Zwei Faktoren bleiben wichtig. Der SWR-Fall beweist keinen bestimmten Angriff; britische Betrugszahlen und die behauptete Biometriepflicht brauchen Kontext.
Grundlage ist der vollständige, 8 Minuten und 26 Sekunden lange SWR-Marktcheck-Beitrag vom 11. September 2026. Wir prüfen die technischen und rechtlichen Allgemeinaussagen sowie die britische Statistik. Den individuellen Streit zwischen Familie O’Leary und N26 können die öffentlich vorliegenden Informationen nicht abschließend klären. Stand: 13. September 2026.
Der berichtete Verlust beweist noch keinen bestimmten Angriff
SWR Marktcheck berichtet über Patrick O’Leary, dessen iPhone in London gestohlen worden sei. Auf dem Konto hätten vorher rund 122.000 Euro gelegen; anschließend seien nur 23,53 Euro übrig gewesen. Später habe er zusätzlich von einem Kredit über 20.000 Euro in seinem Namen erfahren. Diese Beträge geben die Darstellung des Betroffenen und der Redaktion wieder. Sie sind hier nicht durch eigenständig eingesehene Kontounterlagen oder ein Gerichtsurteil bestätigt.
Der Beitrag sagt ausdrücklich, dass die Familie den genauen Zugriffsweg weiterhin nicht kennt. N26 habe gegenüber dem SWR nur allgemein Stellung genommen. Daraus lässt sich weder die technische Ursache bestimmen noch eine individuelle Verantwortlichkeit abschließend ableiten. Insbesondere beweist der Fall nicht, dass Face ID technisch geknackt wurde. Ein entsperrtes Gerät, ein bekannt gewordener Code und eine konkrete Softwarelücke wären unterschiedliche Sachverhalte, die nicht gleichgesetzt werden dürfen.
Für die juristische Bewertung ist außerdem wichtig, zwischen technischer Authentifizierung und rechtlicher Zustimmung zu unterscheiden. § 675w BGB stellt klar, dass eine aufgezeichnete Nutzung einschließlich Authentifizierung allein nicht notwendigerweise beweist, dass der Kunde die Zahlung autorisiert oder grob fahrlässig gehandelt hat. Die Erzählung eines Verlusts und ein protokollierter Anmeldevorgang ersetzen deshalb beide keine Prüfung des Einzelfalls.
Zwei Faktoren schützen weiterhin – entscheidend ist ihre Unabhängigkeit
Der Sicherheitsforscher im Beitrag bezeichnet Zwei-Faktor-Authentifizierung als relativ sicher und nennt zugleich Grenzen. Das ist mit den Empfehlungen des Bundesamts für Sicherheit in der Informationstechnik vereinbar. Zwei Faktoren sollen unterschiedliche Kategorien verbinden: Wissen, etwa eine PIN; Besitz, etwa ein gebundenes Gerät; oder ein biometrisches Merkmal. Zwei nacheinander eingegebene Passwörter sind deshalb nicht automatisch zwei unabhängige Faktoren.
Der zusätzliche Schutz liegt darin, dass ein bekannt gewordenes Passwort allein nicht genügen soll. Er geht verloren oder wird geschwächt, wenn ein Angriff auch das andere erforderliche Merkmal oder dessen technische Prüfung kompromittiert. Daraus folgt kein sinnvoller Grund, den zweiten Faktor abzuschalten. Das BSI empfiehlt ausdrücklich, ihn zu verwenden, sobald ein Dienst ihn anbietet.
Auch die Gesichtserkennung zur Entsperrung des Telefons und die Freigabe einer Banktransaktion sind verschiedene Schutzschichten. Ob eine Zahlung ein neues Merkmal verlangt, welche Wiederherstellungswege bestehen und wie ein verlorenes Gerät entkoppelt wird, hängt vom konkreten Dienst ab. Eine sichtbare Face-ID-Abfrage allein beschreibt deshalb nicht die gesamte Kontosicherheit.
