Digitalisierung in der Versicherungsbranche
Ich habe zwei Versicherungen bei der AXA. Die bieten selbstverständlich auch einige Services online an.
Nun ist das etwas, was man nun wirklich nicht jeden Tag nutzt, wozu auch? Nun hat mir die AXA aber mitgeteilt, dass sie ein Dokument in MyAXA eingestellt haben. Da schaue ich doch glatt mal nach...
Nach dem Login geht es aber leider nicht weiter. Ich erhalte die Meldung, dass mein Passwort nicht den neuen Sicherheitsanforderungen entspricht oder meine letzte Anmeldung zu lange her ist. Oder vielleicht ist auch die Sonne heute zu hell oder es liegt daran, dass ich heute bei Rewe einkaufen war. Zusammengefasst: Du kommst hier nicht rein und warum wird nicht verraten. Die "neuen Sicherheitsanforderungen" sind natürlich nicht näher beschrieben und wie oft ich mich gefälligst einzuloggen habe, steht auch nirgends.
Jedenfalls soll ich ein neues Passwort festlegen. Ok, zeig mir zwei Eingabefelder und ich lege ein neues Passwort fest, kein Problem. Denkste! Um ein neues Passwort festzulegen, brauche ich einen Freischaltcode. Den kann ich gerne anfordern.
Für die Anforderung muss ich zunächst meine Versicherungsnummer und mein Geburtsdatum eingeben. Ok, dann kramen wir mal in den Versicherungsunterlagen, wo die Nummer steht. Rausgesucht, eingetragen, Ordner wieder im Regal verstaut, "weiter" geklickt. Jetzt kann ich auswählen, ob ich den Code per Post oder SMS bekommen will. Ich bin geradezu begeistert, dass ich nicht auf einen Postbrief warten muss. Natürlich wähle ich SMS und klicke auf "weiter".
"Bitte geben Sie zu Ihrer Sicherheit die folgenden Daten erneut ein". Versicherungsnummer und Geburtsdatum.
...
Liebe AXA, was genau ist daran sicher, innerhalb eines Prozesses die Versicherungsnummer zweimal eingeben zu müssen? Welches Sicherheitsproblem soll innerhalb von 10 Sekunden aufgetreten sein, sodass ich dieselbe Nummer noch einmal angeben soll? Könnte sich die Versicherungsnummer oder gar mein Geburtsdatum zwischenzeitlich geändert haben? Kann mich jemand beim ersten Mal mit vorgehaltener Pistole zur Eingabe meiner Versicherungsnummer gezwungen haben und ist inzwischen weggelaufen? Es dient alles meiner Sicherheit.
Ich hole den Ordner wieder aus dem Regal, tippe noch einmal die Versicherungsnummer ein, füge mein Geburtsdatum hinzu, dazu noch meinen Vornamen und klicke auf weiter. Nun soll ich zweimal die Mobiltelefonnummer eingeben, an die der Code geschickt werden soll. Man nimmt hier nicht etwa die Nummer, die der AXA vorliegt. DAS wäre sicher. Nein, ich kann hier irgendeine beliebige Mobilnummer eintippen. Und zweimal meine E-Mail-Adresse. Die braucht die AXA bestimmt für den Versand einer SMS. Warum auch das wieder jeweils zweimal passieren muss, erschliesst sich mir nicht. Niemand tippert diese Dinge zweimal ein, dafür gibt es copy&paste. Diese Doppelabfragen sind so 90er wie sinnlos. Aber es dient nur meiner Sicherheit...
Und dann passiert das Unfassbare: Ich erhalte einen Freischaltcode per SMS. Damit schalte ich meinen Zugang frei, verwende (natürlich) wieder das bisherige Passwort, weil es den Sicherheitsanforderungen genügt, die nun endlich verraten werden und weil das bereits in meinem Passwortmanager gespeichert ist. Außerdem soll ich zwei weitere Male meine E-Mail-Adresse angeben.
Nach Eingabe von:
Versicherungsnummer
Geburtsdatum
Versicherungsnummer
Geburtsdatum
Vorname
Mobiltelefonnummer
Mobiltelefonnummer
E-Mail-Adresse
E-Mail-Adresse
Freischaltcode
Passwort
Passwort
E-Mail-Adresse
E-Mail-Adresse
Passwort
(15-Faktor-Authentifizierung)
bin ich wieder eingeloggt und erhalte Zugriff auf ein Schreiben, das ich parallel auch per Post bekommen habe.
...
Wir reden hier nicht von einer Investition von 2 Millionen Euro, sondern vom Zugang zum Online-Service meiner Versicherung, in dem ich mir ein paar mehr oder weniger spannende Briefe und ein paar Informationen zu meinen Versicherungen anschauen kann. Und hier wird so getan, als könnte mir ein immenser Vermögensschaden entstehen, wenn irgendwer meinen Zugang kapert. Als Krönung des Ganzen wird eine absolut nicht vorhandene Sicherheit vorgegaukelt, indem man den Kunden möglichst oft möglichst viele Informationen eingeben lässt. Mit Sicherheit hat das nichts zu tun, aber es wirkt unheimlich professionell.
Nebenbei: Die Ergo ist da nicht viel besser. Um Briefe in deren Postfach abzurufen, muss man jedes Mal ein SMS-Kennwort anfordern. Leute, diese Online-Postfächer sollen uns und Euch das Leben leichter machen. Ihr seid "nur" eine Versicherung. Keine Bank. Kein Vermögensverwalter. Es geht nur um Eure Schreiben, die in 90% der Fälle völlig uninteressant sind. Wenn Ihr mit der Post einen Brief schickt, brauche ich auch keine SMS und keinen Freischaltcode, um den Umschlag zu öffnen. Der Postweg ist aber erheblich unsicherer als ein Online-Zugang. Also kommt doch bitte in der digitalen Welt an und macht Euch nicht wichtiger als Ihr seid. Danke.