Hallo Zusammen,

gibt es inzwischen schon technische Lösungen um sich vor Phishing zu schützen? Haben die Banken überhaupt eine Chance etwas gegen diese Phishing - Mails etwas zu unternehmen?? :?:

Hallo Daforce,

wie auch schon an anderer Stelle in diesem Forum zu finden gibt es da keine direkte Möglichkeit. Die Versendung von Massen-Mails und der Aufbau von Seiten, die Bankenhomepages sehr ähnlich sehen und eine anscheinend plausible Adresse haben, ist nicht zu verhindern. Und die Möglichkeit, den Phishern rechtlich vors Knie zu treten greift erst im nachhinnein, wenn das Kind schon im Brunnen ist. Also zu spät.

Letztendlich ist Vorsicht bei allen Beteiligten der beste Schutz. Die Banken informieren ihre Kunden und warnen vor Phishing, die Provider passen auf, was für Seiten ins Netz gelangen und die Kunden werden (hoffentlich) durch die bisherigen News ausreichend sensibilisiert.

Das Thema Phishing ist ja auch nicht neu. Aber zu Zeiten, als "nur" eBay und Konsorten davon heimgesucht wurden, sind die Wellen nicht so hoch geschlagen wie jetzt bei den Banken.

Ich denke, nur im Gesamtpaket und mit Teamwork lässt sich das Thema Phishing in den Griff bekommen. Wenn die Erfolge für die Täter ausbleiben werden sich die Versuche reduzieren. Und dann werden sich findige Spezies wieder was Neues einfallen lassen... soviel ist wohl sicher.

Gruß
Stefan

Eine technische Lösung gibt es durchaus: Wenn eine Hardware als Sicherheitsmedium eingesetzt wird, die von aussen nicht erreicht werden kann, sind Phising-Versuche von vorneherein zum Scheitern verurteilt.

Zur Zeit kenne ich nur die HBCI-Chipkarte als Sicherungsmedium, die diese Kriterien erfüllt.

Denkbar wären meines Erachtens aber auch z.B. einfachere und preiswerte Dongle-Lösungen, mit der Bank die Datenübertragungen sichern könnten, dann könnte man aber auch nicht auf die doch recht lästigen TANs verzichten.

Gruß
Raimund

Sind wir mal ehrlich, jeder kennt auf Mallorca die Nelkenfrauen, in Frankreich und auch sonst wo die netten Hütchenspieler. Und hier bei uns den Vorwerkverkäufer an der Tür.

Wer auf diese einfachen Maschen wie auch bei Phishing hereinfällt, ist selbst schuld. Ein gewisses Maß an Misstrauen sollte jeder an den Tag legen.
Und bevor ich im Internet auf ne Mail antworte oder da was drin anklicke, mach ich mir doch einige Gedanken dazu.

Sich URLs von Banken zu sichern ist eines, aber in ner HTML Mail kann drinstehen www.sparkasse.de oder www.volksbank.de aber in echt leitet er dann auf nen gehackten Server in irgendeinem Ugga Agga Staat um.

Mein Tip:
HBCI-Chipkarte einsetzen
Emails nur noch im Text-Format lesen
Nicht allen Scheiss glauben, der so im Netz veröffentlicht wird

Das läuft aber auch nur solange, wie bei den Phishings nach PIN/TAN gefragt wird. Wer hindert einen Phisher daran nicht künftig mails zu verschicken in denen der Kunde "von seiner Bank" aufgefordert wird, das beiliegende Progrämmchen zu installieren, seine HBCI Karte einzustecken und die PIN einzugeben? Prinzipiell nichts anderes.

Phishing ist social engeneering. Da wirds nie ne technische Lösung gegen geben. Da hilft nur eins: "Holzauge sei wachsam!"

Also das Phishing zu verhindern ist nicht möglich, allein durch neue Sicherheitsmedien und -verfahren könnte man es unterbinden.

Das Problem beim Phishing von PIN/TAN ist eigentlich ja, dass der Kunde der einzige Datengeber ist. Würde man das auf KI und Kunde verteilen würde Phishing so nicht mehr funktionieren...

