|
|
|
|
| 2006/12/13 Onlinebanking - technische Alternativen zu wenig beachtet Phishing-Attacken werden effizienter - Dritte Phishinggeneration in Vorbereitung - Mittel sind Social Hacking und Trojaner - PIN/TAN-Verfahren das beliebteste Verfahren - einige Banken bieten Alternativen an - diese werden kaum nachgefragt - nur zwei Banken haben sich für eine echte Innovation entschlossen - in Zukunft sind auch Realtime-Angriffe zu erwarten Phänomen Phishing Heute existiert eine neue Phishing-Generation. Trojaner und "Social Hacking" sind die bevorzugten Angriffstechniken. Die entsprechenden Mails sind nunmehr praktisch in fehlerlosem deutsch gehalten und werden zielgerichtet an Personen mit bestimmten Kontoverbindungen verschickt. Beim Trojaner-Phishing gelingt es dem Angreifer den Computer des Onlinebanking-Benutzers so zu manipulieren, dass er entweder unbemerkt auf die Phisher-Website umgeleitet wird und dort seine Bankdaten bekannt gibt oder dass der Trojaner überhaupt die Kontrolle des Onlinebankingprozesses übernimmt und Kundeneingaben so manipuliert, dass statt den gewünschten Überweisungen, die Überweisungen des Phishers durchgeführt werden. Beim "Social Hacking" gelingt es dem Phisher durch Zusatzinformationen soviel Vertrauen beim Kunden zu erwecken, dass dieser meint mit seinem Bankbetreuer zu kommunizieren. Dies geschieht im Übrigen meist durch die Warnung vor Sicherheitslücken und Phishingattacken. PIN/TAN-Verfahren das beliebteste Verfahren Drei kleinere Institute verwenden noch das veraltete einfache TAN-Verfahren (rund 3% Marktanteil), bei dem TANs in beliebiger Reihenfolge verwendet werden können. Dieses System ist durch Phishing-Attacken leicht angreifbar. Fünf der untersuchten Institute verwenden das sequenzierte TAN-Verfahren, d.h. TANs müssen in einer bestimmten Reihenfolge verwendet werden. Ein System das nur geringfügig besseren Schutz gegen Phishing bietet. Sieben Institute (Marktanteil mehr als 50%) verwenden das sogenannte iTAN-Verfahren. Bei Transaktionen wird der Kunde interaktiv aufgefordert einen bestimmten TAN einzutragen. Auch dieses Verfahren konnte durch Phishing-Attacken geknackt werden, indem einem Kunden 20(!) TANs entlockt wurden und ein Schaden von mehr als 9.000 EUR entstand. Zwei untersuchte Institute (Marktanteil rund 28%) verwenden eine Kombination aus sequentiellen TANs und interaktiven TANs. Innovation Token-Code-Verfahren Sonstige Onlinebanking-Alternativen Alternative I: Mobile-Code-Verfahren Marktanteil/Nutzung: weniger als 0,5% Marktanteil/Nutzung: weniger als 0,5% Marktanteil/Nutzung: weniger als 0,1% In Zukunft Realtime-Angriffe Weitere innovative Ansätze blieben bisher unbeachtet Beim "Challenge-Response-Verfahren" werden graphische Zeichen so am Bildschirm abgebildet, dass sie nur mittels Zusatzwissen interpretiert werden können. Im einfachsten Fall werden etwa verschiedenfarbige Zahlen dargestellt und der Kunde muss die Zahlen einer bestimmten Farbe als Transaktionscode eingeben. Die deutsche Dresdner Bank bietet Ihren Kunden ein vergleichbares System an. Bei den VirtualMaschine-Lösungen ist auf einem USB-Stick eine gesamte Betriebssystemumgebung inklusive Internet-Browser installiert und der Kunde verwendet diese, besonders geschützte Umgebung für das Onlinebanking. Trojaner oder Viren auf seinem eigenen Computer können diese sichere Umgebung nicht angreifen. Resümee Hans G. Zeger: "Betrachtet man die enormen Summen, die bisher vergeblich in das Bankomat-Signatur-Projekt geflossen sind, hätte man um diesen Betrag schon die Onlinebanking-Nutzer auf das Token-Code-Verfahren umstellen können." Onlinebanking-Studie mehr --> Umfassende Studie zum Thema Onlinebanking erschienen mehr --> Die wichtigsten Online-Banking-Anbieter in Österreich mehr --> Presseinformation anläßlich der Vorstellung der Studie am 12.12.2006 mehr --> Die umfassende Onlinebanking-Studie Archiv --> Raffinierter Trojaner gefährdet Österreichs Onlinebanking-Kunden Archiv --> Phishing - iTAN-Lösung leicht geknackt Archiv --> Abgestürzt - Digitale Signatur auf Bankomatkarte andere --> Challenge-Code-Verfahren der Dresdner Bank andere --> Bankomat / Digitale Signatur - Europay andere --> Token Code Verfahren - SafeWord andere --> Token Code Verfahren - RSA SecurID andere --> VirtualMaschine - Lösung mIDentity Mobile Banking andere --> Graphisches Challenge-Response-Verfahren SecLookOn andere --> Biometrieverfahren eKey |
Die angezeigten Informationen sind nur zur persönlichen Nutzung bestimmt. Jede Weitergabe an Dritte ist unzulässig und ausdrücklich untersagt. Alle Angaben und Informationen ohne Gewähr. Trotz sorgfältiger Recherche besteht die Möglichkeit, daß einzelne Informationen veraltet, unklar oder unvollständig sind. Sollten Sie Kenntnis von derartigen Informationen erhalten, ersuchen wir Sie um Rückmeldung, damit wir die Daten raschest korrigieren können. e-commerce Ratingwerte geben die Einschätzung des e-rating-Teams zu der genannten Organisationen und Webshops wider. Diese Einschätzung muss nicht mit Einschätzungen anderer Rating-Organisationen oder mit der Selbsteinschätzung der bewerteten Organisation übereinstimmen. Es liegt in der Verantwortung jedes Benutzers des Informationssystems die Ratingwerte in geeigneter Weise zu interpretieren. Bei Nutzungsproblemen wenden Sie sich bitte an unseren Support! per fax ++43(0)1/4803209 oder per e-mail Online Hilfe Content Management System developed & powered by e-commerce monitoring gmbh |
| © e-commerce monitoring GmbH 2002-2010 | webmaster |