Onlinebanking Einstieg

Guten Abend,

Ich habe die Tage mein erstes Girokonto eröffnet (bei der Sparda-Bank) und werde es natürlich online verwalten. Aus Sicherheitsbedenken möchte ich das aber nicht auf meinem Hauptrechner tun, sondern auf einem Separaten, der dann auch nur dafür genutzt werden soll. Gestern kam ich zufälligerweise sehr günstig an ein gebrauchtes Lenovo ThinkPad T500 ran, das nun mein Onlinebanking-Notebook sein soll.
Ich halte es für sinnvoll ein Linux-Betriebssystem aufzuspielen, weiß aber nicht welches, da ich noch nie Linux benutzt habe. Ich kenne nur Ubuntu von Sempervideo...^^
Weiterhin wüsste ich noch gern, ob es eine zu krasse Sicherheitslücke darstellt, wenn ich das Notebook mit Wlan anschließe. (Es wäre halt komfortabler, da der Router im Raum nebenan ist...)
Generell wäre ich für ein paar Tipps dankbar, worauf ich beim Einrichten achten sollte, bei der Wahl der Software, eventueller Add-Ons etc. pp.

lg

Gegenvorschlag: Nutze einfach eine Bankingsoftware (z.B. Starmoney) und eine Antivirenprogramm. Dann bist du auch sicher. Die Bankingsoftware sicherst du mit einem Paßwort. Das riecht völlig (die Daten wird verschlüsselt gespeichert).

kannst auch einfachn usb stick mit nem livesystem nutzen, von dem du nur bootest, wenn du das online banking nutzen willst... das netbook kannste dann fürne andere spielerei nehmen

Gerade wegen der aktuellen TLS-Lücke und auf deinen Wunsch empfehle ich ein schlichte, aber solide Debian Installation, Kali Linux ist aber sicherlich auch interessant. So oder so ist wegen genanntem Link darauf zu achten, dass eine aktuelle Version von openssl verwendet wird, dies kann jedoch problemlos manuell erledigt werden.

Achso.. wieso nicht einfach eine virtuelle Maschine auf deinem Hauptrechner? So kannst du dir den Ankauf eines seperaten Gerätes sparen.

WLAN stellt generell kein Problem dar; du wirst dieses ja sicherlich per WPA2 verschlüsseln, nehme ich an. Außerdem sind Onlinebanking-Verbindungen ja sowieso SSL-verschlüsselt (heißes Thema aktuell, aber der OpenSSL-Bug wurde ja gefixed).

Da du nur Onlinebanking auf dem Rechner machen willst, brauchst du auch keine zusätzlichen Programme oder Addons. Nimm einfach den von Linux mitgelieferten Browser, das ist i.d.R. Firefox.
Linux & Browser aktuell halten (geht weitestgehend automatisch).

Die größten Sicherheitsrisiken im Zusammenhang mit Onlinebanking ist i.d.R. vom User unter Windows selbst installierte Schadsoftware (Raubkopien, ...), sowie gefälschte Phishing-Emails.

Für Online-Banking könnte sich auch Bankix empfehlen. Dann braucht man auch keinen separaten Rechner dafür.

Genau, das ist die perfekte Distribution dafür.

Ich nutze Hibiscus unter Windows und bin genau so zufrieden...

Ich bin ja neugierig... Lassen wir mal außen vor, dass der Bug tatsächlich erst geschlossen ist, wenn der Anbieter des Web- oder Mailservers die Lücke über ein Update etc. geschlossen hat. Der User selbst kann an diesem Thema ja nicht wirklich was ändern, außer den Rechner einfach auszuschalten.

Wird unter Linux nicht das gleiche Protokoll genutzt?

Das ist schon viel Aufwand... ich nutze Onlinebanking seit knapp 14 Jahren und habe nie ein besonderes Sicherheitskonzept dabei verfolgt. Probleme bis heute? Null !

Wichtig ist: sauberes Windows (keine China-DVDs von 20-Euro-Lizenzen und natürlich keine Szene-Downloads - man kann nicht wissen, was alles drin ist außer Windows, lieber die ISO von MS direkt ziehen und damit arbeiten. Ansonsten aktuelle Browser und eine adäquate Internet Security. Die Hauptsache aber ist der Zugriff auf das Konto an sich. Ich weiß nicht, welches Verfahren die Sparda anbietet, aber wenn es das iTan-Verfahren ist, ist man ganz gut versorgt.
Konkret: ich z.B. habe mein Konto bei der Norisbank. Zugang per Kontonummer und Online-PIN, die änderbar ist.
Damit kommt man auf's Konto rauf, kann sehen, was auf dem Konto passiert ist.
Aufträge erteilen kann man so gar nicht. Will man hier einen Auftrag erteilen, ist abschließend eine TAN (Transaktionsnummer) nötig.
Bei iTan wird von der Bank angezeigt, welche Nummer man von seiner Liste eingeben soll. Die Liste wurde zugeschickt.
Diese iTan ist nur 1x nutzbar. Gibt man eine falsche Nummer ein, verfällt die angeforderte Nummer und eine neue wird abgefragt.
Soweit ich weiß, 3x Fehler gemacht, Onlinezugriff gesperrt.

