Banking-App verlangt nach jedem Update eine neue Gerätefreigabe: Wann das normal und wann es verdächtig ist

Eine Banking-App kann nach einem Update eine neue Gerätefreigabe verlangen, wenn sicherheitsrelevante App-Daten verloren gegangen sind, die Anwendung neu installiert wurde, ein Smartphone aus einem Backup wiederhergestellt wurde oder das System das Gerät nicht mehr eindeutig als bereits registriert erkennt. Ein gewöhnliches Update aus dem offiziellen App Store sollte die bestehende Gerätebindung jedoch nicht grundsätzlich jedes Mal löschen. Wie die Redaktion von Techify.de unter Berufung auf yourashford, der Verbraucherzentralen und mehrerer deutscher Banken berichtet, muss deshalb zwischen einer legitimen Neuaktivierung innerhalb der offiziellen App und einer externen Aufforderung per E-Mail, SMS oder Link unterschieden werden.

Gerätebindungen gehören bei vielen Banking- und TAN-Apps zum Sicherheitskonzept. Das registrierte Smartphone dient dabei als Besitzfaktor für die starke Kundenauthentifizierung. ING erklärt beispielsweise, dass nur mit einem registrierten Gerät Bankgeschäfte autorisiert werden können und sich die App bei der Registrierung fest an dieses Gerät bindet. Auch bei Sparkassen, Volksbanken, DKB und Commerzbank werden neue oder zurückgesetzte Geräte über festgelegte Aktivierungsverfahren eingebunden.

Verdächtig wird die Situation nicht allein durch die erneute Freigabe, sondern durch den Weg, über den sie verlangt wird, die abgefragten Daten und den Anlass.

Wann eine erneute Gerätefreigabe technisch plausibel ist

Eine neue Aktivierung ist regelmäßig vorgesehen, wenn tatsächlich ein anderes Smartphone oder Tablet verwendet wird. Die Sparkassen weisen darauf hin, dass Banking-Apps wegen besonderer Sicherheitsvorkehrungen nicht automatisch auf ein neues Gerät übertragen werden können. Die S-pushTAN-App muss beim Smartphonewechsel erneut registriert beziehungsweise auf das neue Gerät übertragen werden.

Dasselbe gilt häufig nach einer vollständigen Neuinstallation. Bei der DKB werden für die Neuinstallation der App der Anmeldename und das Banking-Passwort benötigt, selbst wenn zuvor eine biometrische Anmeldung eingerichtet war. Die Commerzbank beschreibt für ihre photoTAN-App ebenfalls einen eigenen Aktivierungsprozess, der über ein bereits freigeschaltetes Gerät, eine Aktivierungsgrafik oder einen Aktivierungsbrief erfolgen kann.

Eine erneute Freigabe kann insbesondere in diesen Fällen nachvollziehbar sein:

• Das Smartphone wurde gewechselt, zurückgesetzt oder repariert.
• Die Banking- oder TAN-App wurde gelöscht und neu installiert.
• App-Daten wurden durch das Betriebssystem, eine Sicherheitssoftware oder eine Speicherbereinigung entfernt.
• Das Smartphone wurde aus einem Cloud-Backup wiederhergestellt.
• Die App wurde nach mehreren fehlerhaften Passwort- oder Biometrieversuchen automatisch zurückgesetzt.
• Die Bank hat das Freigabeverfahren technisch umgestellt und informiert darüber im geschützten Online-Banking.

Die Volksbanken und Raiffeisenbanken erklären ausdrücklich, dass Daten der VR SecureGo plus App aus Sicherheitsgründen nicht einfach durch ein Backup auf ein anderes Mobilgerät übertragen werden. Ist das alte Gerät nicht mehr verfügbar, wird ein neuer Aktivierungscode benötigt. Nach mehrfach falscher Eingabe des Freigabe-Passworts oder gescheiterter biometrischer Erkennung kann die App außerdem automatisch zurückgesetzt werden.

