Auf Heise ist der Artikel zu finden:

http://www.heise.de/newsticker/meldung/53288

und der Original-Bericht des Fraunhofer-Instituts

http://www.sit.fraunhofer.de/german/hps1/phishing.pdf

Vor allem ist interessant nach welchen Kriterien dort gemessen wurde... Einzig die Aussage "für das im HBCI-Standard eingeführte aber unsichere PIN/TAN-Verfahren" stieß mir übel auf

Gedanke gut,

aber der Test ist auf den ersten Blick unvollständig und inhaltlich fehlerhaft.

-DB hat kein HBCI-PIN/TAN
-Einserseits wird angekreidet, dass aus der URL des RZ kein Rückschluss auf die Bank möglich ist, an anderer Stelle ist das wieder nicht so schlimm.
-Die Auswahl der Banken ist viel zu klein, wenn müsste man eine umfassendere Untersuchung durchführen. Direktbanken gibt es noch einige mehr und aus dem Sparkassen und Geno-Sektor hätte man wenigstens ein Institut je RZ verwenden können.

Dem Fraunhofer Institut fehlen zudem viel zu viele Hintergrund Infos, in unserem Bereich werden bei kleinstem Phishing Verdacht sehr konkrete Handlungen vollzogen, z.B. IBANs als ZV Empfänger gesperrt, ganze Länder als ZV-Empfänger ausgeschlossen, Login über Kontonummer führt ins Leere...

Full ACK


Ebenso full ACK

Ich denke auch, dass die Idee wirklich gut ist, ebenso halte ich auch einige der Hinweise am Ende für durchaus richtig, aber die Durchführung, die Bewertungskriterien (es ist also ein Sicherheitsnachteil, wenn eine Bank nur HBCI mit Chipkarte anbietet???) und auch das abschließende Ranking sind sicher diskussionswürdig...

Gruß
BW

Die in der Studie angegebene HBCI Unterstützung stimmt hinten und vorn nicht... Ich gehe mal davon aus, dass der Punkt "HBCI wird unterstützt" ausschließlich das Verfahren "HBCI mit Chipkarte/Diskette" einschließt, da sonst Institute die nur "HBCI mit PIN/TAN" anbieten doppelt bewertet würden! Diese Institute erhalten schließlich schon einen Punkt bei "PIN/TAN wird unterstützt". Andersrum würde bspw. die CoBa benachteiligt, da diese ausschließlich signaturgestütztes HBCI anbietet. Das ist doch paradox...

Deutsche Bank:
unterstützt kein "HBCI PIN/TAN"
das PIN/TAN Verfahren kann jedoch (noch bis Jahresende) mit einer Onlinebanking Software per T-Online Classic (BTX) genutzt werden

Postbank:
das PIN/TAN Verfahren kann mit einer Onlinebanking Software per T-Online Classic (BTX) genutzt werden. "HBCI PIN/TAN" ist für Anfang 2005 geplant.

Commerzbank:
Unterstützt auch HBCI mit Diskette. In der Studie wird dies mit dem Wort "vermutlich nur Chipkarte" verneint.

Dresdner Bank:
siehe Commerzbank

Netbank:
unterstützt ausschließlich "HBCI PIN/TAN" - jedoch nicht signaturgestütztes HBCI

Volksbank Darmstadt:
unterstützt (noch) kein "HBCI PIN/TAN"
das PIN/TAN Verfahren kann jedoch mit einer Onlinebanking Software per T-Online Classic (BTX) / CAT Client genutzt werden

Sparda-Bank Hamburg:
siehe Netbank

Im Heise-Forum treibt sich übrigens ein "Sven Türpe" herum, der wohl maßgeblich an der Studie beteiligt war

Bei seinen Beiträgen findet man noch einige Begründungen, warum was wie oder auch gar nicht berücksichtigt wurde

Zum Beispiel wurde nicht die Internetanwendung an sich getestet, sondern lediglich der Internetauftritt an sich bis zur Login-Seite. Interne Sicherheitsmechanisnen sind daher auch unberücktsichtigt geblieben...

Insgesamt ist der Ansatz nicht schlecht, aber leider die Studie nicht wirklich komplett. Negativ finde ich auch, dass bei Sparkassen und Volksbanken nur ein Institut getestet wurden und ein geringeres Risiko für diese Bankengruppe aufgrund der individualisierten Auftritte nicht berücksichtigt wurde.

Finde die Studie auch etwas kurzgefaßt. Sicher sind einige Hinweise ganz gut, aber an folgenden Sachverhalten krankt die Studie:

1. Der Einsatz einer Software (auch mit HBCI PIN/TAN) wird als das Nonplusultra hingestellt. Dies ist an der aktuellen Entwicklung der Webnutzung vorbeigedacht.

2. Der Hinweis mit dem Fingerprint und die Zertifikatsprüfung ist gut, aber ich kenne kaum Kunden, die sich so viel Mühe machen würden. In einigen ostdeutschen Sparkassen ist der Hinweis auf den Fingerprint sogar mit im Onlinebanking-Vertrag.

3. Phishing ist kein alleiniges Bankenproblem, sondern betrifft viele Branchen (Shops, Kreditkarten usw.)

Deshalb stellt sich für mich die Frage: Helfen die dargestellten Vorschläge zur Phishingbekämpfung wirklich? Vielleicht muß ganz neu über den Aufbau und die Überwachung des Internets nachgedacht werden, wie oft bei Heise usw. disktuiert wird?

Aber alle Achtung, dass sich mal jemand an das Thema heranwagt.

Gruß ELDI-Man

Ihr werdet es nicht glauben, aber heute habe ich diese Studie zur Beurteilung von unserer Revision bekommen.

der erste gedanke, der mir durch den kopf ging, war :
institute sind wie schiris (insider)

ich sehe diese studie aber auch als chance in das thema einzusteigen und eine objektive diskussion über das "junge" thema "phishing zu führen, denn da steht speziell natürlich uns als KI noch einiges ins haus befürchte ich.

jedoch wird dieses thema durch die heutige meinungsmache der medien als sog. "hippthema" bei sendungen wie planetopia auch überschätzt. diese studie gibt uns recht

heise.de

ansonsten kann ich mich meinen vorrednern nur anschließen und habe dementsprechend meine stellungnahme zur studie mit einigen ergänzungen formuliert.

tschö