Schutz vor Punkteklau: Das könnte sich für Payback-Kunden bald ändern

Nach dem massenhaften Punkteklau bei Payback, versucht das Unternehmen zu beschwichtigen: Änderungen zum besseren Schutz vor Betrug seien bereits geplant. Doch wann sie kommen, ist noch offen.

Nachdem sich tausende Kunden über systematischen Punkteklau beim Prämienprogramm Payback beschwert hatten, kündigt das Unternehmen zusätzliche Sicherheitsvorkehrungen an – allerdings nicht zum ersten Mal. Im Gespräch mit der "Westdeutschen Allgemeinen Zeitung" (WAZ) bekräftigte eine Sprecherin, dass der Anbieter eine Zweifaktor-Authentifizierung in Betracht ziehe. Gegenüber t-online.de hatte das Unternehmen zuvor ein ähnliches Versprechen abgegeben.

So könnte die Zweifaktor-Authentifizerung funktionieren

Die Zweifaktor-Authentifizierung könnte durch eine zusätzliche Code-Abfrage verhindern, dass Unbefugte die Punkte einlösen. Anders als zum Beispiel bei einem Facebook-Log-in wird dieser Code aber nicht schon bei der Anmeldung im Online-Konto abgefragt. Erst, wenn jemand versucht, die Punkte einzulösen, wird ein Code auf das Smartphone des Kontoinhabers verschickt. Dieser wird benötigt, um den Einlösevorgang zu autorisieren. Man kennt das bereits vom Online-Banking, wo eine TAN benötigt wird, um eine Überweisung abzuschicken.

Online-Betrüger könnten sich unter diesen Umständen zwar weiterhin mit den erbeuteten Zugangsdaten in das Kundenkonto einloggen – würden aber in der Regel an der zusätzlichen Sicherheitshürde scheitern.

Verlorene Punkte werden nicht erstattet

In den vergangenen Wochen hatten sich zahlreiche Kunden beschwert, dass ihr Payback-Konten leer geräumt worden waren: Unbekannte hatten sich mit geklauten Log-in-Daten Zugriff verschafft und ihre Punkte gegen Prämien eingetauscht.

Das Unternehmen lehnt eine Erstattung der geklauten Punkte bisher ab und sieht die Verantwortung bei den Nutzern selbst. Die betroffenen Konten seien Phishing-Attacken und Internetkriminellen zum Opfer gefallen, die systematischen Betrug mit geklauten Log-in-Daten betreiben. Auch schwache oder häufig verwendete Passwörter erleichtern Online-Kriminellen das Handwerk.

Die Zweifaktor-Authentifizierung ist bereits bei vielen Online-Diensten Standard und wird von Experten empfohlen. Unklar ist, warum Payback die Sicherheitsprüfung mit einem zweiten Faktor noch nicht eingeführt hat. Offenbar war das Problem, dass die Payback-Punkte unzureichend gegen Phishing-Attacken geschützt sind, lange bekannt. Im Zuge der Corona-Krise hätten sich nun die Fälle gehäuft, da auch Phishing-Attacken zugenommen hätten, sagte die Payback-Sprecherin der "WAZ".