'Capital'-Sicherheitstest der Online-Banking-Angebote von 20

Hier eine kleine Vorschau...

http://www.presseportal.de/story.htx?nr=850218

Bin ja mal gespannt, wie die mal wieder zu Ihren Ergebnissen gekommen sind... Hört sich beim Lesen auf jeden Fall wieder genauso oberflächlich an wie die damalige Phishinganalyse vom Fraunhofer Institut. Vor allem wie kommt die Postbank ohne HBCI mit Chipkarte auf Platz 2, wo doch in erster Linie das PIN/TAN Verfahren mal wieder kritisiert wird ?!?! Rätsel über Rätsel

Gruß

Stoney

Hallo,

Heise hat auch einen Artikel dazu: http://www.heise.de/security/news/meldung/53288

sorry, hatte nur ein wenig gegoogelt und nicht aufs Datum geschaut. ops: Heise war aber auch schon schneller, oder?

In der neuen Capital ???
Die hat der Vorstand doch sicher abonniert ...

CU
Frank

So schelcht ist der Artikel gar nicht.

Klar geht er nicht auf jedes Detail ein, z.B. ob man ein Internet-Banking TAN-Verfahren über HBCI wieder umgehen kann. Das geht bei der Vielfalt auch gar nicht.

Das die viertplazierte Berliner Voba allerdings iTAN nutzt bezeifel ich mal. Ich kann bei denen auf den ersten Blick nichts finden. Dafür bietet Köln-Bonn definitiv Chipkarte. Zumindest technisch, vielleicht nicht deutlich genug als Info auf der Webseite...

Das die eTAN schlechter sein soll als die mTAN ist in meinen Augen Blödsinn, die stehen auf einer Stufe.

Mit dem Rest kann ich Leben, sogar an Giropay hat man gedacht. Die Chipkarte wurde als sicherstes Medium dargestellt, aber auch mangels Verbreitung und Kosten nicht "überhyped". Die Notwendigkeit von persönlichen Zertis finde ich gut, die Idee stammt aber wohl schon aus der letzten Studie. Ohne diese wären die persönlichen Zertis heute nicht nahezu Standard.

Erstmal finde ich es sehr lustig, dass die Fraunhofer den Capital-Artikel komplett zum Download anbieten, da brauch man sich wenigstens keine Capital organisieren, womöglich auch noch kaufen.

"Onlinebanker produzieren 75 Prozent weniger Kosten als klassische Filialgänger."
Wie kommt man an solche Zahlen, die soweit an der Realität vorbeigehen oder muß die Beratung Steria Mummert nochmal rechnen üben?

"iTAN bleibt gegen Trojaner aber weit gehend schutzlos."
Aha, was versteht man denn nun alles unter Trojaner? Es ist doch eher so, dass iTAN weitgehend gegen Trojaner sicher ist, denn nur wenn zufällig der Index zu der geloggten iTAN paßt kann was passieren. Alles was in Echtzeit läuft ist dann doch schon wieder mitm und damit würde man auch mTAN aushebeln können.

"Fingerprint prüfen - Er muss sich durch drei Bildschirmfenster mit Computerkauderwelsch kämpfen."
Bei mir sind es nur 2 Fenster und 2 Klicks !?!? und was ist an "Fingerabdrücke" Computerkauderwelsch? Weiter sollte berücksichtigt werden ob Banken Erleichterungen zur Zertifikatsprüfungen anbieten wie Toolbars.

"HBCI - Die Verbindung läuft nicht übers Internet und ist deshalb immun gegen jeglichen Angriff."
Nicht übers Internet? Was ist denn das Internet dann überhaupt noch? Und ein Sicherheitsexperte sollte doch wissen, dass nix gegen jeglichen Angriff immun ist, oder?

"Die HBCI-Hardware kostet rund 100 Euro"
Die müssen gut verdienen, wenn die um über 100% aufrunden. 35,50 EUR - 48,20 EUR für einen Klasse 2 Leser und so sind die Preise doch auch nicht in den letzten 2 Wochen gefallen

"eine freie Wahl zwischen den drei sichersten Verfahren HBCI, mTan und eTan."
Nun reicht es also auch nicht mehr, das sicherste Verfahren anzubieten, sondern dem Anwender wird die Entscheidung noch schwerer gemacht...

"Die Kundenterminals funktionieren rund um die Uhr – und gelten als 100-prozentig sicher."
Und in der nächsten Ausgabe berichten wir, wie unsicher die ec-KArte ist...

