Online-Banking: mTAN und Banking-Apps unsicher

Online-Banking ist bequem und die Banken drängen die Kunden (über die Gebührenmodelle) dazu, diese Methode zu verwenden. Damit das Ganze nicht zum Desaster wird, ein kleiner Beitrag zum Thema Sicherheit beim Online-Banking.

Dass man sein System sauber von Viren, Trojanern oder anderen Computerschädlingen hält, hatte ich ja hier im Blog bereits ausgeführt. Weiterhin gibt es Beiträge, die gezielt vor Banking-Trojanern waren. Auch das Thema Phishing habe ich im Beitrag Phishing – das sollten Sie wissen behandelt. So weit so gut – wer das alles beherzigt, hat aber erst die halbe Miete eingefahren. Denn auch in den von Banken verwendeten Sicherheitsmechanismen lauern Fallen.

Banking mit TAN

Zur Autorisierung von Transaktionen im Online-Bankkonto verwenden Banken TAN-Nummern (TAN = Transaktionsnummer). Die älteste Variante sind auf Papier gedruckte TAN-Listen, wobei die früher gebräuchliche Abarbeitung der TANs in direkter Reihenfolge nicht mehr verwendet wird (jemand, der mehrere TANs erbeutete, konnte diese für Transaktionen verwenden). Vielmehr verwendet man aus Sicherheitsgründen sogenannte indexierte TANs. Dabei gibt der Rechner der Bank nach dem Zufallsprinzip vor, dass die TAN Nummer soundso für die Transaktion zu verwenden ist. Selbst wenn jemand Unbefugtes ein paar TANs erbeutet hat, ist die Chance gering, dass diese bei Transaktionen zufällig ausgewählt werden. Nur wer die ganze TAN-Liste erbeutet, hat Zugriff auf Überweisungen.

Vorsicht: Banking mit mTAN ist unsicher

Geht man z.B. auf diese Webseite, wird das sogenannte mTAN-Verfahren noch als sicher angegeben. Man gibt die Nummer eines Mobiltelefons an und erhält bei jeder Transaktion eine SMS mit der TAN auf's Handy. Diese gibt man dann im Online-Banking-Formular zur Autorisierung der Transaktion ein. Klingt auf den ersten Blick gut, denn für jede Transaktion wird eine eigene TAN generiert und nur auf ihr Handy übertragen.

Der Pferdefuß: Ist eine andere Handy-Nummer im Konto eingetragen, gibt es die Möglichkeit zur Transaktion. Bereits 2013 gab es Berichte wie diesen, die über eine Häufung von Betrugsfällen mit Online-Banking im Zusammenhang mit mTANs berichteten. Eine Masche bestand darin, dass sich die Betrüger eine Ersatz-SIM-Karte des Opfers zusenden ließen und damit eigene mTANs mit dem Handy generieren konnten. Diese Masche ist nun unterbunden, da Ersatz-SIM-Karten mit gleicher Nummer) nur nach Autorisierung rausgegeben werden.

Aber mTANs sind noch aus einem anderen Grund unsicher: SMS und mTANs lassen sich abfangen. Darauf wurde bereits im September letzten Jahres z.B. auf dieser Webseite ausgeführt. Und in meinen Blog-Artikeln Neue Android-Malware BadNews (April 2013) und Desaströse Sicherheitsinfos zum Wochenstart (Dezember 2014) berichte ich über mTAN-Trojaner bzw. warne ich explizit vor Online-Banking mit mTANs. Hintergrund für die Warnung im Dezember 2014: Der Chaos Computer Club (CCC) hat auf dem Jahrestreffen 2014 eine UMTS-Sicherheitslücke aufgedeckt. Über die Sicherheitslücke lassen sich nicht nur Gespräche abhören, sondern auch SMS-Nachrichten umleiten. Neben der Zwei-Faktor-Authentifizierung per Mobilfunkgerät für die gängigen Online-Konten wurde damit auch die Transaktionsabsicherung durch SMS-TANs (mTANs) endgültig beerdigt.

TAN-Generator mit Bankkarte

Bei vielen Banken wir ein TAN-Generator in Verbindung mit der Chipkarte (EC- bzw. Bankkarte eingesetzt (siehe diese Seite). Das folgende Foto zeigt solche TAN-Generatoren (z.B. der Firma Reiner), die von Banken den Kunden angeboten werden (hier ist es der Sparkassen-Shop).

