Vor einigen Wochen beschloss ich, meine Bank zu wechseln. Eigentlich keine große Sache.
Seit meinem elften Lebensjahr bin ich Kunde bei einer Sparkasse in dem Ort, in dem ich aufgewachsen bin. Viele Jahre hat das problemlos funktioniert. Doch irgendwann wurde der Besuch vor Ort zunehmend unpraktisch. Filialen wurden zusammengelegt, Öffnungszeiten reduziert und die zuständige Geschäftsstelle war irgendwann nur noch an wenigen Tagen pro Woche und dann auch nur in überschaubaren Zeitfenstern geöffnet.
Für jemanden, der inzwischen über eine Stunde entfernt wohnt und einer normalen Vollzeitbeschäftigung nachgeht, wird selbst die einfachste Bankangelegenheit plötzlich zur logistischen Herausforderung. Also entschied ich mich für einen Wechsel zur Bank meines heutigen Wohnortes. Was anschließend folgte, war weniger ein Bericht über Banking und mehr eine Reise durch die Widersprüche moderner Informationssicherheit.
Für die Terminvereinbarung hinterließ ich meine Mobilfunknummer und eine individuelle E-Mail-Adresse.
Nicht meine Standardadresse. Sondern eine eigens dafür angelegte. Seit einigen Jahren nutze ich eine eigene Domain und vergebe für praktisch jeden Dienst, jede Registrierung und jeden Anbieter eine individuelle E-Mail-Adresse. Für Online-Shops gibt es eigene Adressen. Für Versicherungen ebenfalls. Für soziale Netzwerke genauso. Und eben auch für Banken.
Wenn eine Adresse irgendwann für Spam, Phishing oder andere Zwecke missbraucht wird, lässt sich sehr schnell nachvollziehen, bei welchem Anbieter sie ursprünglich verwendet wurde. Zusätzlich erschwert dieses Vorgehen viele Credential-Stuffing-Angriffe, bei denen kompromittierte Zugangsdaten automatisiert auf anderen Plattformen ausprobiert werden.
Die Mitarbeiterin nahm meine Daten auf, kopierte vorsorglich direkt meinen Personalausweis und erklärte, man könne dann bereits einiges vorbereiten. Was man hat, hat man schließlich schon. Damals hielt ich das für guten Service. Rückblickend war es eher der erste Hinweis darauf, wie automatisiert manche Prozesse inzwischen ablaufen.
Einige Tage später erhielt ich plötzlich eine SMS. Meine neue Debitkarte sei nun für ein mobiles Sicherheitsverfahren freigeschaltet. Wenige Sekunden später dieselbe SMS erneut. Das Überraschende daran:
Ich hatte bis dahin noch kein Konto eröffnet.
Keine Vertragsunterlagen unterschrieben.
Keine Beratung erhalten.
Keine Entscheidung getroffen.
Trotzdem existierte offenbar bereits eine Debitkarte, ein Sicherheitsverfahren und eine Verarbeitung meiner hinterlegten Mobilfunknummer. Natürlich wird es dafür irgendeine nachvollziehbare Erklärung geben.
Trotzdem stellte sich mir unweigerlich die Frage:
Wie viele Prozesse laufen eigentlich bereits mit echten Kundendaten, bevor der eigentliche Kunde überhaupt eine Entscheidung getroffen hat?
Am Tag des Termins wurde ich darüber informiert, dass die zuständige Mitarbeiterin leider krank geworden sei. Ein anderer Kollege würde übernehmen. Völlig in Ordnung. Nach kurzer Wartezeit stellte sich mir ein junger Mitarbeiter vor. Freundlich, engagiert und offensichtlich bemüht. Begleitet wurde er von einem Auszubildenden, der erst wenige Tage im Unternehmen war und beim Termin etwas lernen sollte. Wir betraten gemeinsam das Beratungszimmer. Und dort warteten bereits zwei sauber vorbereitete Dokumentenstapel auf dem Tisch.
Man habe alles vorbereitet, erklärte mir der Berater. Eigentlich müsse ich nur noch unterschreiben. Das überraschte mich etwas. Bis zu diesem Zeitpunkt hatten wir weder über unterschiedliche Kontomodelle gesprochen noch irgendeine Form von Beratung durchgeführt. Das Konto war bereits ausgewählt. Die Karte bestellt. Die Unterlagen vorbereitet. Der Kontowechsel vorgesehen. Die eigentliche Beratung schien bereits abgeschlossen zu sein, bevor sie begonnen hatte. Fairerweise muss ich dazu sagen: Der Kollege hatte sogar richtig geraten. Das ausgewählte Kontomodell entsprach exakt dem Modell, das ich selbst favorisiert hatte. Trotzdem blieb ein merkwürdiger Eindruck zurück. Denn normalerweise sollte Beratung vor der Entscheidung stattfinden und nicht danach.
