Online-Banking
| Online-Banking |
 | |||||||||||||||||||
 |
AllgemeinesVon verschiedener Seite wird regelmäßig vor Online-Banking gewarnt, wodurch wohl eine Menge Leute verunsichert werden. Es ist zwar sehr zu begrüßen, daß durch das öffentliche Aufzeigen der Sicherheitsrisiken, die die Bank und nicht der Kunde zu verantworten hat, versucht wird, die Banken zu Verbesserungen und einer Veränderung der Haftungsklauseln zugunsten der Kunden zwingen. Auf der anderen Seite sind dadurch aber viele Kunden so verunsichert, daß sie auf Online-Banking aufgrund der Berichterstattung ganz verzichten.Dies ist jedoch fatal, wenn Sie als Ersatz auf z.B. Telefonbanking ausweichen, da dieses ganz erheblich unsicherer ist als jedes Online-Banking. Denn Transaktionen beauftragen kann jeder, der das Telefonbanking-Paßwort kennt (z.B. mitgehört hat). Durch PIN und TAN ist der Sicherheitslevel beim Online-Banking dagegen ganz erheblich höher, zumal durch den gesetzlich vorgeschriebenen zweiten Faktor die Latte noch einmal ein Stückchen höher gehängt wurde. Grundsätzliches (PIN/TAN-Verfahren)Das Online-Banking hat einen großen Vorteil für die Bankinstitute: Man braucht für die vielen Routinevorgänge kein teures Personal mehr, sondern läßt dies den Kunden tun. Die Bank kosten dann nur noch die Rechneradministration und die Hotline Geld. Aus Kostengesichtspunkten ist Online-Banking für die Bankinstitute daher sehr interessant, weil eine Online-Transaktion nur wenige Cent kostet. Wenn Sie als Kunde im Offline-Banking einen Bankangestellten auch nur 5 Minuten beschäftigen, kostet dies die Bank 5/60 der Stundenkosten für diesen Arbeitsplatz (also Gehalt plus alle Nebenkosten und Umlagen). Bei Stundenkosten von angenommen 60 Euro sind das immerhin 5 Euro, die für beispielsweise das Ausfüllen eines Überweisungsformulars anfallen, weil der Kunde mit der Rechnung in der Hand in die Bank spaziert kommt. Diesem Kunden in Rechnung gestellt werden aber nur die ganz normalen Überweisungsgebühren, so daß dieser Vorgang bei weitem nicht kostendeckend ist.Für den Kunden hat Online-Banking sowohl Vor- als auch Nachteile: Nachteilig ist, daß man zwingend einen Online-Zugang braucht, den ältere Menschen oft nicht haben, und das Risiko gern auf den Kunden geschoben wird. Aber als Vorteil hat die Bank sozusagen 24 Stunden am Tag geöffnet, und man kann sich den Weg in die Bank sparen, weil die Bank nach Hause kommt. Oft werden die Onlinegebühren durch günstigere Überweisungs- und/oder Grundgebühren bis zum totalen Wegfall von Bankgebühren kompensiert. Je nach Gebührenstruktur und AGB des jeweiligen Bankinstituts können unter dem Strich deutliche Vorteile als auch deutliche Nachteile herauskommen. Es ist daher sinnvoll, die Angebote verschiedener Banken zu vergleichen. Normalerweise füllen Sie beim Offline-Banking ein Überweisungsformular aus oder lassen es von einem Bankangestellten ausfüllen. Das Formular wird dann von der Bank später mittels eines Scanners digitalisiert, mit einem Rechner ausgewertet, und das Geld dann vom Rechner über das Bankennetz überwiesen. Bei Einleseproblemen infolge beispielsweise unleserlicher Schrift muß ein Mensch helfen. Die Unterschrift wird entweder gar nicht oder erst ab einem relativ hohen Betrag überprüft, d.h. Unbefugte könnten schon heute einfach in Ihrem Namen von Ihrem Konto Geld auf fremde Konten überweisen, sofern Sie Ihre Bank und Kontonummer kennen. Beim Online-Banking spart man sich das Ausfüllen und Einscannen des Überweisungsformulars. Über das Internet tippt man sozusagen die Überweisungsdaten "direkt" in den Bankenrechner. Normalerweise besitzt die Bank einen Rechner, der am Internet hängt, der die