Skip to content

Onlinebanking Transaktionen an mobilen Geräten absichern

Die meisten Banken in Deutschland haben inzwischen die statischen TAN- oder iTAN-Listen abgeschafft und sind auf sicherere Verfahren mit einem zweiten Kommunikationsweg umgestiegen. Dazu gehören neben dem HBCI-Banking via Chipkarte oder Schlüsseldatei die neuen Verfahren SMS-TAN, ChipTAN und ganz neu die PhotoTAN. Alle diese Verfahren haben einen Nachteil. Sie können an mobilen Geräten - vor allem an Smartphones - entweder gar nicht oder nur mit großen Unbequemlichkeiten benutzt werden. Jeder, der schon mal mit einem TAN-Generator einen Flickercode von einem Smartphone-Bildschirm gescannt hat, wird das bestätigen können.

Auf der diesjährigen CeBIT habe ich bei der Firma Reiner-SCT ein Gerät gesehen, das sich auch mit mobilen Geräten gut nutzen lässt. Es handelt sich um den cyberJack wave, einen RFID-Chipkartenleser, der über Bluetooth kommuniziert. Er kann sowohl als HBCI-Kartenleser als auch zum generieren von TANs nach dem ChipTAN-Verfahren benutzt werden. Durch die Übertragung mittels Bluetooth ist beim ChipTAN-Verfahren kein Flickercode mehr notwendig. Außerdem ist das kontaktlose Lesen des elektronischen Personalausweises möglich. Der Leser ist also ein echtes Multitalent.

Der Leser wird zur Zeit mit einigen Anwendungen und Apps deutscher Banken getestet und kann dort wohl in naher Zukunft genutzt werden. Einziges Manko dürfte für viele Nutzer der Preis sein, der wohl um die 150 Euro liegen dürfte.

Onlinebanking-Sicherungsverfahren: photoTAN

Vor einiger Zeit schrieb ich eine Artikelreihe zu den verschiedenen Sicherungsverfahren beim Onlinebanking. Hier sind nochmal die Links zu den bisherigen Artikeln:

1. Teil: SMS-TAN

2. Teil: Chip-TAN (SmartTAN)

3. Teil: HBCI-Kennung

4. Teil: HBCI-Chipkarte

Jetzt gibt es ein weiteres Sicherungsverfahren, welches seit kurzer Zeit der 1822direkt und der Commerzbank angeboten wird: die photoTAN.

Funktionsweise

Beim photoTAN Verfahren werden die Transaktionsdaten ähnlich wie beim ChipTAN-Verfahren an ein unabhängiges Gerät übertragen, welchen daraus die einmalig nutzbare und zeitlich begrenzte TAN erzeugt.

Das Verfahren nutzt dazu einen farbigen Barcode, der an einen QR-Code erinnert. Bei jeder Transaktion wird ein solches Code-Bildchen angezeigt. Mittels einer APP, die es für iOS- und Android-Geräte gibt, kann der Kunde den Code abfotografieren. Die APP zeigt die Transaktionsdaten wie Empfänger und Betrag der Überweisung an, die der Kunde mit den eingegebenen Daten vergleichen muss und dann eine TAN erzeugen kann.

Damit die TAN nicht mit beliebigen Geräten erzeugt werden kann, muss der Kunde die APP auf jedem benutzten Gerät mit einem Freischaltcode für seinen Onlinebanking-Zugang aktivieren. Es können also mehrere Geräte mit der APP genutzt werden.

Für Kunden, die kein kompatibles Smartphone besitzen, bietet die Bank ein separates Lesegerät an, welches ebenfalls die APP enthält, um die TAN zu generieren. Das Gerät ist mit ca. 15 Euro etwas teurer als die gängigen ChipTAN-Geräte.

Eine Demo-Version der APP der Commerzbank kann unter http://www.crontosign.com/  ausprobiert werden.

