Ihre Konten schützen: Zwei-Faktor-Authentifizierung, SIM-Swapping, Phishing von Broker-Zugangsdaten und Zugangsregelungen für Erben

Was Sie lernen werden

• Welche zweiten Faktoren stark und welche schwach sind und warum SMS-Codes gegen SIM-Swapping versagen.
• Wie Phishing von Broker-Zugangsdaten heute funktioniert, einschließlich Echtzeit-Weiterleitung und Bestätigungsmüdigkeit.
• Welche eingebauten Broker-Funktionen (Referenzkonto, Auszahlungssperren, Benachrichtigungen) einen Dieb selbst nach einem erfolgreichen Login stoppen.
• Wie Sie Erben oder einer Vertrauensperson rechtmäßigen Zugang verschaffen, ohne heute Passwörter weiterzugeben.

Erklärung

Kontoübernahme ist der Betrug, der auch umsichtige Anleger trifft, die nie auf einen falschen Broker hereinfallen. Der Angreifer muss Sie nicht zu einer Anlage überreden; er braucht Ihre Zugangsdaten, Ihren zweiten Faktor und einen Weg, Geld abzuziehen. Die grundlegende Sicherheit von Krypto-Wallets wurde im Bitcoin-Kurs behandelt (Lektion btc08); in dieser Lektion geht es um Bank- und Depotkonten und darum, was mit ihnen geschieht, wenn Sie selbst nicht handeln können.

Starke Kundenauthentifizierung und die drei Faktortypen

Die EU-Zahlungsdiensterichtlinie 2 (PSD2) verlangt für das Online-Banking eine starke Kundenauthentifizierung (SCA): zwei voneinander unabhängige Elemente aus den Kategorien Wissen (Passwort, PIN), Besitz (Telefon, Hardware-Schlüssel, Karte) und Inhärenz (Fingerabdruck, Gesicht). Broker wenden dasselbe Modell freiwillig an oder weil sie Banken sind. Die Sicherheit des gesamten Verfahrens entspricht der Sicherheit des schwächsten Faktors:

SIM-Swapping

Beim SIM-Swap überredet der Angreifer Ihren Mobilfunkanbieter durch Social Engineering oder mithilfe geleakter persönlicher Daten, Ihre Nummer auf eine neue SIM oder eSIM zu übertragen. Von diesem Moment an gehen alle SMS-Codes und „Passwort vergessen“-Anrufe an ihn. Warnsignal: Ihr Telefon zeigt in einem Gebiet mit Netzabdeckung plötzlich länger als ein paar Minuten „kein Netz“ an. Abwehr: Vereinbaren Sie mit dem Anbieter ein separates Kundenkennwort für alle Änderungen, nutzen Sie statt SMS eine Authenticator-App oder einen Hardware-Schlüssel, wo immer Ihr Broker das erlaubt, und verwenden Sie die Mobilfunknummer niemals als Kanal zum Zurücksetzen des Passworts Ihres Haupt-E-Mail-Kontos, denn das E-Mail-Konto ist der Generalschlüssel zu allem anderen.

Phishing von Broker-Zugangsdaten

Modernes Phishing ist keine E-Mail mit Rechtschreibfehlern mehr. Typische Muster: ein gesponsertes Suchergebnis zum Namen Ihres Brokers, das auf eine täuschend ähnliche Domain führt; eine SMS „Ihr Konto ist eingeschränkt, verifizieren Sie sich innerhalb von 24 Stunden“; ein Anruf von „der Sicherheitsabteilung“ mit der Bitte, eine Push-Benachrichtigung freizugeben, „um eine verdächtige Überweisung zu stornieren“. Reverse-Proxy-Baukästen leiten Ihr Passwort und Ihren TOTP-Code in Echtzeit an die echte Seite weiter, sodass selbst eine Authenticator-App überwunden werden kann. Regeln, die gelten: Geben Sie die Adresse des Brokers selbst ein oder nutzen Sie die App; geben Sie niemals eine Push-Anfrage frei, die Sie nicht in genau diesem Moment selbst ausgelöst haben; eine Bank oder ein Broker fragt nie telefonisch nach einer TAN; und wenn eine Seite nach einem Code fragt, „um“ etwas „zu stornieren“, ist es Betrug, denn eine Stornierung erfordert nie einen Transaktionscode.

Funktionen, die den Schaden nach einem Login begrenzen

Deutsche Broker erlauben Auszahlungen in der Regel nur auf ein Referenzkonto auf Ihren eigenen Namen; eine Änderung erfordert einen separaten, stark authentifizierten Schritt und oft eine Wartezeit. Prüfen Sie, dass diese Funktion aktiv ist, aktivieren Sie Benachrichtigungen zu Transaktionen und Logins per E-Mail und Push, setzen Sie ein tägliches Überweisungslimit für das verknüpfte Bankkonto und sichern Sie das E-Mail-Konto mit einem Hardware-Schlüssel oder Passkey ab. Überprüfen Sie vierteljährlich die Liste der verbundenen Geräte und API-Schlüssel und entfernen Sie alte Einträge.

