Probleme mit TAN-Annahme? - dann bitte folgenden Beitrag konsumieren! - 500 Beiträge pro Seite

[MrRipley]

Das kann ein SICHERHEITSPROBLEM darstellen, vor allem dann,
wenn über (Firmen)Netzwerke Onlinebanking betrieben wird!



Hier ein evt. hilfreicher Auszug von "Planetopia"(Sat1-Sendung)
( http://www.planetopia.de/index1.htm )




Online-Raub - So leicht ist Internet-Banking zu knacken

Einfach, papierlos und vor allem sicher, so sei das Online-Banking – das verspricht die Werbung der Banken. Und die Kunden glauben das: Man hat ja die eigene PIN-Nummer und immer neue Transaktionsnummern für jede Überweisung – was soll da schon passieren!? Doch was, wenn beim nächsten Blick aufs Konto eine böse Überraschung wartet? PLANETOPIA zeigt in einem exklusiven Experiment, wie leicht es für Computerexperten ist, eine Bank-Transaktion auszuspionieren. Der Beweis: Elektronischer Bankraub ist möglich. Kann sich der User vor solchen Angriffen schützen? PLANETOPIA gibt Tipps für sicheres Online-Banking.



So praktisch, so bequem. Rein in die Bank, Geld überweisen, Kontostand checken, Daueraufträge einrichten. Alles von zu Hause aus, per Internet. 30 Millionen Konten werden derzeit in Deutschland online geführt. Doch halten die Kunden dieses Verfahren auch für sicher ?

Straßenumfrage: „Ich kenne mich da nicht so aus, inwiefern man das knacken könnte, also ich denke schon, dass da irgend jemand so rankommen könnte, aber ich denke, wenn man die PINs und TANs so aufbewahrt, dann ist es also schon recht sicher.“ - „Ich kenn keinen, dem das passiert ist. Ich fühle mich sehr sicher dabei.“ - „Für mich ist das okay. Ich mach das von zu Hause aus. Von daher kann mir da ja auch keiner über die Schulter gucken. Zumindest nicht direkt im Raum.“

Die meisten nutzen das PIN/TAN Verfahren. Der Kunde meldet sich mit einer persönlichen Geheimnummer an, für jede Transaktion benötigt er zusätzlich eine sogenannte TAN-Nummer. Die Ziffernfolgen sind dem Kunden eindeutig zugeordnet. So identifiziert er sich bei jeder Aktion immer wieder aufs neue. Damit sollen Missbrauch und Diebstahl ausgeschlossen werden. Die Kommunikation zur Bank läuft eine sichere Verbindungen. Dabei werden die Informationen mit bestimmten Verfahren verschlüsselt. Doch bietet dieses Prinzip ausreichend Sicherheit? Wir sind bei Lark Lizerman, er ist Computerspezialist und beschäftigt sich seit vielen Jahren mit der Sicherheit im Internet. In unserem Auftrag begeht er einen virtuellen Banküberfall, auf dem Konto von Planetopia-Redakteur Oliver Frank.
Der bewegt sich wie üblich im Internet. Bei ebay kauft er sich eine Robby Williams CD. Seinen PC hat Lizermann allerdings mit einem Spionagetool, einem sogenannten Trojaner infiziert. Unsichtbar für Oliver Franz gelangt das Programm im Huckepack-Verfahren auf seinen Rechner und installiert sich dort.

Lark Lizerman: „Und somit wurde das Programm aktiv auf dem Computer und gab mir praktisch Zugriff auf den Rechner.“ „Davon hat der User nichts mitbekommen?“ „Davon hat der User absolut nichts mitbekommen.“ „Warum nicht?“ „Solche Programme laufen im Hintergrund, völlig transparent und behindern in keiner Form die Funktionalität des Computers.“

Oliver Franz besucht als nächstes seine Online-Bank. Auch er arbeitet mit dem PIN/TAN Verfahren. Während er seine Geheimzahlen eingibt, protokolliert das Spionage-Programm alles mit. Lark kann jetzt alles live mitlesen, was auf dem Rechner von Oliver Franz passiert.
Sobald dieser seine TAN-Nummer eingibt passiert das Entscheidende.

