Banken und Heartbleed

Hat sich schon mal jemand damit befaßt, welche Banken von Heartbleed betroffen sind und ob bzw. wie reagiert wurde? Im Moment ist mir gar nicht wohl dabei, Onlinebanking durchzuführen.

http://www.heise.de/security/m…66861.html

Bedenklich finde ich auch, daß die Domains subsembly.de/.com noch nicht gefixt zu sein scheinen:

http://filippo.io/Heartbleed/#subsembly.com

infoman, völlig richtig. Dennoch sollte man Andreas dazu mal einen Tipp geben. Denn ich vermute, dass er den Server nicht bei sich im Büro stehen hat, also scheint sein Provider vielleicht generell nicht auf Zack zu sein, was aktuelle Patches angeht. Und das fände ich als Kunde auch nicht gut.

Hallo Andreas,

ich will nicht den an die Wand malen, aber was wäre, wenn ein Verbindungsaufbau mit dem Bankserver zu einem :bandit:Server umgeleitet wird (z.B. durch DNS-Manipulation). Dieser Server holt sich dann per Heartbleed 64kB aus meinem Speicher mit Passwörtern/PINs im Klartext.

Wenn so ein Szenario ausgenützt wird (oder schon wurde, ohne dass wir das bemerkt hätten) - dann gut Nacht

Daten sammeln.
Bitte nicht vergessen: Es geht nicht allein darum, Geld zu entwenden, sondern auch Datenschutz ist bei der Kontoführung ein sensibles Thema.
Es ist also nicht verkehrt, dies genau zu beobachten.

Gruß
Raimund

noch nicht (hoffentlich)
Aber fest steht, dass die :bandit: :bandit: alles technisch mögliche tun werden, um unser Geld abzugreifen.
Wir können uns heute kaum vorstellen, was in ein paar Jahren möglich sein wird. Allein die Tatsache, dass sicher immer öfter Tablets benutzt werden, und diese auch immer öfter mit einer SIM ausgestattet werden, macht die mobile TAN angreifbarer.

Und wie Raimund Sichmann schrieb: Daten!
Wenn ein :bandit: beispielsweise sieht, dass jemand richtig viel Geld auf dem Konto hat, und gleichzeitig weiß, welche Konten wir haben und welches Banking-Programm wir benutzen, könnte er uns perfekt angepasste Phishing-Mails schicken, mit Anrede, Kontonummer, vielleicht sogar noch Kontstand usw usf., worauf sicher viel mehr Leute reinfallen würden..

Oder noch viel gefährlicher: du bekommst einen Brief deiner Bank, worin sie ankündigt, dass morgen zwei Mitarbeiter vorbeikommen, um deine Sicherheitsprobleme zu lösen.. nicht auszudenken, wie viele Leute die Gangster dann in ihre Wohnung lassen..

Also um aufs Thema zurückzukommen: Heartbleed ist sicher auch für Clients ein Thema.

rechtlich gesehen handelt es sich bei giropay und die alternativen Anbieter um GmbHs, der einzige Unterschied sind die Gesellschafter.

Banken sind keine Wohlfahrtsverbände - man kann gespannt sein, wo die "Reise" hingeht - BigData usw. http://www.borncity.com/blog/2…nt-page-1/

Das ist ziemlich wurscht. Der große Unterschied ist, dass man bei giropay NICHT irgendwelche PIN und TAN an einen fremden Anbieter rausgibt, der diese dann auf dem Bankrechner benutzt. Bei giropay wird man von der Verkäuferseite auf den BANKRECHNER verzweigt, meldet sich auf dem BANKRECHNER selber an und gibt auf dem BANKRECHNER die Transaktion selber frei. Danach meldet der BANKRECHNER den Transaktionspartnern die geglückte Transaktion (oder eben nicht gegglückt). Deswegen kann man giropay auch nur bei Banken nutzen, die daran teilnehmen und ihre EDV entsprechend ausgerüstet habe...

Ja sicher sind die das. Es wurde brieflich (via Postbox, alles kommt via Postbox) mitgeteilt, dass man sich freut, einen neuen Kooperationspartner zu haben, nämlich eben sofortueberweisung.de, dass man den Segen hat, dort seine Zugangsdaten einzugeben, dass eine existierende Garantie für eventuelle Schäden auch dann gilt, wenn man sofortueberweisung.de benutzt und dass die AGB entsprechend geändert wurden. Weiterhin bekam man die neuen AGB in einer Version, in der die Änderungen kenntlich gemacht waren.

Hmm. Ich finde in meiner entsprechenden Ablage auch nichts. Aber ich erinnere mich wieder: Das kam nicht per Postbox sondern über diese öfter mal genutzte Info-Box, die im Webbanking dann oberhalb des Finanzstatus kommt. Dort wurden die neuen AGB angekündigt mit Link auf die PDFs. Wann genau das war kann ich nicht mehr sagen. Jedenfalls in 2013.