Weiter bekommt mTAN die Höchstpunktzahl, obwohl zusätzliche Kosten entstehen ?!?! wofür HBCI Abzug erhält. Weiter sollte berücksichtigt werden, dass die Bedienung eines Handys für viele zu kompliziert ist, wenn es über ein normales Telefonat hinaus geht.

Insgesamt finde ich es schade, dass das Thema mal wieder sehr oberflächlich angegangen wurde. Das ein verständliches Ergebnis rauskommen soll, heißt ja nicht, dass man nicht auch ins Detail gehen kann und weitere Randbedingungen berücksichtig. Zum Beispiel hätten die Diba und Volkswagenbank auch noch einen Abzug für die Nichtunterstützung von Bankingsoftware verdient. Die Email-Signatur zu bewerten ist zwar löblich, aber dann sollte man auch die Fingerprintkommunikation positiv bewerten. Weiter auch noch, wieviel per Email ohne Aufforderung kommunziert wird. Das die Postbank 9 verschiedene SSL-Zertifikate nutzt fand auch keine Bewertung. Weiter fehlt in der Studie eine SI-Sparkasse, die Berliner Volksbank scheint ja ein Eigenanwender zu sein und so auch nicht wirklich repräsentativ...

Ich fand den Artikel überraschend fair und umfassend. Es gab schon lange keinen so ausführlichen Bericht zum Thema, oder?

Mich stört bei dem dauernden Rumreiten auf der Sicherheit des Online-Bankings mehr, dass die einseitige Hochsicherung auf der Bankseite die Sicherheitsprobleme auf dem Rechner des Kunden letztlich nicht löst.

Aber auch hier ist der Artikel so fair und macht darauf aufmerksam, dass die aktive Sicherung des eigenen PCs durchaus im Interesse des Benutzers liegt.

Mit mTAN, eTAN und HBCI kann einem zwar kein Geld mehr geklaut werden aber immer noch alle anderen persönlichen Daten die so auf dem Rechner rumliegen... es gibt ja auch noch eBay, PayPal und Freemailer mit deren Benutzerdaten und Passwörter man ganz tolle Sachen machen kann.

Hallo zusammen,

mich würde mal die vollständige Studie interessieren, da der Capital-Artikel doch einige Frage bezüglich der Bewertung und Punktevergabe offen lässt. Das HBCI mit Chipkarte in der Studie punktemäßig offenbar überhaupt nicht honoriert wurde, ist für mich absolut unverständlich. Im Artikel steht ja "Die HBCI-Hardware kostet rund 100 Euro und ist nicht immer einfach zu installieren. Das Fraunhofer Institut trägt dem Rechnung. „Eine gute Bewertung war in dem Test auch ohne HBCI erreichbar“, erklärt Türpe." Auch interessiert mich, ob dem Umstand Rechung getragen wurde, dass die DeuBa bspw. iTAN nur über die Webseite anbietet aber nicht über "HBCI PIN/TAN".

Das die Berliner Volksbank tatsächlich iTAN anbietet und die SKe Köln-Bonn kein HBCI mit Chipkarte hat mich doch sehr erstaunt. Aber einen Fehler haben die Autoren doch gemacht. Die DreBa unterstützt natürlich HBCI. In der Tabelle ist es nicht mit aufgeführt. Ansonsten sind mir auch von Stoney zitierten Stellen aufgefallen. Insbesondere der, dass HBCI angeblich nicht über das Internet läuft.

Die alte Studie aus dem Jahr 2004 kann übrigens unter http://www.sit.fraunhofer.de/_…studie.htm heruntergeladen werden.

Gruß

Warum sagt ihr alle, daß die SI nicht vertreten ist? Unser großer Nachbar Köln-Bonn ist imho bei der SI. Ihr Internetbanking sieht auch irgendwie ganz genauso aus wir unserer - und der ist auf jeden Fall SI ?
Den Artikel selbst fand ich auch nicht soo schlecht. Man muss für eine Gewichtung irgendwelche Kriterien aufstellen. Solange der Autor (halbwegs) nachvollziehbar erklären kann, warum er etwas so gewichtet wie er es tut finde ich das ok. Natürlich würden wir HBCI-Chip anders bewerten, aber wir haben auch einen anderen Blickwinkel.
Ich seh jeden Abend den Nowitzki für "Deutschlands beste Bank" rumturnen. Ich glaube, eine Umfrage im Starmoney-Forum würde da zu einem anderen Ergebnis kommen ....

CU
Frank

Sorry Cap, hatte heute morgen Tomaten auf den Augen. Du warst auf Seite 2 ...