Dann viel ihm aber doch noch eine Sache ein, die er erfragen wollte, bevor ich unterschrieb. "Arbeiten Sie eigentlich auch hier?" Ihm sei die E-Mail Adresse aufgefallen, die den Namen der Bank enthalte und da habe er sich gefragt, ob das so wirklich stimmt. Auf meine Antwort, warum ich diese E-Mail Adresse erstellt habe und dass ich beruflich mit Cybersecurity zu tun habe, antwortete er: "Ah ja, verstehe. Mein Vater arbeitet auch im Bereich Cybersecurity. Ich kenne mich da auch ganz gut aus."
Das habe ich dann mal so hingenommen.
Der zweite Dokumentenstapel machte mich deutlich nachdenklicher. Darin fanden sich unterschiedlichste Einwilligungen.
Werbung.
Datenweitergaben.
Partnerangebote.
Versicherungen.
Analysezwecke.
Anlageprodukte.
Und vieles mehr. Mein Problem war nicht, dass diese Einwilligungen existierten. Immerhin arbeite ich selbst im Marketing. Mein Problem war, dass die entsprechenden Auswahlfelder bereits angekreuzt waren. Nicht von mir. Sondern bereits systemseitig vorbereitet.
Ohne Erklärung.
Ohne Nachfrage.
Ohne Hinweis.
Ich erklärte dem Berater deshalb, dass ich sämtliche freiwilligen Einwilligungen streichen möchte und mit keiner dieser Datenverarbeitungen einverstanden bin. Dieser reagierte professionell und erklärte, dass dies kein Problem sei. Die Einstellungen würden nachträglich angepasst und die Unterlagen neu erstellt.
Interessant fand ich dennoch etwas anderes.
Wie viele Menschen unterschreiben solche Formulare vermutlich einfach, weil sie davon ausgehen, dass die vorausgewählten Optionen schon ihre Richtigkeit haben werden?
In meinem Fall kommt noch ein weiterer Aspekt hinzu. Wie bereits erwähnt, nutze ich für nahezu jeden Anbieter eine eigene E-Mail-Adresse. Sollte mich also künftig plötzlich ein Versicherungsanbieter, ein Finanzpartner oder irgendein anderes Unternehmen über genau die für diese Kontoeröffnung angelegte E-Mail-Adresse kontaktieren, wäre die Herkunft unmittelbar nachvollziehbar. Nicht aufgrund einer Vermutung. Sondern weil die verwendete Adresse den ursprünglichen Verwendungszweck bereits im Namen trägt. Die E-Mail-Adresse selbst wird damit zum Audit-Trail. Ein erstaunlich simples, aber wirkungsvolles Werkzeug, um Transparenz über die Verwendung der eigenen Daten zu erhalten.
Jetzt wurde es interessant. Die eigentliche Kontoeröffnung war erledigt. Nun sollte der Kontowechselservice folgen. Und plötzlich kam die Frage, die mich wirklich stutzig machte.
"Ob ich meine Zugangsdaten für das Online-Banking meiner bisherigen Bank dabeihätte.
Diese würde er jetzt benötigen."
Ich musste kurz überlegen, ob ich mich verhört hatte. Denn Banken investieren seit Jahren erhebliche Mittel in Sensibilisierungskampagnen. Sie warnen vor Phishing. Vor Social Engineering. Vor gefälschten Webseiten. Vor betrügerischen E-Mails. Vor manipulierten SMS. Und vor allem mit einem Satz:
„Geben Sie niemals Ihre Zugangsdaten weiter.“
„Ihre Bank wird Sie niemals nach Ihrem Passwort fragen.“
„Teilen Sie Ihre TAN niemals mit Dritten.“
Nun saß ich in einer Bankfiliale. Und ein Bankmitarbeiter fragte mich nach genau diesen Zugangsdaten.