Lark Lizerman:: „So, und wenn die Person jetzt in wenigen Sekunden womöglich abschicken klickt, dann bekommen die vermutlich eine Fehlermeldung“ „TAN ungültig. Bitte geben Sie eine gültige TAN ein.“

Oliver Franz: „TAN ungültig bitte geben sie eine gültige TAN ein…”

Und tatsächlich... es funktioniert, zeitgleich erscheint auf dem Computer des Hackers die Aktion. Das Spionageprogramm erkennt die Ziffernfolge als TAN-Nummer, kopiert sie und generiert im demselben Moment eine neue, falsche, TAN-Nummer. Drückt der Kunde auf Eingabe, dann schickt er diese falsche TAN-Nummer zur Bank. Da diese die Nummer nicht dem Kunden zuordnen kann, erhält der Kunde eine Fehlermeldung. Jeder Online-Banking Kunde kennt das. Wenn man mit seinen Listen nicht sorgsam umgeht und die verbrauchten Nummern immer durchstreicht, kommt es vor, daß man eine Nummer doppelt verwendet. Also, nimmt Oliver Franz einfach die nächste Nummer. Jetzt lässt das Spionageprogramm die TAN passieren. Er kann seine Überweisung durchführen. Von dem Angriff hätte er nichts bemerkt. Im Computer des Bankkunden hat der Angreifer alles mitgelesen. Sein Spionageprogramm schickt ihm die Daten auf seinen Rechner.

Lark Lizerman: „Und ich hab im Hintergrund jetzt die TAN von dem Konto und könnte mir jetzt in diesem Fall das Geld überweisen.“

Und genau das macht er: er überweist den symbolischen Betrag von einem Euro vom Konto von Oliver Franz auf das Konto einer PLANETOPIA-Kollegin. 24 Stunden später in der Planetopia-Redaktion: Kollegin Cordula Schäfer überprüft ihren Kontostand. Tatsächlich, der Euro ist angekommen. Der Beweis, virtuelle Überfälle auf Bankkonten sind möglich. Wir wollen den Banken unser Ergebnis präsentieren und nehmen mit allen wichtigen Kunden-Banken telefonisch Kontakt auf. Die generelle Antwort: das Banking sei sicher, bislang lägen keine Fälle von Missbrauch vor, zu einem Interview war kein Bankenvertreter bereit. Wir werden an den Dachverband der Banken in Berlin verwiesen, den Zentralen Kreditsausschuss. Auch dort zeigt man sich zunächst sehr zugeknöpft. Doch dann erhalten wir folgendes Schreiben:

„Beim Online-Banking mit PIN/TAN-Verfahren sind seit der Einführung in der Praxis keine Schadensfälle vorgekommen.“ „Kunden deutscher Banken und Sparkassen können nach wie vor beruhigt Online-Banking mit PIN/TAN nutzen.“

Den Verbraucherverbände ist diese Argumentation nur allzu sehr bekannt. Sie melden erhebliche Zweifel an.

Anna-Ruth Büttner, Verbraucher-Anwältin: „Ob Kunden tatsächlich einen Schadensfall hatten, wissen wir nicht. Wir wissen aber, und zwar nicht von einem Kunden, sondern von vielen Kunden, dass dort manchmal seltsame Bewegungen auf den Kontoauszügen aufgetreten sind. Ob das nun ein systemimmanenter Fehler oder ein Hackerangriff war, wissen wir nicht. Wir gehen davon aus, dass Kunden bisher nur deshalb noch keinen Schadensfall hatten, weil das Zugeben tatsächlich eines Hackerangriffs einen großen Imageverlust von Bankenseite bedeuten würde.“

Auch die Experten der Zeitschrift Computerbild haben das Online-Banking getestet. Sehr viele Nutzer gehen von ihrem Arbeitsplatz im Büro online, wo die einzelnen Computer in einem großen Netzwerk miteinander verbunden sind. Hier lauern weitere Gefahren.

