Eben. Ich hab leider den Eindruck, dass viele Leute nicht verstanden haben, was der Sinn der Mobile TAN ist. Man kann nur hoffen, dass jemand, der so kreativ im Finden von Umgehungslösungen ist auch so clever ist zu verstehen, was er da tut.

Wobei man natürlich auch da realistisch sein muss: die Wahrscheinlichkeit, dass der eigene Online-Banking-Zugang gehackt ist, ist wahrscheinlich ähnlich groß, wie dass einem das Reiserad per Trickdiebstahl geklaut wird. Wäre das nicht so, gäbe es das Verfahren schon lange nicht mehr. Ich mache trotzdem kein Online-Banking, ich mag nicht selbst für die Sicherheit der Transaktion zur Bank verantwortlich sein.

Martina

Ich hoffe du meinst nicht das mTAN-Verfahren. Lies mal bitte das hier.
Gruß Ulli

Er muss nicht dein Smartphon manipulieren. Das geht viel einfacher. Er besorgt sich einfach von deiner SIM-Karte eine Ersatz-SIM-Karte.
Gruß Ulli

Dazu muss aber erstmal die Handy-Nummer auf dem PC gespeichert sein.
Allgemeiner gesprochen: die Verbindung der beiden Geräte untereinander muss nachvollzogen werden können, denn die Sicherheit des Verfahrens beruht genau darauf, dass das im Allgemeinen nicht so einfach ist.

Nochmal: wer Online-Banking für unsicher hält, sollte keines machen. Jedes Verfahren wurde schon geknackt, zum Teil allerdings mit hohem Aufwand. Was ich aber albern finde ist zu behaupten, TAN-Listen seien am sichersten. Nein, sind sie nicht.

Martina

Mit Aufwand kann man alles knacken und wenn man Martina auf dem Weg zur Bank zwingt, das Geld auf ein anderes Bankkonto zu überweisen.

Die Frage ist immer lohnt der Aufwand. Für den SIM-Karten-Angriff brauchst du schon einen ganz schönen Aufwand und einiges Wissen über dein Opfer. Das lohtn nur, wenn der Täter weiß, dass da einiges zu holen ist und nicht nur ein paar Euro.

Hallo Henning,
bzgl. der Manipulation der SIM. Du brauchst die SIM nicht zu manipulieren. Wenn du das professionell machst, gibst du dich als Händler aus und bestellst eine Ersatz-SIM bei der Telefongesellschaft (siehe bei der Telekom letztes Jahr).

Diese Antwort ist jetzt nicht speziell für dich - nur irgend jemanden muss ich ja antworten.
Alle, die sich für Online-Banking interessieren, sollten sich einmal dieses Video vom CCC anschauen. Vincet Haupert berichtet dort, wie er die Sparkassen-App geknackt hat und wie dilettantisch die Software programmiert wurde. Mit den anderen Softwarepaketen - auch für den PC - sieht es (wohl) nicht viel besser aus. Dazu kommt noch, das die meisten Nutzer kaum Ahnung von der eingesetzten Technik (Computer, Handy etc.) haben. Hat die Bank dann vor möglichen Computerangriffen gewarnt, trägt der Nutzer u.U. das alleinige Risiko.
Ich persönlich würde nur auf einem seperaten Guthabenkonto Onlinebanking machen, da dort der mögliche Verlust begrenzt ist.
Gruß Ulli

Hallo Ulli,
nur wie bekommst du meine Ersatz-SIM? Der Telefonanbeiter braucht ja zumindest die Telefonnummer. Wie kommst du zu der Nummer? Im Bankaccount ist die Nummer nur unvollständig hinterlegt. Auf dem PC steht sie nirgends. Das war das, was ich mit Aufwand meinte. Da muss sich der Angreifer schon sehr sicher sein, dass sich der Angriff auch lohnt. Wenn er damit 1000 Taler vom Girokonto räumen kann, dann lohnt der Aufwand nicht.

Du hast schon recht und bei dir mag das nicht so einfach sein. Aber bei diesen Angriffen geht oft auch nach dem Zufallsprinzip: Wer installiert sich unfreiwillig den Virus. Wer davon macht Online-Banking. Ohne TAN hast du dann aber u.U. schon den Kontostand und siehst ob es sich weiteres Vorgehen lohnt, und, ohne jetzt näher darauf einzugehen, du ahnst nicht was andere alles so auf dem Rechner haben. Telefonlisten und Textdateien mit Passwörtern ist fast schon Normaltät.
Gruß Ulli

Und nicht in unbekannten und ungesicherten WLANs zu sein
und bei gesicherten aufpassen, dass du auch wirklich in dem gewünschten Netz bist,
und nicht "ausversehen" in einem fremden gelandet bist.
Und beim Einloggen drauf zu achten, dass du auf der richtigen https (mit betonung auf dem s) bist.
Und natürlich keine Passwörter im Browser zu speichern.
Und besonders hellhörig werden, sollte man sich bei einer TAN mal - "vertippt" haben!
... Oder beim Einloggen mit dem Kennwort "vertippt" haben!