Denn Sicherheitsbewusstsein lebt von klaren Regeln. Und die Regel, keine Online-Banking-Zugangsdaten weiterzugeben, gehört vermutlich zu den wichtigsten überhaupt. Sobald wir beginnen, Ausnahmen zu schaffen, wird aus einer einfachen Regel plötzlich eine Einzelfallentscheidung. Und genau dort beginnen viele Probleme.
In der Informationssicherheit existiert ein Konzept namens Trust Boundary. Vereinfacht gesagt beschreibt es den Punkt, an dem man einen Bereich verlässt, den man kontrolliert, und in einen Bereich übergeht, den man nicht mehr kontrollieren kann.
Mein eigener Rechner?
Mein Verantwortungsbereich.
Mein eigenes Betriebssystem?
Mein Verantwortungsbereich.
Mein eigener Browser?
Mein Verantwortungsbereich.
Ein bereits entsperrter Computer in einem Beratungszimmer?
Ganz sicher nicht.
Selbst wenn ich die Zugangsdaten nicht selbst eingeben sollte, sondern sie dem Mitarbeiter zur Nutzung im Wechselprozess mitteilen würde, blieb derselbe Gedanke bestehen: In diesem Moment verlasse ich die Kontrolle über hochsensible Zugangsinformationen. Und genau das widerspricht eigentlich allem, was Banken ihren Kunden seit Jahren völlig zu Recht beibringen.
Hinzu kam ein weiteres Problem. Mein bisheriges Konto nutzt noch ein klassisches Chip-TAN-Verfahren mit TAN-Generator. Auf meine Nachfrage erklärte man mir, dass dieses Verfahren inzwischen gar nicht mehr angeboten werde. Selbst bestehende Kunden würden bei einem Defekt des TAN-Generators auf die neueren Verfahren umgestellt.
Besonders bemerkenswert war dabei eine Beobachtung aus dem Wartebereich. Dort hatte ich wenige Minuten zuvor zwei ältere Kunden mit einer Mitarbeiterin sprechen hören. Neues Smartphone. Neue App. Nichts funktionierte mehr. Selbst die Mitarbeiterin bemerkte scherzhaft, dass sie allein deshalb ihr altes Handy nicht austauschen würde. Die Ironie war kaum zu übersehen.
Wir diskutieren häufig über technische Sicherheit. Für viele Menschen besteht die größte Herausforderung jedoch darin, die Sicherheitsmechanismen überhaupt bedienen zu können.
Daraufhin erklärte ich, dass ich den manuellen Wechselservice nutzen möchte. Ehrlich gesagt war ich davon ausgegangen, dass ein Wechselservice tatsächlich etwas mit Service zu tun hat. Meine Frau hatte zuvor bei einer anderen Bank einen ähnlichen Wechsel innerhalb derselben Bankengruppe durchgeführt. Dort wurden Lastschriften, Zahlungspartner und weitere Prozesse aktiv begleitet. Die neue Bank setzte sich mit der alten Bank in Verbindung. So zumindest meine Erwartung.
Stattdessen stellte sich heraus, dass der Prozess letztlich auf ein Online-Tool hinauslief, in das die Zugangsdaten meiner bisherigen Bank eingebracht werden sollten. Der Berater erklärte schließlich offen, dass er den manuellen Wechselservice selbst noch nie durchgeführt habe. Völlig legitim. Niemand kann alles wissen. Also beschloss er, eine erfahrene Kollegin hinzuzuziehen.
Und genau hier wurde die Geschichte aus Sicht eines Cybersecurity-Menschen besonders interessant:
Der Berater stand auf. Der Auszubildende ebenfalls. Und beide verließen das Zimmer. Der Rechner blieb entsperrt. Die internen Anwendungen blieben geöffnet. Meine Frau und ich blieben allein zurück. Für mehrere Minuten. Jetzt wurden meine Gedanken plötzlich sehr technisch.
USB-Keylogger zur Aufzeichnung zukünftiger Eingaben
HID-Angriffe über Geräte wie Rubber Ducky oder O.MG Cable
BadUSB-Angriffe
Manipulation lokaler Systemeinstellungen
Persistenzmechanismen für spätere Zugriffe
Datendiebstahl über offene Anwendungen
Einsicht in interne Informationen
Vorbereitung späterer Social-Engineering-Angriffe
Für keines dieser Szenarien braucht es Staatsakteure, Zero-Day-Exploits oder Hollywood-Hacker.
Physischer Zugriff. Offene USB-Ports. Wenige Sekunden Zeit. Mehr ist oft nicht erforderlich.
