Online-Banking: Number26 lässt Kunden im Login-Bereich intensiv tracken

Die Login-Seiten von Banken sind für Nutzer besonders sensible Bereiche. Manche Banken schrecken aber nicht davor zurück, ihre Kunden dort durch Drittanbieter tracken zu lassen.

Artikel veröffentlicht am 3. August 2016, 13:23 Uhr, Friedhelm Greis

Das Startup N26 lässt die Nutzerdaten umfangreich analysieren. (Bild: N26.com)

Das Fintech-Startup Number26 (neuerdings N26) lässt seine Kunden auch im Login-Bereich durch mehrere Drittanbieter tracken. Das ergab eine Untersuchung durch die Browser-Erweiterung Cliqz, bei der mehrere deutsche Banken auf ihr Nutzertracking hin geprüft wurden. Demnach erlaubt Number26 Javascripts oder Tracking-Pixel mehrerer Dritter wie Facebook, Google (Doubleclick, Analytics), Amazon (Cloudfront) oder TrackJS. Die übrigen untersuchten deutschen Banken sind hingegen meist wesentlich zurückhaltender.

Die Studie ist alles andere als repräsentativ, da nur zwölf Banken getestet wurden. Immerhin fünf von ihnen geben bei einem typischen Online-Banking-Vorgang keinerlei Daten an Dritte weiter. Dazu gehören die Hypo-Vereinsbank, die Postbank, die Stadtsparkasse München, die DAB-Bank und die Volksbank Mittelhessen. Nach erfolgtem Login erlauben zudem die Commerzbank, Comdirect, Ing-Diba und die Deutsche Bank kein Tracking. Die Consorsbank und Number26 binden im Login-Bereich über Javascript zudem ein Widget für den Chat-Support ein. Die DKB wiederum zeigt ein Sicherheitssiegel von Verisign an, das über JavaScript eines Drittanbieters auf die Seite geladen wird.

Vermehrtes Tracking nach Logout

Vor dem Login lassen Comdirect und die DKB die Kunden mit einem Pixel der Anbieter Adform beziehungsweise Webtrekk tracken. Diese setzen der Untersuchung zufolge Cookies sowie Browser-Fingerprinting ein, um Nutzer zu verfolgen. Nach dem Logout erlauben zudem die Commerzbank sowie die Ing-Diba ein solches Tracking. Die DKB habe gleich mehrere Tracking-Pixel von Google, Advertising.com, Adition, MathTag, Eyeota, Turn, Semasio, Webtrekk und Netzeffekt in ihrer Logout-Seite eingebunden.

Nach Darstellung der Studie setzen die Banken solche Tracking-Verfahren ein, "um zu verhindern, dass die Bank Neukunden-Werbung an bereits bestehende Kunden schickt, oder um zu ermitteln, wie viele Neukunden eine bestimmte Werbekampagne generiert". Die Chat-Support-Systeme von Drittanbietern erlaubten es den Banken, ihren Online-Support auszulagern.

Gefahr durch Javascript und Fingerprinting

Für Nutzer bestehe dabei die Gefahr, dass durch die Einbindung von Drittanbietern die Angriffsfläche vergrößert werde. Über kompromittierte Javascript-Anwendungen könnten sich Angreifer "Zugriff auf tausende Bankkonten verschaffen". Aus Datenschutzgründen sei es bedenklich, wenn Drittanbieter über Browser-Fingerprinting genaue Nutzerprofile erstellen könnten. Wenn das Tracking während der eingeloggten Sitzung erfolge, könnten sich sogar Informationen über den Finanzstatus des Nutzers ableiten lassen. "Wir möchten darauf hinweisen, dass wir nicht glauben, dass die Daten für derartige Zwecke genutzt werden - die technischen Mittel, die eingesetzt werden, würden den Drittanbietern aber die Möglichkeit dazu geben", heißt es in der Studie.

Bedenklich sei zudem, dass große Tracking-Anbieter wie Google oder Facebook über eine Reichweite von teilweise mehr als 40 Prozent der besuchten Webseiten verfügten. Selbst bei einer Reichweite von nur einem Prozent könnten solche Dienste umfangreiche Nutzerprofile erstellen. Dies könne durch den Einsatz von Anti-Tracking-Tools verhindert werden.

N26 analysiert App-Nutzung im Detail

N26 weist in seiner Datenschutzerklärung auf die umfangreiche Einbindung von Drittanbietern hin. Neben den bereits genannten Firmen nutzt N26 zudem die Dienste von Twitter, Adjust, Snowplow, Livechat und Crashlytics. Adjust sammelt beispielsweise Installierungs- und Event-Daten für die Nutzung der Apps. Mit Hilfe von Crashlytics lassen sich Systemabstürze und Fehler in den Apps verfolgen. Snowplow wiederum analysiert das Navigationsverhalten der mobilen Nutzer.