Zugang für Erben und für Notfälle

Wenn Sie sterben oder geschäftsunfähig werden, haben Ihre Erben nicht automatisch Zugang. Banken können einen Nachweis der Erbfolge verlangen, in der Regel einen Erbschein oder ein notarielles Testament mit dem Eröffnungsprotokoll des Gerichts; der Bundesgerichtshof hat entschieden, dass eine Bank nicht auf einem Erbschein bestehen darf, wenn ein notarielles Testament den Erben eindeutig ausweist. Ein handschriftliches Testament allein wird von Banken in der Regel nicht als Nachweis akzeptiert. Ein Erbschein verursacht Gerichtsgebühren, die mit dem Nachlass steigen, und dauert Wochen bis Monate. In der Zwischenzeit bleibt ein Depot dem Marktrisiko ausgesetzt, und niemand kann verkaufen. Die praktischen Werkzeuge sind:

• Eine Bankvollmacht über den Tod hinaus (Konto- und Depotvollmacht über den Tod hinaus) auf dem bankeigenen Formular, erteilt an eine Vertrauensperson. Sie verschafft sofortigen Zugang ohne Erbschein; die Erben können sie später widerrufen.
• Eine Vorsorgevollmacht für den Fall der Geschäftsunfähigkeit und, getrennt davon, ein notarielles Testament, wenn der Nachlass komplex ist.
• Ein Zugangsdokument, offline aufbewahrt (versiegelter Umschlag, Schließfach oder ein Passwortmanager mit Notfallzugang): eine Liste der Institute und Kontonummern, wo die Hardware-Schlüssel liegen und wie man an das E-Mail-Konto gelangt. Schreiben Sie keine Passwörter ins Testament, denn das Testament wird zu einem Gerichtsdokument.
• Bedenken Sie, dass deutsche Banken die Guthaben zum Todestag dem Finanzamt melden müssen; Konten vor den Erben oder vor dem Finanzamt zu verbergen ist also weder möglich noch rechtmäßig; es geht um Geschwindigkeit, nicht um Geheimhaltung. Der BGH hat 2018 bestätigt, dass digitale Konten wie jeder andere Vertrag auf die Erben übergehen.

Durchgerechnetes Beispiel

Hypothetisches Beispiel: Petra, 58, hat bei einer Bank ein Depot im Wert von €250,000 und €40,000 Tagesgeld. Ihre Logins nutzen ein Passwort plus SMS-Codes an eine einzige Mobilfunknummer; dieselbe Nummer ist der Wiederherstellungskanal für ihre E-Mail. Ihr erwachsener Sohn ist ihr Alleinerbe, hat aber keine Vollmacht. Gebühren und Steuern bleiben unberücksichtigt.

1. Single Point of Failure: Ein erfolgreicher SIM-Swap verschafft dem Angreifer die SMS-Codes und den Wiederherstellungskanal der E-Mail, sodass ein einziger Angriff alle Konten abdeckt. Nach der Umstellung von Broker und E-Mail auf eine Authenticator-App und einen Hardware-Schlüssel bringt ein SIM-Swap allein nichts mehr; der Angreifer müsste zusätzlich physisch an den Schlüssel gelangen.
2. Verzögerung beim Nachlass: Angenommen, der Erbschein dauert sechs Wochen und der Markt fällt in dieser Zeit um 3 %. Risiko auf dem Depot: 3 % × €250,000 = €7,500, auf die niemand reagieren konnte, plus sechs Wochen Lebenshaltungskosten, die der Sohn nicht aus den €40,000 entnehmen kann.
3. Kostenvergleich: Angenommen, die Gerichtsgebühren für den Erbschein betragen bei einem Nachlass dieser Größe rund €1,000 (die Gebühren richten sich nach der gesetzlichen Gebührentabelle und steigen mit dem Nachlass; prüfen Sie die aktuelle Tabelle). Eine Bankvollmacht über den Tod hinaus kostet €0 und verschafft vom ersten Tag an Zugang. Der Erbschein kann später für andere Vermögenswerte trotzdem nötig sein, aber das zeitkritische Zugangsproblem ist gelöst.

Häufiger Fehler

Übungsaufgabe

Zeichnen Sie auf Papier eine „Zugangskarte“ für einen hypothetischen Haushalt: ein Haupt-E-Mail-Konto (Wiederherstellung per SMS an Telefon A), ein Broker (Passwort + SMS an Telefon A), eine Bank (Passwort + pushTAN auf Telefon A), eine Krypto-Börse (Passwort + TOTP auf Telefon A). Telefon A wird entsperrt gestohlen. Notieren Sie für jedes Konto, ob der Dieb sich einloggen und Geld bewegen kann, und welche einzelne Änderung die Zahl der kompromittierten Konten am stärksten verringern würde. Listen Sie dann die drei Dokumente auf, die eine Vertrauensperson benötigen würde, um bei plötzlicher Geschäftsunfähigkeit in Ihrem Namen zu handeln.

Wichtigste Erkenntnisse

• SMS ist der schwächste zweite Faktor; Authenticator-Apps widerstehen SIM-Swaps, Hardware-Schlüssel und Passkeys zusätzlich auch Phishing.
• Geben Sie niemals eine Push-Benachrichtigung frei, die Sie nicht selbst ausgelöst haben, und geben Sie niemals einen Code heraus, „um“ etwas „zu stornieren“.
• Auszahlungen nur auf das Referenzkonto, Benachrichtigungen und ein geschütztes E-Mail-Konto begrenzen den Schaden selbst nach gestohlenen Zugangsdaten.
• Eine Bankvollmacht über den Tod hinaus plus ein Offline-Zugangsdokument verschafft Erben rechtmäßigen, sofortigen Zugang; ein Erbschein allein kostet Zeit und Geld.

Nächster Schritt

Die letzte Lektion dieses Kurses macht aus allem zwei Dokumente, die Sie behalten können: eine persönliche Due-Diligence-Checkliste für jedes Anlageangebot und einen schriftlichen Notfallplan für den Betrugsfall.