Guter Ansatz

Aber auf Dauer stehst du damit auf verlorenem Posten, bin gespannt wie lange ein Leben ohne Smartphone noch möglich ist.

Gruß
Jörg

Ich kenne auch eine Banking-App, bei der das aus gutem Grund nicht geht. Und ich weiß, dass die App im Play-Store deswegen des öfteren schlechte Bewertungen kriegt.


Martina

Ob das übliche ist, vermag ich nicht zu beurteilen. Ist aber nicht unsicherer als iTAN.
Bei der iTAN sagt dir der Browser ich will Nummer xy. Was er mit der TAN xy authorisiert weißt du nicht. Du hoffst, dass es die Überweisung ist. Genauso bei mobileTAN auf dem gleichen Smartphone. Du hoffst, dass die TAN, die du per sms bekommst den Vorgang authorisiert, den sie dir vorgibt.

Bei den Genossenschaftsbanken gehts über die App nicht, aber du kannst die Überweisung ja auch per Webseite durchführen. Wenn du da die Desktop-Seite erzwingst, klappt auch die mobileTAN per Smartphone. Das Risiko sollte einem dann halt bewusst sein.

Belassen wir's mal dabei dass bisher noch immer jede deutsche Bank den Schaden kulant erstattet hat wenn nicht grobe Fahrlässigkeit nachweisbar war. In dem Sinne wird einen keines der Verfahren ruinieren.

Was die Vor- und Nachteile der Methoden sind kann man wirklich überall nachlesen und müsste eigentlich hier auch nicht lange breitgetreten werden.
Dass die iTan-Liste mitunter eine der unsichersten Methoden darstellt sei mal dahingestellt - wenn ich im Ausland bin habe ich gerne diese Liste dabei, da es zwar oft WLAN gibt aber Mobilfunk nicht zuverlässig geht.

Das Wichtigste ist es ein eigenes Gerät zu benutzen.

Eben. Ich hab leider den Eindruck, dass viele Leute nicht verstanden haben, was der Sinn der Mobile TAN ist. Man kann nur hoffen, dass jemand, der so kreativ im Finden von Umgehungslösungen ist auch so clever ist zu verstehen, was er da tut.

Wobei man natürlich auch da realistisch sein muss: die Wahrscheinlichkeit, dass der eigene Online-Banking-Zugang gehackt ist, ist wahrscheinlich ähnlich groß, wie dass einem das Reiserad per Trickdiebstahl geklaut wird. Wäre das nicht so, gäbe es das Verfahren schon lange nicht mehr. Ich mache trotzdem kein Online-Banking, ich mag nicht selbst für die Sicherheit der Transaktion zur Bank verantwortlich sein.

Martina

Ich hoffe du meinst nicht das mTAN-Verfahren. Lies mal bitte das hier.
Gruß Ulli

Er muss nicht dein Smartphon manipulieren. Das geht viel einfacher. Er besorgt sich einfach von deiner SIM-Karte eine Ersatz-SIM-Karte.
Gruß Ulli

Dazu muss aber erstmal die Handy-Nummer auf dem PC gespeichert sein.
Allgemeiner gesprochen: die Verbindung der beiden Geräte untereinander muss nachvollzogen werden können, denn die Sicherheit des Verfahrens beruht genau darauf, dass das im Allgemeinen nicht so einfach ist.

Nochmal: wer Online-Banking für unsicher hält, sollte keines machen. Jedes Verfahren wurde schon geknackt, zum Teil allerdings mit hohem Aufwand. Was ich aber albern finde ist zu behaupten, TAN-Listen seien am sichersten. Nein, sind sie nicht.

Martina

Mit Aufwand kann man alles knacken und wenn man Martina auf dem Weg zur Bank zwingt, das Geld auf ein anderes Bankkonto zu überweisen.

Die Frage ist immer lohnt der Aufwand. Für den SIM-Karten-Angriff brauchst du schon einen ganz schönen Aufwand und einiges Wissen über dein Opfer. Das lohtn nur, wenn der Täter weiß, dass da einiges zu holen ist und nicht nur ein paar Euro.

Hallo Henning,
bzgl. der Manipulation der SIM. Du brauchst die SIM nicht zu manipulieren. Wenn du das professionell machst, gibst du dich als Händler aus und bestellst eine Ersatz-SIM bei der Telefongesellschaft (siehe bei der Telekom letztes Jahr).