Es gibt ja schon einige TAN-Generatoren, aber die sind eigentlich ja auch nur Datengeber... Würde das KI zum Beispiel einen Wert zur TAN-Erstellung dazugeben (ähnlich z.B. diesen Grafik-Sicherheitsabfragen), könnte man eine TAN aus diesem Wert, der EU und zum Beispiel Zeit errechnen. Wird die Seite mit der TAN-Eingabe neu aufgerufen, wird vom KI ein anderer Wert zur TAN-Berechnung ausgegeben. So haben ausgespähte TAN-Nummern ihren Sinn verloren...

Oder was meint ihr?

Das ist mal nen guter Vorschlag, wird aber bestimmt nicht zeitnah realisiert werden können

Hallo,


sehe ich eher nicht so:
1. Woher hat der Kunde eine EU?
2. Wie (und wo) wird diese gespeichert?
3. Was hindert den Phisher daran, statt der TAN jetzt die EU abzufragen?
4. Wie soll der Kunde das Verfahren noch verstehen?

Speziell 4. ist doch einer der Hauptgründe, warum sich PIN/TAN so hartnäckig halten und - das IMHO hochüberlegene - HBCI sich nicht durchsetzt.
Okay, mit PIN/TAN kann man theoretisch auch im Internet-Cafe tätig werden, aber _ich_ würde das sicher nicht tun... (Stichworte: Browser-Cache, SwapFile, nicht zu vergessen der Hauptspeicher selbst).
Es gibt viele Möglichkeiten, wie ein nachfolgender Nutzer an sensible Daten kommen kann...

CMIIW
Bratwurst

Es gibt kartenungebundene TAN-Generatoren

Gründe sind eher die benötigte Hardware und die meist fehlende Unterstützung der WEB-Auftritte, denn nicht jeder möchte unbedingt mit einer HBCI-fähigen Software arbeiten. Dazu kommt, das aus einem Standart-Sicherheitsmedium ein standartisiertes Übertragungsprotokoll geworden ist und in bezug auf das Sicherheitsmedium keine Einheit mehr vorhanden ist...

Mit einem Verfahren, bei dem nicht ausschließlich der Kunde Daten gibt, kann man Phishing, gefakte Bankenauftritte und das Kapern von Domains sinnlos machen, denn die TAN wäre immer nur für den Moment und den PC gültig.

Der Hacker oder Cracker müsste ja dann den gesamten Auftrag und eine Software fälschen oder ggf. die richtige Software erraten und entsprechend patchen. Ich denke mal laut weiter: Hm, eigentlich keine schlechte Idee, dafür eignet sich ja unser Forum hervorragend.
Das ist allerdings recht viel Aufwand.

Aber daraus ergibt sich für mich eine Frage: Setzen die aktuellen Softwareprogramme eigentlich Prüfsummen ein, um vor solchen Manipulationen geschützt zu sein?

etwas nachdenklich:
Raimund

Ja, so einen TAN-Generator der nur zeitlich begrenzte Schlüssel erstellt gibt es. Man nennt das ganze Ding dan Token. Wir teilweise in der Schweiz und sonst gerne von Geheimdiensten eingesetzt.

Im Generator sitzt ein Schlüssel der beiden Seiten bekannt ist. Bei der Erstellung des Tokens (oder auch TAN bzw. EU) wird zusätzlich eine Zeitkomponente in die Berechnung mit einbezogen. Die Token können daher verfallen.

Das die Token verfallen ist ja kein Problem, der schweizer Token hat ne Lebensdauer von 3-5 Jahren, wenn ich mich recht erinner. Letztes Jahr auf der Cebit wurde der Token vorgestellt, aber leider wohl nicht für dt. Ki`s umgesetzt. Dort müßte ja eigentlich nur noch eine Eingabemöglichkeit für Daten vom KI geschaffen werden. Dieser Schlüssel des KI könnte z.B. 6stellig sein und sich aus der Session-Id und der Uhrzeit ergeben. So würde es auch jede Min eine neue TAN geben.

Den kartenbasierenden TAN-Generator sehe ich nur als kurzlebige Zwischenlösung, da das eigentliche Ziel doch die digitale Signatur ist.

Eine andere Möglichkeit wäre eventuell auch die "mobile TAN" als SMS, die vom KI verschickt wird und nur für meine aktuelle Session gültig ist.

Weiter würde ich es begrüßen, mich beim Browserbanking nicht mit meiner Kontonr einzuloggen, sondern einem Benutzernamen oder Kundennummer, damit andere einen nicht mit falschen PIN-Eingaben ärgern können.

