Abo
  • Services:
Anzeige
Bei N26 gab es Probleme mit der Sicherheit.
Bei N26 gab es Probleme mit der Sicherheit. (Bild: N26)

Fintech: Die geschwätzige API von N26

Bei N26 gab es Probleme mit der Sicherheit.
Bei N26 gab es Probleme mit der Sicherheit. (Bild: N26)

Banking mit dem Smartphone klingt innovativ und bequem. Doch immer wieder gibt es Sicherheitsprobleme - jetzt hat es N26 getroffen. Die API des Unternehmens war überaus geschwätzig.

Das Fintech-Startup N26 (früher: Number26) hat offenbar eine sehr geschwätzige API, die möglichen Angreifern viel über die Kunden verrät. Das hat Vincent Haupert auf dem 33C3 demonstriert (Video). Außerdem zeigte er einige andere Angriffe auf die Kontoverwaltung per App. Bei einigen von Haupert vorgestellten Angriffen handelte es sich um Gedankenspiele, andere waren tatsächlich in der Praxis erfolgreich. Die Probleme wurden mittlerweile seitens des Herstellers behoben.

Anzeige

N26 nutzt nur eine einzige App, um den Nutzer zu authentifizieren und die eigentlichen Transaktionen durchzuführen. Das ist, ähnlich wie die Authentifikation über zwei Apps auf einem Gerät, aus Sicherheitsgründen grundsätzlich nicht zu empfehlen. Doch neben dieser konzeptionellen Schwäche hat N26 weitere Probleme - die vor allem die Implementierung der App betreffen.

API verrät Nutzerinfos

Denn die API verrät deutlich mehr Informationen über die Nutzer, als sie eigentlich sollte. Viele der in der API enthaltenen Informationen werden aber an verschiedenen Orten genutzt, um sicherheitskritische Funktionen durchzuführen, etwa das Unpairing eines vertrauten Gerätes, mit dem Zahlungen durchgeführt werden können.

Wenn Nutzer ein solches vertrautes Gerät haben, können sie einfach per Siri Geld an N26-Kontakte versenden. Das funktioniert nur mit einem solchen registrierten Gerät - eigentlich. Denn auch in diesem Fall hebelt die API Sicherheitsfunktionen aus. Denn wer die API unter api.n26.de direkt anspricht, kann Überweisungen auch auf einem nicht vertrauten Gerät durchführen. So gelang es Haupert nach eigenen Angaben, 1.000 Zahlungen über einen Cent innerhalb von nur einer halben Stunden anzuweisen, ohne dass die Betrugserkennung von N26 angeschlagen hätte.

Erst nach drei Wochen sei eine entsprechende Meldung versendet worden, in der auch mit einer Deaktivierung des Accounts gedroht wurde. Allerdings wurde diese E-Mail nicht an den Sender, sondern an den Empfänger des Geldes gesendet. "Das ist, als ob Yahoo-Nutzer eine Mail bekommen, weil sie Spam empfangen haben", sagte Haupert. Doch es könnten nicht nur einfach unautorisierte Zahlungen durchgeführt werden - sondern auch der gesamte Account übernommen werden, weil N26 weitere Fehler macht.

Tausende Übereinstimmungen in gehackten Dropbox-Accounts 

eye home zur Startseite
NobodZ 29. Dez 2016

Klar, ein toter Wachhund ist auch Abschreckung. ;)

NobodZ 29. Dez 2016

... als Dinosaurier Banken. Banking is necessary, Banks are not Oder...

jdf 29. Dez 2016

Dummfug, denn du kannst im Jahr 2016 nicht garantieren, dass die von dir verwendete...

jdf 29. Dez 2016

Wobei man noch hinzufügen sollte, dass Geld abheben nach dem 5. mal satte 2¤ pro...

x00x 28. Dez 2016

Ich empfehle jeden den Vortrag anzusehen: https://media.ccc.de/v/33c3-7969...



Anzeige

Stellenmarkt
  1. Bosch Sicherheitssysteme Engineering GmbH, Grasbrunn bei München
  2. MT AG, Düsseldorf, Köln, Dortmund, Frankfurt am Main
  3. Robert Bosch GmbH, Leonberg
  4. Endress+Hauser InfoServe GmbH+Co. KG, Weil am Rhein


Anzeige
Top-Angebote
  1. 35,99€
  2. (u. a. Anno 2205 Ultimate Edition für 10,99€, Anno 2070 Königsedition für 6,99€ und...

Folgen Sie uns
       


  1. Fortnite

    574 Milliarden Schüsse und 40 Millionen Spieler

  2. Ericsson

    Datenvolumen am Smartphone wird nicht ausgenutzt

  3. Sieben Touchscreens

    Nissan Xmotion verwendet Koi als virtuellen Assistenten

  4. Intellimouse Classic

    Microsofts beliebte Maus kehrt zurück

  5. Investition verdoppelt

    Ford steckt elf Milliarden US-Dollar in Elektroautos

  6. FTTC

    Weitere 358.000 Haushalte bekommen Vectoring der Telekom

  7. Win 2

    GPD stellt neues Windows-10-Handheld vor

  8. Smartphone

    Kreditkartenbetrug bei Oneplus-Kunden

  9. Verwaltung

    Barcelona plant Wechsel auf Open-Source-Software

  10. Elektroauto

    Norwegische Model-S-Fahrer klagen gegen Tesla



Haben wir etwas übersehen?

E-Mail an news@golem.de


Anzeige
Spectre und Meltdown: All unsere moderne Technik ist kaputt
Spectre und Meltdown
All unsere moderne Technik ist kaputt
  1. Microsoft Fall Creators Update ist final für alle Geräte verfügbar
  2. BeA Noch mehr Sicherheitslücken im Anwaltspostfach
  3. VEP Charter Trump will etwas transparenter mit Sicherheitslücken umgehen

Star Citizen Alpha 3.0 angespielt: Es wird immer schwieriger, sich auszuloggen
Star Citizen Alpha 3.0 angespielt
Es wird immer schwieriger, sich auszuloggen
  1. Cloud Imperium Games Star Citizen bekommt erst Polituren und dann Reparaturen
  2. Star Citizen Reaktionen auf Gameplay und Bildraten von Alpha 3.0
  3. Squadron 42 Mark Hamill fliegt mit 16 GByte RAM und SSD

Snet in Kuba: Ein Internet mit Billigroutern und ohne Porno
Snet in Kuba
Ein Internet mit Billigroutern und ohne Porno
  1. Whistleblowerin Chelsea Manning will in den US-Senat
  2. Geldautomaten Mehr Datenklau und trotzdem weniger Schaden durch Skimming
  3. Die Woche im Video Peng, peng, kawumm!

  1. Re: nas selber bauen

    MFGSparka | 10:28

  2. Re: Das darf zum trend werden bitte mit der...

    medium_quelle | 10:28

  3. Re: Kündigungsfrist

    sneaker | 10:28

  4. Re: Gut so

    quineloe | 10:28

  5. Re: Infrastruktur first

    Sothasil | 10:28


  1. 10:34

  2. 10:00

  3. 07:44

  4. 07:29

  5. 07:14

  6. 18:28

  7. 17:50

  8. 16:57


  1. Themen
  2. A
  3. B
  4. C
  5. D
  6. E
  7. F
  8. G
  9. H
  10. I
  11. J
  12. K
  13. L
  14. M
  15. N
  16. O
  17. P
  18. Q
  19. R
  20. S
  21. T
  22. U
  23. V
  24. W
  25. X
  26. Y
  27. Z
  28. #
 
    •  / 
    Zum Artikel