ING-App versendet versehentlich alarmierende Pushnachricht

Phishing-Versuche per E-Mail oder SMS, über die Betrüger Kreditkarten- oder Kontodaten abgreifen wollen, gehören für Internetnutzer im Jahre 2024 irgendwie schon zum Alltag dazu. Meist lassen sie sich dadurch entlarven, dass der Text in gebrochenem Deutsch formuliert ist oder sich um eine Bank dreht, bei der man gar nicht zum Kundenstamm gehört. Wenn an einem Sonntagnachmittag allerdings die offizielle Banking-App einer tatsächlich genutzten Bank plötzlich warnt, dass die beim eigenen Konto hinterlegte Postanschrift geändert wurde, rast der Puls dann doch in die Höhe.

So erging es am gestrigen Sonntag (25. Februar 2024) etlichen Kunden der ING, die auf Ihren Smartphones folgende Mitteilung erhielten:

Ihre Postanschrift wurde geändert – Sie haben das nicht veranlasst? Kontaktieren Sie uns bitte unverzüglich unter 069/342224. Unter Persönliche Einstellungen können Sie Ihre Daten überprüfen.

Nicht SMS, nicht E-Mail, sondern eine Pushnachricht der offiziellen ING-Smartphone-App Banking to go. Ein eindeutigeres Zeichen, dass etwas womöglich nicht stimmen könnte, gibt es wohl nicht.

Crosschecks

Mit (möglichst) kühlem Kopf gestartete Überprüfungen erhärteten den Verdacht, dass es einen tatsächlich erwischt hat. Die ING-Webseite verrät schnell, dass die in der Pushnachricht angezeigte Telefonnummer korrekt ist. Ein Anruf dort – sinnvollerweise per manueller Zifferneingabe an einem Festnetztelefon und nicht per Klick im Smartphone – bringt einen an einem Sonntag allerdings nicht weiter, weil außerhalb der Geschäftszeiten (Mo-Sa 8:00 bis 19:00) nur ein automatisches Telebanking-System rangeht.

Dass dieses mit der Situation überfordert ist und einem erst mal niemand weiterhelfen kann, erfährt man wiederum erst, nachdem man Kontonummer plus Authentifizierungsfaktor per Telefontastatur ein- und preisgeben muss, was in dieser unklaren Situation mindestens ein mulmiges Gefühl auslöst. Kartensperrungen (und nur diese) wären auch über die bankenübergreifende Service-Hotline 116 116 möglich, bringen aber in dieser Situation nichts, wenn man beispielsweise nur ein Tagesgeldkonto (und damit keinerlei Bankkarten) bei der ING nutzt.

Damit bleibt nur noch das Einloggen auf der Webseite, welches per Banking-App als zweiter Faktor bestätigt werden muss. Wer dort unter Einstellungen die hinterlegte Anschrift aufrief, fand keinerlei Änderungen vor. Auch die Authentifizierungshistorie zeigte keinerlei Unerklärlichkeiten an, was erstmals den Verdacht aufkommen ließ, dass es sich um einen Fehlalarm gehandelt haben könnte.

Kommunikationsloch

Dieser Verdacht bestätigte sich dann am heutigen Montagmorgen. Schon die vorgeschaltete Hotline-Ansage, dass es derzeit ein erhöhtes Anruferaufkommen gibt und man mindestens 30 Minuten Geduld haben müsse, sprach für eine großflächigere IT-Störung. Dies wurde nach dem Warten dann auch von einer Mitarbeiterin bestätigt – und auch, dass sie seit Schichtbeginn quasi nur Anrufe zu diesem Thema erhalten würde.

Sowohl sie als auch wir waren uns einig, dass es schön wäre, wenn man als Kunde irgendwie proaktiv über den Fehlalarm informiert werden würde: Beim Tippen dieser Zeilen war weder in sozialen Medien noch auf der öffentlich einsehbaren Webseite oder im Online-Konto irgendein Hinweis auf die fälschlicherweise ausgesandten Pushmitteilungen zu finden. Eine Entwarnung per Pushmitteilung ist aktuell wiederum nicht möglich: Um weitere Fehlalarme zu vermeiden, hat ING den Versand sämtlicher Pushmitteilungen abgeschaltet, bis der Bug behoben ist.

(mue)