutzen bringen.
Wie sicher ist der Online-Kontenzugang bei Bezahlmitteln wie Twint?
BACS: Wir bewerten keine einzelnen kommerziellen Produkte oder Dienstleistungen.
BEKB: Twint erfüllt hohe Sicherheitsanforderungen und unterliegt den Sicherheitsstandards der Schweizer Banken.
Welche Empfehlungen geben Sie Privatpersonen?
BACS: Besondere Vorsicht ist bei E-Mails oder Textnachrichten geboten, die zu einer Handlung auffordern. Passwörter, Kreditkartendaten oder Bestätigungscodes dürfen nie auf Webseiten eingegeben werden, die über einen Link in einer unerwarteten Nachricht geöffnet wurden. Zwei-Faktor-Authentifizierung, aktuelle Betriebssysteme und Apps, eine Firewall, Virenschutz, starke Passwörter und regelmässige Backups senken das Risiko zusätzlich.
BEKB: Lassen Sie sich nie unter Druck setzen. Rufen Sie E-Banking nicht über Links in E-Mails, SMS oder Suchmaschinen auf, sondern geben Sie die Adresse der Bank selbst ein. Prüfen Sie Absender, Links und Anhänge, erlauben Sie unbekannten Personen keinen Fernzugriff und bestätigen Sie Login- oder Zahlungsfreigaben nur, wenn Sie diese selbst ausgelöst haben und alle Angaben stimmen. Kontaktieren Sie die Bank im Zweifel über einen bekannten offiziellen Kanal.
Die wichtigsten Schutzregeln
Keine Zugangsdaten weitergeben. Keine unerwarteten Links öffnen. Freigaben vollständig prüfen. Geräte und Programme aktuell halten. Backups erstellen. Verdächtige Vorgänge abbrechen und über eine selbst recherchierte Telefonnummer oder Webadresse nachfragen.