Ulrich Kruppe, Computerbild: „Dieses Verfahren hier macht es jetzt so, dass sich dieser Rechner zwischen den Internetzugang und den Rechner des Kollegen setzt, so dass alle Daten hier rüber laufenden und wenn dieser Rechner für das Internet-Banking eine gesicherte Verbindung anfordert, stellt dieser Rechner ihm eine gesicherte Verbindung zur Verfügung, was dann aber bedeutet, dass der die Daten wieder entschlüsseln kann und dass sie bei ihm wieder im Klartext vorliegen.“

Allerdings kann man sich davor sehr leicht schützen. Wenn tatsächlich ein böser Kollege versucht, Ihr Online-Banking nach diesem Verfahren zu hacken, bekommen sie vom System eine Warnmeldung. Sie bedeutet: die Seite, mit der sie gerade kommunizieren, verfügt nicht über das notwendige Sicherheitszertifikat. Antworten Sie auf jeden Fall immer mit „Nein“ und brechen Sie den Banking-Vorgang ab. Und schon haben Sie den Angriff abgewehrt. Vor Angriffen mit Spionageprogrammen, mittels Viren und Trojanern sind Sie im Büro relativ gut geschützt. Vorausgesetzt, ihre Firma arbeitet mit guten Administratoren und Netzwerkverwalter, die die Sicherheit des Systems pflegen. Für die Sicherheit ihres Rechners zu Hause müssen sie allerdings selbst sorgen.


Risiko beim Online Banking:

Zu unseren Fragen bezüglich der Sicherheit beim Online-Banking nimmt der Zentrale Kreditausschuss wie folgt Stellung:

1. Sind Ihnen Fälle bekannt, in denen Dritte mit solchen oder ähnlichen Verfahren in den Online-Zahlungsverkehr zwischen Kunde und Bank eingegriffen und diesen manipuliert haben?

Beim Online-Banking mit PIN/TAN-Verfahren sind seit der Einführung in der Praxis keine Schadensfälle vorgekommen. Dies ist auch auf die gute Aufklärungsarbeit der Banken und Sparkassen zurückzuführen, mit der diese ihre Kunden immer wieder auf einen verantwortungsbewusstem Umgang mit dem PC hinweisen.

Folgende Sicherheitstipps sollten unbedingt beachtet werden:

Schützen Sie sensible Daten bei der Übertragung über offene Netze: In jedem Fall sollte der Passwortschutz aktiviert werden, den das Betriebssystem, die Zugangssoftware für den Onlinedienst oder das PC-Programm für das Online-Banking bieten.

Wählen Sie ein sicheres Passwort.

Vergewissern Sie sich, mit wem Sie es zu tun haben: Überprüfen Sie beispielsweise die Vertrauenswürdigkeit des Zertifikates.

Gehen Sie sorgfältig mit sensiblen Daten und Zugangsmedien um: Dazu gehört vor allem, dass die für das Online-Banking erforderlichen Identifikationskriterien PIN und TAN nicht auf dem PC gespeichert, getrennt und für niemand zugänglich außer dem Nutzer selbst aufbewahrt werden.

Setzen Sie nur Programme aus vertrauenswürdiger Quelle ein und nutzen Sie aktuelle Programmversionen. Beim Online-Banking über das Internet daher auf jeden Fall Standard-Software (Browser etc.) verwenden und keine Software aus unbekannten Quellen herunter laden und verwenden.

Führen Sie einen Sicherheitscheck auf Ihrem PC durch.