Natürlich habe ich nichts davon getan.
Aber genau das ist nicht die entscheidende Frage.
Die entscheidende Frage lautet:
Was wäre passiert, wenn dort jemand mit anderen Absichten gesessen hätte?
Und noch eine weitere Frage drängte sich auf:
Wer sagt eigentlich, dass hier nur die Bank das eigentliche Ziel wäre?
Schließlich war ich mit meinem Anliegen vermutlich kein Einzelfall. Wenn der vorgesehene Wechselservice tatsächlich regelmäßig den Zugriff auf bestehende Online-Banking-Konten anderer Institute erfordert, dürfte ich nicht der einzige Kunde sein, der in diesem Raum seine Zugangsdaten oder Authentifizierungsinformationen preisgeben soll.
Für einen Angreifer wäre das ein ausgesprochen attraktives Szenario.
Statt die Bank selbst anzugreifen, könnte das eigentliche Ziel darin bestehen, die Zugangsdaten der Kunden mitzuschneiden. Ein unauffälliger Keylogger, ein manipuliertes USB-Gerät oder ein anderer Mechanismus zur Erfassung von Tastatureingaben würde dann nicht nur Informationen über interne Bankprozesse liefern, sondern potenziell direkten Zugriff auf die Online-Banking-Konten von Endkunden ermöglichen.
Der Schaden träfe damit nicht nur die Bank.
Er träfe unmittelbar die Menschen, die der Bank ihre sensibelsten Finanzdaten anvertrauen.
Und genau dieser Gedanke ließ mich in diesem Moment deutlich unruhiger werden als die Vorstellung eines Angriffs auf die Bank selbst.
Kurze Zeit später kehrte der Berater gemeinsam mit einer erfahreneren Kollegin zurück. In ihrer Hand hielt sie mehrere alte TAN-Generatoren. Man könne das doch noch einmal probieren. Der Wechselservice sei schließlich ein zentrales System der Sparkassen und entsprechend sicher. In diesem Moment musste ich innerlich schmunzeln. Immerhin war ich gerade erst mehrere Minuten unbeaufsichtigt mit einem entsperrten Arbeitsplatz im gleichen Raum gesessen. Ich lehnte freundlich ab.
Wenn Zugangsdaten oder Authentifizierungsverfahren genutzt werden müssen, dann auf meinem eigenen Rechner. In meiner eigenen Umgebung. Mit meinem eigenen TAN-Generator. Schließlich stellte sich heraus, dass der Wechselservice ohnehin lediglich über eine entsprechende Funktion auf der öffentlichen Webseite erreichbar war. Also würde ich das später zuhause erledigen.
Als ich die Filiale verließ, hatte ich ein neues Konto.
Was ich ebenfalls mit nach Hause nahm, war ein ungutes Gefühl. Nicht wegen einzelner Mitarbeiter. Nicht wegen böser Absicht. Und auch nicht, weil ich glaube, dass dort irgendjemand fahrlässig gehandelt hätte. Ganz im Gegenteil. Der Berater war freundlich, engagiert und bemüht. Die Kollegin wollte helfen. Der Auszubildende sollte lernen. Genau deshalb ist die Geschichte aus meiner Sicht so interessant.
Cybersecurity scheitert selten an fehlendem Wissen. Sie scheitert selten an fehlenden Richtlinien. Sie scheitert häufig an Routinen, an gewachsenen Prozessen und an der Diskrepanz zwischen dem, was wir über Sicherheit sagen, und dem, was wir im Alltag tatsächlich tun.
Die Bank verschickt Karte und PIN getrennt für maximale Sicherheit. Sie investiert in Authentifizierungsverfahren, Aufklärungskampagnen und Sensibilisierung gegen Phishing und Social Engineering. Gleichzeitig entstehen Prozesse, in denen Kunden ihre Online-Banking-Zugangsdaten in einer Umgebung offenlegen sollen, die sie selbst weder kontrollieren noch beurteilen können.
Das Faule Aureden Quartett von RIEDEL Networks trifft auch in diesem Fall mit der ein oder anderen Karten wieder des Pudels Kern: Gibt es hier zu bestellen.