Diese Antwort ist jetzt nicht speziell für dich - nur irgend jemanden muss ich ja antworten.
Alle, die sich für Online-Banking interessieren, sollten sich einmal dieses Video vom CCC anschauen. Vincet Haupert berichtet dort, wie er die Sparkassen-App geknackt hat und wie dilettantisch die Software programmiert wurde. Mit den anderen Softwarepaketen - auch für den PC - sieht es (wohl) nicht viel besser aus. Dazu kommt noch, das die meisten Nutzer kaum Ahnung von der eingesetzten Technik (Computer, Handy etc.) haben. Hat die Bank dann vor möglichen Computerangriffen gewarnt, trägt der Nutzer u.U. das alleinige Risiko.
Ich persönlich würde nur auf einem seperaten Guthabenkonto Onlinebanking machen, da dort der mögliche Verlust begrenzt ist.
Gruß Ulli

Hallo Ulli,
nur wie bekommst du meine Ersatz-SIM? Der Telefonanbeiter braucht ja zumindest die Telefonnummer. Wie kommst du zu der Nummer? Im Bankaccount ist die Nummer nur unvollständig hinterlegt. Auf dem PC steht sie nirgends. Das war das, was ich mit Aufwand meinte. Da muss sich der Angreifer schon sehr sicher sein, dass sich der Angriff auch lohnt. Wenn er damit 1000 Taler vom Girokonto räumen kann, dann lohnt der Aufwand nicht.

Du hast schon recht und bei dir mag das nicht so einfach sein. Aber bei diesen Angriffen geht oft auch nach dem Zufallsprinzip: Wer installiert sich unfreiwillig den Virus. Wer davon macht Online-Banking. Ohne TAN hast du dann aber u.U. schon den Kontostand und siehst ob es sich weiteres Vorgehen lohnt, und, ohne jetzt näher darauf einzugehen, du ahnst nicht was andere alles so auf dem Rechner haben. Telefonlisten und Textdateien mit Passwörtern ist fast schon Normaltät.
Gruß Ulli

Und nicht in unbekannten und ungesicherten WLANs zu sein
und bei gesicherten aufpassen, dass du auch wirklich in dem gewünschten Netz bist,
und nicht "ausversehen" in einem fremden gelandet bist.
Und beim Einloggen drauf zu achten, dass du auf der richtigen https (mit betonung auf dem s) bist.
Und natürlich keine Passwörter im Browser zu speichern.
Und besonders hellhörig werden, sollte man sich bei einer TAN mal - "vertippt" haben!
... Oder beim Einloggen mit dem Kennwort "vertippt" haben!

...

und zu hoffen, dass die pfiffigen Tricksen sich nicht schon wieder was neues ausgedacht haben.




Wenn man an alle Sicherheitsdöneckes denkt kann man fast auch schon wieder selbst "ganz analog" zu Bank gehen und den Überweisungsträger einwerfen
... aber wer tut das schon

Gruß
Jörg

Hallo Henning,
hier nochmal eine Ergänzung.
2014 gab es 6984 registrierte Phishing-Fälle im Online-Banking in Deutschland.
Dabei entstand ein Schaden von ca. 27 Millionen Euro.
Gruß Ulli

TAN auf Papierlisten bieten z.B. keinerlei Schutz gegen Man-in-the-Middle-Angriffe. Also Du hast Dir eine Schadsoftware auf dem PC installiert. Der Browser zeigt Dir wie gewünscht an, daß Du 20 € ans Radforum spendest - an die Bank wird aber die Information weitergegeben, daß Du 100 € ans Auto-Tuningforum zahlst. Du bestätigst das mit Deiner Papiertan. Bei mTAN bekommst Du hingegen eine SMS an ein anderes Gerät, wo nochmal Empfänger und Summe genannt werden, d.h. der Angreifer muß zwei Kanäle kompromittieren. Wobei es gegen mTAN andere realistische Angriffe gibt. Wenn ich es richtig verstehe, ist nach dem derzeitigen Stand der Dinge Chip-TAN das einzige halbwegs vertretbare Verfahren.

man sollte aber auch sagen, wer auf Phishing reinfällt ist nicht so ganz unschuldig. Mache seit X-jahren Onlinebanking mit meiner Sparkasse und bin bei PayPal und habe noch andere Zahlungsarten gemacht bzw ausprobiert. Was aber ich nie mache, ich gehe auf keinen Link in einer Mail, wo es um meine Kontendaten geht. Bei den Mails meiner Sparkasse ist nie ein Link drin. Wenn eine Mail von PayPal oder auch Ebay kommt wegen Kontendaten usw, dann gehen ich so über de Browser auf die Entsprechende Webseite.