Kommunikation mit dem Kunden durchführt und die Daten dann an den Bankenrechner weitergibt. Auf diesem Internetrechner der Bank melden Sie sich mit Kontonummer bzw. Kundennummer und PIN (Personal Identification Number) über eine gesicherte Verbindung ("SSL") an. Zur Erhöhung der Sicherheit wird dann üblicherweise ein Javaprogramm von diesem Rechner geladen. Dieses Javaprogramm bildet die Bedienoberfläche, die in einem Fenster angezeigt wird, und verschlüsselt Ihre Eingaben zusätzlich, so daß es nach menschlichem Ermessen absolut unmöglich ist, die Verbindung zwischen Ihnen und der Bank online abzuhören. Sie können sich nun Kontostand und andere Daten ansehen, aber keine Transaktion tätigen. Nach Ausfüllen eines Online-Überweisungsformulars müssen Sie zusätzlich eine TAN (Transaction Number) eingeben, die nur einmal verwendet werden kann. Aus diesem Grund kann ein Angreifer mit einer abgehörten TAN normalerweise nichts anfangen. Von seiner Bank erhielt man früher bei Kontoeröffnung eine Liste mit vielen TANs, so daß für jede Transaktion eine neue zur Verfügung stand. Heutzutage wird Ihnen die TAN auf einem zweiten Weg übermittelt (Banken-App auf dem Mobiltelefon, TAN-Generator oder SMS auf Ihr Mobiltelefon). Zudem wird immer angegeben, für welche Transaktion diese TAN gültig ist, was die Sicherheit deutlich erhöht. SicherheitViel diskutiert wird die Sicherheit von Online-Konten. Vor dem Hintergrund, daß jemand sich lediglich ein Überweisungsformular Ihrer Bank nehmen und dieses mit Ihrer Kontonummer und Ihrem Namen versehen und mit Mickey Maus unterschreiben muß, um sich von Ihrem Offline-Konto bedienen zu können, sollte man beim Online-Banking keine Bewertungsmaßstäbe anlegen, die man bei konventionellen Bankgeschäftigen ebenfalls nicht erfüllt. Denn bei den Überweisungsformularen sind für den Mißbrauch grundsätzlich die Tore weit geöffnet, weil die Bankinstitute die Unterschrift erst ab einem relativ hohen Betrag vor Überweisung prüfen. Trotzdem sollte man die tatsächlich vorhandenen Gefahren nicht verharmlosen. Vor allem sollte man wissen, welche das sind, um nicht unwissentlich die Problematik durch ungeschicktes persönliches Handeln unnötig zu verschärfen.Die Verbindung zwischen Bankenrechner und Kunde gilt bis auf eine Ausnahme (siehe nächsten Abschnitt) als sicher. Denn die Verbindung wird erstens über das verschlüsselte Transportprotokoll (früher SSL, heutzutage TLS) und dann oft noch einmal zusätzlich über ein Javascript abgesichert. Es ist zwar nicht ausgeschlossen, daß jemand den Datenverkehr aufzeichnet und mit viel Rechenleistung in großer Zeit knackt, aber damit hat er wenig gewonnen. Er kann zwar dadurch theoretisch Ihre PIN in Erfahrung bringen, aber für die zum Einloggen notwendige TAN müßte er zusätzlich das Gerät stehlen, über das diese TAN übermittelt wird. Das größte Sicherheitsrisiko sind die Rechner der Kunden, während die Bankenrechner dank der eingesetzten Sicherheitslösungen als sehr sicher gelten. Wenn es einem Angreifer durch Ausnutzen der Gutgläubigkeit ("social engineering") oder von Sicherheitslücken gelingt, auf dem Rechner eines Bankkunden eine Schadsoftware, ein sogenanntes trojanisches Pferd, zu installieren, kann er mit dieser Schadsoftware alle Tastatureingaben und Bildschirmanzeigen mitprotokollieren und über Internet dem Angreifer übermitteln, so daß die sichere Verbindung zwischen Ihrem Rechner und dem Rechner der Bank ausgehebelt wäre. Mit einem solchen "Trojaner" könnte er auch für Sie Nutzereingaben machen und beispielsweise die Überweisung, für die Sie gerade eine TAN eingegeben haben zurückhalten und stattdessen Das Ausnutzen von Sicherheitslücken ist aber ohnehin