N26 und die Phishing-Probleme: „Sportlich können wir das nicht sehen“

Die Digitalbank N26 hat offenbar ein ernsthaftes Sicherheitsproblem aufgrund von Phishing. Wie sich anhand etlicher Fälle rekonstruieren lässt, hat die digitale Vorzeigebank mit Phishing-Attacken zu kämpfen, die offenbar so professionell und seriös wirken, dass selbst IT- und Digital-affine Kunden, die N26 ja vor allem anspricht, darauf hereinfallen. Optimierbar scheint in diesem Zusammenhang auch der Kundensupport – und so ist der Fall ein gutes Beispiel dafür, dass digitale Kundenkommunikation zwar anders und vielfältiger abläuft als bei der guten alten Filialbank, aber dennoch Grundlage für das Vertrauen der Kunden ist.

In einem Fall sind es rund 80.000 Euro, in anderen Fällen rund 10.000 Euro, die von Kundenkonten entwendet wurden. Das zeigt einerseits, dass offenbar die Fraud Detection der Bank, die laut CEO Valentin Stalf unter anderem regelbasiert mit permanentem Transaktionsmonitoring arbeitet, ein Problem hat, weil sie bestimmte Betrugsfälle nicht erkennt, manche aber auch gar nicht erkennen kann.

Beispielsweise ist uns ein Fall bekannt, in dem ein Marketingexperte einer großen Internetfirma, der sicher nicht zur üblichen Zielgruppe der leicht zu übertölpelnden Phishing-Opfer zählt, zunächst telefonisch kontaktiert wurde. Der Anruf habe höchst seriös gewirkt und sei vom Wording und Auftreten exakt so gewesen, wie man ihn sich erwartete. Es habe anders als sonst bei solchen Anrufen für ihn keinerlei Grund zum Zweifeln gegeben und selbst die korrekte Telefonnummer sei (manipuliert) angezeigt worden. Innerhalb weniger Minuten hatte der Anrufer offenbar das Konto unter einem plausiblen Vorwand auf ein Smartphone in UK umgeleitet, die Mail-Adresse abgeändert und danach das Konto auf einen Schlag leergeräumt – zuletzt noch die paar hundert Euro Standard-Kreditrahmen in einer zweiten Buchung ausgeschöpft. Bemerkenswert dabei ist, dass die Anti-Fraud-Mechanismen hier nicht angeschlagen haben – trotz vier auffälliger Ereignisse binnen weniger Minuten.

N26-Chef Valentin Stalf: “Die Systeme Tag für Tag verbessern”

Wir konnten mit Valentin Stalf, dem CEO der inzwischen mit über einer Milliarde bewerteten Digitalbank, sprechen. Er äußert sich zwar nicht zu einzelnen Fällen, stellt aber klar, dass Phishing ein Problem sei, dem sich jede Bank stellen müsse. Man versuche vor allem vermehrt, die Kunden in die Lage zu versetzen, dass sie unter keinen Umständen sensible Daten preisgeben. In den aktuellen Fällen hat das offenbar schlecht funktioniert.

Sportlich können wir das nicht sehen, weil es sich um Betrug und hoch kriminelle Machenschaften handelt. Wir arbeiten mit der Polizei zusammen und einem sehr großen Inhouse-Risk-Team. Sportlich kann man das nur soweit sehen, dass man seine Systeme Tag für Tag verbessert, immer mehr mit künstlicher Intelligenz und Machine Learning arbeitet und jede neue Angriffsstrategie pariert. Damit müssen wir in den nächsten Jahren leben, aber ich glaube, unsere Systeme werden ständig besser.“

Valentin Stalf, Gründer und CEO von N26

Doch das Sicherheitsproblem ist nur eine Baustelle, mit der das Unternehmen zu kämpfen hat. Mehr als zehntausend neue Kunden jeden Tag beanspruchen nicht nur die IT-Systeme, sondern stellen auch hohe Anforderungen an die Mitarbeiter und den Service. Wird das Unternehmen hier ein Stück weit Opfer seines eigenen Erfolgs? Die Vorzeigebank muss aufpassen, dass sie durch solche Fälle nicht bei zu vielen Kunden in Misskredit kommt. Denn wer einmal in einem solchen Worst Case Scenario seine Bank nicht erreicht und dies publik macht, vergrault gleich noch viele weitere Kunden.