„Aus Sicherheitsgründen werden die Daten aus Ihrer VR SecureGo plus App nicht durch ein Back-up auf ein anderes Mobilgerät übertragen.“
(Volksbanken Raiffeisenbanken, FAQ zur SecureGo-plus-App)

Auch ein größeres Betriebssystem-Update kann indirekt zu Problemen führen, etwa wenn geschützte App-Daten beschädigt werden, Berechtigungen verloren gehen oder die installierte App-Version nicht mehr unterstützt wird. Die ING empfiehlt bei App-Problemen, zunächst das Betriebssystem und anschließend die ING-App zu aktualisieren. Ist die App nicht mehr nutzbar und war sie das einzige registrierte Gerät, kann ein neues Freigabeverfahren notwendig werden.

Ein normales Versionsupdate allein ist dagegen kein allgemeiner Beleg dafür, dass jedes Mal eine vollständige Neuregistrierung notwendig sein muss. Die DKB empfiehlt regelmäßige Updates ausdrücklich, damit der volle Sicherheits- und Funktionsumfang erhalten bleibt. Eine routinemäßige Aktualisierung wird dort nicht als regulärer Grund für eine ständig wiederkehrende Geräteaktivierung genannt.

Wann die Aufforderung verdächtig ist

Besondere Vorsicht ist erforderlich, wenn die angebliche Gerätefreigabe nicht direkt nach dem selbst gestarteten Update in der offiziellen App erscheint, sondern über eine Nachricht von außen eingeleitet wird. Die Verbraucherzentrale warnt regelmäßig vor Phishing-Nachrichten, in denen behauptet wird, eine Gerätefreigabe laufe ab, müsse verlängert oder wegen einer Sicherheitsumstellung erneuert werden. Empfänger sollen dann über einen Link Zugangsdaten eingeben oder ein Gerät neu registrieren.

„Prüfen Sie entsprechende Hinweise ausschließlich über die offizielle App, das Online-Banking oder die bekannte Internetseite Ihrer Bank.“
(Verbraucherzentrale, Phishing-Radar)

Die Volksbanken und Raiffeisenbanken dokumentieren ebenfalls Phishing-SMS, die zu einer angeblichen Aktualisierung des SecureGo-plus-Verfahrens auffordern. Solche Nachrichten nutzen gezielt Begriffe wie Sicherheitsupdate, Geräteaktivierung, TAN-Verfahren oder Kontosperre, weil diese den tatsächlichen Abläufen einer Bank ähneln.

Folgende Merkmale sprechen gegen eine legitime Standardabfrage:

• Die Freigabe beginnt über einen Link in einer E-Mail, SMS, Messenger-Nachricht oder Online-Werbung.
• Die Nachricht erzeugt Zeitdruck und droht mit Kontosperrung, Gebühren oder dem Verlust des Online-Bankings.
• Es werden PIN, vollständige Zugangsdaten, Kartendaten oder mehrere TANs außerhalb der offiziellen Bank-App verlangt.
• Eine TAN soll bestätigt werden, obwohl keine eigene Anmeldung, Überweisung oder Geräteaktivierung begonnen wurde.
• Die App soll aus einer Datei, über einen QR-Code unbekannter Herkunft oder außerhalb des offiziellen App Stores installiert werden.
• Die angezeigten Auftragsdaten stimmen nicht mit dem eigenen Vorgang überein.

Das BSI bezeichnet Phishing als eine der zentralen Gefahren beim Mobile Banking. Angreifer versuchen dabei, Zugangsdaten über gefälschte Nachrichten, manipulierte Webseiten, Trojaner oder Spyware zu erlangen. Das Amt rät, Banking-Apps ausschließlich von der Bank oder aus einem bekannten offiziellen App Store zu installieren und stets die aktuelle Version zu verwenden. PIN und TAN dürfen nicht an Dritte weitergegeben werden.

„Geben Sie Ihre PIN/TAN für das Banking-Konto nicht an Dritte weiter.“
(Bundesamt für Sicherheit in der Informationstechnik, Empfehlungen zum Mobile Banking)

Was Kunden bei einer wiederkehrenden Freigabe prüfen sollten

Erscheint die Aufforderung unmittelbar in der bereits installierten App, sollte zunächst geprüft werden, ob die Anwendung tatsächlich über Google Play oder den Apple App Store aktualisiert wurde. Die App darf nicht über einen Link aus einer Nachricht geöffnet oder neu installiert werden. Anschließend sollte im Online-Banking kontrolliert werden, welche Geräte mit dem Konto verbunden sind.

