Weiterempfehlen Leserbrief
20.10.2008

Wie Banken ihre Online-Kunden schützen wollen

Ausgephisht: Wege zum sicheren Online-Banking

Internet & Netzwelt

Die Abwicklung von Bankgeschäften per Onlineüberweisung nimmt in Deutschland seit Jahren zu. Klare Vorteile machen die Entscheidung leicht: Der Gang zur Bank fällt weg, Kontonummern können markiert und direkt in ein Formularfeld kopiert werden und auch Übersichtlichkeit und Direktzugriff auf das Konto werden geschätzt, wäre da nur nicht das unsichere Browserfenster, das den Kunden irgendwann auffordert, eine sogenannte Transaktionsnummer (Tan) einzugeben.

Inhalt

Ältere Tan-Verfahren
Neue Tan-Verfahren
Handy-Überweisung: Die mTan
SmartTANPlus
eTANPlus
Fazit

Ältere Tan-Verfahren

Die Schlüsselzahlen, die Begehrlichkeiten wecken, waren in der Steinzeit der Tan-Listen so leicht online abzufischen, dass die Banken aufgrund der hohen Schäden in die Offensive gehen mussten. Ein Angreifer benötigte nur einen Dummen, der bereitwillig Nummern in eine präparierte Seite tippte. Jede Tan war für jede Transaktion gültig. Das führte zu hohen Schäden bei den Kreditinstituten.

Die Banken führten daher das iTan-Verfahren ein. Dabei handelt es sich um Tan-Nummern, denen ein Index zugeordnet wurde. Die Kunden verwendeten zwar immer noch feststehende Tan-Nummern, diesen wurde aber eine spezielle Indexzahl zugeordnet, die die Bank erst in der konkreten Transaktion autorisierte. Das Verfahren setzte sich flächendeckend durch und ist mittlerweile Standard beim Online-Banking.

Aber auch iTan bietet keinen umfassenden Schutz vor virtuellen Bankräubern, dessen ist sich Andreas Poller vom Fraunhofer Institut für Sichere Informationstechnologie sicher. "Bei iTan benötigt der Angreifer zwar eine ganze Reihe von Tans, um eine Chance zu haben, einen Treffer zu platzieren. Damit wird aber nur der Aufwand größer." Das Grundproblem von feststehenden Zahlenkolonnen in einer Tan-Liste, die abgefischt werden können, kann auch iTan nicht lösen. Gegen Rechner-Manipulation im größeren Stile ist iTan kein wirkungsvoller Schutz.

"Ich könnte, ohne dass Sie es merken, einen Trojaner auf Ihrem System installieren, der eine andere Kontonummer zur Bank überträgt oder eine x-beliebige Angabe verändert", erklärt Poller und legt damit den Finger in die "Browserwunde": "Sie haben beim Online-Banking Eingabemasken, in denen geben Sie Ihre Daten ein. Sie haben Ausgabefenster, in denen Sie Kontoauszüge oder Überweisungsbestätigungen sehen. Ein Angreifer kann diese Inhalte, sowohl das, was Sie zur Bank übertragen, als auch das was Ihnen von der Bank angezeigt wird, komplett manipulieren. Sie können dem, was der Browser anzeigt, nicht vertrauen."

Online-Banking: Bequem und schnell, aber auch wirklich sicher?
(Klick vergrößert.)

Neue Tan-Verfahren

Erst die Tan-Verfahren der neuen Generation, die so genannten Smart-Tans, gehen den einen Schritt weiter, der notwendig ist, um die Tan-Eingabe am Browser wirklich abzusichern. 2006 zertifizierte das Fraunhofer Institut eine Technik, die die Baden-Württembergische Landesbank für ihr Online-Banking in Zusammenarbeit mit dem Hersteller VASCO entwickelt hatte. Drei Jahre zuvor hatte die Postbank, dank eines großen Kundenstamms ein Hauptangriffsziel bei Phishing-Attacken, bereits die mobile Tan fürs Handy, die so genannte mTan, eingeführt. Auch der Verbund der Volksbanken und Raiffeisenbanken entwickelte mit SmartTAN und SmartTANPlus ein eigenes Verfahren, um mehr Kundensicherheit zu gewährleisten.

Druckversion

1 | 2 | 3 | 4 weiter »

Tags: Datenschutz, Sicherheit, Verbraucherschutz, Sicherheitslücken

Diskutieren Sie zu diesen Artikel im Forum!
Neues Thema eröffnen

Thema: News - Ausgephisht: Wege zum sicheren Online-Banking

Theo19, am 03.07.2009 20:42

Es ist erstaunlich, was Banken alles anstellen um ihr Risikomanagement halbherzig zu verbessern – man könnte meinen, dass man sich zurückgelehnt hat und völlig damit zufrieden ist, dass die Kunden per Online-Betrug angezockt werden; und das nachdem die Banken durch die Selbstbedienung bereits erhebliche Prozesskostensenkungen realisieren konnten.

Dabei ist einer der die bisher sichersten Online-Banking Schutzmethoden - die externen TAN Generatoren - noch viel einfacher zu haben: Technisch ist ein Einmal-Passwort aus jeder SIM Karte eines Mobiltelefons nach allen Regeln der kroptigraphischen Kunst genrierbar - und wegen der Online Anbindung gleichzitige 100% Kunden-wie Bankenspezfisch, so dass Phishing per gefälschter email nie alle Informationen kennen kann und sowohl Bank wie Kunde optimal geschützt sind.

Da eine Tastatur und Anzeigefunktion am Mobiltelefon ebenfalls nicht mehr gekauft werden müssen fragt man sich doch, warum nach 10 Jahren Stillstand nicht endlich eine Einigung zwischen Banken und Mobilfunkindustrie über die Installation einer entsprechenden Software in allen Mobiltelefon-SIM karten erzeilt werden kann - und fertig ist die Laube?

Fraud würde *dramatisch* sinken, und die Kosteneinsparung durch Selbstbedienung könnte nur noch schwerlich von Sicherheitsbedenken ausgebremst werden...

Beschämend ist, das mehrere weit weniger finanzstarke europaische Länder wie Portugal, Estland und seit 2007 auch die Türkei uns vormachen, wie so was geht.

Es ist schon eine sehr verschlafenes Bild, dass Deutschland im Bereich dieser Zukunftstechnologien abgibt.

Kommentar schreiben (1) Kommentare »

Neues Thema eröffnen

Online-Services

Eigentlich braucht niemand mehr vor die Tür, fast alles lässt sich heutzutage online erledigen. Von Video on Demand über den digitalen Musikkauf bis hin zum Online-Bildentwickler: Hier finden Sie Anleitungen und Tipps zu den beliebtesten Online-Services.

Internet Browser

Welches ist der beste Browser? Eine Frage, die fast schon religiöse Formen annimmt. Fest steht, dass mit Opera und Firefox zwei starke, kostenlose Alternativen am Start sind.