Um Mitternacht war sein Bankkonto leergeräumt

Ein falscher Klick – und das ganze Konto eines Mannes aus Dübendorf ist geplündert. Der ehemalige Bankangestellte will das nicht auf sich sitzen lassen und macht seiner Hausbank mit Sitz in Uster schwere Vorwürfe.

Remo Kühne meldet sich bei der Redaktion. Er fühlt sich von seiner Bank im Stich gelassen. Der Dübendorfer hatte sein gesamtes Geld auf einem Konto der Regionalbank BSU – nun ist es weg. Der geprellte Bankkunde will in dieser Geschichte anonym bleiben – sein richtiger Name lautet eigentlich anders.

Angefangen hat alles mit seinem Inserat auf der Online-Verkaufsplattform Tutti, wo Kühne einen Haushaltsgegenstand für 100 Franken verkaufen wollte. In der Kontaktinformation gab er seine Handynummer an. Kurz danach meldete sich eine Person per Whatsapp bei ihm und gab an, den Gegenstand kaufen zu wollen.

Daraufhin bekam Kühne einen Link zugeschickt, mit dem die Zahlung ausgelöst werden soll. Er klickte auf seinem PC auf einen Link, den ihn scheinbar auf eine Seite von Tutti brachte.

Optisch habe die Seite seriös gewirkt, erinnert sich der 60-Jährige, der einst selber lange als Kundenbetreuer auf einer Bank arbeitete. Auf der Seite war eine Liste von Schweizer Banken aufgeführt, darunter auch seine Hausbank. Er klickte auf das Symbol der Bank BSU und kam auf eine «täuschend echte» Login-Seite, wie er sagt. Im Glauben, es handle sich um den Zugang zu seinem Konto, gab er Vertragsnummer und Passwort ein – ein grosser Fehler. Denn er bewegte sich seit dem Anklicken des Links auf den gefälschten Websites von Betrügern.

Stutzig wurde Kühne, als er trotz korrekter Eingabe auf dem Bildschirm «Anmeldung fehlgeschlagen» las, worauf er die Seite schloss. Nach wenigen Minuten kam ihm ein schrecklicher Verdacht. «Jetzt bin ich reingefallen», habe er damals nur gedacht und sofort sein Passwort geändert – auf der richtigen BSU-Website konnte er sich problemlos einloggen.

Rat der Bankmitarbeiterin ausgeschlagen

Danach rief er bei der BSU an. Eine Mitarbeiterin riet ihm, nebst der Passwortänderung zu einer Kontosperrung. Letzteres befolgte Remo Kühne nicht. Er habe grosses Vertrauen in die Zwei-Faktor-Authentifizierung gehabt und keine Gefahr für sein Vermögen gesehen. Bei dieser wird bei einem Login auf einem PC eine Nachricht ans persönliche Handy geschickt, die der Nutzer bestätigen muss. Ohne diese Bestätigung wird der Zugang zum Konto verwehrt.

In der darauffolgenden Nacht machten sich die Betrüger an seinem Konto zu schaffen. Sie änderten das Passwort und gaben mehrere Zahlungen an Schweizer Konten in Auftrag. Die Betrüger hatten es offenbar geschafft, das Gerät für die Zweifach-Autorisierung zu ändern. Statt seines Smartphone-Namens «IPhone 15 Pro Max» stand dort «bankbsu_support». Die Aufforderung zur Authentifizierung wurde also an die Betrüger geschickt.

Wenn ein neues Gerät beim E-Banking angemeldet wird, müsste dies eigentlich vom Kunden genehmigt werden. Doch daran kann sich das Betrugsopfer nicht erinnern: «Wissentlich habe ich ein solches Gerät nicht bestätigt. Ich konnte das nicht erkennen, weil mir das System eine fehlgeschlagene Anmeldung anzeigte.» Es sei ihm einzig beim Zugang zu seinem Konto aufgefallen, dass ein neues aufgeführt ist. «Wegen des Namens ging ich davon aus, dass die Bank damit Sicherheitseinstellungen auf meinem Konto vornimmt. Zumal ich ja kurz vorher mit der Bank wegen des Betrugsverdachts zu tun hatte.»

