Sicherheitslücke?

Hallo,

ich habe mich hier extra angemeldet um hoffentlich meine Frage beantwortet zu bekommen, da ich nirgends brauchbares finden kann.

Nehmen wir einmal an ich bestelle so ein Smarttan Lesegerät und fülle das Formular aus um es nutzen zu können.
Wenn nun ein hacker cracker, was auch immer, mein Online Banking-LogIn und Passwort herausfindet (egal mit welcher Methode), könnte er dann mit irgendeiner Option die Zahlmethode ändern und somit Geld von meinen Konto auf sein oder irgendein anderes Konto überweisen?

Oder kann man dann nur noch den Rest seines Lebens mit diesen Lesegerät Transaktionen durchführen?

Einfach gesagt: Kann einer mit mein Online Banking-LogIn und Passwort etwas anfangen, sodass SmartTan keinen nutzen mehr für mich hat, und ich mein Geld losbin?
Weil selbst wenn dieses SmartTan sehr sicher sein soll, was nützt es mir denn wenn ich bei jeder transaktion mich Online einloggen muss (Gefahr durch keylogger etc.) um die Transaktion zu vervollständigen.

Versteht einer meine Frage?

danke im voraus!

So wirklich verstanden habe ich die Frage nicht, sie ist irgendwie etwas unklar und verschwurbelt formuliert...

Erstens muß man mal unterscheiden. Welches Verfahren meinst Du genau? Also welche Bank? Es gibt die ChipTAN-Verfahren (unter diversen Namen), die von den Sparkassen, Volks- u. Raiffeisenbanken, Postbank ect. verwendet werden. Da ist der TAN-Generator ein reines dummes Anzeige- und Eingabe-Gerät. Die eigentliche Kryptographische Arbeit findet im Chip der Girokarte, die man reinsteckt statt. Die Schlüssel, die im Chip gespeichert sind, korrespondieren mit der Software, die auf dem Bankrechner vorhanden ist und mit genau DEINEM Konto verknüpft ist. Gültige TANs für DIESES Konto können NUR mit diesem Chip auf DIESER Girokarte generiert werden. Wenn ein Angreifer Logn + PIN + DIESE Girokarte hat, dann kann er natürlich Geld in Bewegung setzen, so wie Du auch. Wenn sowas passiert, dann muß man halt die PIN ändern und die Verknüpfung dieser Girokarte mit dem Konto stornieren (lassen, durch die Bank). Danach kann man eine andere/neue Karte verknüpfen und alles ist wieder gut. Bei diesen Verfahren kann man einen TAN-Generator für beliebige Konten verwenden, man muß halt immer die richtige Karte reinstecken. Der Generator selbst ist wie gesagt dumm. In die TAN-Erzeugung gehen hier noch Teile des Auftrages (Kontonummer/IBAN und Betrag) mit ein (übertragen durch diese Flicker-Code-Schnittstelle). Insofern ist das Ganze sicherer, weil die erzeugte TAN nicht nur ausschließlich zu diesem Konto sondern auch ausschließlich zu diesem Auftrag paßt.

Dann gibt es noch die Verfahren, wo man von der Bank einen Generator bekommt, der direkt arbeitet und in den keine Karte gesteckt wird. Dies macht z.B. die Volkswagenbank oder soweit ich weiß auch Consors. Hierbei sitzen die kryptografischen Schlüssel direkt im Gerät. Ansonsten ist es aber recht ähnlich zu dem oben angesprochenen. Dieser bestimmte TAN-Generator ist mit diesem bestimmten Konto verknüpft, nur TANs die dieses Gerät erzeugt, passen. Diese Verknüpfung kann natürlich aufgehoben werden, wenn irgendwas nicht mehr paßt und eine neue Verknüpfung mit einem anderen Gerät hinterlegt werden. Hier paßt die erzeugte TAN nur zu diesem Konto, es gehen aber meist keine Teile des Auftrags mit ein, so daß die TAN zwar nur zu diesem Konto paßt, aber nicht nur zu diesem Auftrag, sondern ggf. auch zu einem veränderten Auftrag. Insofern ist das Ganze nicht so sicher wie das oben genannte Verfahren.

Eine Unterschrift auf einem (Papier-) Überweisungsträger ist schneller zu fälschen, als Onlinebanking-Daten/-Sicherheitssysteme zu umgehen.
...wenn deine Frage grundsätzlicher Natur ist und du dich hier fragst, soll ich onlinebanking betreiben ja/nein


siehe auch Sicherheit im Internet
wichtig ist: aktuelles Betriebssystem, eine Sicherheitssoftware, eine Onlinebanking-Programm* und in jedem Fall immer von Vorteil, solange der PC/Smartphone Internetzugang hat: Köpfchen. (sprich nicht auf jeden Mail-Anhang bspw. klickern)

*=Software bspw. banking 4W https://subsembly.com/banking4.html oder halt die Mitbewerber, je nach Wunsch/Umfang
PSD Banken (iTAN, Mobile-TAN, Smart-TAN plus)

viele Software-Hersteller bieten die Vollversion kostenlos/unverbindlich für einen Testzeitraum an, somit kann wirklich alles getestet werden.

Muss ich mir also um dieses Thema keine großen Sorgen machen?

Danke nochmal!

Angel, da hast du völlig Recht, genauso ist es.