Langsam sollte sich es rumgesprochen haben, nicht auf Links in Mail zu gehen wenn es um Geld und Kontodaten geht.


Aber manche sollten vielleicht wirklich die Finger von sowas lassen

Du wirst lachen - würde ich sehr gerne, wenn meine aktuelle Bank das noch anbieten würde. Letztendlich machst Du ja beim Onlinebanken Gratisarbeit für die Bank und es dauert auch noch länger (selbst mit Templates).

Auf Papier war das blitzschnell: (8 verschiedene Rechnungen auf einmal z.B.)
- Gesamtsumme ausrechnen
- per Hand eintragen auf 1 Sammel-Zahlschein
- 1 einzige Unterschrift
- mit allen 8 Überweisungsträgern eintüten

und ab geht die Post! (Migrosbank)


E-Banking (mach ich bei diversen Banken) hat für mich im Alltag nur Nachteile, da
- Zeitraubender (s.o., 8 Überweiungen durchklicken/-tippen ... am Besten sind die Referenznummern!)
- unsicherer sowieso
- Tempo bei Überweisungen /beim Checken des Kontostands ist für mich völlig irrelevant, 2 Tage hat das IMMER Zeit

Nicht auf Links in Mails klicken, hab ich in meiner Auflistung drei Beiträge drüber doch glatt vergessen. Streng genommen aber auch nicht auf Links die man sonstwo im Netz findet.

Ärgerlicheweise kommen tatsächlich auch echte Mails mit entsprechenden Links - Das kann verständlicherweise das Nutzerverhalten versauen.

Und die Phishing-Mails sind manchmal wirklich verdammt "gut" - gemacht. Leider wird da viel zu wenig gegen unternommen.

Gruß
Jörg

Es steht dir frei die Bank zu wechseln.
Noch! gibt es Banken die klassisches Banking ermöglichen.

Mir erscheint das Online-Banking eben doch deutlich unkomplizierter und ich kann mich (noch) nicht so richtig dazu durchringen wieder zurück zu wechseln.


Gruß
Jörg

PS: mit "Aber wer macht das schon" meinte ich die Berücksichtigung aller Sicherheitsdönekes, das macht nämlich tatsächlich kaum jemand.

Stimmt schon, aber die Rationalisierung fing schon viel früher an, mit Klarschriftlesern und dergleichen.



Mit Btx angefangen mache ich nun schon über 20 Jahre Onlinebanking; ich möchte es nicht mehr missen. Wobei Onlinebanking via Brauser die absolute Ausnahme ist, der Regelfall ist eine auf dem Rechner installierte Software, seit vielen Jahren Hibiscus. Da brauche ich nicht nach irgendwelchen Papierüberweisungsdurchschlägen oder sonstwas zu suchen, sondern habe alles an einer Stelle auf dem Rechner. Wenn man dann noch für einen Verein mit den Finanzen zu tun hat, dann kann es schon wichtig sein, auch mal um kurz nach elf abends nach den Vorgängen auf dem Konto zu sehen.

Ich halte dieses Verfahren (mit i- oder mTAN) für ziemlich sicher, jedenfalls für sicherer als Webbanking. Bisher habe ich noch nichts über Angriffe auf diese Plattform gehört.

"- unsicherer sowieso": das halte ich für ein Gerücht. Auf dem Brief an die Bank steht bestimmt der Name und die Adresse der Bank, und dieser Brief geht durch mehrere Hände und Sortieranlagen ...

@Martina: es ist noch garnicht so lange her, dass es von den Banken (Genossenschafts- und andere) herausgegebene oder vertriebene Software gab, bei der man PIN und TANs bei der Software speichern konnte. Das muss man sich mal vorstellen!

Ob das Onlinebanking die richtige Nebenbeschäftigung für eine Radreise ist, dazu hat Matthias ja mal wieder süffisant-zutreffend geschrieben.

Ist unbedenklich, solange man sein eigenes Gerät hat (mit geprüften CA-Trusts) kann man locker in frenden WLANs banken. Andernfalls könnte man sich das ja in fremden Ländern nirgendwo trauen!

Der Rest, den du aufführst, ist ja wohl selbstverständlich. Wer das umständlich findet sollte lieber ganz die Finger von sicherheitskritischen Systemen lassen bevor er sich auf der Arbeit noch Locky installiert.

