Wurde die Uber-App gehackt?

Im November bekam Rita Schneider* aus Zürich einen Brief von ihrer Bank: Ihre Kreditkarte sei gesperrt worden – «aufgrund von verdächtigen Transaktionen» auf ihrem Konto. Schneider fürchtete, sie sei Opfer von Kriminellen geworden.

Am Telefon sagte ihr die Cembra Money Bank, die verdächtigen Transaktionen habe das bankinterne Betrugskontrollsystem auf ihrem Uber-Konto festgestellt. Darauf habe man die Kreditkarte aus Sicherheitsgründen unverzüglich gesperrt.

Rita Schneider bekam eine neue Kreditkarte, trotzdem blieb ein flaues Gefühl zurück. Denn sie war noch nie mit dem Transportdienst Uber gefahren. Sie hatte lediglich die Uber-App auf ihrem Smartphone installiert und ihre Kreditkartendaten hinterlegt, allerdings ohne das Konto zu benutzen. Hatte Uber versucht, heimlich Geld abzuzweigen? Oder war Uber vielleicht gehackt worden?

Die Cembra Money Bank betont, dass Uber ein sicherer Partner sei. «Es deutet absolut nichts auf betrügerische Machenschaften oder gezielte ungerechtfertigte Abbuchungen seitens von Uber hin.» Es sei allerdings möglich, dass «Drittpersonen die betrügerische Absicht haben und die nötigen Kenntnisse besitzen, um Missbräuche über Uber vorzunehmen. Uns sind solche Fälle bekannt.» Ganz schlau wurde Rita Schneider aus dieser Erklärung nicht. Es klang jedenfalls nicht sehr beruhigend.

Beobachter-Recherchen ergeben allerdings eine weitere Erklärungsmöglichkeit. Vielleicht waren die «verdächtigen Transaktionen» bloss «Autorisierungsbeträge» gewesen. Laut Uber-Website sind das «kleine Geldbeträge, die nie wirklich von deinem Konto abgebucht werden», aber «als ausstehend erscheinen», bevor sie «nach einigen Werktagen storniert» werden. Diese Konto-Autorisierung ist ein Standardprozess.

Hatte die Bank etwa in Unkenntnis davon versehentlich das Konto gesperrt? Keineswegs, teilte die Cembra Money Bank auf Nachfrage mit. Laut ihren Angaben versuchten mutmassliche Internetkriminelle im November innert weniger Minuten mehrmals, über das Uber-Konto von Schneider auf ihrer Kreditkarte Null-Franken-Beträge abzubuchen – ein bekanntes Vorgehen von Hackern, um die Betrugskontrollsysteme von Banken zu testen. Die Bank reagierte umgehend und sperrte die Kreditkarte. Wenn Beträge missbräuchlich abgebucht worden wären, hätte die Bank das getragen. Schneider hätte keinen finanziellen Schaden erlitten.

Bedenklich fand Schneider aber, dass offensichtlich jemand in ihr Uber-Konto eingedrungen war. Die Cembra Money Bank sagt, dass aus anderen Ländern Missbräuche von Uber-Konten bekannt seien.

Uber glaubt nicht an Sicherheitslücken: Die Bank habe bestätigt, «dass es keine Anzeichen dafür gibt, dass die Sicherheitssysteme von Uber überwunden wurden. Vielmehr haben Personen Zugang zu Kreditkarteninformationen erhalten, die sie zur Nutzung von Uber einzusetzen versucht haben – genauso, wie sie dies bei jedem anderen Service hätten tun können. Sobald unsere Kontrollsysteme solche Fälle entdecken, sichern wir das Nutzerkonto sofort ab und erstatten dem Nutzer sämtliche unautorisierten Buchungen zurück.»

Wo das Problem genau liegt, weiss Rita Schneider immer noch nicht. Sie ist deshalb vorsichtig geworden: «Ich werde wahrscheinlich den Uber-Fahrdienst nicht benutzen.» Schneider hat den Eindruck, bei Uber bestehe eine Sicherheitslücke.

*Name geändert