Onlinebanking sicher? Starmoney + iTan

[sunset_rider]

Hallo,

eine Diskussion brachte mich dazu, mal wieder zu überlegen, wie sicher meine Banking Vorgänge eigentlich sind.
Beim Onlinebanking setze ich Starmoney + iTan ein. Wenn man mal von der meines Wissens noch nie vorgekommene Tatsache absieht, dass Starmoney gehackt werden könnte, ist das Verfahren meines Erachtens sehr sicher. Selbst wenn ein Keylogger am Werk wäre, zumal der sowieso schnell agieren müsste, da einmal angeforderte tans ohne Eingabe innerhalb kurzer Zeit daraufhin verfallen. Anhand Starmoney sehe ich ja grundsätzlich immer, ob meine Aktion erfolgreich durchgeführt wurde.

Liege ich mit meiner Einschätzung richtig?

 

[K3ks]

Durch die Itan-Listen finde ichs auch relativ sicher. Aber bekanntlich kann alles passieren... Selbst wenn die nen Acc+Pw hamn, ohne Itan keine Transaktion.

 

[sunset_rider]

Und die iTans, selbst wenn per Keylogger abgezogen, müsste:

1.) innerhalb weniger Sekunden vor Verfall benutzt werden
2.) der Trojaner müsste die Bank identifizieren und sich dann dort mit meinem Benutzernamen, den ich in Starmoney natürlich fest drin habe, einloggen.

Zudem ahbe ich noch als Zusatzschutz Onlineüberweisungen auf 400 Euro beschränkt. Das reicht oft aus. Für die paar anderen Fälle mache ich nach wie vor Papierüberweisung, die ich persönlich abgebe.

Ich überlege eben auf HBCI Card umzusteigen. Allerdings ist mir die Sache zu umständlich, da ich eigentlich davon ausgehe schon jetzt derart geschützt zu sein, dass selbst im schlimmsten Betrugsfall ich meine Vorsorgepflichten 10x erfüllt habe.

Eigentlich fürchte ich viel mehr, dass durch Skimming (gehe nicht mehr an Automaten) oder gefälschte Papierüberweisungen Schäden möglich sind. Die Bankverbindung an sich kennen ja in Zeiten des Internets schon genug Leute, selbst wenn man mal illegalen Datenhandel außen vor lässt. Dass Banken Unterschriften kaum/unzureichend überprüfen, wurde ja mehrfach nachgewiesen.

 

[x-sector]

"HBCI Card" überlege ich mir auch seit monaten. allerdings bindet einen das schon wieder mehr oder weniger an zu hause.

ich warte noch ein weile ... aktuell gehts da ja wieder weiter mit neuen entwicklungen.

bis jetzt gefällt mir das der postbank gut. bin da aber leider nicht.
ähnlich wie itan .. aber mit SMS der tan wenn man eine überweisung beauftragen will.
praktisch .. wenn man unterwegs ist. relativ sicher auch .. da die TAN ..selbst wenn die sms abgefangen wird .. nur für diese überweisung gültig ist. außerdem wird keine unpraktische itan liste mehr benötigt.

edit#
müsste das hier sein..
http://www.postbank.de/-snm-0184330...3D5214C48C52B6BFE5CE99B3442E.f091?hl=tan+smsm

ein anderes problem .. leider werden nicht alle verfahren von gängigen sw lösungen unterstützt.
nutze für meine privaten finanzen gerne haushalts finanz tools.
aber wer hat schon lust alle kontobewegungen manuell einzupflegen :-/

 

[miTo]

Bei meiner Bank ist diese "TAN per SMS" Methode auch möglich... allerdings habe ich bislang davon abgesehen, da pro gesendeter SMS eine Gebühr von 9 Cent erhoben wird... Und das ist es mir ehrlich gesagt nicht wert, da ich mich durch das iTAN Verfahren durchaus sicher fühle...

Ich habe zu Hause einen iTAN Bogen (auf Papier) mit durchnummerierten TANs. Bei einer Transaktion wird ein bestimmter TAN dieser liste direkt verlangt (z.B. "Geben sie TAN Nummer 147 ein"). Dieser ist auch nur ein mal gültig...

Genau wie sunset_rider auch habe ich mir für Online-Überweisungen ein Limit setzen lassen...