Eine App ist nicht automatisch rechtswidrig oder unsicher
Der interviewte Anwalt kritisiert, dass Banking und Freigabe bei N26 innerhalb einer Anwendung zusammengeführt sind. Das kann Anlass sein, die technische Trennung genau zu untersuchen. Es ist aber zunächst seine Bewertung und kein im Bericht gezeigtes Ergebnis einer unabhängigen Sicherheitsprüfung.
Artikel 9 der EU-Verordnung 2018/389 behandelt die Nutzung von Mehrzweckgeräten ausdrücklich. Er verlangt Maßnahmen, damit die Verletzung eines Faktors nicht die Zuverlässigkeit des anderen untergräbt. Für solche Geräte sind unter anderem getrennte sichere Ausführungsumgebungen und Schutz gegen Veränderungen vorgesehen. Die Vorschrift setzt somit nicht voraus, dass zwei physisch getrennte Telefone oder zwei sichtbare App-Symbole verwendet werden.
Umgekehrt macht ein zweites App-Symbol auf demselben ungeschützten Gerät ein Verfahren nicht automatisch sicher. Maßgeblich ist die tatsächliche Trennung und Absicherung. Aus den öffentlich vorliegenden Angaben dieses Falls können wir weder die Konformität noch einen Verstoß der konkreten N26-Implementierung abschließend feststellen. Eine allgemeine App-Kritik darf diese fehlende Fallprüfung nicht ersetzen.
25.180 Fälle sind keine Statistik allein über gestohlene Handys
Die Größenordnung der Fallzahl stimmt. Der Annual Fraud Report 2026 von UK Finance, Seite 32, nennt für das Berichtsjahr 2025 genau 25.180 Fälle von unautorisiertem Mobile-Banking-Betrug. Die Verluste betrugen 43,9 Millionen Pfund. Rund 51 Millionen Euro ergeben sich bei einem Umrechnungskurs von etwa 1,16 Euro je Pfund; ohne genannten Wechselkurs sollte die Eurozahl als ungefähre Umrechnung behandelt werden.
Entscheidend ist die Definition: Erfasst wird unautorisierter Zugriff über eine heruntergeladene Banking-App. Ein vorausgegangener physischer Handydiebstahl ist keine notwendige Voraussetzung dieser Kategorie. Der Betrag darf daher nicht vollständig als Schaden durch gestohlene Telefone ausgegeben werden. Das ist im Umfeld der konkreten Diebstahlsreportage ein wesentlicher fehlender Kontext.
Auch die Entwicklung ist zweigeteilt: Die Fallzahl stieg gegenüber dem im Bericht ausgewiesenen Vorjahr um 21 Prozent, die Schadenssumme sank um zehn Prozent. Mehr registrierte Fälle bedeuten somit nicht automatisch mehr verlorenes Geld. Die Statistik misst zudem britische Bankmeldungen und ist keine deutsche Häufigkeitsangabe oder Ausfallquote einer bestimmten Banking-App.
Banken müssen verdächtige Muster erkennen können
Die rechtliche Grundlage der Aussage ist vorhanden. Artikel 2 der technischen EU-Standards verlangt Mechanismen zur Erkennung unautorisierter oder betrügerischer Zahlungen. Einbezogen werden sollen unter anderem typische Nutzungsmuster, Zahlungsbeträge und bekannte Betrugsszenarien. Die im Bericht geschilderte schnelle Abfolge hoher Transfers und geänderter Limits ist deshalb ein berechtigter Anlass für konkrete Nachfragen.
Die Vorschrift beweist allerdings nicht ohne weitere Unterlagen, welche Warnsignale die Bank zu welchem Zeitpunkt hatte und wie sie reagieren musste. Dafür wären die tatsächlichen Abläufe und die angewendeten Kontrollen erforderlich. Aus einer allgemeinen Pflicht folgt keine automatische Feststellung eines individuellen Verstoßes.