Am darauffolgenden Morgen kurz vor 8 Uhr stellte Kühne schockiert fest, dass sein gesamtes Konto leergeräumt worden war. Um Mitternacht hatten die Betrüger zugeschlagen. «13’000 Franken waren weg. Zudem waren noch fünf Aufträge über mehrere 1000 Euro pendent.» Diese seien nur deswegen nicht ausgelöst worden, weil er nicht genügend Geld auf dem Konto hatte.

Danach hat Kühne sich sofort mit der Bank in Verbindung gesetzt und ging später in der BSU-Filiale in Dübendorf vorbei. Dort hat man ihm aber nur den Verlust der 13’000 Franken bestätigen können.

Geld für die Selbständigkeit verloren

Für Kühne ist das ein schwerer Schlag. «Auf dem Konto war mein gesamtes Geld.» Vor drei Jahren hat der Mann seinen Job als Teamleiter im Bereich Kundenbetreuung der Bank verloren. Nachdem er lange keine Arbeit mehr auf seinem Beruf gefunden hat, entschied er sich für die Selbständigkeit. «Mit dem Kapital wollte ich eine neue Existenz als CO2-Berater für Firmen aufbauen. Ohne das Geld ist mein nächster Schritt der Weg zum Sozialamt.»

Trotz seines langen Arbeitslebens waren ihm einzig die 13’000 Franken geblieben, um die er jetzt erleichtert wurde. Denn er habe zwar sehr gut mit der Betreuung von vermögenden Kunden im Private Banking verdient, aber auch einige schwere Schicksalsschläge zu verdauen gehabt.

Der betrogene Kunde macht der BSU nun mehrere Vorwürfe. So habe etwa das automatische Betrugserkennungssystem der Bank versagt. Diese Software sollte verdächtige Zugriffe erkennen und Geldverschiebungen stoppen. «Vier gleichförmige Zahlungen mitten in der Nacht an mir völlig unbekannte Empfänger – nach 30 Jahren unauffälligem Kontoverhalten als Kunde. Wenn ein solches Muster keine Warnung auslöst, dann greift dieses System offensichtlich nicht.» Die Kontrollmechanismen hätten in seinem Fall nachweislich nicht funktioniert, sagt Kühne.

«Unhaltbares Sicherheitsrisiko»

Vor allem stellt aus Kühnes Sicht die Neuregistrierung eines Geräts für die Zweifach-Verifizierung ein «unhaltbares Sicherheitsrisiko» dar. Die BSU hätte einen physischen Nachweis von ihm verlangen sollen, wie etwa einen Aktivierungsbrief oder eine telefonische Verifikation.

Die Vorwürfe hat er mit einem Schreiben der Bank zugestellt. Zudem ist Kühne ein weiteres Mal in der Dübendorfer Filiale vorbeigegangen, um seine Situation zu besprechen. Doch auf seine Forderung, die verlorenen 13’000 Franken zu erstatten, ging die BSU nicht ein.

Die Korrespondenz mit der Bank liegt der Redaktion vor. Zur Funktion der Betrugserkennungssoftware schreibt sie: Transaktionsmuster, Empfängerdaten, der Zeitpunkt der Transaktionen und technische Merkmale werden in die Bewertung einbezogen. Die Prüfungen erfolgten automatisiert und risikobasiert.

Jedoch könne nicht jede vom üblichen Verhalten abweichende oder betragsmässig höhere Transaktion zwingend als betrügerisch eingestuft werden. Insbesondere dann, wenn ein gültiger E-Banking-Zugriff im Rahmen des vorgesehenen Sicherheitsverfahrens – beispielsweise mittels persönlichem Freigabeinstrument – bestätigt worden sei. «In solchen Fällen wird eine Transaktion grundsätzlich als autorisiert verarbeitet.»

Die Bank schreibt auch, Kühne habe die von einer Mitarbeiterin vorgeschlagenen Sicherheitsmassnahmen abgelehnt. Etwa die Empfehlung, den bestehenden E-Banking-Vertrag zu löschen und durch einen neuen zu ersetzen. Ebenso habe er die Änderung des Privatkontos auf «Sichtrechte» ausgeschlagen. «Dadurch wären keine Zahlungen mehr möglich gewesen.»