Die Generatoren kosten nicht viel und laufen mit Knopfzellen über Jahre. Nur wer die Bankkarte besitzt, kann mit dem Online-Konto Überweisungen tätigen. Bei jeder Überweisung wird ein optischer "Flickercode" im Browser im Formular angezeigt. Der TAN-Generator kann diesen Flickercode optisch lesen und eine TAN berechnen. Diese wird dann im Browser-Formular zum autorisieren der Überweisung eingetragen. Hier findet sich eine Erklärung auf einer Bankseite. Da die TAN für jeden Vorgang einzeln generiert wird und keine Funkverbindung zum TAN-Generator besteht, gilt dieses Verfahren als sicher.

Man könnte sich noch vorstellen, dass jemand die TAN abfängt und für eine eigene Überweisung missbraucht. Klappt aber nicht, wenn der Besitzer des Online-Kontos die Daten jeweils prüft. Denn auf dem Display des TAN-Generators wird das Empfängerkonto und die Summe angezeigt. Erst nach Bestätigung dieser beiden Daten errechnet der TAN-Generator die TAN. Diese berücksichtigt Informationen von der Bankkarte und Betrag samt Kontonummer des Zielkontos. Bei Manipulation würde die TAN also ungültig. Leider beachten das nicht alle Benutzer – hier verweise ich auf diesen Artikel bei der Zeitschrift heise.de, die sich mit der juristischen Aufarbeitung eines Missbrauchsfalls befasst.

Allerdings verweise ich auch auf meinen Blog-Artikel hier, wo es Spezialisten gelungen ist, die PIN-Absicherungsmechanismen für Chip-Karten von Banken auszuhebeln. Das gilt zwar eher für das Geldabheben am Automaten. Aber es ist nicht auszuschließen, dass dort auch noch Überraschungen blühen. Momentan ist mir aber noch nichts unter die Augen gekommen, dass es dort Missbrauch gäbe.

Achtung: Auch Banking Apps können unsicher sein

Zur Abwicklung von Bankgeschäften werden Banking-Apps für Android oder iOS (iPhone/iPad) immer beliebter. Die App übernimmt nach einer Anmeldung am Konto die Abwicklung. Aber wie sicher ist das Ganze eigentlich? Ich habe einfach mal im Zusammenhang mit diesem Artikel kurz recherchiert. Hier ein paar Artikel:

BANKING-APPS FÜR IPHONE UND ANDROID IM VERGLEICHSTEST (Connect)
iPhone-Banking-Apps im Sicherheitscheck (heise.de, Artikel 2010)

Was dort bemängelt wurde, sind Fehler in Apps und der Umstand, dass die Apps zu viele Daten abgreifen, die mit dem Banking nichts zu tun haben. Aktualisierte Fassungen der Banking-Apps scheinen die Sicherheitsmängel nicht mehr aufzuweisen. Auf der CCC-Tagung wurde dieses Vortragsdokument freigegeben, welches sich mit Android Banking-Apps befasst (aber nur was für Spezialisten ist). Tenor: Fehler in Banking-App, gepaart mit neuer Schadsoftware für Android stellen durchaus ein Risiko für Banking Apps dar. Falls Sie Banking-Apps verwenden, wäre mein Hinweis, die Augen offen zu halten und die in folgenden Artikeln gegebenen Sicherheitstipps zu beherzigen.

Sicherheit beim Mobile-Banking: 10 Tipps
Banking Apps und Sicherheit

Zum Abschluss noch ein kleiner Tipp außerhalb des Themas. Beim Online-Banking haften wir Kunden ja für Fehler bei Kontenangaben des Empfängers. Und vermutlich ärgern wir uns alle über die voriges Jahr eingeführten SEPA-Zahlungsverfahren mit IBAN/BIC wegen der langen Kontenangaben. Aber die Sache hat ein Gutes. Hier der Hinweis von Blog-Leser Marc, den ich mal weitergebe:

Viele ärgern sich über IBAN/BIC, dabei bieten diese die höchste Sicherheit. (insbesondere 1.tere). IBAN besteht ja aus Ländercode, Prüfziffer, BLZ und Konto. Tritt irgendwo bei der Eingabe der IBAN ein Tippfehler auf, wird die IBAN bereits bei der Eingabe abgewiesen. Also erhält man im Vergleich zur alten, einfachen Kontonummer (wird immer akzeptiert) eine höhere Sicherheit.

Man sollte daher auch keinen Gebrauch von Umrechnungs-/Converter-Funktionen für BLZ und Konto in IBAN machen.

Ähnliche Artikel – das könnte Sie auch interessieren:
Achtung: Angriffe auf den Adobe Flash-Player!
Sicherheit: Office-Macro-Trojaner-Welle
Warnung vor Banking-Trojanern
Phishing – das sollten Sie wissen
Warnung: Betrüger geben sich telefonisch als Microsoft-Mitarbeiter aus