SMS-TAN geknackt - was kommt als nächstes?

Alles sehr schwierig heutzutage.
Sobald es einen Trojaner für eine Software gibt, der einfach im Ausgangskorb in der Software Datenbank die Aufträge manipuliert haben wir die nächste Dimension erreicht.
Das ist ein weites Feld würde T. Fontante vielleicht sagen

Erstmal danke für eure Antworten - und sorry wegen des provokativen Titels! Es ist schon richtig - die SMS-TAN ist genausowenig geknackt, wie das iTAN-Verfahren. Aber bei letzterem findet man leider genügend gutgläubige User, die 10 oder mehr TANs auf Anforderung eingeben. Oder den Usern wird vorgegaukelt, der Zugang sei gesperrt und sie müssten diesen mit der TAN Nr. xyz wieder freischalten. Derweilen wird damit eine Überweisung getätigt....

Ich gebe Holger völlig recht, wenn er schreibt, dass hier erstmal Tests laufen. Aber würde jemand, der viele iTANs in ein Fenster reintippt nicht auch glauben, dass an seinem Handy was aktualisiert werden muss, damit SMS-TAN weiterhin funktioniert? Dass die Tage der SMS-TAN gezählt sind, kann ich nur unterstreichen!

Bei der HBCI-Diskette habe ich aber größere Bedenken. Ich glaube, es ist völlig egal, mit welcher Software ein User sein Homebanking macht. "Mein Trojaner" würde bei jeder eingelegten Diskette oder jedem angeschlossenen USB-Stick nach Dateien suchen mit der Endung .key oder .rdh oder wie auch immer die üblicherweise heissen. Jetzt brauche ich noch die passende PIN. Das sollte über einen Keylogger möglich sein. Vielleicht lese ich noch aus, welche Banking-Software der User nutzt, damit ich für seine Daten möglichst auch die gleiche verwende. Wenn ich hier ins Forum gucke, sind das ja nicht so viele. Und dann habe ich vollen Zugriff aufs Konto wann immer ich will.

Oder habe ich einen Denkfehler??

THX

Stefan

Sorry aber das ist seit sehr sehr langer Zeit die dümmste Aussage, die ich hier gelesen habe.
Der Rest deines Beitrags übrigens ebenfalls und zwar komplett, wollte hier nur nicht zuviel dummes Zeugs zitieren.

Bevor du weiter hier solch einen Unsinn verbreitest solltest du dir erst einmal einiges anlesen! Das empfehle ich DRINGEND!
Dies hier ist ein Fachforum und keine Plattform für Selbstdarstellung.

Also zum einen stimme ich mit dir völlig überein, dass wir in Deutschland dem Endkunden zuviel Verantwortung abnehmen. Es wird zuviel auf die Banken verschoben. Damit wird wieder einmal dort Verantwortung weg genommen, wo sie eigentlich ganz gut aufgehoben wäre, um der tendenziell abnehmenden Verantwortung für sein eigenes Handeln nicht weiter Vorschub zu leisten.
Soweit volle Zustimmung.

Aber du kannst nicht allen Ernstes die TAN-Liste als das sicherste Verfahren bezeichnen? Den vorsichtigsten Menschen kann einmal ein Man-in-the-middle-Trojaner unterfleuchen, sie müssen nicht einmal selbst Schuld daran sein. Eine 4köpfige Familie kann doch nicht ernsthaft mehrere PC's kaufen, nur damit einer davon ja nicht durch ungeschickte Kinderhände versehentlich verseucht werden kann.
Dann sollte das Verfahren doch wenigstens dem Benutzer die Möglichkeit bieten, eine Manipulation des Auftrags vor Unterschrift zu erkennen, oder? Und das sehe ich mit chipTAN und smsTAN definitiv gegeben und mit TAN-Liste nicht.

Und falls du das nicht weißt: Derzeit blocken die Onlinebanking-Apps alle Transaktionen beim smsTAN Verfahren. Damit ist es derzeit rein theoretisch also nicht möglich, am selben Gerät einen Auftrag zu erfassen und die TAN zu empfangen.

Ich korrigier den Passus, ich sehe in der Tat ich habe "sicherste" geschrieben.

Mea Culpa.

Wie Du bereits erwähnt hast, es gibt kein 100% sicheres System und ich wage ebenfalls zu bezweifeln, dass wir dieses in naher Zukunft in irgendeinem IT Bereich sehen werden.

Ich stimme Dir zu, auf den Benutzer muss eingewirkt werden und auch Angriffe müssen schnell und wirksam bekämpft werden. Ganz klar. Aber gerade dieses "Einwirken" auf den Benutzer in der deutschen Landschaft ist richtig, richtig schwierig.

