HBCI per Chikarte auch gegen Trojaner sicher?

Hi Abi,

zuerst: Du machst beim Webbanking kein HBCI, sondern nutzt eine Chipkarte mit elektronsicher Signatur zum Unterschreiben.

Die Chipkarte selber ist sicher gegen Trojaner, was nicht sicher ist, ist dein Browser. Da kann Dir sehr wohl eine Zahlung untergeschoben werden, ohne dass Du dies bemerkst. Die unterschreibst Du ironischer Weise dann -Trojaner sicher- mit der Chipkarte.

Wenn Du beim Webbanking sicher vor Manipulationen sein möchtest und eine Chipkarte verwenden möchtest, geht das nur mit einem SECODER, der auch von deiner Bank dann als solcher unterstützt werden muss. Dies ist aktuell nur bei den Volksbanken und Raiffeisenbanken am Rechenzentrum GAD der Fall.
Ansonsten ist die mobile TAN sicher, Sm@rt TAN plus und andere Verfahren, bei der Du unabhängig von dem, was Du im Browser siehst, kontrollieren kannst, was Du unterschreibst!

Gruß

Holger

Hallo Abi,

wenn du mit einem TAN-Generator basierten Verfahren oder der mobilen TAN arbeitest, ist eben der Vorteil das bestimmte Daten auf einem unabhängigen und vom eigentlichen PC losgelösten Zweitgerät dargestellt werden. In der SMS sind z.B. der Betrag und gewissen Empfängerangaben dargestellt, ähnlich bei einem TAN-Generator basierten Verfahren. Wer an der Stelle fahrlässig handelt weil er eben nicht nachguckt dem ist wohl generell nicht mehr zu helfen.

Das System HBCI mit Chipkarte ist zwar auch sicher, hat aber derzeit keinen unabhängigen Darstellungskanal. Letztlich signiert man blind. Das dürfte ebenfalls auf die Signaturlösung der Deuba zutreffen, nur das hier zudem mit dem Browser gearbeitet wird. Ich kenne das Verfahren aber nicht im Detail. Es gibt allerdings Chipkartensysteme in Verbindung mit Internet-Banking Lösungen die auch eine unabhängige Darstellung auf einem zweiten Weg erlauben. Entweder im Chipkartenleser selbst oder einer gesonderten Software (Plugin), in der die Signatur dann erfolgt. So richtig verbreitet ist das aber nicht....

Hallo Abi,

es wird nicht die eigentliche Transaktion, oder die Chipkarte angegriffen.
Zur Verdeutlichung:

Du öffnest die Webseite deiner Bank. In dem Moment, wenn Du die Überweisung eingeben möchtest, schiebt der Trojaner die eine andere Eingabemaske drüber, die Du füllst. Im Hinterrgund füllt der Trojaner dann die echte Maske mit seinen Daten aus, während Du immer noch glaubst, dass Du die Maske der Bank ausfüllst. Hierbei ist die Verbindung zur Bank nach wie vor sicher! Wenn Du jetzt mit der Chipkarte unterschreibst, glaubst Du, dass Du die Daten untreschreibts, die Du eingegeben hast. In wirklichkeit unterschreibst Du natürlich die Daten des echten Internetbankings, da sich in die eigentliche Signatur in der Tat niemand so einfach einhacken kann! Nur diese sind eben die Daten des Angreifers. Da Du keine Möglichkeit hast zu erkennen, dass deine Anzeige am Bildschirm manipuliert wurde, ist dieser Angriff auch bei einer Chipkarte möglich (dieses Szenario ist keine Utopie, sie läuft in aktuellen Angriffen gegen die indizierte TAN genau so). Erst wenn Du eben die Möglichkeit hast, die Daten die Unterschrieben werden gesichert zu kontrollieren, ist ein Verfahren sicher, völlig unabhängig davon, ob es ein TAN Verfahren oder ein verfahren mit Chipkarte ist. Daher sind eben die TAN Generatoren, bei denen Du Details deines Auftrags eintippen mußt, die mobile TAN, bei der Du Daten zu deinem Auftrag über einen zweiten Weg erhälst und die Chipkarte mit dem SECODER sicher. Alle Verfahren, die dies nicht bieten, sind zumindestens durch die Manipulation der Anzeige angreifbar!

Gruß

Holger

Hallo,



die macht schon Sinn. Durch die Zertifikatsprüfung lassen sich zwar nicht alle Angriffe (der oben skizzierte vermutlich nicht) entdecken, aber z.B. Angriffe durch Pharming / Manipulation der hosts-Datei. u.a. fliegen so auf.