 

[René 83]

Ich betreibe auch seit einigen Wochen Online-Banking seitens der Sparkasse und habe noch keine Probleme gehabt, ich finde es ist eine sichere Methode.

Mein Opa macht das schon jahrelang und ist immer zufrieden gewesen!


Ich finde es macht auch mehr Spaß und man ist ungestört, da man nicht ewig am SB-Terminal warten muss bis der vorherige Kunde fertig ist mit überweisen!

 

[Funkenschlag]

Habt nicht soviel Angst Ich habe Online Banking jetzt schon bald "ewig" und bis jetzt hat noch keiner mein Konto geräumt (ist vielleicht zu wenig drauf lol ) Früher gab es noch nicht einmal ITAN sondern nur eine TAN Liste wo man selbst wählen konnte welche Nummer man nimmt.


Wenn man nicht grade seine PIN und seine ITAN Liste auf den PC speichert ist man recht sicher, selbst bei einer eventuellen unbemerkten Infektion. Ich würde mir mehr Gedanken darum machen wie manche mit ihren Kreditkartendaten umgehen und bei jedem Shop angeben.

Einen PIN Klau ohne TAN Liste merkt man auch ziemlich einfach, da so ziemlich jede Bank den Zeitpunkt des letzten einloggens angibt oder sogar mitprotokolliert.

 

[HaveFun]

Ich betreibe nun seit 13 Jahren Online-banking mit HBCI-Chipkarte (ja, damals hab ich noch 50 DM für den Kartenleser berappen müssen), und bin von diesem Verfahren völlig überzeugt. Sichere Anmeldung und Transaktionsbestätigung ohne tan.

Mangelnde Mobilität stört mich nicht: Ich nutze das Onlinebanking sowieso nur am eigenen PC.

 

[DeLo87]

Und die iTans, selbst wenn per Keylogger abgezogen, müsste:

1.) innerhalb weniger Sekunden vor Verfall benutzt werden
2.) der Trojaner müsste die Bank identifizieren und sich dann dort mit meinem Benutzernamen, den ich in Starmoney natürlich fest drin habe, einloggen.

Also so ganz richtig ist das nicht.
Ich arbeite in einer Bank und wir hatten neulich einen Schadensfall, in dem ein Echtzeittrojaner die iTAn des Kunden abgezapft und für eine Überweisung ins Ausland benutzt hat. Wir konnten das Geld noch zurückbuchen, da es noch nicht beim Empfänger angekommen war, aber es gibt solche Schädlinge, die TANs schon dirket bei der Eingabe abfangen können. Also bloß nicht in falscher Sicherheit wiegen...

 

[Funkenschlag]

Eigentlich bin ich davon ausgegangen das eine itan Nummer immer nur mit der vom User gestarteten Transaktion gültig ist.Die TAN Nummer gibt man ja immer erst vor dem absenden dieser ein. (Es sei denn er ist auf einer Phishing Seite unterwegs wo die Überweisung vorgegaukelt ist)

 

[Saiga]

Und die iTans, selbst wenn per Keylogger abgezogen, müsste:

1.) innerhalb weniger Sekunden vor Verfall benutzt werden
2.) der Trojaner müsste die Bank identifizieren und sich dann dort mit meinem Benutzernamen, den ich in Starmoney natürlich fest drin habe, einloggen.
.

Die Tans sind scho ziemlich sicher
^^ der Trojaner muss da sicherlich nichts identifizieren jemand am anderen ende sollte nur nicht so Blind sein und auf dem Screencaptcha von dir den Name der Seite lesen

 

[Boogeyman]

Hier ein Thread, indem dieses bereits schon diskutiert wurde.
[Online Banking] Browser vs. Software

 

[jochen1001]

hab mal gelesen, dass durch das iTan verfahren, der missbrauch deutlich gesenkt wurde.
was jetzt anscheinend im trend liegt, ist einfach mal ein betrag abzubuchen - ohne einwilligung des kontoinhabers natürlich - , also Augen auf!

 

[M3CSL]

Süß zu lesen, dass jemand das iTAN-Verfahren sicher "findet". Manche Überlegungen hier gehen etwas an der Realität vorbei. Anscheinend geht das Verfahren per Man-in-the-middle-Angriff via Trojaner relativ leicht.

