Ha­cker ge­fähr­den On­li­ne-Ban­king

Rheinische Post Goch - - WIRTSCHAFT - VON HEN­NING BULKA UND REIN­HARD KOWALEWSKY

Straf­tä­ter in­fi­zie­ren mitt­ler­wei­le täg­lich tau­send­fach die Com­pu­ter von Bank­kun­den. Nun wur­de ein Scha­den von ge­schätzt rund ei­ner Mil­li­on Eu­ro ver­ur­sacht, weil Kri­mi­nel­le Mo­bil­funk­zu­gän­ge der Te­le­kom knack­ten.

BONN Ei­ne neue Be­trugs­se­rie beim On­li­ne-Ban­king ver­un­si­chert die Kun­den. Bei meh­re­ren Dut­zend Kun­den ha­ben Straf­tä­ter es ge­schafft, In­ter­net­kon­ten von Bür­gern an­zu­grei­fen, in­dem sie ih­ren Com­pu­ter aus­spio­nier­ten und dann mit ma­ni­pu­lier­ten SIM-Kar­ten die ver­sand­ten Si­cher­heits­codes (mTan) ab­grif­fen. Der Scha­den wird auf mehr als ei­ne Mil­li­on Eu­ro ge­schätzt, min­des­tens ei­ne Staats­an­walt­schaft in Bay­ern er­mit­telt, bei ei­nem Kun­den der Post­bank ka­men rund 25.000 Eu­ro weg. Wo liegt das Haupt­pro­blem? Kri­mi­nel­le und an­de­re Grup­pen at­ta­ckie­ren zu­neh­mend die Com­pu­ter von Bür­gern und Un­ter­neh­men, um sie aus­zu­spio­nie­ren oder um die Ge­rä­te zu ma­ni­pu­lie­ren. Vor ei­nem Jahr warn­te die Deut­sche Te­le­kom 45.000 bis 65.000 Kun­den im Mo­nat da­vor, dass ih­re Rech­ner wohl at­ta­ckiert wur­den, ak­tu­ell wer­den be­reits 200.000 sol­che Mails oder Brie­fe pro Mo­nat ver­sandt. Weil nur ein Teil der In­ter­net­zu­gän­ge in Deutsch­land über den Bon­ner Kon­zern läuft, wer­den al­so si­cher mehr als 500.000 In­ter­net­zu­gän­ge im Mo­nat an­ge­grif­fen. Was ist pas­siert? Zu­erst „fisch­ten“die Straf­tä­ter vom PC aus die Kon­to­da­ten ei­nes Bür­gers ab in­klu­si­ve des Ein­wahl­codes, den man beim An­mel­den ein­tippt. Gleich­zei­tig spio­nier­ten sie sei­ne Han­dy­num­mer aus, auf die die mo­bi­len Si­cher­heits­codes ge­schickt wer­den. Dann brach­ten sie mit ei­nem Trick die Te­le­kom da­zu, ei­ne zwei­te SIM-Kar­te auf die Mo­bil­fun­k­num­mer des Kun­den aus­zu­stel­len. Und dann über­wie­sen sie in meh­re­ren Tran­chen Geld auf meh­re­re Kon­ten und be­stä­tig­ten die Zah­lung mit mTanCo­des. Wie kön­nen sich Kun­den schüt­zen? Grund­sätz­lich muss je­der Mo­bil­funk­kun­de wis­sen: Wenn ei­ne zwei­te Mo­bil­funk­kar­te auf ei­ne Num­mer aus­ge­stellt wird, wird dies mit ei­ner SMS auf die ers­te SIM-Kar­te be­stä­tigt. Bür­ger soll­ten al­so SMS im­mer le­sen, um zu er­fah­ren, ob mög­li­cher­wei­se ei­ne zwei­te, fak­tisch ge­fälsch­te SIM-Kar­te aus­ge­stellt wur­de – und wenn das pas­siert, ist man ge­warnt. Viel wich­ti­ger ist, den Com­pu­ter vor An­grif­fen zu schüt­zen: Die Te­le­kom aber