Sicherheit

Die Sicherheit ist aufgrund des unabhängigen Übertragungsweges gegeben. Auch hier ist, wie bei der ChipTAN, ein wichtiges Sicherheitskriterium, dass der Kunde die Transaktionsdaten genau mit den gewünschten Daten vergleicht. Nur so können Manipulationen im Browser erkannt und verhindert werden. Mit der Aktivierung mittels Freischaltcode ist sichergestellt, dass die APP nur TANs für einen bestimmten Onlinezugang erstellen kann. Das Problem dürfte hier wie auch beim SMS-Verfahren die Sicherheit des Smartphones selbst sein. Hier ist die Frage, wie gut die APP vor Manipulation, z.B. bei der Anzeige der Transaktionsdaten geschützt ist.

Einsatzmöglichkeiten und Fazit

Die photoTAN ist praktisch auch im mobilen Einsatz, da das Smartphone ohnehin meist dabei ist. Es stellt eine weitere alternative Möglichkeit dar, sicher und einfach Onlinebanking-Transaktionen zu autorisieren.

Schutz vor Trojanern in Banking-Software

Disclaimer: Die in diesem Blogeintrag behandelte "VR-Networld-Software" wird im Finanzverbund der Volks- und Raiffeisenbanken vetrieben, dem auch mein Arbeitgeber angehört. Dieser Artikel stellt meine persönliche und private Meinung dar und ist keine offizielle oder beauftragte Darstellung meines Arbeitgebers.

Onlinebanking-Trojaner haben es momentan meist auf die Banking-Portale der Banken im Internet abgesehen. Nutzer von Finanzsoftware-Produkten sind momentan noch relativ sicher vor solchen angriffen. Die Nutzung der HBCI-Schnittstelle FIN/TS, die große Vielfalt der Softwareprodukte und die geringere Nutzerzahl stellt für die Entwickler von Schadsoftware noch einen zu hohen Aufwand im Vergleich zum möglichen Ertrag dar. Und doch ist es nur eine Frage der Zeit, bis auch Finanzsoftware-Produkte ins Visier der Betrüger geraten und mit entsprechenden Trojanern angegriffen werden. Denkbar wären zum Beispiel Programme, die eine eigene FIN/TS Schnittstelle mitbringen und die Masken der eigentlich genutzten Software nachahmen, um den Bediener in diesen Masken zur Eingabe von PIN- und TAN-Nummern zu bewegen.

Die VR-Networld-Software, die im Finanzverbund der Volks- und Raiffeisenbanken vertrieben wird, hat in der aktuellen Version 4.20 bereits Sicherheitsmechanismen eingebaut, die solche Trojaner-Attacken verhindern soll.

Mit Brief und Siegel

Alle sicherheitsrelevanten Dialoge werden mit einem Siegel gekennzeichnet, wie hier zum Beispiel die PIN-Eingabe bei einer Online-Transaktion.

PIN-Eingabe VR-Networld

Im Siegel wird in einer Laufschrift die gerade durchgeführte Aktion und ein vom Benutzer festgelegter individueller Text eingeblendet. Der individuelle Text wird beim ersten Start der Anwendung nach einer Neuinstallation oder nach dem Update auf die Version 4.20 abgefragt:

Abfrage des individuellen Siegeltextes

Der Laufschrift-Text wird zusätzlich noch in einem kleinen Banner am Mauszeiger angezeigt, wenn der Mauszeiger in der Dialogmaske positioniert ist. Das sieht man hier in der Maske zur Eingabe einer Überweisung (Klicken zum Vergrößern):

Eingabemaske mit Banner am Mauszeiger

Das Banner am Mauszeiger kann in den Einstellungen der Software deaktiviert werden, da dieses Feature doch relativ störend bei der Eingabe von Daten sein kann.