Mit Token meinte ich eigentlich nicht das Gerät an sich, sondern die erzeugte Unterschrift...das ist im eigentlich Sinne der Token. Das Gerät ist der Token Generator. Tatsächlich verfallen die generieten Token nach kurzer Zeit (<1h)



Das System haben wir. Der Kunde kann seinen sogenannten Anmeldenamen selber festlegen.



Die mobile TAN per SMS hatten wir 2001 mal, wenn ich mich recht erinnere. Das System lief einwandfrei, wurde jedoch mit Endkunden nicht umgesetzt. Dazu sind die Preise für SMS einfach zu hoch.

Habs jetzt wieder gefunden... RSA SecurID nennen die das... Hier findet man mehr

Das "Ding" gibt jede Minute eine neue TAN aus die +/- 2 Minuten nach Erstellung gültig ist. Allerdings ist so eine TAN immer noch 5 Min gültig und ein schneller Phisher kann noch immer mit den Daten arbeiten...



Hm, da sollte sich bei entsprechender Abnahme doch was im 7 Cent bereich machen lassen oder? Wenn ich dann rechne 76 TANs * 0,07 € = 5,32 € und man bei einem normalen TAN-Verzeichnis von Kosten von knapp 5 € ausgeht, tut sich das ja nicht wirklich was.

Wir arbeiten mit 100er TAN Listen und noch in diesem Jahr kosten uns die Listen incl. Versand (zentral durch RZ) unter dem Wert einer passenden Briefmarke die wird aufdrucken würden.
Für uns würde sich das sicher nicht rechnen.

Was die Listen derzeit kosten weiss ich nicht, aber auch da würde ich eher von 1,50 maximal ausgehen. Das Durschlagpapier ist recht teuer, Versand ist Standardbrief unter 20gr. und die Kosten für die Arbeitszeit im Druckzentrum bei uns fallen sowieso an.

Denke auch, dass ein TAN-Generator kein Allheilmittel gegen Phishing ist. Ausserdem sind die Dinger ziemlich teuer und beim Thema Kostenweitergabe sind ja unsere Onlinenutzer ziemlich dünnhäutig (siehe HBCI-Chipkarte).

Haben mal ausgerechnet, dass eine Papier-TAN-Liste, die jedes Jahr verschickt wird bei weitem billiger ist, als ein TAN-Generator, der drei bis fünf Jahr hält.

Wäre gut, wenn man lieber das Weiterentwicklungspotenzial in innovative Sicherheitsmedien (z.B. digitale Signaturkarte) steckt.

Gruß Mike

Klar hilft der TAN-Generator wie er jetzt existiert nicht wirklich gegen Phishing, es kommt eben darauf an wie die TAN ermittelt wird.

Das Problem der momentanen Sicherheitsmedien ist, das keine Daten des KI`s mit einfließen.

Hätte ich bei PIN/TAN eine TAN die nur für meine Session gültig ist, könnte niemand was mit der PIN und TAN anfangen, oder sehe ich das falsch?

Die digitale Signatur ist eine schöne Sache vor allem durch die weiteren Nutzungsmöglichkeiten, aber leider wird auch hier Hardware benötigt.

Hallo zusammen,

das mit dem TAN-Generator finde ich gar nicht mal so schlecht. Wenn ich mir eine TAN generiere, dann sind alle vorhergehenden TANs wertlos. Also wenn ich auf Nummer sicher gehen möchte, dann gebe ich halt eine TAN an, danach erstelle ich mir nochmals eine TAN. Wenn die TAN also an einen falschen geht, dann ist sie nicht mehr zu gebrauchen.

EBL-Man

Nicht ganz.
Die 'übersprungenen' TANs werden erst dann ungültig, wenn du die neueste erfolgreich eingesetzt hast.

Du müsstest also eine TAN für die Phishing mail generieren, und direkt im Anschluß eine weitere TAN im Internet VERBRAUCHEN! Also z.B. ne Überweisung tätigen oder was sonst noch so ne TAN kostet. Dann wäre die TAN des Phishers wertlos weil ungültig geworden.

Zusätzlich gibts aber ja noch eine zeitlich begrenzte Gültigkeit, zumindest bei dem "Schweizer System", so dass ein TAN spätestens nach 5 Min ungültig ist.

Eigentlich ist der TAN-Generator doch nur wie eine symmetrische Verschlüsselung bei dem es einen festen Schlüssel gibt, der zusammen mit der Zeit die aktuell gültige TAN ergibt.