Der geprellte Kunde bleibt bei seinen Vorwürfen. Kühne spricht von einem Sicherheitsversäumnis: «Ein System, das zulässt, dass ein Gerät mit einem bankeigen klingenden Namen registriert wird, erleichtert den Missbrauch – und erschwert, es später als fremd zu erkennen.» 

Die Bank wehrt sich

Handelt es sich um eine Schwachstelle im System der BSU? CEO Damian Lanter gibt zum konkreten Fall keine Auskunft. Generell sei es aber so, dass Betrüger immer versuchten, vorzutäuschen, dass es der Kunde mit der Bank zu tun habe.  

Die Gerätenamen des Smartphones oder des PC für die Zweifach-Authentifizierung würden von ihnen nicht analysiert. Die Kundschaft müsse frei sein in der Namensgebung, damit sie das Gerät wiedererkenne. «Eine Beschränkung käme einer Bevormundung der Kunden gleich.»

Lanter sagt, dass die Bank BSU in letzter Zeit mit einer deutlichen Zunahme solcher Betrugsversuche konfrontiert sei. Effektive Fälle mit Geschädigten gebe es jährlich «etwa eine Handvoll». «Allerdings mag es eine Dunkelziffer geben, wenn die Kundschaft solche Vorfälle aus Scham oder bei kleineren Beträgen gar nicht meldet.»

Die BSU hat ihre Sicherheitsvorkehrungen deswegen kürzlich angepasst. Neu müssen Kunden jede Zahlung mit der Zwei-Faktor-Authentifizierung bestätigen. Einzig Kontoüberträge, eBill-Zahlungen sowie Überweisungen über die Twint-Plattform sind davon ausgenommen. «Insofern dies einen Zusatzaufwand für unsere Kundschaft bedeutet, war die Massnahme nicht geplant», sagt Lanter. «Sie erschien uns aber aufgrund der Zunahme von Betrugsfällen als angebracht.»

Das seltsame «Support»-Gerät

Rätselhaft bleibt die Registrierung des fremden Geräts «bankbsu_support» dennoch. Lanter versichert aber, dass dies nur durch den Kontoinhaber geschehen kann. Für die Einrichtung eines neuen Geräts werde zur Verifizierung entweder ein physischer, per Einschreiben verschickter Aktivierungscode oder die Bestätigung mit dem bestehenden Gerät für die Zwei-Faktor-Authentifizierung benötigt.

Im Schreiben der BSU an den geschädigten Kunden weist die Bank darauf hin, dass Kühne selbst das neue Gerät freigegeben habe. Dies würden die Logfiles der Bank belegen.

Kühne will diese digitalen Zeitstempel nun persönlich vor Ort in der Filiale Dübendorf einsehen, sagt er. Ob die Bank darauf eingeht, sei noch ungewiss.

Der Dübendorfer hat auch den Bankenombudsmann Andreas Barfuss kontaktiert. Dieser hat ihm in einem langen Brief geantwortet, doch helfen konnte er auch nicht. Aus dem Schreiben, das der Redaktion vorliegt, hält Barfuss fest: «Ich vermag kein Verhalten der Bank erkennen, das eine Übernahme des Schadens rechtfertigen würde.»

Hoffnung schöpft Kühne jedoch aus einem Auszug des Ombudsmanns: «Grundsätzlich trägt jede Partei das Risiko für Schäden, die in ihrem Einfluss- und Verantwortungsbereich entstehen und die sie bei Einhaltung der gebotenen Sorgfalt hätte verhindern können.» Daraus schlussfolgert Kühne: Das Funktionieren der Sicherheitssysteme liegt im Verantwortungsbereich der Bank.

Trotz der wenig zuversichtlichen Rückmeldungen will Kühne nicht aufgeben. Ob er wie in einem Schreiben an die BSU angekündigt, rechtliche Schritte einschlagen will, weiss er heute noch nicht. Er sagt aber: «Das mindeste, was ich von meiner Bank will, ist, dass sie sich ein bisschen kulant zeigt.»