Klar ist dass sich jeder erst mal informieren sollte bevor er irgendeine Komfortlösungs-App benutzt. Aber man muss es auch nicht schlimmer hinstellen als es ist.

Hallo Martin,
ganz so einfach würde ich mir das nicht machen. Das was da zur Zeit per Mail kommt ist doch nur Kinderkram. Einmal eine falsche Internetseite aufgerufen oder einen USB-Stick in den Rechner eingesteckt, könnte schon reichen. Sobald du im Internet bist, befindest du dich in einem Netzwerk und theoretisch hat jeder Zugriff auf deinen Rechner - denk mal auch an die Firmen, die auf deinem Rechner Updates installieren. Hinzu kommen noch die immer wieder veröffentlichten Sicherheitslücken - und die, die Lücken nutzen, die nocht nicht veröffentlicht wurden, werden dies auch nicht tun. Ich bin mir zu 100% sicher, dass du dir nicht sicher sein kannst, dass dein Rechner nicht schon längst kompromittiert ist - auch wenn du (vermutlich) an einem MAC sitzt.
Und wenn es dich noch nicht getroffen hat, könnte es viele Ursachen haben:
- finanziell uninteressant
- sammeln nur Daten und warten auf den richtigen Augenblick um Informationen zu erpressen
- vielleicht wird dein Rechner auch für andere Dinge benutzt
- etc.
Gruß Ulli

Es gab Zeiten (das ist noch gar nicht so lange her), da wurden in solchen Fällen die betroffenen und gefährdeten Plattformen genannt. Seitdem das nicht mehr passiert, ich vermute mal, aus Rücksicht gegenüber einem gewissen Unternehmen aus Redmond, sind die Warnungen, mal abgesehen von der Aufforderung zu allgemein vorsichtigem Verhalten, nicht mehr viel Wert.
Ob natürlich ausgerechnet die Kameraden aus Cupertino die Alternative darstellen müssen, darüber sollte man zumindestens mal nachdenken.

Die Schererei mit der Ablehnung von DKB-Karten hatte ich bei der ostsächsischen Sparkasse Dresden auch lange. Mittlerweile scheint das aber wieder zu funktionieren.
Bei anderen Sparkassen in Deutschland ging das Abheben immer.

Naja, wenn man länger unterwegs ist bleibt einem kaum was anderes übrig als sich da was einfallen zu lassen. Ist ja kein freiwilliges Hobby.

Schon. Aber dann würde ich einen Laptop oder Netbook, auf jeden Fall einen eigenen Rechner mit der entsprechenden Onlinebanking-Software mitnehmen. Damit lässt sich ja auch noch anderes veranstalten, z.B. Routenplanung, Bilder drauf kopieren usw.

vielleicht doch. Zumindest irgendwie. Man könnte Bargeld und/Reiseschecks nehme. Oder gi t's das nicht mehr?

Ja, so ist das mit den Statistiken. Übrigens - im Durchschnitt sind alle Forumsmitglieder gleich alt.
Gruß Ulli

Du meinst die Lizenz zum Gelddrucken?
Den Drucker braucht es natürlich auch nicht mehr. Soweit ist die reale Überlegung ja nicht mehr entfernt. Die Idee, Bargeld stärker zu beschränken, möglicherweise demnächst ganz abzuschaffen, treibt die virtuellen Geldkammerjäger ja zunehmend an. Völlig bargeldlose Verfahren wie Bitcoin stehen schon an der Machbarkeitsstufe. Gestern gab es dazu eine interessante TV-Runde (3sat, mit Gerd Scobel). Der Gedanke geht noch weiter über die Bezahlsysteme hinaus bis zur kompletten Abschaffung von Banken, evtl. sogar von Zentralbanken (letzteres wurde da nicht mehr diskutiert). Man könnte soweit gehen, dass demnächst nicht nur große Player wie Google oder Amazon klassische Bankenfunktionen übernehmen, sondern auch sämtliche Wertstellungen verrechnen, mit denen sie Zentralbankfunktion übernehmen, Währungsgeschäfte automatisieren usw. - ja sogar Staatsausgaben nach demokratischen Willensparametern lenken, die über Linkzahlen und Likes ermittelt werden.