Im Fokus

Bei der VR-Networld-Software öffnen sich Dialogmasken in eigenen Unterfenstern. Eine Schadsoftware könnte also eine eigene Maske in einem Fenster öffnen, das vom Benutzer nicht als "anwendungsfremdes" Fenster erkannt werden kann. Hierfür hat die Software in der unteren Statusleiste ein Icon implementiert, das mit einem gelben Ausrufungszeichen davor warnt, wenn die Anwendung nicht mehr den Fokus hat. Der nachfolgende Screenshot zeigt die VR-Networld Software und ein geöffnetes Notepad-Fenster im Vordergrund (Klicken zum Vergrößern):

Notepad im Vordergung

Fazit

Die Hersteller von Finanzsoftware müssen Maßnahmen ergreifen, um Ihre Produkte vor zukünftigen Angriffen von Schadsoftware zu schützen. Wie diese Maßnahmen aussehen können, zeigt die neue Version der VR-Networld-Software. Andere Hersteller werden nachziehen oder haben bereits ähnliche Mechanismen in ihre Software eingebaut. Wenn Ihr Softwareprodukte kennt, die bereits solche Verfahren eingebaut haben, wäre ich für einen Hinweis in den Kommentaren dankbar.

Ein TAN-Generator für mehrere Banken

Jetzt hat man erfolgreich sein Onlinebanking auf das neue ChipTAN/SmartTAN-Verfahren umgestellt und fragt sich als Kunde mit mehreren Bankverbindungen, ob man den erworbenen TAN-Generator wohl auch für andere Banken nutzen kann. Kommt drauf an.

Die Spezifikation ist wichtig

Die TAN-Generatoren arbeiten nach bestimmten Sicherheitsspezifikationen. Die neueste Spezifikation nennt sich "HDD 1.4" und wird zum Beispiel von Volks- und Raiffeisenbanken ausschließlich für das SmartTAN-Verfahren zugelassen. Ältere Geräte mit der Spezifikation "HDD 1.3" oder älter, können bei diesen Kreditinstituten nicht eingesetzt werden. Wenn man sich also einen TAN-Generator kauft, sollte man immer darauf achten, einen 1.4er zu bekommen. Erkennen kann man diese Geräte in der Regel an einer Kennzeichnung mit "1.4" oder "HDD 1.4" auf der Rückseite. Fehlt diese Kennzeichnung, dürfte es sich wahrscheinlich um ein älteres Modell handeln.

Gerätetyp abfragen

Bei einigen Instituten muss man für die Umstellung auf das ChipTAN/SmartTAN-Verfahren den Gerätetyp angeben. Dieser lässt sich wie folgt abfragen. Nach dem Einstecken der zugehörigen Bankkarte drückt man die Taste "TAN" und gibt dann die "09" und "OK" ein. Der Gerätetyp wird dann auf dem Display angezeigt.

Onlinebanking-Sicherungsverfahren: HBCI-Chipkarte

Weiter geht es mit meiner Serie zu den Onlinebanking-Sicherungsverfahren. Die ersten drei Teile sind unten im Artikel verlinkt. Diesmal schreibe ich über die HBCI-Chipkarte.

Funktionsweise

Wie bei der HBCI-Kennung kommt bei der HBCI-Chipkarte ein asymmetrisches Verschlüsselungsverfahren zum Einsatz. Hier werden die Schlüsseldaten auf einer Chipkarte gespeichert. Zum Teil geben die Kreditinstitute personalisierte Chipkarten aus, auf denen die Bankverbindung und die Schlüsselpaare bereits gespeichert sind, andere Institute benutzen Blanko-Chips, auf denen die Bankverbindung und die Schlüssel noch gespeichert werden müssen. Auf beide Chiptypen können mehrere Bankverbindungen und Schlüsselpaare gespeichert werden. Die Daten auf dem Chip werden durch eine vom Kunden änderbare PIN geschützt.

Zum Auslesen des Chips wird ein Chipkarten-Lesegerät benötigt. Diese werden in 3 Klassen eingeteilt. Klasse I - Leser lesen den Chip, die PIN muss an der PC-Tastatur eingetippt werden und wird dann an den Kartenleser gesendet. Klasse II - Leser besitzen eine Tastatur, auf der die PIN eingegeben werden kann. Die Klasse III - Leser besitzen zusätzlich noch ein Display, auf dem Transaktionsdaten angezeigt werden können. Der Kartenleser wird heutzutage meist über USB angeschlossen und benötigt eine Treiberinstallation. Treiber gibt es für eigentlich für alle gängigen Betriebssysteme.

