News Online-Banking wird langsam zum Standard

[commandercool]

keine ahnung haben, aber dumme kommentare abgeben.
es ist 1 passwortabfrage, nicht 6. das sollte man sich gerade noch merken können. und wenn man seinen rechner nur selbst nutzt, kanns man auch gleich im browser abspeichern.
unterlagen brauchst ggf. auch keine.
dazu kann man die daten von wiederkehrenden überweisungsempfängern direkt mit abspeichern, und braucht später nur noch den betrag einsetzen.
und nicht zuletzt regelmäßige kontrolle der kontobewegungen möglich, ohne dass man alle 2 tage kontoauszüge holen muss...
also wenn das bei der bank bequemer sein soll, ist dir nicht mehr zu helfen.

 

[Blizzard]

da passe ich mit 15 gar nicht in die statistik,
habe schon mit anfang 14 (ab da ist das möglich) onlinebanking, auch wenn die bank gegenüber ist.
durch den tan-leser der volksbank habe ich auch keine listen,
einfach nur karte rein, 2 zahlen eintippen, 1 in den pc und weg ist die kohle.
ohne den leser und die bankkarte ist es nicht möglich überweisungen durchzuführen.
sogar das login-daten-speichern wird bei der volksbank unterbunden, nur wie ist mir ein rätsel.
zumal online-banking inzwischen sicherer sein sollte (wenn man nicht bestimmte emails öffnet..), kommt ja immer häufiger vor das direkt am automat mit nem anbau+cam kohle deutlich einfacher abgezockt wird.
onlinebanking= sehr bequem und inzwischen auch sicherer, ohne bankkarte+tan-leser geht 0

 

[Agorath]

Zum Thema der Unsicherheit des Online Bankings

Solange weiterhin Verfahren wie PIN/TAN und seine diversen Varianten eingesetzt werden, ist es leider kein Wunder das immer von der Unsicherheit des Online Bankings gesprochen wird.

Das Problem an diesen Verfahren ist und bleibt die anfälligkeit für verschiedene Angriffe wie Man-in-the-Middle, Trojaner/Viren/Würmer und was es noch so alles gibt. Da sich der Nutzer über eine Webseite bei der Bank anmeldet, welche nun mal optisch relativ leicht gefälscht werden kann, ist es kein Wunder das eine Vielzahl an Phishing Mails unterwegs sind, welche versuchen die ahnungslosen Benutzer auf derlei gefälschte Seiten zu locken.
Problematisch ist weiterhin die Sicherheit der eigentlichen Verbindung zur Bank, da diese "nur" über SSL gesichert ist, ist es für einen Angreifer heutzutage relativ einfach den Zertifikatsaustausch bei der Initialisierung der Verbindung zu Manipulieren und so alle gesendeten Daten abzufangen und sie dadurch auszuspähen oder zu manipulieren.

Aufgrund des geringen Aufwands und der geringen Kosten für Bank und Kunde werden daher von den Banken, trotz der Sicherheitsbedenken, fast nur das PIN/TAN-Verfahren und seine diversen Varianten (MTAN, etc) beworben.

Dabei gibt es auch das HBCI-Verfahren, HBCI steht hierbei für "Homebanking Computer Interface" (zukünftig abgelöst durch FinTS - "Financial Transaction Services"), welches auf starke Verschlüsselungsverfahren mit Hilfe von RDH- oder DDV-Chipkarten und eindeutiger Digitaler Signatur, zur Verschlüsselung und Signierung der Transaktionen, setzt.
Vorteil dieser Verschlüsselungsmethoden ist, dass zwischen Bank und Kunde kein aktiver Schlüsselaustausch über das unsichere Internet erfolgt, da die Schlüssel beider Seiten bereits bekannt sind. Die entsprechenden Schlüssel werden direkt bei der Ausstellung der Chipkarte von der Bank auf eben diese gespeichert.
Weiterhin wird das Online Banking nicht über eine Webseite betrieben, es muss stattdessen eine extra Homebanking-Software eingesetzt werden. Zusätzlich muss sich der Kunde an der Chipkarte immer per PIN-Eingabe authentifizieren.

Nachteil und auch einer der Hauptgründe für die geringe Verbreitung des Verfahren ist eben der hohe Aufwand für die Bank zur Bereitstellung der gesamten HBCI-Sicherheitsarchitektur und natürlich die Kosten für den Kunden, welcher sich aus eigener Tasche ein Kartenlesegerät für ca. 50€ kaufen muss.