auch die an­de­ren In­ter­net­kon­zer­ne emp­feh­len Kun­den dar­um drin­gend, ei­nen ak­tu­el­len Vi­ren­schutz auf ih­rem Rech­ner zu in­stal­lie­ren, Soft­ware ak­tu­ell zu hal­ten und sich über Phis­hin­gMe­tho­den und wei­te­re An­griffs­mög­lich­kei­ten zu in­for­mie­ren. Müs­sen die Kun­den ih­re Ver­lus­te sel­ber tra­gen? Da­von ist nicht aus­zu­ge­hen. Die Ban­ken er­stat­ten Schä­den bei On­li­ne-Ban­king in der Re­gel, weil sie ein ho­hes In­ter­es­se an der Nut­zung von di­gi­ta­len Über­wei­sungs­we­gen ha­ben, um Per­so­nal­kos­ten zu spa­ren. Vor­aus­set­zung ist, dass der Kun­de Op­fer ei­ner Straf­tat war. Ist Ban­king mit mo­bi­len Co­des grund­sätz­lich un­si­cher? Eher nein, die Straf­tä­ter müs­sen ja ei­ne zwei­te SIM-Kar­te er­hal­ten, um ein Kon­to kna­cken zu kön­nen. Die Te­le­kom hat be­reits er­klärt, dass sie die ak­tu­el­len Si­cher­heits­lü­cken ge­schlos­sen hat. Händ­ler oder schein­ba­re Händ­ler konn­ten näm­lich ei­ne SIM-Kar­te sehr ein­fach mit ei­nem An­ruf ak­ti­vie­ren – das geht nun nicht mehr. Vo­da­fo­ne er­klärt gleich­zei­tig, ei­ne sol­che Ak­ti­vie­rung von zwei­ten SIM-Kar­ten wä­re nur mit be­stimm­ten Si­cher­heits­codes mög­lich. Ist es si­che­rer, ein Kon­to mit auf Pa­pier er­hal­te­nen TANs zu ver­wal­ten? Nein. Ein­bre­cher könn­ten sol­che Zet­tel fin­den. Zwei­tens wird häu­fig Schad­soft­ware in­stal­liert, die Über­wei­sun­gen ma­ni­pu­lie­ren kann. Der Nut­zer be­stä­tigt al­so auf dem Bild­schirm ei­ne Zah­lung auf ein be­kann­tes Kon­to, tat­säch­lich wird der Co­de miss­braucht. Ist der TAN-Ge­ne­ra­tor am si­chers­ten? Ja. Die­ses Ge­rät ist nicht mit dem In­ter­net ver­bun­den und kann nicht ma­ni­pu­liert wer­den. Für ei­ne Über­wei­sung braucht der Nut­zer sei­nen Com­pu­ter und sei­ne EC-Kar­te. Die­se wird in den Ge­ne­ra­tor ge­scho­ben. Nach dem Aus­fül­len der Über­wei­sung im Brow­ser zeigt das On­li­ne-Ban­king ei­nen flim­mern­den Co­de an. Vor die­sen hält der Nut­zer sei­nen TAN-Ge­ne­ra­tor. Die­ser liest dann die Über­wei­sungs­da­ten aus und zeigt die­se dem Nut­zer auf dem Ge­ne­ra­tor an, be­vor die ei­gent­li­che TAN ge­ne­riert wird. Der Clou: Der Ge­ne­ra­tor zeigt im­mer an, für wel­che Über­wei­sung die­se TAN tat­säch­lich ein­ge­setzt wer­den soll. Ei­ne ma­ni­pu­lier­te Über­wei­sung wür­de auf­fal­len.

FOTO: IMAGO

Die Deut­schen kau­fen im­mer häu­fi­ger im In­ter­net, er­le­di­gen dort ih­re Geld­ge­schäf­te und kom­mu­ni­zie­ren. Doch da­bei lau­ern auch Ge­fah­ren.

Newspapers in German

Newspapers from Germany

© PressReader. All rights reserved.