Darum gehts
- Whatsapp ersetzt die Handynummer durch Namen, die Reservierung läuft
- Der Blick-Test: Offiziell klingende Namen von Banken liessen sich sichern
- Jetzt fordert Indien einen Stopp, Meta verspricht Schutzmechanismen
Twint.schweiz: Ein Handgriff, und zack, der Benutzername bei Whatsapp ist reserviert. Er klingt offiziell, seriös, vertrauenswürdig. Doch dahinter steckt nicht die echte Finanzfirma. Der Username gehört dem, der zuerst kommt.
Doch der Reihe nach. Whatsapp krempelt um, wie sich Nutzer auf dem Messenger finden. Bisher brauchte es dafür die Handynummer. Künftig reicht ein Benutzername, so wie bei Instagram. Der Vorteil: Wer dann jemanden anschreiben will, muss die eigene Nummer nicht mehr preisgeben. Mutterkonzern Meta hat die Reservierungsphase Anfang Juli gestartet. Die Funktion selbst folgt «im Laufe des Jahres». Bis dahin gilt: Wer zuerst reserviert, dem gehört der Name.
Rezept für Phishing
Genau das hat Blick ausprobiert. Mit den Namen von Banken wie UBS, Raiffeisen und Postfinance sowie von bundesnahen Betrieben. Viele der Originalnamen konnten nicht mehr registriert werden. Es ist nicht klar, ob diese blockiert sind oder bereits reserviert wurden. Das Problem ist: Abwandlungen, die offiziell klingen, liessen sich fast immer als Name reservieren. Also zum Beispiel Twint.schweiz. Welche sonst, verrät die Redaktion bewusst nicht: Wir geben keine Anleitungen für Betrüger.
Warum das gefährlich ist? Wer einen solchen Namen besitzt, kann fremde Nutzer anschreiben, ohne eine Telefonnummer preiszugeben. Eine Nachricht im Namen der Hausbank, ein Link, ein Login-Formular: Das Rezept für Phishing ist komplett.
Dabei ist die Schweiz kein Einzelfall. Der Gründer der Kryptobörse Binance, Changpeng Zhao, wollte sich den Namen cz_binance sichern. Jemand war schneller, wie er auf X zeigte. In Indien fand das Techportal techcrunch.com reservierbare Namen wie indiamodi für Premierminister Narendra Modi oder «rbi_verify» für die Nationalbank. In dem Land nutzen mehr als 500 Millionen Menschen Whatsapp. Die Regierung hat reagiert: Die Funktion erhöhe die Gefahr von Onlinebetrug, Phishing und Behörden-Imitationen, erklärt das Elektronikministerium in einer Verfügung an Meta. Der Konzern soll die Einführung stoppen.
Meta widerspricht
Blick hat Meta gefragt: Wie schützt der Konzern hierzulande die Namen von Banken, Behörden und bundesnahen Betrieben? Nach welchen Kriterien reserviert er Abwandlungen? Wie schnell entzieht er einen missbräuchlich reservierten Namen? Meta antwortete mit einem allgemeinen Statement, auf die konkreten Fragen ging der Konzern nicht ein. Ein Whatsapp-Sprecher erklärt: Die bekanntesten Namen seien vorab gesperrt, Prominente, Behörden, verifizierte Konten, samt Abwandlungen bekannter Namen. Genau da widerspricht der Blick-Test: Offiziell klingende Abwandlungen von Schweizer Instituten liessen sich fast immer sichern, teilweise auch mit .support am Ende.
Immerhin kündigt Meta Schutzmechanismen an. Wer erstmals über einen Benutzernamen angeschrieben wird, sieht: Ist das Konto neu? Schreibt es aus dem Ausland? Gibt es gemeinsame Gruppen? Der Konzern will begrenzen, wie viele fremde Nutzer ein Konto anschreiben kann, und blockiert wiederholte Versuche.
Twint testet eigenen Kanal
Auch Twint ist mit dem Problem vertraut. «Der Schutz unserer Nutzerinnen und Nutzer hat für Twint oberste Priorität», schreibt Sprecherin Demet Biçer auf Anfrage. Die Firma fordere Kundinnen und Kunden nie auf, Logins, Codes oder PINs über Nachrichtendienste preiszugeben. Ob Twint selbst Benutzernamen reserviert hat? Dazu schweigt die Firma, aus Sicherheitsgründen. Einen Kundensupport über Whatsapp bietet Twint nicht an. Doch intern testet die Finanzfirma einen eigenen Whatsapp-Business-Kanal für Unternehmensnachrichten. Nutzer müssten sich aktiv dafür anmelden. Wann er kommt, ist offen.