Vorschlag zur Betrugsprävention: Dynamischer Verifizierungscode für ausgehende Bank-Anrufe (Schutz v

[tomloddel]

Hallo zusammen,

nach meinem letzten Erfahrungsbericht hier in der Community , bei dem ein realer Kreditkarten-Sicherheitsfall direkt von Betrügern für einen gefälschten Folgeanruf ausgenutzt wurde, gab es viele hilfreiche Diskussionen und Rückmeldungen. Glücklicherweise konnte der Schaden damals durch das Eingreifen einer echten Comdirect-Mitarbeiterin im letzten Moment abgewendet werden.

Das Kernproblem bei solchen Vorfällen bleibt bestehen: Wie verifiziere ich als Kunde in einer Stresssituation, ob mich wirklich die Comdirect anruft oder ein Betrüger mit gefälschter Rufnummer (Spoofing)?

Aus dieser Erfahrung heraus möchte ich einen konkreten Verbesserungsvorschlag für das Online-Banking und die App zur Diskussion stellen:

Die Idee: Umgekehrte Verifizierung via dynamischem Sicherheitscode

Bisher verifiziert immer nur die Bank den Kunden. Bei ausgehenden Anrufen der Bank sollte der Kunde aber genauso einfach die Echtheit des Mitarbeiters prüfen können.

So könnte der Ablauf aussehen:

1. Generierung: Im eingeloggten Bereich (sowohl im Web-Portal als auch prominent in der App) wird ein dynamischer, z. B. alle 5 bis 10 Minuten wechselnder Sicherheitscode (3–4 Ziffern oder ein Codewort) angezeigt.

2. Abfrage im Anruf: Ruft ein Comdirect-Mitarbeiter an, fordert der Kunde den Anrufer auf, den aktuell im Konto hinterlegten Code zu nennen.

3. Echtheitsprüfung: Da nur echte Systeme/Mitarbeiter der Comdirect im Rahmen des aktiven Kundendossiers Einblick in diesen temporären Code haben, weiß der Kunde sofort: Dieser Anruf ist legitim. Ein Betrüger kennt diesen Code nicht und scheitert.

Wichtige Sicherheitsregel für das Design:

Um Missbrauch durch Social Engineering zu verhindern, muss im Banking-Interface unübersehbar stehen:

„Wichtig: Nennen Sie diesen Code niemals selbst am Telefon. Lassen Sie sich den Code stets vom Comdirect-Mitarbeiter vorlesen.“

Absender "comdirect" auf der Anzeige des Telefons sowie Bestätigung der Echtheit im SMS-"Kanal" haben wir im geschilderten Fall gelernt, sind problemlos zu fälschen.  Mit diesem Verifizierungscode hätte der Kunde ein Instrument, in wenigen Sekunden sicher zu entscheiden: Auflegen oder zuhören. Sicherlich sind Anrufe eher selten. Aus meiner Erinnerung bin ich in über 20 Jahren in der letzten Zeit 5 mal kontaktiert worden. Einmal Fake ("Sicherheitsabteilung"- der geschilderte Fall )  -der Rest aber real (2 x davon ebenfalls "Sicherheitsabteilung" oder so ähnlich als Reaktion auf den Vorfall). Egal - auch wenn Anrufe selten sind: Jedes Instrument, das präventiv hilft, ist begrüßenswert. 

Gibt es da Zustimmung- oder Hürden/Bedenken? 

Viele Grüße

Tom