Im Umkehrschluss bedeutet das, dass ein Ausspionieren nichts bringt. Man könte lediglich den Kontostand und die Bewegungen ablesen, aber nichts überweisen. Und wenn Kriminelle den Datenverkehr einer gültigen Sitzung mitgeschnitten haben sollten, haben sie zwar PIN und iTAN, aber auch das ist dann eine Nullnummer, da die iTAN ja bereits verbraucht ist.
Insgesamt bedeutet das natürlich, dass man nicht unnötig unvorsichtig sein sollte, aber in völlige Panik muss man auch nicht verfallen.
Wer Angst hat, darf eben kein Online-Banking machen, dann würde sich vielleicht noch Telefonbanking anbieten.

Manche Banken bieten inzwischen auch mTan-Banking an. Das M steht für Mobile. Hier hat man keine Tan-Liste sondern es wird einem bei Überweisung oder anderen belastenden Aufträgen eine SMS mit der TAN auf das Handy des Kunden geschickt. Auch die gilt nur 1x.
Das Handy, nein die Rufnummer, ist vorher bei der Bank zu registrieren. Wäre aber blöd, wenn mal das Handy defekt ist gar verloren wurde, der Akku leer ist...

Eine iTAN Liste ist nicht sicher, da eben anfällig für auf den Rechner gelangte Schadsoftware ist.
Diese muss nur im Hintergrund den Empfänger ändern und deine mit der iTAN bestätigte Überweisung geht sonstwo hin.

Es gibt aber durchaus Verfahren, die auch bei einem völlig verseuchten System noch sicher sind.
Beispielsweise TAN-Generatoren oder SMS-TAN (falls das Handy nie mit dem PC verbunden wird).
Denn diese zeigen an, wohin die TAN die Überweisung schickt und sind im Falle des TAN-Generators nicht mit dem Internet verbunden und im Falle des Handys ist es zumindest unwahrscheinlich, dass dieses ebenfalls mit dem selben Virus infiziert ist.
Das Schlimmste, was dann noch passieren kann, ist, dass die Schadsoftware deinen Kontostand ausließt....

Wenn die Bank auf sichere Systeme setzt, braucht man daher keinen riesigen Aufwand betreiben.

Ansonsten einfach irgendein aktuelles System nehmen, das nur für Onlinebanking genutzt wird. Dann ist das Risiko verschwindend gering, irgendwie Schadsoftware auf das System zu bekommen

Eine auf Papier gedruckte TAN Liste wurde noch nicht gehackt. Geht auch nicht. Generierte TANs, die man mit einem Handy nutzt, die wurden schon gehackt. Oder besser, das Konzept dahinter.

Ich nutze auch immer noch Papier TAN. Nutze es schon seit BTX Zeiten. Auch zu Zeiten des Internets ging früher Online Banking nur im geschlossenen BTX System. Und ich begrüße das Verhalten meiner Bank, das sie auch noch Papier TANs anbietet. Wenn man sie nicht Dritten gibt, auf welche Art und Weise auch immer, (Phising oder Verlust des Blockes) sind sie eben immer noch die sichersten TANs.

Klar sind TAN-Listen anfällig für Man-in-the-middle-Attacken.

Am Sichersten sind definitiv ChipTan-Konzepte...

Also einige Vorschläge kommen mir fast so vor, als würde man mit Kanonen auf Spatzen schießen.
Ich benutze Onlinebanking auch schon seit Jahren und hatte noch nie Probleme.

Dein Sicherheitsbewusstes Denken ist lobenswert, aber in diesem Fall etwas übertrieben.
Nutze PapierTAN`s und vom Verwenden irgendeiner zusätzlichen Software würde ich Dir abraten, da diese wieder fehlerhaft und somit ein Sicherheitsproblem darstellen kann. Auch das Verwenden von irgendwelchen zusätzlichen Geräten zur TAN-alternativen Verifikation sollte man vermeiden.

Es wäre generell überlegenswert auf eine Linux Distri umzusteigen, allein der allgemeinen Sicherheit wegen - dann brauchst de auch keine Antivirensoftware.

Dies ist aber nur optional

Gruß

Ich nutze online Banking auch shon was länger und benutze dafür meistens mein ipad.
Hab das SMS tan verfahren und hatte bis jetzt auch keine Probleme also ich denke man muss da jetzt keine besonderen Sicherheitsmaßnahmen ergreifen halt nur drauf achten auf welche Seiten man geht.

Lar337 schrieb:

... Es gibt aber durchaus Verfahren, die auch bei einem völlig verseuchten System noch sicher sind.
Beispielsweise TAN-Generatoren oder SMS-TAN (falls das Handy nie mit dem PC verbunden wird).

Zum Vergrößern anklicken....

Genau das, denke ich, ist entscheidend. Man nutze 2 Kanäle und schon ist die eigene Sicherheit deutlich gesteigert. Für SMS am besten einen "Uralt"-Knochen (also ein Handy und kein smartes Phone mit OS) , wie ich ihn noch habe und nutze.
Oder eben TAN-Generatoren in eigener Hardware, die nur für diesen Zweck gebaut ist.