Mit der Erreichbarkeit von N26 steht und fällt das Vertrauen der Kunden

Klar ist, dass die Kundenkommunikation selbst in einem hochgradig flexiblen digitalen Umfeld nicht auf der Strecke bleiben darf und dass gerade eine Direktbank die fehlende Kontaktmöglichkeit vor Ort ersetzen muss. Die Kunden kommunizieren zwar im Zweifelsfall über mehr und andere Kanäle, aber auf die Möglichkeit, einen Menschen aus Fleisch und Blut telefonisch zu erreichen, wollen sie dennoch nicht verzichten. Das hat nun offenbar das Unternehmen auch verstanden und angekündigt, jeder, der dies wünsche, könne per Rückrufservice zeitnah sein Anliegen mündlich äußern – auch wenn es sich um weniger gravierende Dinge handelt als ein gekapertes Konto. Eine telefonische Hotline bis in die Abendstunden, mit der Kunden aktiv die Bank anrufen können, haben schon bisher die Kunden mit der kostenpflichtigen N26-Metal-Karte.

Man sehe dennoch weiterhin den Chat als Hauptkanal – und das nicht mal nur aus Gründen der Sparsamkeit: „Wir haben herausgefunden, dass wir so über alle Kundensegmente hinweg die höchste Kundenzufriedenheit erreichen.“ Ergänzend dazu verlässt sich N26 deutlich überzeugter und bewusster als viele andere Banken auf die Unterstützung durch einen Chatbot. Dieser sei zwar noch nicht perfekt, solle in den nächsten Monaten aber immer mehr dazulernen und die Mitarbeiter in immer mehr Fällen unterstützen können.

Kritik an der Erreichbarkeit und den Reaktionszeiten kann Stalf allerdings nicht nachvollziehen. Man erhalte im Schnitt, das überwache das Unternehmen täglich, innerhalb von 30 Sekunden Antwort – und selbst komplexere Fälle wie derartige Betrugsfälle würden zeitnah geregelt.

N26: Künstliche Intelligenz wird Betrugsbekämpfung stärken

Abgesehen davon geht Valentin Stalf davon aus, dass Phishing-Fälle in Zukunft dank künstlicher Intelligenz nahezu gänzlich der Vergangenheit angehören werden. Diese könnte das Transaktionsmonitoring unterstützen und selbst dann Alarm schlagen, wenn Kunden ihre Zugangsdaten weitergegeben haben und den dreistufigen Sicherheitsmechanismus versehentlich ausgehebelt haben. KI und Machine Learning stehen deshalb, so der Gründer bei N26, ganz oben auf der Agenda.

Durch die PSD2 und die damit verbundenen APIs werde Banking allerdings nicht unsicherer werden, erklärt der Gründer:

Wir haben in der Tat ein Risiko, dass Kontodaten durch die PSD2 in mehr Sphären, an mehr Orten verbreitet werden – einfach weil neben der Bank mehr Akteure darauf Zugriff haben. Ich würde das aber nicht per se negativ sehen, weil wir technisch eine Vielzahl von Möglichkeiten haben, mit Hilfe intelligenter Systeme die Daten der Kunden zu schützen. Das wird sich über die nächsten fünf Jahre noch verstärken und ich gehe davon aus, dass wir deswegen die Phishing- und Fraud-Themen eher seltener sehen werden – trotz dieser zusätzlichen Schnittstellen.“

Valentin Stalf, Gründer und CEO von N26

N26 muss seine Hausaufgaben machen

N26 hat in den letzten Jahren unternehmerisch sehr viel richtig gemacht, eine in die Jahre gekommene Branche teilweise sogar richtiggehend aufgerüttelt. Das Unternehmen hat Erfolg wie kaum ein anderes in der FinTech-Welt (und es öffnet offenbar gerade durch seinen Erfolg auch anderen deutschen FinTechs virtuelle Türen in den USA und weltweit). Dennoch könnte gerade dieser Erfolg jetzt zum Problem werden: Das Team muss seine Hausaufgaben machen und die Skalierung der Prozesse (10.000 Neukunden am Tag sind beileibe nicht leicht zu handlen) für sich hinbekommen. Zwei Dinge dürfen dabei nicht auf der Strecke bleiben: die Sicherheit und der Kontakt zum Kunden. Sonst ist das Vertrauen der Kunden schnell verspielt, auch und gerade bei einem digitalen Geschäftsmodell. tw