Zum einen ist HBCI mit Chipkarte und Klasse-2-Lesegerät und Banking-Software wesentlich schwerer und aufwendiger anzugreifen als simples Browserbanking mit Einschritt-TAN-Verfahren (klassisches PIN/TAN-Verfahren, SmartTAN).

Da HBCI-Chipkarte auch nicht so weit verbreitet ist, gibt es auch wesentlich weniger potentielle Angriffsziele, es ist also weniger interessant für Angreifer.

Daher macht es nach wie vor Sinn, HBCI mit Chipkarte und Klasse-2-Lesegerät zu empfehlen und einzusetzen.



Solange Du Dir keinen Trojaner eingefangen hast, der so clever ist, nicht nur die Überweisung zu manipulieren, sondern auch gleich noch die Umsatzanzeige, ist das schon sinnvoll.



So waren die "alten" Trojaner. Aber die Ganoven sind erfinderisch und entwickeln sich und ihre Schadsoftware immer weiter...



Solange Du nur Einzelaufträge hast (keine fetten Sammelüberweisungen), wo eine Auftragskontrolle sinnvoll durch Prüfen der in der SMS zusammen mit der TAN übermittelten Auftragsdaten vom Benutzer durchgeführt wird, bietet die smsTAN, mTAN oder wie auch immer sie dann bei der jeweiligen Bank heißt, tatsächlich ein gutes Sicherheitsniveau, da - wie meine Vorredner schon schrieben - eventuelle Manopulationen von Benutzer erkannt werden können.



Solange die Banken die SMS-Kosten nicht weiterberechnen: Ja. Und selbst wenn sie es täten, wären es nur ein paar Cent.

Zusammengefasst: Es gibt keine 100%ige Sicherheit, weder beim Online-Banking, noch anderswo. Egal, welches Verfahren Du nutzt, das A und O ist es, seinen Computer frei von Viren, Trojanern und anderer Schadsoftware zu halten. Wenn einem das gelingt, ist das eingesetzte Banking-Verfahren nahezu Wurscht.

Otto

Hallo Abi,

zu Deinen Fragen haben dier Kollegen schon ausfürlichst geantwortet.


Allerdings habe ich eine Frage an Dich:

Warum behälst Du nicht das Konto bei der Frankfurter Volksbank? Es gibt viele Kunden, die trotz Umzug die gewohnte Bankverbindung behalten.

Gerade in Verbindung mit dem OnlineBanking bist Du heute nicht an die oder eine örtliche Bank angewiesen. Denk mal an all die eingeschliffenen Dinge im Zahlungsverkehr wie Lastschriften von Versicherungen, Vereine, Verbände, Daueraufträge und und und. Die Umstellungsaufgaben/-arbeiten kannst Du Dir (fast) alle ersparen.
Im Übrigen gibt es an Deinem neuen Wohnort sicherlich auch eine genossenschaftliche Bank. Die unterstützen selbige/bekannte Verfahren und sind auch mit einem Umzugsservice gerne unterstützend dabei. Zusätzlich mußt Du Dich bei den Online-Masken und Abläufen nicht sehr von Deinen Gewohnheiten lösen und umstellen.

Hast Du darüber auch schon einmal nachgedacht?





Übrigens, selbiges gilt natürlich auch für die anderen Bankengruppen und Sparkassen.

Wenn Jülich bei Aachen gemeint ist, gibt es dort sehr wohl eine Genosschenschaftsbank - wie eigentlich überall..

Was meinst du mit nicht kostenfrei abheben? Ich denke doch sehr wohl das die VR-Banken einen GA-Verbund ähnlich der Sparkassen betreiben, wo jeder Kunden einer anderen Bank aus der gleichen Gruppe kostenlos abheben kann. Cash Group und Konsorten sind ja gut und schön, aber die Abdeckung wie Sparkassen und VR-Banken schafft niemand sonst...

Die Aachener VB hängt allerdings an einem anderen Rechenzentrum als die Frankfurter VB. Nen bisschen anders sieht es aus, aber ohne jemandem auf den Schlips treten zu wollen sind die rein technische E-Banking Möglichkeiten dort auch besser.

Um auf die andere Frage zurückzukommen: sämtliche Antworten auf deine Fragen stammten bisher von Bankern, die alle sehr nah mit dem E-Banking zu tun haben.

Hallo an Alle!

@Captain FRAG:
mit kostenfrei abheben meine ich die zusätzliche 5 Euro Gebühr am Geldautomaten, weil meine FVB dort nicht dazu gehört. In Jülich selbst gibt es fast an jeder Ecke eine Dresdner, Commerz, Post- oder Deutsche Bank.

@Raimund Sichmann:
ich hatte mal so eine ähnliche Liste direkt bei der FVB Webseite gefunden. Da stand ebenfalls keine FVB in Jülich dabei...

Gruß
Abi