Aber eben nicht, wie viele dies tun, diese 2 eigentlich getrennten und damit sicheren Kanäle in einem Gerät (was sich smartes Phone nennt) bündeln !

Der wichtigste Sicherheitsaspekt und Fehlerquelle bei sowas ist immer noch der Menschen! Viele Probleme kann man "gesunden" Menschenverstand lösen bzw. umgehen. Wichtig ist richtig auf Phising-Mails oder ähnliches richtig zu reagieren. Zusätzlich hilft ein vernünftiges Antivirenprogramm. Ich nutze Onlinebanking in Kombination mit Starmoney seit gut 15 Jahren und ich habe keine Probleme gehabt.

(By the way: alles kann geknackt werden, die Frage ist nur mit welchem Aufwand und Erfindungsreichtum. Das SMS-TAN Verfahren wurde auch schon ausgehebelt.)

(By the way: alles kann geknackt werden, die Frage ist nur mit welchem Aufwand und Erfindungsreichtum. Das SMS-TAN Verfahren wurde auch schon ausgehebelt.)

Zum Vergrößern anklicken....

Für ChipTAN gibt es keinen Angriffspunkt.

smsTAN ist unsicher sobald beide Geräte kompromittiert worden sind.


Mal ganz abgesehen davon, Schadensfälle werden fast immer durch die Banken gedeckt. Desweiteren nehmen die Angriffe auf Grund der gestiegenen Sicherheitsvorkehrungen extrem ab. Es gibt einfach viel einfachere Wege um an Geld zu kommen.

Blödheit außen vor, muss man bei Windows nunmal Programme aus dem Internet installieren, die zum größten Teil closed Source sind.
Dem dadurch entstehenden Risiko kann man nur teilweise durch Menschenverstand umgehen, eher jedoch, indem man eben eine eigene Windows-Installation nur fürs Banking einsetzt und so deutlich weniger Programme braucht.

Linux Distributionen sind in der Hinsicht besser, weil man quasi alle benötigten Programme aus einer sicheren Paketquelle bekommt. In der Regel Open Source.

Beide Methoden sind ausreichend sicher - meiner Meinung nach schon übertrieben, aber trotzdem nicht 100% sicher.

TAN-Generatoren oder SMS-TAN sind hingegen 100% bzw "99"% sicher. Ganz egal mit welchem System.
Bei SMS-TAN darf nur das Handy nicht den selben Virus haben

klenamenis schrieb:

...empfehle ich ein schlichte, aber solide Debian Installation...

Zum Vergrößern anklicken....

Ich habe mich letztlich für Ubuntu entschieden, da

Daaron schrieb:

Ubuntu = Debian + aktuellere Pakete + benutzerfreundlicherer Aufbau.

Zum Vergrößern anklicken....

klenamenis schrieb:

Achso.. wieso nicht einfach eine virtuelle Maschine auf deinem Hauptrechner? So kannst du dir den Ankauf eines seperaten Gerätes sparen.

Zum Vergrößern anklicken....

Der Ankauf war schon längst erfolgt und jetzt möchte ich das Notebook auch dafür nutzen... Außerdem brauche ich es gerade nicht

tsukabaru schrieb:

fürne andere spielerei.

Zum Vergrößern anklicken....

HaveFun schrieb:

WLAN stellt generell kein Problem dar; du wirst dieses ja sicherlich per WPA2 verschlüsseln, nehme ich an.

Zum Vergrößern anklicken....

Ja habe ich, danke für den Hinweis.

Sterntaste schrieb:

Ich weiß nicht, welches Verfahren die Sparda anbietet, aber wenn es das iTan-Verfahren ist, ist man ganz gut versorgt.

Zum Vergrößern anklicken....

Ja, die Sparda bietet Papier-Tan-Listen, also iTan an.

Lar337 schrieb:

Eine iTAN Liste ist nicht sicher, da eben anfällig für auf den Rechner gelangte Schadsoftware ist.
Diese muss nur im Hintergrund den Empfänger ändern und deine mit der iTAN bestätigte Überweisung geht sonstwo hin.

Zum Vergrößern anklicken....

Sehr schön kann man das in diesem Artikel hier nachlesen, der wohlgemerkt von 2005 ist...

Auch wenn iTan nicht das sicherste Tan-Verfahren ist, denke ich, dass ich jetzt mit meinem Onlinebanking-Ubuntu-Notebook ziemlich sicher bin. Außerdem habe ich, zu all den technischen Sicherheitsmaßnahmen, ja auch noch brain.exe...

brain.exe hat das falsche Binärformat für Unixoide...
Außerdem wird brain.exe deutlich überschätzt. Sie schützt dich nicht vor Drive-By - Infektionen, hilft dir kaum bei MITM, schützt dich erst recht nicht vor Dingen wie der Heartbleed-Lücke und auch bei gut geplantem Social Engineering ist es keine Schande, wenn brain.exe gnadenlos floppt.