Hier sei noch erwähnt, dass die neue Lesergeneration inzwischen auch zum (kontaktlosen) Auslesen des neuen Personalausweises genutzt werden kann, so dass man dann kein zusätzliches Gerät mehr benötigt.

Teilweise kann dieses Verfahren nur in Verbindung mit einer Banking-Software genutzt werden, einige Banken bieten dieses Verfahren auch im Internetbanking an, doch auch in diesem Fall wird eine zusätzliche Softwarekomponente für die HBCI-Schnittstelle benötigt (z.B. DDBAC).

Bei allen Transaktionen fordert die Software die HBCI-Karte an und fragt die PIN ab. Diese wird an der PC-Tastatur oder direkt am Kartenleser eingegeben, danach wird die Transaktion verschlüsselt und an das Kreditinstitut übertragen. Weitere Sicherheitsmedien, wie z.B. TAN werden nicht benötigt.

Sicherheit

Durch das asymmetrische Verschlüsselungsverfahren ist eine sehr hohe Sicherheit beim Transport der Daten gewährleistet. Die Schlüssel sind sicher auf der HBCI-Karte abgelegt und können nur mit Eingabe der PIN genutzt werden. Es empfiehlt sich, mindestens einen Klasse II - Leser zu benutzen, damit die PIN-Eingabe nicht auf der PC-Tastatur erfolgen muss, wo sie über Keylogger mitgeschnitten werden könnte.

Es besteht ein Restrisiko für Man-In-The-Middle-Attacken. Eine Schadsoftware könnte die Transaktionsdaten vor dem Verschlüsseln mit der Chipkarte im Hintergrund manipulieren und dann die gefälschten Daten an das Kreditinstitut senden. Theoretisch funktioniert das, allerdings existiert wohl keine Schadsoftware "in the wild". Das Restrisiko wird durch Leser und Software eliminiert, die die Transaktionsdaten vor dem Verschlüsseln auf dem Display des Kartenlesers anzeigen, so dass sie durch den Kunden vor dem Senden geprüft werden können. Dieses Verfahren wird aber bisher von fast keinem Institut unterstützt. Wenn jemand ein KI kennt, ab in die Kommentare damit :-).

Kosten

Dieses Verfahren verursacht die höchsten Kosten für den Kunden. Ein Klasse II - Leser schlägt mit ungefähr 40 Euro zu Buche. Die HBCI-Chipkarte hat eine begrenzte Laufzeit und wird vom Kreditinstitut teilweise mit 5-10 Euro pro Jahr berechnet. Das ist aber bei den verschiedenen Banken ziemlich unterschiedlich.

Einsatzmöglichkeiten

Hier gilt das, was ich schon bei der HBCI-Kennung schrieb: Für das Verfahren wird immer ein speziell konfigurierter PC mit bestimmter Sofware benötigt. Für den Kartenleser muss ein Treiber eingerichtet sein. Die Kartenleser sind auch nicht gerade klein, bei Nutzung von mehreren Rechnern ist eventuell die Anschaffung von weiteren Lesegeräten sinnvoll, was aber auch weitere Kosten bedeutet. Das Verfahren eignet sich natürlich gut für Kunden mit vielen Transaktionen, da keine zusätzlichen TANs benötigt werden, was den Zahlungsverkehr schlank und schnell macht.

Fazit

Die HBCI-Chipkarte erfordert den höchsten Aufwand bei der Einrichtung und verursacht zusätzliche Kosten. Nach der Einrichtung ist es ein sicheres und professionelles Verfahren, das gerade bei hohem Transaktionsaufkommen seine Stärken ausspielt.

Wie immer können in den Kommentaren gerne noch weitere Aspekte beigesteuert werden, die ich vielleicht vergessen oder nicht vollständig dargestellt haben.