Auch der Bankraub ist heute schon virtuell wesentlicher als der mit Postsäcken und Lautlosbohrer. Wissen die Global Player alles über den Transaktionsuser, sind Kriminelle schnell durch digitale Transaktionsraster aufzuspüren. Virenscanner braucht es dann gar nicht mehr, Google, Amazon und Zuckerberg wissen schon alles und greift ein - zu unser aller Nutzen und Wohl, tätigt die Überweisungen anhand von den Profilen. Alle drei genannten Unternehmen haben zudem eine schlechte Rentabilität, obwohl Markt-beherrschend - also alles andere als gewinnsüchtig - vielleicht ehr harmoniesüchtig? Der Gutmensch wird zur Gutmaschine.

Die Verlierer: Wer aus unterschiedlichen Gründen (Armut, Bildung, behinderung) keinen Zugang zu virtuellem Geld hat, wird sich wieder mehr zurück zu Tauschgeschäften entwickeln müssen. Ein gewisser unterer Prekariatsanteil ist in jeder Gesellschaft für das Gelingen des Gesamten verzichtbar (- vielleicht auch unverzichtbar?). Das gilt sogar schon für die Münzengesellschaft. Die größte Hoffnung der artificial intelligence dürfte allerdings der virtuelle Mensch sein. Überbevölkerung und alle unangenehmen Begleiterscheinungen des homo sapiens sind dann nur noch eine Frage von bits & bytes. Cyber money, cyber sex, cyber children, cyber food, cyber peace, cyber cycling - wunderbar!?

veloträumer,
der sich freut, dass Menschenleben endlich sind

Nettoeinkommen der Haushalte kann sich zwangsläufig nicht nur auf Erwerbseinkommen (das ist ja personenbezogen) beziehen, genauso wie viele Haushalte auch nicht aus einer Person bestehen. Man müsste obige Beträge zunächst durch die durchschnittliche Anzahl von Haushaltsmitgliedern teilen. Die liegt in Deutschland derzeit wohl ungefähr bei 2 (wegen der vielen typisch deutschen Single-Haushalte niedrig, wird sich durch Veralterung noch mindern). Das Nasennettoeinkommen liegt dann nur noch bei 1300 € im Schnitt.

Und das impliziert dann noch Sozialleistungen, Zinsen usw. Ein Durchschnittshaushalt kann sich dann zwar noch über die Eingangsgrenze des Girokontos der Bank retten (aber auch nur, wenn regelmäßig und ein Familienkonto), durchschnittliche Einzelhaushalte aber längst nicht mehr. Man denke auch daran, dass gewisse Lohnnebenleistungen nur einmalig anfallen wie etwa Weihnachtsgeld oder Urlaubsgeld (beides kenne ich nicht (mehr)) und diese erst den Durchschnitt über die Grenze der 2000 € heben.

Denkt man weiter, welche Einkommen einige bis recht viele Bessergestellte haben, dann wird erst erschreckend klar, wie krass der Armutssatz der Gesellschaft ist. Einzig die oft unbekannte Einkommensgröße der Reichen (der Reichenbericht verweist auf die Schwäche der Statistik in dieser Gruppe) hält den Schnitt noch etwas weiter unten. Dazu kommen noch viele, die vielleicht genug verdienen, nicht aber mehr für das kommende Alter. Während sich die Alten damit quälen, dass sie weit höhere Nebenkosten haben als früher zu Erwerbszeiten (Pflege, Arneimittel, Bankgebühren), freuen sich die Banken aufgrund der Vereinzelung und Veralterung der Gesellschaft auf mehr Gebührenzahler, die das kostenfreie Eingangslimit nicht halten können. Die aktuelle Niedrigzinsphase wird dann schließlich auch noch über die Gebührenschiene der Banken versucht auszugleichen, weil Negativzinsen auf Guthaben weniger gut durchsetzbar sind. Immerhin wurde mit dem jüngsten EU-Recht für Konten für jedermann die Gebührenzurückhaltung für niedrige Einkommen indirekt verankert. Das musste aber mal wieder der Staat regeln und mit den üblichen Zugständnissen an die Lobby.

Sofern Erwerbseinkommen verglichen werden, muss man wiederum aufpassen, dass dies keine Vermögenseinkommen oder Sozialleistungen impliziert und nicht die Familien-Situation wiedergibt. Schließlich sollte man daran denken, dass Familien (auch Paare) steuerlich im Schnitt günstiger gestellt sind als Alleinstehende, sodass wiederum aus der Statistik für Nettoerwerbseinkommen nur bedingt etwas über die Bruttoeinkommen gesagt wird - also etwa den Vergleich von Berufsgruppen oder innerhalb von Berufsgruppen (wer zahlt gut, wer schlecht). Dazu braucht man dann Bruttowerte.

