Prof. Dr. Andreas Walter in FinanzBusiness zum Wirbel um Zwei-Faktor-Authentifizierung

Laut einem Gerichtsurteil sei Mobile Banking unsicher, weil es keine echte Zwei-Faktor-Authentifizierung gibt. FinanzBusiness befragte Prof. Dr. Andreas Walter, Leiter der Praxisgruppe Banking & Finance bei Schalast, zu diesem Thema.

Zur Frage, ob es wenn ein Bank-Kunde auf seinem Smartphone per Banking-App Geld überweist und die Überweisung dann mit einer TAN freigibt, die ihm eine andere App auf dem selben Gerät ausspielt, dann noch eine Zwei-Faktor-Authentifizierung ist, meint das Landgericht Heilbronn: Nein. Mit dieser Antwort verursachte es Wirbel im Bankenlager.

Prof. Dr. Andreas Walter erklärt im FinanzBusiness, dass die Regelung zur Authentifizierung in § 1 Abs. 24 ZAG, auf die es hier ankommt, nicht daran anknüpfe, auf welchem Kommunikationsweg die Authentifizierungsinstrumente transportiert werden.

Prof. Dr. Andreas Walter erläutert weiterhin:

Der PIN zur Anmeldung beim Online-Banking ist – woran auch keine ersichtlichen Zweifel in Literatur und Rechtsprechung bestehen – ein Authentifizierungsinstrument aus der Kategorie Wissen. Die TAN, die dem Nutzer via SMS oder einem anderen Kanal geschickt wird, bzw. die Freigabe einer Zahlung innerhalb einer vom Online Banking getrennten App, ist aus der Kategorie Besitz.  Auch das Mobiltelefon bzw. die SIM-Karte sind der Kategorie Besitz zuzuordnen.

Wir haben also bei der Nutzung von Online Banking und Empfang der TAN bzw. Freigabe der Zahlung in einer anderem App auf demselben Mobilgerät dennoch zwei voneinander getrennte Authentifizierungsinstrumente.

Das Landgericht Heilbronn verwendet also ein neues, frei erfundenes Tatbestandsmerkmal, dass weder vom Gesetzgeber noch der EBA bislang gefordert wird: Und zwar, dass die Elemente über getrennte Kommunikationswege offenbart werden müssen, um eine Zahlung o.ä. zu autorisieren. 

Da die Entscheidung aus anderen Gründen für die Bank letztlich positiv ausfiel, hatte sie wohl kein Interesse daran, nur für ein besseres Recht den Streit weiterzuführen. Ich kann mir aber nicht vorstellen, dass diese Entscheidung in höheren Instanzen Bestand gehabt hätte.

Ob und wie Banken jetzt reagieren müssen, erfahren Sie hier.