Hier noch die bisherigen Teile der Reihe:

1. Teil: SMS-TAN

2. Teil: Chip-TAN (SmartTAN)

3. Teil: HBCI-Kennung

Onlinebanking-Sicherungsverfahren: HBCI-Kennung

Hier kommt der nächste Teil der Serie über die verschiedenen Sicherungsverfahren beim Onlinebanking. Die ersten beiden Teile sind unten im Artikel verlinkt. Heute geht es um die HBCI-Kennung, die auf einem Datenträger gespeichert ist, nicht auf einer HBCI-Chipkarte, das kommt dann das nächste Mal dran.

Funktionsweise

Das Homebanking Computer Interface (HBCI) ist ein Verfahren, das auf asymmetrischer Verschlüsselung basiert. Man benötigt dazu für jeden Teilnehmer ein Schlüsselpaar, dass auf einem privaten und einem öffentlichen Schlüsselteil besteht. Der private Teil des Schlüssels verbleibt beim jeweiligen Inhaber, die öffentlichen Teile werden dem jeweiligen Partner bekannt gemacht.

Daten, die mit dem öffentlichen Teil des Schlüssels verschlüsselt wurden, können nur mit dem dazugehörigen privaten Teil wieder entschlüsselt werden. Der private Teil des Schlüssels kann verwendet werden, um Daten zu signieren, die Echtheit der Signatur kann wiederum mit dem öffentlichen Teil des Schlüssels überprüft werden.

Um dieses Verfahren zu nutzen, erhält der Kunde von seiner Bank im Vorfeld eine Benutzerkennung und/oder Kundennummer sowie die Hashwerte des öffentlichen Schlüsselteils der Bank. Mit dem Hashwert kann die Echtheit des öffentlichen Schlüssels geprüft werden.

Mit diesen Daten ausgerüstet erstellt sich der Kunde mit einer Homebanking-Software einen eigenen Schlüssel, der mit einem Passwort gesichert wird. Die Schlüsseldatei wird auf einem mobilen Datenträger abgespeichert. Während der Generierung erhält der Kunde den öffentlichen Schlüssel der Bank über die Internetverbindung, der mittels des vorher erhaltenen Hashwertes zu prüfen ist. Gleichzeitig wird der öffentliche Teil des Kundenschlüssels an die Bank übermittelt und dessen Hashwert kann auf einem sogenannten "INI-Brief" ausgedruckt werden.

Der Ausdruck wird vom Kunden unterschrieben und an die Bank weitergeleitet. Mittels des Hashwertes auf dem INI-Brief prüft die Bank die Echtheit des Kundenschlüssels und schaltet den Zugang frei.

Erst jetzt kann der Kunde Kontodaten abfragen und Transaktionen tätigen. Bei jeder Abfrage und jeder Transaktion wird die Schlüsseldatei auf dem Datenträger und das Passwort abgefragt. Es gibt keine zusätzlichen TAN-Nummern.

Teilweise kann dieses Verfahren nur in Verbindung mit einer Banking-Software genutzt werden, einige Banken bieten dieses Verfahren auch im Internetbanking an, doch auch in diesem Fall wird eine zusätzliche Softwarekomponente für die HBCI-Schnittstelle benötigt (z.B. DDBAC).

Sicherheit

Durch das asymmetrische Verschlüsselungsverfahren ist bei ordnungsgemäßer Prüfung der Echtheit der Schlüssel eine sehr hohe Sicherheit beim Transport der Daten gewährleistet. Allerdings liegt die Schlüsseldatei während der Transaktionen im Zugriff im Dateisystem des Rechners vor und das Passwort wird über die PC-Tastatur eingegeben. Ein Schadprogramm hat also Zugriff auf die Schlüsseldatei und kann über einen Keylogger das zugehörige Passwort ausspionieren. 

Ein Vorteil ist die eher geringe Verbreitung des Verfahrens, die Nutzung erfolgt meist über Softwareprodukte. Hierdurch entsteht eine sehr kleine und heterogene Basis von Benutzern, die bisher die Entwicklung entsprechender Schadsoftware nicht wirtschaftlich erscheinen lässt. Etwas erhöhen kann man die Sicherheit noch dadurch, dass man den Datenträger mit der Schlüsseldatei wirklich nur für die kurze Dauer der Transaktion an den Rechner anschließt/einlegt.