...

und zu hoffen, dass die pfiffigen Tricksen sich nicht schon wieder was neues ausgedacht haben.




Wenn man an alle Sicherheitsdöneckes denkt kann man fast auch schon wieder selbst "ganz analog" zu Bank gehen und den Überweisungsträger einwerfen
... aber wer tut das schon

Gruß
Jörg

Hallo Henning,
hier nochmal eine Ergänzung.
2014 gab es 6984 registrierte Phishing-Fälle im Online-Banking in Deutschland.
Dabei entstand ein Schaden von ca. 27 Millionen Euro.
Gruß Ulli

TAN auf Papierlisten bieten z.B. keinerlei Schutz gegen Man-in-the-Middle-Angriffe. Also Du hast Dir eine Schadsoftware auf dem PC installiert. Der Browser zeigt Dir wie gewünscht an, daß Du 20 € ans Radforum spendest - an die Bank wird aber die Information weitergegeben, daß Du 100 € ans Auto-Tuningforum zahlst. Du bestätigst das mit Deiner Papiertan. Bei mTAN bekommst Du hingegen eine SMS an ein anderes Gerät, wo nochmal Empfänger und Summe genannt werden, d.h. der Angreifer muß zwei Kanäle kompromittieren. Wobei es gegen mTAN andere realistische Angriffe gibt. Wenn ich es richtig verstehe, ist nach dem derzeitigen Stand der Dinge Chip-TAN das einzige halbwegs vertretbare Verfahren.

man sollte aber auch sagen, wer auf Phishing reinfällt ist nicht so ganz unschuldig. Mache seit X-jahren Onlinebanking mit meiner Sparkasse und bin bei PayPal und habe noch andere Zahlungsarten gemacht bzw ausprobiert. Was aber ich nie mache, ich gehe auf keinen Link in einer Mail, wo es um meine Kontendaten geht. Bei den Mails meiner Sparkasse ist nie ein Link drin. Wenn eine Mail von PayPal oder auch Ebay kommt wegen Kontendaten usw, dann gehen ich so über de Browser auf die Entsprechende Webseite.

Langsam sollte sich es rumgesprochen haben, nicht auf Links in Mail zu gehen wenn es um Geld und Kontodaten geht.


Aber manche sollten vielleicht wirklich die Finger von sowas lassen

Du wirst lachen - würde ich sehr gerne, wenn meine aktuelle Bank das noch anbieten würde. Letztendlich machst Du ja beim Onlinebanken Gratisarbeit für die Bank und es dauert auch noch länger (selbst mit Templates).

Auf Papier war das blitzschnell: (8 verschiedene Rechnungen auf einmal z.B.)
- Gesamtsumme ausrechnen
- per Hand eintragen auf 1 Sammel-Zahlschein
- 1 einzige Unterschrift
- mit allen 8 Überweisungsträgern eintüten

und ab geht die Post! (Migrosbank)


E-Banking (mach ich bei diversen Banken) hat für mich im Alltag nur Nachteile, da
- Zeitraubender (s.o., 8 Überweiungen durchklicken/-tippen ... am Besten sind die Referenznummern!)
- unsicherer sowieso
- Tempo bei Überweisungen /beim Checken des Kontostands ist für mich völlig irrelevant, 2 Tage hat das IMMER Zeit

Nicht auf Links in Mails klicken, hab ich in meiner Auflistung drei Beiträge drüber doch glatt vergessen. Streng genommen aber auch nicht auf Links die man sonstwo im Netz findet.

Ärgerlicheweise kommen tatsächlich auch echte Mails mit entsprechenden Links - Das kann verständlicherweise das Nutzerverhalten versauen.

Und die Phishing-Mails sind manchmal wirklich verdammt "gut" - gemacht. Leider wird da viel zu wenig gegen unternommen.

Gruß
Jörg

Es steht dir frei die Bank zu wechseln.
Noch! gibt es Banken die klassisches Banking ermöglichen.

Mir erscheint das Online-Banking eben doch deutlich unkomplizierter und ich kann mich (noch) nicht so richtig dazu durchringen wieder zurück zu wechseln.


Gruß
Jörg

PS: mit "Aber wer macht das schon" meinte ich die Berücksichtigung aller Sicherheitsdönekes, das macht nämlich tatsächlich kaum jemand.

Stimmt schon, aber die Rationalisierung fing schon viel früher an, mit Klarschriftlesern und dergleichen.