Bei nicht autorisierten Zahlungen verpflichtet § 675u BGB den Zahlungsdienstleister grundsätzlich zur unverzüglichen Erstattung und Wiederherstellung des Kontostands. Daneben regelt § 675v BGB eine mögliche Haftung des Zahlers, insbesondere bei vorsätzlicher oder grob fahrlässiger Pflichtverletzung. Das ist kein pauschaler Freibrief für eine Bank, jeden Verlust dem Kunden anzulasten. Umgekehrt können wir den Ausgang der von der Familie laut SWR eingereichten Klage nicht vorwegnehmen. Der behauptete Kreditvertrag ist zusätzlich von der Autorisierung einzelner Überweisungen zu unterscheiden.
Die behauptete allgemeine Biometriepflicht ist nicht belegt
Am Ende stellt Marktcheck eine künftige Pflicht zu einem biometrischen Faktor in Aussicht. Hier fehlen die genaue Vorschrift, ihr Anwendungsbereich und ein Startdatum. Das Europäische Parlament dokumentiert eine politische Einigung über PSR und PSD3 vom 27. November 2025. Dazu gehören verstärkte Betrugsprävention und starke Kundenauthentifizierung. Eine politische Einigung ist jedoch noch nicht gleichbedeutend mit der bereits anwendbaren Endfassung.
Im geprüften Verfahrensregister für die Zahlungsdiensteverordnung war das Verfahren als noch auf die Position des Rates in erster Lesung wartend verzeichnet. Die bisher geltenden technischen Standards lassen unterschiedliche Kombinationen aus Wissen, Besitz und Biometrie zu. Die pauschale Zusage, künftig müsse jede Mobile-Banking-Lösung Face ID oder Fingerabdruck einsetzen, können wir aus diesen amtlichen Belegen nicht bestätigen. Das Urteil lautet deshalb unbelegt, nicht: Biometrie dürfe nicht eingesetzt werden oder könne keinen zusätzlichen Schutz bieten.
Was nach einem Diebstahl unmittelbar hilft
Die praktischen Schlussfolgerungen des SWR sind tragfähig: Die Bank sollte sofort über den Verlust informiert werden, damit betroffene Zugänge und Zahlungsinstrumente gesichert werden können. Zusätzlich sollte das Telefon über den vorgesehenen Herstellerdienst als verloren markiert beziehungsweise gesperrt werden. Eine reine Gerätesperre ersetzt die Meldung an die Bank nicht; eine Banksperre schützt wiederum nicht automatisch andere Konten auf dem Telefon.
Für iPhones beschreibt Apple den Schutz für gestohlene Geräte als zusätzliche, vorher einzurichtende Sicherheitsebene. Bestimmte sensible Änderungen erfordern dabei Biometrie, teilweise zusätzlich eine Verzögerung. Das ist eine Funktion des Geräteherstellers und kein Nachweis einer allgemeinen EU-Pflicht für Bank-Apps. Zugang zur Wiederherstellung und vertrauenswürdige Kontaktwege sollten so vorbereitet sein, dass sie nach Verlust des Telefons noch erreichbar sind. Die vorbeugende Absicherung bleibt sinnvoll, auch wenn sie keinen einzelnen Schadensfall nachträglich erklärt.
Fazit
Der Bericht macht auf ein reales Schutzproblem aufmerksam und rät zu Recht zu schneller Reaktion nach einem Diebstahl. Zwei-Faktor-Authentifizierung bleibt eine wichtige Schutzmaßnahme. Ungeklärt sind der konkrete Tatweg und die individuelle Haftung. Die britische Statistik umfasst mehr als Handydiebstähle; eine allgemeine, bereits verbindliche Biometriepflicht ist mit den geprüften EU-Belegen nicht nachgewiesen.