Nun, vielleicht gibt es auch weitere Verfahren für den Fall, dass keine 2FA-Methode mehr zur Verfügung steht?
Gerade für (Erst-) Anmeldeverfahren werden häufig abweichende Methoden angeboten. Das gilt häufig auch für Freischaltung zu Apple oder Google Pay (was hier aber keine Rollen gespielt zu haben scheint).
Die ING schreibt auf ihrer Infoseite "Ihnen werden scheinbar plausible Gründe genannt, diverse Freigaben zu tätigen."
Ich frage mich, was in der Phishing-Seite konkret eingegeben wurde. Wirklich nur Nutzernamen und Passwort für das Onlinebanking? Und danach wurde nicht über die App irgendwas freigegeben (das dem Opfer vielleicht so selbstverständlich vorkam, dass es es einfach gemacht hat und sich kaum noch daran erinnert)? Irgend so muss es ja gewesen sein.
Es müssen Freigaben erfolgt sein. Kann man in der ING-App die Freigabe-Historie einsehen? Kann man im Online-Banking die Historie der freigegeben (und ggfs. wieder gelöschten) Geräte einsehen? Kann man die Historie der auf anderem Wege (postalisch, SMS) beauftragten Freischaltungscodes einsehen?