Bei der DKB findet sich die Übersicht unter „Profil“, „App-Einstellungen“ und „Verknüpfte Geräte“. ING ermöglicht die Verwaltung registrierter Geräte im Online-Banking unter „Einstellungen“, „Sicherheit“ sowie „Freigabe-/TAN-Verfahren“. Andere Banken verwenden ähnliche Menüpunkte wie Geräteverwaltung, Sicherheitsverfahren, TAN-Verfahren oder Freigabemethoden.

Sicheres Vorgehen:

1. Keine Links aus E-Mails oder SMS öffnen und keine dort genannten Telefonnummern verwenden.
2. Die offizielle App direkt über das App-Symbol oder die bekannte Internetadresse der Bank öffnen.
3. Versionsnummer, Betriebssystem und registrierte Geräte kontrollieren.
4. Unbekannte oder nicht mehr verwendete Geräte entfernen beziehungsweise durch die Bank sperren lassen.
5. Die Aktivierung nur nach der offiziellen Anleitung der eigenen Bank durchführen.
6. Bei unbekannten Freigaben, unerwarteten TAN-Anfragen oder abweichenden Transaktionsdaten den Vorgang abbrechen und die Bank über die offiziell veröffentlichte Rufnummer kontaktieren.

Eine TAN oder App-Bestätigung ist keine bloße technische Formalität. Vor jeder Freigabe müssen Empfänger, Betrag und Art des Auftrags geprüft werden. Die Zwei-Faktor-Authentifizierung schützt nur dann zuverlässig, wenn der zweite Faktor nicht für einen fremden Vorgang bestätigt wird. Das BSI rät ausdrücklich davon ab, die Zwei-Faktor-Authentifizierung zu deaktivieren.

Ständige Neuaktivierung nach jedem Update deutet auf ein Problem hin

Wird auf demselben unveränderten Smartphone nach nahezu jedem regulären App-Update eine komplette Gerätefreigabe verlangt, sollte der Vorgang nicht dauerhaft als normal hingenommen werden. Möglich sind beschädigte App-Daten, nicht erfüllte Systemvoraussetzungen, aggressive Speicherbereinigung, ein Fehler bei der Gerätebindung oder eine fehlerhafte Installation. Entscheidend ist, ob die Bank dieses Verhalten für die konkrete App und Version in ihrer offiziellen Hilfe dokumentiert.

Vor einer erneuten Installation sollten Kunden prüfen, ob sie noch Zugriff auf ein zweites freigeschaltetes Gerät, das Online-Banking oder notwendige Aktivierungsunterlagen haben. Bei mehreren Banken führt das Löschen einer TAN-App dazu, dass ein neuer Aktivierungscode oder Aktivierungsbrief benötigt wird. Eine vorschnelle Deinstallation kann deshalb den Zugang zusätzlich verzögern.

Besteht der Verdacht, dass bereits Zugangsdaten auf einer fremden Seite eingegeben oder ein unbekannter Auftrag bestätigt wurde, darf die App nicht weiter für Transaktionen genutzt werden. Kontobewegungen sind unverzüglich zu prüfen, Online-Banking und Karten müssen bei Bedarf gesperrt und die Bank muss über einen offiziellen Kontaktweg informiert werden. Das BSI empfiehlt bei möglicher Schadsoftware außerdem, das betroffene Gerät zu bereinigen und Passwörter erst auf einem sauberen System zu ändern.

Die zentrale Unterscheidung bleibt damit eindeutig: Eine neue Gerätefreigabe kann nach Gerätewechsel, Neuinstallation, Zurücksetzen oder Verlust sicherheitsrelevanter App-Daten erforderlich sein.

Eine unerwartete Aufforderung über einen externen Link, die Eingabe sensibler Daten außerhalb der offiziellen Bankumgebung oder die Bestätigung eines nicht selbst ausgelösten Vorgangs ist dagegen ein Warnsignal.

Sie können dies und weitere nützliche Informationen auf unserer Website nachlesen. Wir empfehlen Ihnen außerdem die Lektüre folgender Artikel: Android-Handy wechselt ständig zwischen WLAN und mobilen Daten: Diese Einstellung ist der Grund