Das Sicherheitsproblem der ING bei der Wero Implementierung

Sicherheit
1

Jüngst hat die Bank ING die Zahlungslösung “Wero” aktiviert:

https://www.ing.de/girokonto/wero/

und

https://www.ing.de/dokumente/allgemeine-vorvertragliche-informationen-fur-den-im-fernabsatz-abzuschliessenden-vertrag-uber-die-nutzung-von-wero/

Die Bank geht das den extrem unangenehmen Weg, dass hier nicht etwa eine beliebige Emailadresse als Identifikationslogik verwendet werden kann (was Wero grundsätzlich so vorsieht, ähnlich wie Paypal), sondern ausschließlich eine Mobilfunknummer.

Und der Spass hierbei ist, dass hier schlicht die Mobilfunknummer genommen wird, die bei der Bank hinterlegt wurde - als Sicherheitsmedium z.B. für Notfälle (Passwortreset etc).

Gleichzeitig bietet die ING eine Art zentrales Mobilfunknummernverzeichnis an:

3.1. Suchdienst für Wero Nutzerkennungen

  1. Im Rahmen der Nutzung der Wero-Funktion P2P-Zahlung kann der
    Kunde zur Auswahl eines anderen Wero-Teilnehmers der ING die Wero-
    Nutzerkennung des anderen Wero-Teilnehmers durch Eingabe der
    Telefonnummer oder der E-Mail-Adresse mitteilen. Diese Wero-Nutzer-
    kennung gleicht die ING mit dem dieser Wero-Nutzerkennung zuge-
    wiesenen Namen und der zugewiesenen IBAN ab und zeigt dem Kunden
    den Namen des anderen Wero-Teilnehmers (ggf. teilanonymisiert) an
    (nachfolgend „Suchdienst für Wero-Nutzerkennungen“).

Egal ob man das will oder nicht.

Ich kann also mit etwas Vorwissen genussvoll verifizieren, ob jemand eine bestimmte Telefonnummer als Sicherheitsmedium bei der ING nutzt.

Ich finde das absolut gruselig.

Ich bin absolut kein Freund von paypal, aber dort kann man sehen, dass es absolut möglich ist, als Nutzerkennung beliebige (und mehrere) Emailadressen zu verwenden, die man täglich ändern und löschen kann.

Und das Konzept von Wero sieht auch genau das vor. ( https://www.golem.de/news/europaeische-paypal-alternative-ing-integriert-zahlungsdienst-wero-anders-als-andere-banken-2508-199428.html )

Wenn man wenigstens beliebige Telefonnummern nutzen könnte, die man schnell verifiziert und hinzufügt. Aber nein, es muss ja genau die eine sein, die die Bank für Sicherheitsfunktionen abfragt.

Und dazu schön den Eintrag ins Telefonbuch des Suchdienstes erzwingen.

:nauseated_face:

3 „Gefällt mir“
2

Wo steht das? Wird das vielleicht nur im ersten Schritt so umgesetzt?

In den von dir verlinkten Allgemeinen vorvertraglichen Informationen heißt es:

Die Wero-Funktionen „Geld senden“ und „Geld anfordern“ können
mittels Angabe der Mobilfunknummer des anderen Wero-Teilnehmers
oder eines anderen stellvertretenden Merkmals zur eindeutigen Nutzer-
kennung eines Wero-Teilnehmers genutzt werden (z. B. E-Mail-Adresse
oder QR-Code).

und

Mit der Aktivierung bestimmt der Kunde seine Mobilfunknummer oder
E-Mail-Adresse als Nutzerkennung (nachfolgend „Wero-Nutzerkennung“).

In den Allgemeinen vorvertraglichen Informationen steht:

Im Rahmen der Aktivierung und Nutzung von Wero wird geprüft, wel-
che Kontakte im Telefonbuch des Kunden auf seinem mobilen Endgerät
bereits Wero-Teilnehmer sind. Diese Prüfung erfolgt durch ein techni-
sches Verfahren auf Basis von mathematischen Funktionen (sog. Hash-
werte); eine Speicherung von Mobilfunknummern oder E-Mail-Adressen
durch die ING oder Dritte erfolgt dabei nicht.

3

Ganz einfach, Konsequenzen ziehen, ich habe mein Giro Konto bei ING gelöscht, und Tschüss.

4

Heute ist es jedenfalls so. Es gibt keinerlei Verlautbarung, ob das jemals verbessert wird in Richtung Emailadressen, auch wenn sie sich in den AGB die Option offenhalten.

Und die naiven, die es jetzt einmal aktivieren, hängen mit ihren Sicherheits-Telefonnummern sofort im öffentlichen Suchdienst.

5

Ich kann mit Wero zur Zeit überhaupt nichts anfangen. Die einzige derzeit in Deutschland zur Verfügung stehende Wero-Funktion ist die P2P-Zahlung. Die werde ich mit Sicherheit niemals nutzen - wenn ich jemandem Geld überweisen soll, dann soll er mir gefälligst seine IBAN nennen, andernfalls gibt es kein Geld.

Wero ermöglicht auch keine Verschleierung der eigenen IBAN. Etliche Leute, die die Wero P2P-Zahlung genutzt haben, haben berichtet, dass die Empfänger-IBAN auf ihrem Kontoauszug erscheint. Damit scheidet eine Nutzung von Wero-P2P-Zahlung für das Szenario, dass man privat z.B. über eine Kleinanzeige etwas verkauft und nicht möchte, dass der Käufer die IBAN des eigenen Girokontos erfährt, aus.

Ich finde schon das Konzept, über eine Mobilfunknummer einen Passwortreset für den Online-Banking-Zugang durchführen zu können, gruselig.

6

Ja, da hast Du recht. “Wero” ist im Moment allein etwas für jemanden, der sich statt einer IBAN einen Nickname in Form einer Telefonnummer merken will, was quasi Nullnutzen ist.

Da genau jetzt die kostenlose Echtzeitüberweisung scharfgeschaltet wird überall, ist Geschwindigkeit ja Null Argument.

1 „Gefällt mir“