Augsburger Allgemeine (Ausgabe Stadt)
Die Tücken des Online Bankings
Finanzen Nach dem Angriff auf das Netz des Telekommunikations-anbieters O2 stellen sich viele Fragen: Wie sicher ist das Tan-verfahren? Und vor allem: Wer haftet im Schadensfall?
Augsburg Das von vielen Bankkunden verwendete M-tan-verfahren galt bislang als zuverlässig. Nach dem aktuellen Betrugsfall (wir berichteten) herrscht jedoch weiter Verunsicherung. Denn Internetbetrügern ist es gelungen, das M-tanverfahren auszuhebeln und etliche Online-bankkonten zu plündern.
Betroffen waren Kunden des Telekommunikationsunternehmens O2. „Ein krimineller Angriff aus dem Netz eines ausländischen Providers hat Mitte Januar dazu geführt, dass eingehende SMS für vereinzelte Rufnummern in Deutschland unbefugt umgeleitet wurden“, teilte das Unternehmen dazu mit.
Dass es sich um eine altbekannte Schwachstelle im sogenannten Ss7-netzwerk handelt, bringt den Telekommunikationsriesen aber in Erklärungsnot. Zwar hat das Unternehmen die Sicherheitslücke bereits behoben, doch Experten sind sich uneins, ob das M-tan-verfahren tatsächlich noch sicher ist. Sie empfehlen Alternativen. Hier die wichtigsten Fragen und Antworten zu diesem Thema:
Wie sicher ist das M-tan-verfahren?
Beim sogenannten M-tan-verfahren müssen sich Bankkunden mit ihrer Mobilfunknummer bei ihrer Bank oder Sparkasse anmelden. Das Geldhaus verschickt bei jeder Überweisung die entsprechende Tannummer per SMS auf das Handy des Kunden. Nach den jüngsten Hacker-angriffen steht diese Methode allerdings auf dem Prüfstand. Die deutsche Kreditwirtschaft spricht von einem „Einzelfall“und weist darauf hin, „dass die M-tan ein technisch sicheres Legitimationsverfahren beim Online-banking ist“. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) sieht das anders. „Auf die Schwachstelle im Ss7-protokoll weisen wir schon seit einigen Jahren hin“, kritisiert Bsi-präsident Arne Schönbohm. Die Bundesbehörde empfiehlt Verbrauchern, auf das M-tan Verfahren zu verzichten.
Welche anderen Tan-verfahren sind empfehlenswert?
Bankkunden haben in Sachen On- eine breite Auswahl. Ob M-tan, Push-tan oder Phototan: Bei der Fülle von Legitimationsverfahren können Verbraucher schnell den Überblick verlieren. Chris Wojzechowski, Projektleiter am Institut für Internet-sicherheit, empfiehlt Verbrauchern das sogenannte Chip-tan-verfahren. Bei dieser Methode wird die Tan-nummer mit einem speziellen Lesegerät erstellt. „Wer hauptsächlich Onlinebanking von zu Hause betreibt, ist mit dem Chip-tan-verfahren auf der sicheren Seite“, rät Wojzechowski. Für noch sicherer stuft der It-experte das Hbci-verfahren ein, das auch mit einem Chipkartenleser funktioniert: „Da diese Methode von Verbrauchern kaum genutzt wird, ist das Interesse von Internetkriminellen, hier aktiv zu werden, eher gering.“Das Verfahren HBCI (Homebanking Computer Interface) basiert auf einer ver- schlüsselten Kommunikation Bank und Kunde über spezielle Chipkarte.
Ist die Push-tan-methode sicher?
Von diesem Verfahren sollten Bankkunden lieber die Finger lassen. „Da wird die Zwei-faktoren-sicherheit aufgebrochen. Überweisungen laufen bei diesem Verfahren nur über ein Endgerät, eben das Smartphone. Die Praxis zeigt jedoch, dass die Apps mit Schadsoftware ausspioniert werden können“, warnt Experte Wojzechowski.
Wer haftet im Schadensfall?
zwischen eine
„Grundsätzlich haftet die Bank für jede Überweisung, die nicht direkt vom Bankkunden autorisiert wurde. Sie kann aber Schadensersatzansprüche geltend machen. Bei grober Fahrlässigkeit kann die Bank sogar die komplette Schadenssumme verlangen“, warnt der It-rechtsexperline-banking te Christian Solmecke. Als grobe Fahrlässigkeit gilt bereits, wenn Bankkunden eine veraltete Virensoftware auf dem Rechner installiert haben. Im aktuellen Fall handelt es sich um eine Schwachstelle im sogenannten Ss7-netzwerk, die bereits seit 2014 öffentlich bekannt ist. „Trotz dieser Kenntnis wurde die Schwachstelle von O2-telefonica weder behoben noch gemeldet. Im Verhältnis zum Kunden ist darin eine schuldhafte vertragliche Pflichtverletzung zu sehen. Es ist daher wahrscheinlich, dass am Ende O2 für die entstandenen Schäden einstehen muss“, so das Urteil von Experte Solmecke.
Wichtige Tan Verfahren
SMS Tan, Mobile Tan, M Tan Hier erhält der Kontoinhaber die Tan per SMS auf das Mobiltelefon, um den Überweisungsvorgang ab zuschließen. Experten raten von die sem Verfahren aber ab.
Chip Tan Hier können Bankkun den mittels eines speziellen Chip geräts in Kombination mit der Giro karte Tans erzeugen. Dieses Ver fahren gilt als besonders sicher, da die eingehenden Tans lediglich auf dem Display erscheinen.
Photo Tan Auch dieses Verfahren funktioniert mit dem Smartphone samt spezieller App. Nach dem Ein tippen der Überweisungsdaten wird ein Code auf dem Bildschirm an gezeigt. Ausschlaggebend für die Datensicherheit ist hier die Pixelung des QR Codes.
Push Tan Für dieses Verfahren müssen sich Verbraucher eine spe zielle App auf das Smartphone laden. Nach jeder Überweisung können sie darüber eine Tan anfordern und direkt ins Online Banking übertra gen. Die Methode gilt als verhältnis mäßig unsicher, da die komplette Überweisung auf einem Endgerät ab gewickelt wird.
Tan Liste Die EU Zahlungs dienstrichtlinie PSD2 bestimmt, dass die Tan Listen beim Online Banking nicht mehr sicher genug sind. Sie sollen bis 2018 aus dem Verkehr gezogen werden. (biallo)