Kosten

Eventuell enstehen geringe Kosten für die Anschaffung eines geeigneten Datenträgers (z.B. USB-Stick).

Einsatzmöglichkeiten

Für dieses Verfahren wird immer ein speziell konfigurierter PC mit bestimmter Sofware benötigt. Insofern ist spontanes Banking von Unterwegs nur bei Einsatz eines entsprechenden Laptops möglich. Natürlich muss der Datenträger mit der Schlüsseldatei ebenfalls mitgeführt werden. Bei der Nutzung auf einem bestimmten PC ist das Verfahren allerdings schnell und bequem, da sich alles über eine Authentifizierung abwickeln lässt.

Fazit

Die HBCI-Kennung ist ein Verfahren, dass bei der Einrichtung einen gewissen Mehraufwand verursacht. Auch ist die Einrichtung für nicht so versierte Benutzer nicht ganz trivial. Nach der Einrichtung, und wenn man das Homebanking nicht an vielen verschiedenen Rechnern betreiben will, ist die Nutzung einfach und bequem. Durch die geringe Verbreitung (aber auch nur dadurch) ist es zudem ein sicheres Verfahren. Generell ist aber die HBCI-Kennung auf Chipkarte vorzuziehen, die ich im nächsten Teil der Reihe behandeln möchte.

Wie immer können in den Kommentaren gerne noch weitere Aspekte beigesteuert werden, die ich vielleicht vergessen oder nicht vollständig dargestellt haben.

Hier noch die bisherigen Teile der Reihe:

1. Teil: SMS-TAN

2. Teil: Chip-TAN (SmartTAN)

 

Ein sicheres Gefühl

Ein Werbespot der Berliner Sparkasse. OK, so kann man das mit der SMS-TAN natürlich auch erklären. Das ist zwar ganz lustig, aber ob das bei einem sensiblen Thema (ups, ist jetzt auch doppeldeutig) das richtige Stilmittel ist, wage ich mal zu bezweifeln.

Gute Kommunikation oder eher ein Tritt ins Fettnäpfchen?

(via)

Onlinebanking Sicherungsverfahren: Chip-TAN

Weiter geht es mit meiner kleinen Serie über die verschiedenen Sicherungsverfahren beim Onlinebanking. Heute geht es um das Chip-TAN-Verfahren, bei dem ein separater TAN-Generator verwendet wird.

Funktionsweise

Beim Chip-TAN-Verfahren (bei den Volks- und Raiffeisenbanken auch Smart-TAN genannt) benötigt man zur Erzeugung der TAN ein kleines Zusatzgerät, einen TAN-Generator. Der TAN-Generator ist mit einem Display, einer Zahlentastatur und teilweise auch mit einem optischen Sensor zum Auslesen eines "Flicker-Codes" ausgestattet.

Um die TAN zu erzeugen, benötigt der TAN-Generator einen Chip mit Seccos-Betriebssystem, wie er zum Beispiel auf den herkömmlichen Bankkarten (ehemals EC-Karten) fast aller Bankkunden vorhanden ist. Als erstes wird also der Onlinebanking-Zugang  mit einer Chipkarte des Kunden verbunden.

Der generelle Zugang erfolgt wieder über eine PIN-Nummer. Führt der Kunde eine Transaktion aus, werden die Daten der Transaktion zum Rechenzentrum gesendet. Das RZ erkennt, das der Kunde am Chip-TAN-Verfahren teilnimmt und lässt die Onlinebanking-Anwendung einen sogenannten Flicker-Code ausgeben. Der Flicker-Code besteht aus einer Reihe von schwarz und weiß blinkenden Kästchen. Der Kunde steckt nun seine Chipkarte in den TAN-Generator und hält diesen mit dem optischen Sensor vor den Flicker-Code. Jetzt werden die Eckdaten der Transaktion (Empfängerkontonummer und Betrag) an den Generator übertragen. Alternativ können die Eckdaten auch manuell über die Tastatur des Generators eingegeben werden. Die Eckdaten werden am Display des TAN-Generators angezeigt und müssen vom Kunden auf Richtigkeit geprüft werden. Der TAN-Generator errechnet eine TAN, die wiederum nur für diese Transaktion und für eine begrenzte Zeit gültig ist. Mit dieser TAN kann der Kunde dann die Transaktion autorisieren.