Ich wollte nur drauf hinweisen, dass bei den gennanten Voraussetzungen mehr als die vermuteten 25% der Bevölkerung eine gute Chance auf ein kostenfreies online-Konto haben. Daraus jetzt eine "Armutsdiskussion" zu starten, lag mir völlig fern. Manchmal macht es richtig Spaß hier zu antworten.
Gruß
Uli

Danke, das werde ich beim nächsten Mal testen!

Äh, ich weiß. Genau deshalb hab ich ja so energisch bezweifelt, das TAN-Listen das Nonplusultra in Punkto Sicherheit darstellen.

Martina

Bestimmt nicht Nonplusultra, aber handhabbar und einigermaßen sicher, sofern die "Kanaltrennung" (iTAN auf Papier, mTAN auf separatem Handy) beachtet wird. Und gegen MitM-Angriffe sollte TLS helfen.

Der Unterschied ist dass der Computer mit Malware infiziert sein kann die die Ziel-Kontonr. unsichtbar ändert und dann nach der TAN Nr. 71 fragt.

D.h. bei der Papierliste reicht ein einzelner Angriff (Infektion des Computers per E-Mail-Anhang o.ä.) und schon kann die nächste Überweisung umgeleitet werden ohne dass der Nutzer es merkt. Diese Fälle haben sich in der Vergangenheit gehäuft, aber es gibt ja "niemanden" der sich sowas einfängt....

Bei der mTAN stehen auf dem Handy nochmal Betrag und Ziel-Kontonr, wo der Betrug auffällt. Hier muss noch zusätzlich ein zweiter Angriff erfolgen - das Handy muss gekapert werden, oder die SIM-Karte ersetzt. Das kommt mittlerweile auch schon oft vor, ist aber trotzdem aufwändiger.

Wenn du einen unterhaltsamen Film zum Thema BitCoins sehen möchtest, dann empfehle ich dir diesen hier. DOPE - Deutscher Trailer

Klar würde ich dir empfehlen den Film in originaler Sprache anzuschauen,
doch für das Forum habe ich den deutschen Link gewählt.
In dem Film wird schon sehr stark auf das Bit-Coin Thema eingegangen, vor allem im Bezug auf illegale Geschäfte.

Was deinen Beitag angeht, bin ich selbst sehr gespannt in welche Richtung wir gehen.
Es ist sehr deutlich zu sehen, dass auch die ganzen NGO's Bit-Coin Spenden annehmen. Auch die Betreiber der Spendenformulare haben schon umgestellt und man kann auch bitcoin spenden. Im großen und ganzen werden wir da nicht drum herum kommen und wie so oft empfinde ich die aktuelle Zeit als "super spannend".

Aus Bali
Alexandros

Bei der Infektion über Anhänge fehlt immer wieder die betroffene Plattform. Universalwürmer und Ähnliches gibt es nicht oder zumindest noch nicht. Ohne die Kenntnis der Voraussetzungen laufen alle Warnungen ins Leere.

Das mTAN-Verfahren gilt seit 2010 als unsicher. Gerade weil es so viele nutzen, wird aktuell er Ehrgeiz entwickelt, es zu knacken.
Gruß Ulli

Was gilt denn daran als unsicher? Mach mich bitte mal schlau.
Bei meiner Bank habe ich die Wahl zwischen iTAN (kostenlos) oder mTAN (kostenpflichtige SMS auf's Handy), die ich seit mehreren Jahren außerhalb meiner Wohnung gelegentlich nutze. Die Sparkasse Hannover verwendet z.B. standardmäßig mTAN-Verfahren. Meine Freundin hatte diesbezüglich nie Probleme. In den Missbrauchsfälle, die mir bekannt geworden sind, haben die Täter über Handyshops ohne vernünftige Verifikation Ersatzsimkarten bestellen können. Dieses System funktioniert bei den von mir und meiner Freundin verwendeten Simkarten von ... nicht, weil sie nicht über einen Shop vertrieben werden.

"Entweder sicher oder unsicher" gibts m.E. so gut wie garnicht. Es kommt auf den konkreten Angriffsweg und den damit verbundenen Aufwand an. Sicherheit ist relativ.