Mit Btx angefangen mache ich nun schon über 20 Jahre Onlinebanking; ich möchte es nicht mehr missen. Wobei Onlinebanking via Brauser die absolute Ausnahme ist, der Regelfall ist eine auf dem Rechner installierte Software, seit vielen Jahren Hibiscus. Da brauche ich nicht nach irgendwelchen Papierüberweisungsdurchschlägen oder sonstwas zu suchen, sondern habe alles an einer Stelle auf dem Rechner. Wenn man dann noch für einen Verein mit den Finanzen zu tun hat, dann kann es schon wichtig sein, auch mal um kurz nach elf abends nach den Vorgängen auf dem Konto zu sehen.

Ich halte dieses Verfahren (mit i- oder mTAN) für ziemlich sicher, jedenfalls für sicherer als Webbanking. Bisher habe ich noch nichts über Angriffe auf diese Plattform gehört.

"- unsicherer sowieso": das halte ich für ein Gerücht. Auf dem Brief an die Bank steht bestimmt der Name und die Adresse der Bank, und dieser Brief geht durch mehrere Hände und Sortieranlagen ...

@Martina: es ist noch garnicht so lange her, dass es von den Banken (Genossenschafts- und andere) herausgegebene oder vertriebene Software gab, bei der man PIN und TANs bei der Software speichern konnte. Das muss man sich mal vorstellen!

Ob das Onlinebanking die richtige Nebenbeschäftigung für eine Radreise ist, dazu hat Matthias ja mal wieder süffisant-zutreffend geschrieben.

Ist unbedenklich, solange man sein eigenes Gerät hat (mit geprüften CA-Trusts) kann man locker in frenden WLANs banken. Andernfalls könnte man sich das ja in fremden Ländern nirgendwo trauen!

Der Rest, den du aufführst, ist ja wohl selbstverständlich. Wer das umständlich findet sollte lieber ganz die Finger von sicherheitskritischen Systemen lassen bevor er sich auf der Arbeit noch Locky installiert.

Klar ist dass sich jeder erst mal informieren sollte bevor er irgendeine Komfortlösungs-App benutzt. Aber man muss es auch nicht schlimmer hinstellen als es ist.

Hallo Martin,
ganz so einfach würde ich mir das nicht machen. Das was da zur Zeit per Mail kommt ist doch nur Kinderkram. Einmal eine falsche Internetseite aufgerufen oder einen USB-Stick in den Rechner eingesteckt, könnte schon reichen. Sobald du im Internet bist, befindest du dich in einem Netzwerk und theoretisch hat jeder Zugriff auf deinen Rechner - denk mal auch an die Firmen, die auf deinem Rechner Updates installieren. Hinzu kommen noch die immer wieder veröffentlichten Sicherheitslücken - und die, die Lücken nutzen, die nocht nicht veröffentlicht wurden, werden dies auch nicht tun. Ich bin mir zu 100% sicher, dass du dir nicht sicher sein kannst, dass dein Rechner nicht schon längst kompromittiert ist - auch wenn du (vermutlich) an einem MAC sitzt.
Und wenn es dich noch nicht getroffen hat, könnte es viele Ursachen haben:
- finanziell uninteressant
- sammeln nur Daten und warten auf den richtigen Augenblick um Informationen zu erpressen
- vielleicht wird dein Rechner auch für andere Dinge benutzt
- etc.
Gruß Ulli

Es gab Zeiten (das ist noch gar nicht so lange her), da wurden in solchen Fällen die betroffenen und gefährdeten Plattformen genannt. Seitdem das nicht mehr passiert, ich vermute mal, aus Rücksicht gegenüber einem gewissen Unternehmen aus Redmond, sind die Warnungen, mal abgesehen von der Aufforderung zu allgemein vorsichtigem Verhalten, nicht mehr viel Wert.
Ob natürlich ausgerechnet die Kameraden aus Cupertino die Alternative darstellen müssen, darüber sollte man zumindestens mal nachdenken.

Die Schererei mit der Ablehnung von DKB-Karten hatte ich bei der ostsächsischen Sparkasse Dresden auch lange. Mittlerweile scheint das aber wieder zu funktionieren.
Bei anderen Sparkassen in Deutschland ging das Abheben immer.

Naja, wenn man länger unterwegs ist bleibt einem kaum was anderes übrig als sich da was einfallen zu lassen. Ist ja kein freiwilliges Hobby.

Schon. Aber dann würde ich einen Laptop oder Netbook, auf jeden Fall einen eigenen Rechner mit der entsprechenden Onlinebanking-Software mitnehmen. Damit lässt sich ja auch noch anderes veranstalten, z.B. Routenplanung, Bilder drauf kopieren usw.