Eine Demo, die einen Transaktionsvorgang praktisch aussieht, kann man zum Beispiel auf der Homepage von Kobil anschauen, einem Hersteller von TAN-Generatoren.

Sicherheit

Beim Chip-TAN-Verfahren werden zwei voneinander Kommunikationswege benutzt. Eine gültige TAN kann nur mit dem unabhängigen TAN-Generator und der für den Onlinezugang freigeschalteten Chipkarte erzeugt werden. Bei richtiger Anwendung durch den Kunden (Kontrolle der Transaktionseckdaten auf dem Display des Generators), ist eine Manipulation der Transaktionsdaten durch einen Trojaner ausgeschlossen und Phishing wirkungslos.

Eine Schwachstelle war bis vor kurzem, das die Eckdaten bei der Ausführung einer Sammel-Transaktion nicht eindeutig auf dem TAN-Generator angezeigt wurden. Es wurden lediglich der Betrag und die Anzahl der Transaktionen angezeigt, was den Austausch der Kontonummern möglich machte, ohne das der Kunde das kontrollieren konnte. Die neue Sicherheitsspezifikation fordert, das Kontrollsummen der Empfängerkontonummern angezeigt werden, so dass auch diese Lücke nicht mehr ausgenutzt werden kann.

Das Chip-TAN-Verfahren bietet also bei richtiger Anwendung eine sehr hohe Sicherheit, Angriffsmethoden gegen die neueste Version des Verfahrens sind zur Zeit nicht bekannt.

Kosten

Die Anschaffungskosten für einen TAN-Generator liegen um die 10 Euro, eventuell werden die Kosten von den Kreditinstituten ganz oder teilweise übernommen, hier muss man wieder bei seinem Kreditinstitut nachfragen. Laufende Kosten entstehen nicht.

Einsatzmöglichkeiten

Das Chip-TAN-Verfahren ist flexibel und kann auch mobil gut eingesetzt werden. Die Nutzung ist sowohl beim Browserbanking als auch bei der Benutzung von Finanzsoftware möglich.  Die Benutzung ist auch auf Smartphones möglich. Allerdings muss der Kunde den TAN-Generator und seine Chipkarte immer mitführen, um auch von unterwegs Transaktionen ausführen zu können.

Fazit

Das Chip-TAN-Verfahren ist sehr sicher und flexibel, allerdings ist die Bedienung des TAN-Generators nicht ganz einfach und erklärungsintensiv. Ob sich das Verfahren in der Breite gegen die anderen Verfahren durchsetzen kann, werden die nächsten Monate zeigen.

Im nächsten Teil der Serie werde ich das Signaturverfahren mit einem HBCI-Schlüssel auf Datenträger vorstellen.

1. Teil: SMS-TAN

Onlinebanking Sicherungsverfahren: SMS-TAN

Nachdem ich mich ja Anfang diesen Jahres vom iTAN-Bogen verabschiedet habe, möchte ich in dieser kleinen Artikelserie mal die verschiedenen Alternativern bei den Sicherungsverfahren beim Onlinebanking vorstellen und Beleuchten. Hierbei werde ich auf die Funktion, die Vor- und Nachteile und auf die Einsatzmöglichkeiten eingehen. Beginnen werde ich mit dem SMS-TAN-Verfahren. Also los.

Funktionsweise

Beim SMS-TAN-Verfahren registriert der Bankkunde zunächst eine Handynummer für seine Onlinebanking-Kennung. Der grundsätzliche Zugang zum Banking erfolgt über eine PIN-Nummer. Führt der Kunde eine Transaktion aus - zum Beispiel eine Überweisung - sendet die Banking-Anwendung die Daten der Transaktion an das Bankrechenzentrum. Dort wird aus den Eckdaten der Transaktion eine TAN errechnet, die nur für diese Transaktionsdaten und nur für eine kurze Zeitspanne gültig ist. Das Bank-RZ sendet nun eine SMS mit den Eckdaten (Empfängerkontonummer und Betrag) und der TAN an die vom Kunden registrierte Handynummer, der Kunde prüft die Richtigkeit der Eckdaten und führt die Transaktion mit der erhaltenen TAN aus.