Ob's jetzt die Nutzung von Linux ist oder einfach nur allgemeine Sachkenntnis und Vorsicht - der Einzelne kann vieles tun und hat dann auch mit einer iTan-Liste eine ziemlich hohe Sicherheit! Die Mehrzahl der Nutzer tut das aber nicht, deshalb werden die Tan-Listen nicht ohne Grund abgelöst.

In der Sache bin ich völlig bei dir, über so Dinge wie Locky in Krankenhäusern kann man eigentlich nur den Kopf schütteln, aber es ist traurige Realität.

Auch richtig, aber das spricht natürlich in keinster Weise für die Tan-Listen, die eben noch leichter zu kompromittieren sind. Ansonsten weiß ich nicht auf was du hinweisen möchtest.

Das Maß der Dinge dürfte vermutlich ChipTan sein.

Sollte es tatsächlich ein Windowsproblem sein, dann darf und muss das gesagt werden. Sonst lernen es Fritzchen und Lieschen nie.
Wenn seltsame e-Mails aufschlagen, die gelegentlich doch mal durch die Spamfilter schlüpfen, dann muss man sie leider doch erst aufrufen, um sie zu löschen oder als Spam zu kennzeichnen. Allerdings bin ich trotzdem bisher schädlingsfrei geblieben. Insofern hat sich das Einschießen auf Linux letztlich doch sehr gelohnt.

Und seit wann gelten die von dir propagierten TAN-Listen als unsicher?

Martina

Ohne jetzt den Faden noch weiter entführen zu wollen, hier gibt's einen Haufen Fragen&Antworten zum Thema:
Heise Security

Insbesondere wird die Haftungsfrage diskutiert - ob man nun Geld verlieren kann oder nicht.

Hallo Falk,
das Betriebsystem spielt doch max. eine temporäre Rolle. Auch Linux schützt nicht vor Angriffen. Derzeit ist es lediglich so, dass das Kosten-Nutzen-Verhältnis bei Windows besser ist. Im mobilen Bereich werden Mac und Linux angegriffen, weil es verbreiteter ist.

Egtl. solltest du froh sein, dass Lieschen Müller bei Windows bleibt und Linux für die Angreifer unattraktiv bleibt.

Chiptan ist solange Sicher, solange man deine EC-Karte nicht hat. Darauf basiert ja die TAN.
Geflacker am Bildschirm + EC-Karte -> TAN.

Wenn der Angreifer die Daten deines EC-Kartenchips hat und sich damit quasi eigene TANs erzeugen kann, dann braucht er nur noch dein Login

Also im Prinzip Phishing + Taschendieb

Das nicht, aber es erschwert diese doch schon durch die Rechtevergabe. Nur ist die Nennung von Ross und Kutscher immer sinnvoll und auch notwendig. Es geht darum, den Wissensvorteil, den die Angreiferseite unvermeidbar hat, so klein wie möglich zu halten. Da ist allgemeines Geschwalle völlig unnütz und eher noch schädlich. Damit werden nur die Kunden eines gewissen Unternehmens, dass seinen Sitz im Nordwesten der USA hat, ruhiggestellt.

Auch der Software-Riese aus dem Nordwesten empfiehlt dir kein Admin-Konto zu nutzen und selbst beim Admin-Konto fragt das System nach, ob du es auch wirklich willst. Dass die Nutzer das nicht befolgen bzw. absichtlich deaktivieren kannst du MS nicht vorwerfen.

Sicherlich gibt es Sicherheitslücken in Windows, die zu einer Rechteausweitung führen. Die findet man beim Pinguin aber mit Sicherheit genauso. Nur ist da das Interesse der Schattenwirtschaft geringer, vorallem, weil da eher Leute davor sitzen, die nicht immer Ok klicken, sonder erst denken und dann klicken.

Oder die Schattenwirtschaft nutzt gleich Software und nicht das Betriebssystem.