Wobei Neumann hier ja auf eine Art Sicherheitslücke hinweist, die es ja tatsächlich geben mag. Erlaubt die Bank beispielsweise den Austausch auf ein neues TAN-Medium ohne Legitimation durch eine alte TAN, also nur durch die PIN, dann wäre dies tatsächlich eine gewisse Sicherheitslücke. Wenn es so etwas gibt, z.B. ein Webformular, würden diese vermutlich dann zusätzlich legitimiert, per Rückruf z.B. beim Inhaber eines Mobiltelefons.
Das Missbrauchsrisiko wird eine Bank durchkalkulieren, genauso wie es anscheinend immer noch Banken gibt, die die völlig unsicheren TAN-Bögen herausgeben. Sie rechnet die Mehrkosten durch den höheren Aufwand gegen den möglichen Schaden durch Betrug. Entsteht hier ein Schaden, wird die Bank diesen sicherlich ersetzen.

Jetzt muss man im Beispiel aber genau hinsehen, wie msa schon schrieb: Der TAN-Leser ist ja nur ein simples Anzeigegerät, die Chipkarte ist entscheidend. Diese sollte sich bereits in der richtigen Hand befinden, deshalb ist die Aktivierung des TAN-Generators auf dem Chip per Onlineformular nun wieder keine Sicherheitslücke.
Wird aber eine Freischaltung eines Mobiltelefons für die SMS-TAN per Formular erlaubt, dann ist das was anderes.

Diese Freiheiten wird es meiner Meinung nach in Zukunft immer weniger geben, das wird in Zukunft mehr und mehr auf gesetzlicher Ebene durch Richtlinien gesteuert.

Gruß
Raimund

Manche Banken verzichten teilweise sogar auf die TAN

http://www.onetoone.de/Giropay…27523.html

//edit: girosolution

naja, "höchst fragwürdig" ist schon hart formuliert, denn es ist nicht die Aufgabe der Banken, den Kunden beim Onlineshopping über den Zahlvorgang vom Kaufen abzuhalten.

Aber es wird sicherlich in die Haftung der Bank gehen, wenn z.B. eine ausgespähte PIN zum Bezahlen in Giropay benutzt wird. Das kann ich mir jedenfalls nicht anders vorstellen.

Gruß
Raimund

Naja, ich denke, das Motiv ist ein anderes. Es geht darum, ggü. dem mobilen Bezahlen per NFC/Handy ein adäquates, etabliertes und vorhandenes Gegenstück im Angebot zu haben. Genau damit die Menschen, die die Wahl haben, eine Karte ihrer Bank zu verwenden und halt nicht eine App oder ein Smartphone eines Providers.
Es geht hier gewaltig um Marktanteile am Zahlungsverkehr und auch in großen Anteilen der Zukunftsangst vorhandener Geschäftsmodelle.

Aber im wahrsten Sinne deiner Worte hast du Recht und ich bin da völlig bei dir: fragwürdig - "der Fragen würdig" ist das wirklich. Also jeder sollte sich Gedanken machen, wem er sein Geld anvertraut und vor allen Dingen: Welcher Technik genau vertrau ich. Das ist ganz in meinem Sinne und auch im Sinne unseres Forums.

Ich gehe persönlich nicht davon aus, dass wir uns hier große Sicherheitsmankos befürchten müssen.
Datenschutz und alle Fragen darum haben ebenfalls große Aufmerksamkeit, auch wenn es 99,x Prozent der Bevölkerung im täglichen Leben offensichtlich kaum interessiert. Ich bin sehr gespannt, ob wir in 5, 10 Jahren solche Diskussionen noch führen, bzw. führen können oder wollen.

Gruß
Raimund

Zum geplanten Verzicht auf eine PIN-Eingabe:

Heute erreichte mich von der ING-DiBa eine Mitteilung, dass VISA offenbar sogar den umgekehrten Weg geht. Diese Onlinezahlungs-Bestätigung via "Verified by VISA" erforderte ja bisher die Eingabe eines Speziellen Verified-by-VISA-Passworts. Die Erfahrungen damit scheinen nicht so gut gewesen zu sein. Das VbV-PW entfällt zukünftig, stattdessen muß man zukünftig in so einem Fall eine TAN eingeben. Es stand da zwar noch nicht, wo man die herbekommt, aber das ist ja auch egal. Man geht dort also den umgekehrten Weg. Giropay glaubt nicht mal mehr die statische Sicherung zu brauchen, bei VISA ist die statische Sicherung nicht mehr gut genug, man braucht eine dynamische. Mir ist schon klar, daß es bei Giropay nur um kleinere Beträge geht und mit dem VbV mitunter sehr viel größere Beträge bewegt werden. Aber mir geht es um's Prinzip. Wenn die "Lücke" (in meinen Augen ist es das) bei Giropay massenhaft ausgenutzt wird (und bis das ein Trojander tut ist es bestimmt nur eine Frage der Zeit), ist der Schaden auch groß. Klar kann man sagen "trägt ja die Bank". Nur werden diese Beträge sicher nicht von den Vorstandsgehältern abgezogen, es zahlen letztendlich die Bankkunden über erhöhte Gebühren. Und dass das Geld zunehmend über Gebühren kommen muß, erleben wir ja gerade. Wenn wir noch stärker steigende Gebühren als nötig haben werden, nur weil div. Vorstände mal wieder etwas zocken wollen, ich hab da wenig Verständnis dafür.

Na dann haben wir ja schon mal 'nen Businessplan! :bandit: