Ich bin heute 10 km Radgefahren und hatte mein Handy nicht dabei, sehr wohl aber meine Fingerabdrücke. Diese beiden Merkmale scheinen also durchaus voneinander unabhängig zu sein.
Die Idee der 2FA ist, dass es nicht reicht,
- ein Handy zu finden oder
- eine PIN zu kennen oder
- einen Fingerabdruck oder einen Retinascan zur Hand zu haben,
um Schindluder zu treiben, sondern es müssen eben mindestens zwei Faktoren verfügbar sein.
Natürlich ist es möglich, ein Handy zu finden und sich ein weiteres Merkmal über ausgefuchste Hackeraktivitäten oder irgendwelche Gadgets zu verschaffen, über die Ethan Hunt oder James Bond verfügen, aber die totale Sicherheit ist nun einmal nicht der Ansatz derartiger Apps und sie kann es auch gar nicht sein.
Wie Fips schon schreibt:
Die TAN-Liste wurde für unsicher befunden und deswegen abgeschafft und durch andere Verfahren ersetzt, die z.T. viel leichter und vor allem viel leichter ohne vorherige Aktivität des Kriminellen in falsche Hände geraten können als eine zu Hause in einer Schublade verwahrte TAN-Liste - SMS-TAN zum Beispiel.
Mobiltelefone werden häufig irgendwo liegen oder zumindest mal aus den Augen gelassen und bei vielen sind auch Nachrichten ohne Entsperrung des Bildschirms zu lesen. SMS-TAN ist also wesentlich unsicherer, wenn man von der Prämisse ausgeht, dass ein Übeltäter über Benutzernamen und Kennwort verfügt (was bei der alten TAN-Liste auch notwendig war).
Hinzu kommt, dass die EU mit der PSD (Payment Services Directive) m.E. einen Fehler begangen hat. Eigentlich von der hehren Idee getrieben, dass auch Nichtbanken den Kreditinstituten Konkurrenz machen können sollen, hat das letztlich dazu geführt, dass man für nahezu jeden Furz im online-Banking eine Freigabe am Handy erteilen muss: Ansicht älterer Kontoumsätze, Zugriff auf das Postfach, Änderung eines Dauerauftrages.
Die ständigen Aufforderungen, irgendetwas freizugeben, haben m.E. zu einer Herabsetzung der Aufmerksamkeit der Benutzer geführt. Dadurch steigt die Wahrscheinlichkeit, dass der Benutzer irgendetwas freigibt, das dann vielleicht doch keine Lappalie war.
Einen „normalen“ Betrug nach den geschilderten/bekannten Mustern halte ich jedenfalls für weitaus wahrscheinlicher, als dass hier auf einmal Banden umherziehen und die Leute zwingen, Überweisungen zu tätigen.
Übrigens hast Du noch eines nicht bedacht: eine Überweisung wird auf ein Konto getätigt, das einer Person zugeordnet ist. Es mag wohl sein, dass sich bspw. die baltischen Sicherheitsbehörden lange Zeit nicht für ein paar tausend via Phishing abgeräumte Euro nicht besonders interessierten, aber erstens hat sich auch das geändert und zweitens ist ja eine schwere Straftat noch ein ganz anderes Kaliber.
Natürlich ist es auch theoretisch möglich, Geld in Länder zu überweisen, in denen die Sicherheitsbehörden auf allen Augen blind sind, aber z.B. bei Überweisungen in nicht kooperative Länder im Hinblick auf Geldwäsche & Co. greifen dann im Zweifel die Sicherheitsmechanismen der Kreditinstitute.
Wer aber wirklich absolut sichergehen will, muss sich andere Lösungen suchen als ausgerechnet seine Bankgeschäfte über ein mobiles und digitales Endgerät (das zumindest potentiell ausgespäht, entwendet oder kompromittiert werden kann) zu erledigen.