Der einzige Sicherheitsaspekt beim mTAN-Verfahren ist das Handy. Heute meistens ein Android-Handy - und da von Sicherheit zu sprechen, ist ein Widerspruch in sich. Außerdem gibt es nicht nur das von dir angesprochen Betrugsverfahren mittels Zweit-SIM – dies ist eine Möglichkeit. Eine andere Möglichkeit gab es z.B. 2012 mit dem ZitMO-Virus. Dabei wurde der PC manipuliert und von diesem manipuliertem PC wurde ein Virus auf dem Handy installiert. Nach Angaben von Sicherheitsexperten wurden in Europa ca. 30000 Bankkunden um 36 Millionen Euro (in Deutschland 13 Millionen Euro) erleichtert. Gerade wurde der Quellcode eines anderen Viruses veröffentlicht, der ein anderes Online-Banking-Verfahren manipuliert. Durch die Veröffentlichung wird es diesen Virus jetzt massenweise in diversen Abwandlungen geben. Wenn in der Presse massenhaft Betrugsfälle bekannt werden, werden die Banken sicherlich die Schäden ersetzen. Aber was passiert in Einzelfällen. Immer mehr Banken verlagern das Risiko auf den Kunden und werfen dem Fahrlässigkeit vor. In solchen Fällen haftet nur der Kunde.
Der Nachteil vom Internetbanking ist, dass Betrüger relativ anonym Zugriff auf Millionen von Konten haben – und das ist eben verlockend. Bei einem Diebstahl oder Raub müssten sie räumlich anwesend sein. Damit ist natürlich nicht gesagt, dass es dich auch tatsächlich trifft. Wenn von 100000 Einwohnern 1000 überfallen werden, werden anderseits auch 99000 nicht überfallen.
... und hier mal eine Info zu den aktuellen Virenprogrammen. Von 54 Virenprogrammen haben nur drei den Locky-Virus erkannt
Letztendlich muss jeder für sich selber entscheiden, ob er das Risiko eingeht.
Gruß Ulli

Nochmal: das alles sollte man bedenken, ehe man überhaupt Online-Banking macht. Ich mache es genau aus den von dir genannten Gründen nicht. Aber zu postulieren, dass die mTan böse und TAN-Listen toll sind ist mindestens genauso fahrlässig, wie kritiklos Online-Banking zu machen.

Martina

Ich habe nie, nie, niemals behauptet, dass TAN-Listen sicher sind. Sind sie natürlich nicht. Wo soll ich das geschrieben haben?
Online-Banking ist in jedem Fall unsicher - und deshalb mache ich es auch nicht.
Gruß Ulli

Noch ein NAchtrag, weil gerade gelesen: http://www.heise.de/security/meldung/Pas...ch-3162731.html

Solange Internetnutzer derart freizügig mit ihren Passwörtern sind muss man sich um den Rest kaum noch gedanken machen... :), wobei eher

Ich praktiziere das E-Banking von Anfang an bei der Postbank ohne Störfall. Über iTan, mTan bin ich bei chipTan gelandet. Das Lesegerät dafür musste ich für etwas mehr als 10 Euro kaufen. Es wird an einem sicheren Platz verwahrt, und niemand weiß davon.

Wenn es dir geklaut wird, dann sind die etwa 15 Euro weg, sonst nix. Wie Henning oben schon schrieb, beruht die Sicherheit beim chipTAN-Verfahren auf dem Passwort für den Online-Zugange und dem Chip auf der Bankkarte. Hat man beides, kann man die TAN mit jedem beliebigen TAN-Generator erzeugen.

Ich benutze für das mTAN-Verfahren kein Handy mit einer Androidversion. Auch mit Symbian S60 hatte ich nie ein Problem beim Internetbanking.
Wie sagte mal ein Kollege bei einer Schulung und Demo so treffend:
"Das beste Virenprogramm sitzt vorm PC."
Für mich heißt das, kein Internetbanking mit Handy oder PC über WLAN-Netze von Hotels, Cafés. Zumindest in der EU und der Schweiz bleibt mir dann noch das jeweilige Mobilfunknetz zu vertretbaren Preisen.
Was die grundsätzliche Akzeptanz von Internetbanking angeht, sehe ich aufgrund von keinen Guthabenzinsen oder Minuszinsen und steigender Bankgebühren eher einen Anstieg als ein Abflauen des Internetbankings.

Ich bitte um Entschuldigung, ich habe dich mit dem Kollegen :-) verwechselt. Der hat das tatsächlich explizit behauptet. Genau diese Bemerkung von ihm hat die ganze Diskussion ausgelöst.

Martina

Kein Problem ... ich war nur leicht verwirrt.
Gruß Ulli

Ich will dir ja nicht das Online-Banking vermiesen, aber für solche Fälle gibt es auch den "Man-in-the-Midddle-Angriff". Aber dafür muss man schon räumlich in der Nähe sein. Vielverprechender ist da der "Man-in-the-Browser-Angriff". Damit wurde z. B. 2012 das chipTAN-Verfahren gehackt.

Ja, das denke ich auch. Schöne neue Welt.
Gruß Ulli