Da sind wir im Ausland etwas besser daran, da hier seitens der Arbeitgeber auf die Nutzer eingewirkt wird und diese nun einmal aufpassen müssen, was sie an Ihrem Arbeitsplatz mit ihren Rechnern machen. Das ist eine relativ gute Sache, auch wenn mancher Datenschutzbeauftragte in Deutschland eventuell darüber die Hände über den Kopf schlagen würde. Es hat aber zur Folge, dass diese Personen auch auf ihren privaten Systemen mehr Sorge walten lassen.

Bildungssytem .... grosses Thema ! Tja die Zeiten sind vorbei der Generationen aus den 70ern und 80ern die ihre Systeme noch selbst zusammengebaut haben und wissen wollten, was dieses neue Betriebssystem denn nun alles lädt und warum und was passiert wenn man das und dies macht.

Heute muss das SETUP durchlaufen, einschalten und geht. Warum und wie, ist egal. Die Informatiker die heutzutage teilweise aus der Universität kommen, die verzweifeln schon daran eine Windows Registry zu lesen. Da kenne ich manche Bankberater die über Wissen verfügen, das so manchen Netzwerkadministrator eines DAX Unternehmens dumm aus der Wäsche schauen lässt.

Ich persönlich finde, wenn natürlich auch nicht 100% sicher, zum Beispiel das Verfahren der Prüfsumme ganz nett, welches zum Beispiel u.a. von der Postfinance Schweiz benutzt wird. Die schicken Dir einen VASCO Generator zu, der anhand der Postfinance Smartkarte ( und dessen Chip ) eine Nummer generiert, die Du dann für die Onlinesitzung eingeben musst.

Ist das sogenannte Digipass System. Das ist aber auch für die Onlinesitzung gedacht, welches natürlich kein Offlinebanking erlaubt wobei man seine Aufträge dann, einmal erfasst, online über die Leitung sendet.

Die HSBC Bank hier in Panama zum Beispiel hat diverse Systeme im Einsatz, liegt aber auch einfach daran, dass das Klientel international ist. Hier wird ganz klar mit elektronischen Unterschriften gearbeitet, die auf Keykarten und speziellen USB Sticks liegen + Zugang aus generiertem Digipass nach Eingabe der Kartenpin.

Unter dem Strich kann man sagen, weil man es einfach gewohnt ist das "was wäre wenn" Denken zu benutzen: es gibt auch dann Angriffsflächen um diese Verfahren auszuhebeln und/oder zu unterwandern.

Ich weiss, dass VASCO vor ca. 3 Jahren einen Fingerprint Abtaster im Test hatte. Wenn man diesen mit einem temporär aus Welt-Uhrzeit und Datum errechneten Schlüssel versehen würde, denke ich, wir könnten einen sehr sicheren Hafen ansteuern, der natürlich mit einem tiefen Algo-Schlüssel versehen sein müsste.

100 % sicher gibt es nicht, ich will auch nicht schreiben "noch nicht", da nach 40 Jahren IT es bis dato nicht erreicht wurde und solange wir "Menschen" diese Systeme audenken und realisieren, werden diese 100 % vermutlich auch nicht erreicht werden, lasse mich aber zu gerne, insbesondere in diesem Aspekt, eines Besseren belehren

In diesem Sinne TGIF ! Ein schönes Wochenende und nochmal Danke an Michael. Das war ein dicker Patzer mit dem "sichersten System" meinerseits

Das unterschreibe ich

Daran sieht man wieder, wie unterschiedlich es läuft. Sogar die offensichtlichsten Verstöße gegen Bedingungen und Fahrlässigkeiten werden unterstützt. Kann man mal wieder nur hoffen, dass die Nutzer schlau genug sind, das nicht zu machen, sind wir wieder beim Bildungsthema

In Details bin ich anderer Meinung.
Die TAN Liste lässt sich einfacher unbemerkt kopieren/fotografieren, was ich für einen wesentlichen Nachteil halte.
Das ist nicht nur bei TAN-Bögen ein Nachteil:
http://www.sjmp.de/security/sc…en-lassen/

Außerdem verführt die einfache Handhabung den Nutzer sogar dazu, die Bögen zu kopieren. Ich kenne leider viele Leute, die eine kopierte oder abgetippte Liste mit in Urlaub nehmen oder dem Buchhalter in die Hand drücken oder ähnliches.

Wenn wir übrigens schon böse Haarspalterei betreiben, was angegriffen wird: Der User wird nicht angegriffen - nur sein Konto :twisted:
Oder: Das Geld ist ja nicht weg - es ist nur woanders.:twisted:

Da wir diese bereits 1000fach belabert haben: Können wir uns wenigstens darauf einigen, dass ein Verfahren als unsicher einzustufen ist, wenn ein nach heutigem Stand normal intelligenter Internet-User mit zumutbaren Mitteln keine Chance hat, einen Betrugsversuch zu erkennen?

Es bleibt damit meiner Meinung nach nur die Diskussion über:
Was sind:
der heutige Stand?
ein normal intelligenter User?
zumutbare Mittel?

Gruß
Raimund