Interessant sind:
http://www2-fs.informatik.uni-tuebingen.de/~borchert/Troja/Online-Banking.shtml
http://de.wikipedia.org/wiki/Transaktionsnummer#Indizierte_TAN-Liste_.28iTAN.29

 

[Scheinweltname]

Süß zu lesen, dass jemand das iTAN-Verfahren sicher "findet". Manche Überlegungen hier gehen etwas an der Realität vorbei. Anscheinend geht das Verfahren per Man-in-the-middle-Angriff via Trojaner relativ leicht.

iTan ist sicherer, als persönlich zum Bankautomaten zu gehen!

Skimming ist auch eine Art "man-in-the-middle"-Angriff und die technischen Mittel der Kriminellen sind mittlerweile so weit, dass die niemand erkennt, der nicht bewusst danach sucht (wenn z.B. keine Kameras sondern ganze gefälschte Eingabe-Felder verwendet werden).

Außerdem muss der Trojaner so spezialisiert sein, dass er genau in dem Moment in die Transaktion eingreift, in dem die Daten an den Server der Bank gesendet werden; voraussgesetzt, dass er überhaupt erkennt, dass gerade Online-Banking betrieben wird. Ich kann mir nicht vorstellen, dass solche Trojaner 'in the wild' allzu weit verbreitet sind. Vielmehr dürften das Programme sein, die von white-hat-Hackern programmiert wurden, um die Schwachstelle des iTan-Verfahrens aufzuzeigen.

 

[M3CSL]

Super, jetzt hast du aufgezeigt, dass auch Bankautomaten unsicher sind. Da mag was dran sein, das macht aber iTAN nicht sicherer.

Auch am PC erkennt kaum einer dass nen Trojaner läuft und bekanntlich kann ein solcher auf nem ungepatchten System einfach installiert werden. Klar dass der Trojaner darauf spezialisiert sein muss, seine Funktion zu erfüllen. Worauf soll er sonst spezialisiert sein. Ich glaube sie sind verbreitet und sonderlich schwer soll so nen Angriff auch nicht sein. Aber nachdem hier keine Experten am Werk sind können wir die Diskussion beenden, mit glauben kommen wir hier nicht weiter.

 

[DaveStar]

Also von "sicher" kann man hier wohl kaum sprechen. Das Risiko mag recht gering sein, doch das Verfahren an sich ist prinzipiell nicht sicher. Per ausgeklügeltem Man-in-the-Middle Angriff kann einem da alles passieren.

Was ich (bis auf eine Ausnahme die ich nachher noch erwähne) für tatsächlich sicher halte, ist ein System, bei welchem LogIn sowie jede Überweisung per SMS-TAN besätigt werden müssen, wobei in der SMS auch Betrag & Empfängerkontonummer erwähnt werden. Bei meiner Bank ist dies das Standardverfahren und der Kunde bezahlt nichts für die SMS.

100%ig sicher ist natürlich auch dieses Verfahren nicht. Wenn man sich das Handy klauen lässt - oder die SIM-Karte geklont wird, besteht trotzdem wieder ein Risiko. Aber dies ist nochmal wesentlich geringer als bei iTan, nach meiner Einschätzung.
(Betrugsfälle mit geklonten Simkarten sind meines Wissens nach nur vereinzelt in Südafrika vorgekommen - und da sassen die Komplizen bei der Telefongesellschaft )

 

[Funkenschlag]

Süß zu lesen, dass jemand das iTAN-Verfahren sicher "findet". Manche Überlegungen hier gehen etwas an der Realität vorbei.

Wenn wir gerade von der Realität sprechen, dürfte dir ja nach über einem Jahr wo der Thread her ist dir nicht entgangen sein das in Sachen Online Banking sich schon wieder einiges getan hat und viele Banken sich nicht mehr so auf das iTAN Verfahren versteifen.

 

[M3CSL]

Herzstaub, Liebes, weil ich solch ein Posting schon erahnen konnte, habe ich mir nicht entgehen lassen, dass dieser Thread schon 1 Jahr und 3 Monate alt ist und habe extra darauf geachtet, dass iTAN als Verfahren auch damals schon unsicher war.

 

[smuper]

Hör doch mit der Übertreibung auf, wieviele Threads findest du denn hier bitte zum Überweisungsbetrug? Warum entwickeln/nutzen die Banken keine sichereren Verfahren, wenn sie den Schadensfällen nachgehen müssen und in den meisten Fällen auch noch übernehmen?