Aktivieren Sie die Sicherheitseinstellungen des Browsers.

Setzen Sie regelmäßig Virenscanner und zusätzliche Sicherheitssoftware ein.

Fertigen Sie regelmäßig Sicherheitskopien Ihrer Daten an.

Bei Verdacht auf missbräuchliche Verwendung von PIN und TAN ist der Online-Zugang zum Konto oder Depot unverzüglich zu sperren.


2. Wie ist in solchen Fällen die Haftungsfrage geregelt?

Auch im Bereich des Online-Banking gelten die normalen gesetzlichen aftungsgrundsätze, wonach derjenige haftet, der schuldhaft gehandelt hat. Sollte es zu einer Verfügung durch einen Unberechtigten kommen, dann haftet der Kunde nur dann gegenüber seiner Bank/Sparkasse, wenn er durch eine Verletzung seiner Sorgfaltspflichten hierfür die Ursache gesetzt hat.


3. Halten Sie das Pin/Tan Verfahren grundsätzlich für sicher?

Auch das Bundesamt für die Sicherheit in der Informationstechnik (BSI) und die Bundesanstalt für Finanzdienstleistungsaufsicht (BaFin – vormals BaKred) bestätigen: Das PIN/TAN Verfahren ist sicher, wenn der Kunde die Sicherheitshinweise seiner Bank oder Sparkasse (siehe Antwort 1) hinreichend beachtet. Das Verfahren basiert auf einer 5-stelligen persönlichen Identifikationsnummer (PIN) und auf 6-stelligen Transaktionsnummern (TAN). In Verbindung mit diesem Verfahren sind beim Online-Banking keine Schäden aufgetreten. Kunden deutscher Banken und Sparkassen können nach wie vor beruhigt Online-Banking mit PIN/TAN nutzen.


4. Welche anderen Möglichkeiten bieten Sie, um Online-Bankkunden 100-%-tige Sicherheit zu garantieren?

Eine Alternative zu PIN und TAN stellt das Online-Banking mit HBCI und Chipkarte dar. Die Identifikation des Kunden erfolgt bei HBCI durch eine elektronische Unterschrift. Der dafür erforderliche geheime Schlüssel des Kunden ist auf einer Chipkarte gespeichert. Hierfür muss der Kunde seinen PC durch einen Kartenleser und entsprechende Software erweitern.

[janolo]

[thebull 2]

Sollte es zu einer Verfügung durch einen Unberechtigten kommen, dann haftet der Kunde nur dann gegenüber seiner Bank/Sparkasse, wenn er durch eine Verletzung seiner Sorgfaltspflichten hierfür die Ursache gesetzt hat.

[dpunkt]

ein arbeitsrechner ist ein arbeitsrechner - selber schuld wenn man da privates drauf macht.

banking macht man zuhause am eigenen rechner, wo kein anderer zugriff hat.

ich hab übrigens so ein programm interessehalber schonmal ausprobiert, mir fällt grad der name nicht mehr ein - echt witzig:

mitprotokollieren von tastatureingaben (sie wollten schon immer mal wissen was der nachbar so schreibt...)

automatisches "schiessen" von bildschirmfotos (sie wollten schon immer mal wissen was der nachbar so auf dem schirm hat)

und ähnliche dinge...

das ganze dann per automatischer email an jeden x-beliebigen account geschickt.

zu finden ist das programm über herkömmlichen weg nicht (wobei ich schätze das ad-aware und konsorten die teile finden)

allerdings braucht man physikalischen zugang zum zielrechner - aber nachdem die wenigsten ihren rechner "abschließen" wenn sie den arbeitsplatz verlassen...

zu finden auf jeder gut sortieren warez-seite, installation kinderleicht - big brother is watching you...

dpunkt

[MrRipley]

VIRENWARNUNG:

Entfernter Virus: Worm.Sober.C1

kam von:
[e-mail] "du wirst ausspioniert"