Natürlich können selbst diese strengen Sicherheitsvorkehrungen nicht vor einem mit Trojanern infizierten Rechner schützen, auch wenn diese Trojaner extra auf die vom Benutzer eingesetzte Homebanking Software zugeschnitten sein müssen.

Natürlich gibt es auch Konzepte um auch Trojanern vorzubeugen und zwar wird dabei z.B. auf eine Homebanking Software für das Betriebssystem Linux gesetzt, welche dann in eine Linux Live-CD wie z.B. Knoppix integriert wird. Wenn sichergestellt werden kann das diese Live-CD mit integriertem Homebanking Programm Viren frei ist, ist der Benutzer optimal geschützt, da der Computer von der Viren freien CD gebootet wird und daher kein Trojaner dazwischen Funken kann.
Ein solches Verfahren wird z.B. bei der Homebanking Software Mon€yP€nny geboten.

Hier gibt es weitere Informationen zu HBCI und hier zu FinTS.

Ich habe mich hier natürlich sehr kurz gefasst und nur die "wichtigsten" Punkte angerissen, ich hoffe ich konnte den ein oder anderen für das HBCI-Verfahren interessieren.

Gruß
Agorath

 

[bensen]

ja ist schon praktisch
auch wenn die bank vor der haustür ist. da stehen dann doch immer so spezis am überweisungsautomat und bekommen es nicht gebacken. da wartet man sich dann auch tot.
fehlt nur noch das man sich das geld selber drucken kann

 

[Chakotay192]

Ich bekomme meine TAN Nummer (online Unterschrift) immer wenn ich auf "Unterschreiben" klicke - per SMS zugesendet. Immer eine neue und das ist ziemlich sicher ^^

 

[LiveWire]

Einziger Vorteil von Online Banking ist das man als Nutzer mit geringsten Computer Kenntnissen großen Komfort erfährt. Ja das klingt nicht gerade elitär und steht auch im Gegensatz zur Aussage über den Bildungsstand, ist aber Realität und soll auch so sein laut Marketing. Die Bank hat dadurch auch Vorteile, denn sie spart sich Mitarbeiter in den Filialen (oder gleich die komplette Filiale) und wenn was bei der Transaktion in die Hose geht, dann war es nicht die eigene Ausstattung sondern ein Benutzerfehler, Stichwort: Kulanz.

Man kann noch recht viel Polemik zum Thema beisteuern. Fakt ist aber: Die Banken sparen gerne bei der Sicherheit am Kunden, ob das nun die üblichen Plastikkärtchen mit steinalter Technik sind oder die populären PIN/TAN Spielchen, das nimmt sich beides nicht viel, wenn genügend kriminelle Energie auf der Seite des Angreifers steht.

Die ausgefeilteren Lösungen von denen Agorath sprach sind zumindest schon mal ein guter Ansatz und in etwa vergleichbar mit dem Terminal bei der Bank. Das Terminal meiner Bank läuft übrigens mit Windows XP oder Windows 2003 (verräterisches Wallpaper bei Defekt sichtbar). "Irgendein Linux" muss dabei aber auch nicht gleich besser sein. Bei alten Live CDs sollten die Exploits und Schwachstellen bekannt sein... tja und dann war da ja noch das OpenSSL Debakel bei Debian...

Knoppix ist übrigens auch eine debianbasierte Distribution, wie auch Ubuntu.

Sicherheit ist halt so eine schwierige Sache, sie kostet Aufmerksamkeit und meist auch Geld, aber ich hoffe trotzdem das sich demnächst zeitgemäße Technik bei den Banken durchsetzt.

//edit: Albert_Wesker
Werden diese Nachrichten verschlüsselt und signiert? Andernfalls könnte man die Information abgreifen. Da könnte die Bank das auch gleich per Twitter schicken.

 

[Sebl]

Also ich bin jetzt 23 und nutze seit 6 Jahren Onlinebanking. Ich hatte nie Probleme damit, es geht einfach schneller. Letztes Jahr hat meine Bank auch nen neues TAN Verfahren eingeführt (vorher gabs nur die Bögen mit 30 TANs und das wars). Ich glaube sm@rt TAN heisst das. Man bekommt so nen kleinen Kartenleser, in dem man seine Karte stecken muss und 2 online angezeigte Codes. Dann wird eine neue TAN berechnet die für 5 Minuten gültig ist. Das empfinde ich schon als sehr sicher. Phishing wird damit unmöglich gemacht und es kommt nur jemand an meine TANS, wenn er meine PIN, das Lesegerät und meine Kundenkarte hat!