Aus Sicht eines Angreifers ist das möglicherweise sogar interessanter als der eigentliche Bankarbeitsplatz. Denn wer Zugriff auf die Zugangsdaten von Endkunden erhält, muss die Bank oft gar nicht mehr angreifen. Mindestens ebenso bemerkenswert fand ich die Selbstverständlichkeit, mit der während des gesamten Termins über hochsensible Informationen gesprochen wurde. Steuer-ID. Kontodaten. Vollmachten. Persönliche Finanzinformationen. Und das alles in Anwesenheit eines Auszubildenden, der seinen ersten Arbeitstag vermutlich noch nicht lange hinter sich hatte.
Versteht mich nicht falsch: Selbstverständlich müssen junge Menschen lernen und selbstverständlich braucht jede Branche Nachwuchs. Aber Informationssicherheit endet eben nicht bei Firewalls und Anti-Virus-Systemen. Sie beginnt bei Menschen. Bei Vertraulichkeit. Und manchmal auch bei der Frage, welche Informationen jemand wirklich kennen muss.
Denn nicht jede Datenpanne beginnt mit einem Hackerangriff. Manche beginnen schlicht mit einem Satz, der später im privaten Umfeld erzählt wird, ohne dass dem Erzähler überhaupt bewusst ist, welche Informationen er dabei gerade preisgibt.
Besonders gespannt bin ich nun auf die Zukunft meiner eigens für diese Kontoeröffnung angelegten E-Mail-Adresse. Vielleicht bleibt sie für immer still. Vielleicht war meine Skepsis völlig unbegründet. Und vielleicht werde ich nie erfahren, welche der vorausgewählten Einwilligungen tatsächlich entfernt wurden. Sollte mich allerdings in den kommenden Monaten plötzlich ein Versicherungsvertreter, ein Anlageberater oder irgendein anderer Partner kontaktieren, dann werde ich zumindest sehr genau wissen, woher meine Daten stammen. Denn genau dafür existiert diese Adresse. Man könnte sagen: Sie ist mein persönliches Security Monitoring für die analoge Welt. Vielleicht ist das die eigentliche Erkenntnis dieses Bankbesuchs.
Cybersecurity entscheidet sich nicht in Hochglanzbroschüren, Compliance-Handbüchern oder Werbekampagnen. Sie entscheidet sich in den kleinen Alltagssituationen, die niemand mehr hinterfragt. Dort, wo Sicherheit zum ersten Mal unbequem wird. Dort, wo Ausnahmen plötzlich normal erscheinen. Und dort, wo man beginnt, die eigenen Regeln ein wenig großzügiger auszulegen als die der anderen. Denn manchmal liegen die interessantesten Schwachstellen nicht in der Technik. Sondern in den Widersprüchen zwischen dem, was wir predigen, und dem, was wir tatsächlich tun.
*Dieser Artikel wurde unter Betrachtung aktueller Marktgeschehnisse mit Hilfe von Copilot erstellt. Die Prompt-Erstellung und Supervision des Artikels erfolgte durch den Autor, der hierin seine Meinung repräsentiert sieht.
Von Zeit zu Zeit juckt es ihn in den Fingern und er schaut sich Dinge nicht nur aus Marketing-Perspektive, sondern mit ganz eigenem Blick auf die Dinge an. Dabei nutzt er gerne auch mal unkonventionelle Ansätze, um seinen Blickwinkel zu verdeutlichen oder zum Nachdenken anzuregen. Erwähnt sei hier exemplarisch die Werbemittelumtauschstation der IT-SA 2024.
Seine Beiträge bewegen sich dabei bewusst an der Schnittstelle von Fachwissen und Humor – und laden dazu ein, auch komplexe Themen einmal aus einer ungewohnten Perspektive zu betrachten.
RIEDEL Networks ist ein in Privatbesitz befindlicher, globaler Netzwerkanbieter, der sich auf maßgeschneiderte Netzwerke konzentriert. Wir sind im Gartner Magic Quadrant für Global WAN Services als Nischenanbieter gelistet, der auf mittelständische internationale Unternehmen und den Medien- und Veranstaltungssektor spezialisiert ist. Mit unserem eigenen globalen Backbone unterstützen wir Unternehmen dabei, weltweit vernetzt zu sein. Unsere Dienstleistungen umfassen Internetverbindungen, MPLS, SD-WAN, SASE, Cloud Connect, Security und vieles mehr. Unsere Kunden stammen aus verschiedenen Branchen und schätzen Qualität, Sicherheit und Zuverlässigkeit. RIEDEL Networks ist ein 100%iges Unternehmen der RIEDEL Communications Gruppe in Wuppertal, Deutschland, und ist vollständig im Privatbesitz von Thomas Riedel.