Horrorszenario:

Programmierer einer Banksoftware können die Zugangscodes der Kunden auslesen; sie haben ja schließlich die Software selbst programmiert und wissen wo und wie die Passwörter auszulesen sind.
Am Tag X werden die Konten aller Kunden, deren Zugangsdaten man auslesen konnte, (bei vielen z.B. steckt die HBCI-Karte ständig im Lesegerät...) leer geräumt und auf die Kaiman-Inseln transferiert. Am selben Tag sitzen diese Programmierer ebenfalls im Flugzeug Richtung Kaimans...

Ist so etwas denkbar, oder gibt es für solche Pläne unüberwindbare Hürden? :shock:

bei open-source Programmen beinhaltet die mögliche Source-Kontrolle schon eine Sicherheit, aber ansonsten hast du Recht.

Natürlich kontrollieren Banken die Qualität der selbst angebotenen Produkte, aber bei "fremden" Programmen entziehen die sich ja ihrer Kontrolle.

Genausowenig kannst du eigentlich sicher sein, dass Windows8 dir nicht eine komplett gefakte Oberfläche unterjubelt.

Wichtig ist deshalb: Setze dich mit den Sicherheitsmöglichkeiten der jeweiligen Verfahren auseinander und verwende ggf. über Zweitwege abgeischerte Techniken.
Das wäre Secoder oder die optische TAN bzw. die mobile TAN (SMS-TAN).

Gruß
Raimund

Wie schon Raimund richtig bemerkte, Reiner-SCT bietet seit dem letzten Firmware und dem Secodermodul folgende Besonderheit:

a) Beim Starten des Systemes darf die Karte nicht eingelegt sein
und
b) Die PIN-Eingabe erfolgt nur über die Tastatur des Kartenlesers.

Damit können wir uns leider weder in Richtung der Caymen Insel verabschieden noch den gleichnamigen Sportwagen beziehen und müssen uns andere Wege überlegen wie wir am Tag X das Geld von den Konten unserer Anwender plündern.

Spass beiseite, daß ist natürlich Nonsens, genauso müsstest du Misstrauen gegenüber Hersteller von Geldautomaten/ EC-Kartenlesegeräten, den ganzen Kreditkartenfirmen, auch Banken...usw. hegen. Man sollte natürlich immer ein gewisses Maß an Misstrauen besitzen, aber man sollte es da auch nicht zu sehr übertreiben, die meisten Firmen auf dem Markt gibt es schon seit Jahren und wir arbeiten alle seriös, das einzige was uns alle interessiert ist ein Produkt zu generieren, mit dem der Anwender seine Finanzen verwalten kann.

Tschüss

Sebastian

Punkt 1: Damit die Programmierer in Zugriff der Daten kommen wäre eine Kommunikation zu einem separaten Server erforderlich.
Soetwas würde spätestens bei Software-Tests diverser Fachzeitschriften auffallen.
Punkt 2: Selbst wenn man zu einem Zeitpunkt X einen verfügbaren Betrag ermittelt hätte müsste man diesen noch transferieren. Dazu benötigt man eine TAN oder bei HBCI-Karte eine PIN (das Steckenlassen ersetzt nicht die Eingabe der PIN da die Verschlüsselung fehlt).
Und die TAN geht entweder an ein registriertes Handy oder wird per TAN-Generator ermittelt.
Dein Szenario ist also so unwahrscheinlich wie der Weltuntergang im Jahre 2012.

du hast eigentlich recht, aber es wäre auch etwas extremer denkbar. Nicht das wir nachher jemanden auf falsche Ideen bringen

Punkt 1
Die Verbindung zum Hersteller fällt ja nicht auf, weil das Programm ja beim Server regelmäßig nach Updates sucht und auch suchen muss. Es wäre sogar denkbar, z.B. den Updateserver durch eine Malware auszutauschen. Ein Grund warum z.B. die Programme inzwischen über gesicherte Server arbeiten und die Updates entsprechend gesichert ablaufen. Trotzdem gehört deswegen das Vertrauen in das Produkt dazu.

Punkt 2: Bei Sicherungstechniken ohne konkreten Auftragsbezug, also z.B. Chipkarte ohne Secoder, iTAN oder Signaturdatei sieht der Auftraggeber ja nicht, was er freigibt. Ein Programm könnte also sicherstellen, dass der Auftraggeber dies erst einmal nicht merkt.

Es ist also tatsächlich eine Vertrauensfrage. Dies fängt aber schon im Betriebssystem an und zieht sich im Grunde genommen durch sämtliche Programme, die auf dem Rechner (und auch Smartphone) im Einsatz sind.

Warum sollte z.B: ein Antivirenhersteller, der eine spezielle Browserabsicherungs für´s Banking anbietet, nicht weltweit am Tag X das Killerupdate einspielen und zuschlagen?

Gruß
Raimund