Die größte Unsicherheit beim Onlinebankung ist einfach der Faktor Mensch. Da werden TAN-Bögen eingescannt, brav Phishingmails beantwortet, die PIN im IE gespeichert, etc. ...

 

[::.KS.::]

Nutze auch das sm@rt-TAN plus Verfahren.

siehe über mir.

@ Sebl: Die eine Nummer die man eingibt ist ein Teil der
Kontonummer zu der der Auftrag geht, d.h. selbst wenn man die
TAN hat kann damit nicht nur 5 min lang nur etwas überweisen,
sondern auch nur auf das von dir vorher eingegebene Empfängerkonto.

Die TAN ist also für einen Phisher usw. völlig nutzlos.

 

[Agorath]

Die ausgefeilteren Lösungen von denen Agorath sprach sind zumindest schon mal ein guter Ansatz und in etwa vergleichbar mit dem Terminal bei der Bank. Das Terminal meiner Bank läuft übrigens mit Windows XP oder Windows 2003 (verräterisches Wallpaper bei Defekt sichtbar). "Irgendein Linux" muss dabei aber auch nicht gleich besser sein. Bei alten Live CDs sollten die Exploits und Schwachstellen bekannt sein... tja und dann war da ja noch das OpenSSL Debakel bei Debian...

Knoppix ist übrigens auch eine debianbasierte Distribution, wie auch Ubuntu.

Gut ich muss gestehen aus Zeitmangel und weil ich nicht wollte das der Text zu lang wird, habe mich dazu hinreißen lassen einfach nur das Schlagwort Linux "rauszuwerfen".
Natürlich muss auch bei der auf der Live-CD eingesetzten Linux Distribution auf eine hohe Aktualität geachtet werden um nicht Opfer einer alten und eigentlich schon lange geschlossenen Sicherheitslücke zu werden.

Zum Thema des OpenSSL Debakels bei Debian basierten Distributionen.
Soweit ich dahingehend informiert bin, betrifft dieses Problem "nur" die Erstellung neuer Zertifikate, die durch einen Fehlerhaften Pseudo-Random Algorithmus vorhersagbar und damit unsicher sind.
Dadurch ist jedoch nicht die von mir erwähnte Homebanking Software "Mon€yP€nny" betroffen, hier wird zwar OpenSSL eingesetzt um die Transaktionsdaten zu verschlüsseln und zu signieren. Da die Zertifikate, im Falle des RDH-Verfahrens, aber schon bei der Ausstellung der Karte generiert wurden, ist das Verfahren trotzdem sicher, weil mit bereits existierenden Zertifikaten gearbeitet wird und keine neuen erstellt werden.

Natürlich bleibt da zu hoffen das die Banken keine unsichere OpenSSL-Version bei der Generierung der Zertifikate eingesetzt haben!

Gruß
Agorath

 

[freekguy]

Oh Gott, ich komme mir gerade altmodisch vor. Ich habe noch nie Onlinebanking genutzt und habe es auch nicht vor. Die paar Überweisungen die ich machen muss sind meist schon Vordrucke die ich nur noch zuende ausfüllen muss und die werfe ich dann in der Bank in den Sammelkasten. Einfacher geht es nicht finde ich. Denn ich bewege mich häufig in der Stadt und da ist online Banking immer etwas schwierig. Vor allem weil ich mir keine Datentarife leisten will. Ich genieße einfach auch die Zeit in der ich nicht im Internet hänge.

 

[StuffedLion]

Ich kann mir gar nicht vorstellen, wie man ohne online banking überhaupt leben kann...

mach das eigentlich seit ewigkeiten so und war auch einer der ersten, die ihre konten auf reine online banken umgestellt haben. filialen? brauch ich nicht.

 

[DerrickDeluXe]

online banking ist einfach die beste methode weil es einfach so bequem ist!
ich versteh nicht wie man es nicht machen kann!
ich danke dem erfinder des online bankings für diese gabe!

Davon mal abgesehen verlangen viele Banken auch noch Geld, wenn man eine Überweisung auf die "altmodische" Variante durchführt.

Ich habe sicher schon 500 Überweisungen online ausgeführt, aber wurde noch nicht "gehackt" oder "gephishingt".

 

[PP_cl]

mache ich auch nicht habe ja nur 10m ist also @home^^