Sicherheit

Dadurch, dass das Verfahren zwei unabhängige Kommunikationswege nutzt, sind bei richtiger Anwendung (Prüfen der Eckdaten in der SMS) manipulierende Angriffe - etwa durch Man-In-The-Middle-Attacken - nahezu unmöglich. Auch Phishing macht bei diesem Verfahren keinen Sinn, da eine abgefischte TAN für den Phisher nicht nutzbar ist.

Eine Angriffsmöglichkeit zeigte im Oktober der Banking-Trojaner ZeusS auf. Voraussetzung für einen erfolgreichen Angriff ist neben dem Knacken des Onlinebanking-Zugangs auch die Installation der Trojanersoftware auf dem zugehörigen Handy. Der Aufwand hierfür ist momentan noch nicht lohnend, so dass ein solcher Trojaner "in the wild" noch nicht gesichtet wurde. Insofern bietet das  Verfahren einen hohen Sicherheitsgrad.

Kosten

Während einige Banken die SMS-TAN ohne Zusatzkosten anbieten, berechnen andere entweder geringe Monatspauschalen oder auch geringe Beträge pro SMS. Hier muss man sich bei seinem Kreditinstitut über die jeweiligen Preise informieren.

Einsatzmöglichkeiten

Die SMS-TAN ist ein sehr flexibles Verfahren. Ein Mobiltelefon und einen Standort mit Netzversorgung vorausgesetzt, kann man von überall Onlinebanking-Transaktionen vornehmen. Das Mitführen von Zusatzhardware oder TAN-Listen ist nicht notwendig.

Nicht nutzbar ist das Verfahren mit Smartphone-Anwendungen, da aufgrund des nicht vorhandenen zweiten Kommunikationsweges (Anwendung und SMS auf dem gleichen Gerät) die Sicherheit nicht gewährleistet ist.

Fazit

Das SMS-TAN-Verfahren ist flexibel und kostengünstig und bei korrekter Anwendung sehr sicher. Ich denke, dass dieses Verfahren der Standard für die meisten Benutzer in den nächsten Monaten werden wird.

Gern könnt ihr noch Ergänzungen oder eigene Erfahrungen (vielleicht auch Preise bei eurem Kreditinstitut) in den Kommentaren beisteuern. 

Im nächsten Teil der Serie nehme ich mir dann das ChipTAN-Verfahren mit TAN-Generator vor. 

Neue Gebührenregelung an deutschen Geldautomaten

Seit heute gilt eine neue Gebührenregeleung an deutschen Geldautomaten. Seit Anfang der 90er Jahre musste gemäß der EU-Preisangabenverordnung das kartenausgebende Institut die Gebühr festlegen, die ein Karteninhaber bei Abhebungen an fremden Geldautomaten bezahlen muß. Die Banken berechneten dann untereinander ein Interbankenentgelt für Nutzung des Geldautomaten. Hierdurch haben sich die Kosten für die Kunden in den letzten Jahren kontinuierlich nach oben geschraubt.

Ab heute gilt für deutsche Karteninhaber, dass die Gebühr für die Geldautomatennutzung an deutschen Geldautomaten direkt vom Betreiberinstitut berechnet wird. Die Höhe der Gebühr muss vor der Verfügung direkt am Kundenbildschirm angezeigt werden und der Kunde kann die Transaktion dann noch gebührenfrei abbrechen.

Hierdurch  dürften die Gebühren insgesamt günstiger werden, am besten fährt man immer noch  bei der Nutzung der Geldautomatennetze der Institutsgruppe der eigenen Bank, bei denen die Bargeldabhebung meist kostenlos angeboten wird.


tweetbackcheck