kompliziert und zudem sehr mühsam, weshalb Angreifer viel lieber per Phishing versuchen, sich Zugang zu Ihrem Konto zu verschaffen. Phishing ist ein Kunstwort, das aus den englischen Wörtern Password und Fishing gebildet wurde und bedeutet, daß der Angreifer nach Paßwörtern fischt. Gängige Praxis beim Phishing ist es, daß der Angreifer Ihnen eine eMail mit gefälschter Absendekennung schickt und sich dabei als Bank ausgibt, um Sie unter einem Vorwand auf eine der Bank täuschend echt nachempfundene WebSite zu locken, damit Sie dort PIN und TANs eingeben. Wenn Sie das tun, kann ein Angreifer im Hintergrund sich mit Ihren Daten in Ihr Konto einloggen und echte Überweisungen vornehmen. Damit Sie keinen Verdacht schöpfen, wird Ihnen entweder vorgegaukelt, daß Ihre Überweisung ordnungsgemäß abgearbeitet wurde. Sie ist aber in Wahrheit bei Ihrer Bank nie angekommen und wird daher auch nie ausgeführt. Oder (fieser): Es wird Ihnen ein Fehler vorgegaukelt und um Eingabe einer weiteren TAN gebeten, was dem Angreifer eine weitere Überweisung ermöglicht. Daher bitte immer Betrag und Empfänger überprüfen, für den die TAN gilt! Auf Benutzerseite können Sie Phishing leicht vermeiden, indem Sie erstens Ihren gesunden Menschenverstand einschalten (in diversen Foren wird oft sarkastisch empfohlen, die Sicherheitssoftware Brain 1.0 zu installieren) und zweitens die URL Ihrer Bank immer und ausnahmslos selbst einzutippen, weil der Linktext in einer eMail nicht mit dem wahren Ziel übereinstimmen muß. Zudem ist Ihrer Bank oft Ihre eMail-Adresse nicht bekannt, weshalb sie Sie überhaupt nicht per eMail kontaktieren kann. Wichtige Änderungen werden ohnehin immer per Briefpost oder in Ihrem geschützen Postfach angekündigt, das zu Ihrem Konto gehört, da eMails keine Rechtsverbindlichkeit besitzen. Aber wie auch immer man sich Zugang zu Ihrem Konto verschafft: Der Angreifer bekommt kein Bargeld in die Hand, sondern kann nur Geld auf ein anderes Konto überweisen. Damit ist er aber eindeutig identifizierbar, selbst wenn er das Geld mehrfach von einem zum anderen Konto überweist. Zumindest innerhalb der EU und in vielen anderen Ländern mit Auslieferungsabkommen ist der Täter vor der Polizei nicht sicher. Die bösen Buben versuchen daher, unter einem Vorwand sogenannte "Finanzvermittler" anzuwerben, die gestohlenes Geld auf ihrem Konto entgegennehmen und anonym (z.B. per Western Union) weiterleiten. Sofern Ihr Konto geplündert wurde, gibt es trotzdem jemanden, an den Sie sich halten VorsichtsmaßnahmenUm auf Ihrer Seite die Risiken möglichst gering zu halten, sollten Sie Ihren Rechner immer auf dem höchsten Sicherheitsstandard halten und zudem umsichtig vorgehen. Insbesondere sollten Sie folgende Punkte beherzigen:Neuen Browser verwenden und SSL deaktivieren Um es einem Angreifer möglichst schwer zu machen, sollten Sie stets Ihren Browser auf dem neuesten Stand der Sicherheitstechnik halten sprich möglichst die neueste verfügbare Version zu installieren. Ziemlich alte Browser beherrschten beispielsweise nur eine SSL-Verschlüsselung, die als geknackt gilt. Die SSL-Verschlüsselung wurde zwar schon vor etlichen Jahren in Form der TLS-Verschlüsselung weiterentwickelt, aber neuere Browser beherrschen aus Kompatibilitätsgründen auch SSL, und oft ist die Verwendung als Rückfallösung aktiviert, damit auch dann verschlüsselt werden kann, wenn der Server kein TLS unterstützt. Diese Notwendigkeit besteht heutzutage jedoch nicht mehr. Daher ist es sinnvoll zu überprüfen, ob SSL 1.0 bis 3.0 tatsächlich ausgeschaltet ist. Die Verbindung mit Ihrer Bank sollte möglichst über TLS 1.3 laufen, um möglichen Angreifern keine unnötigen Angriffsflächen zu bieten. Bank-URL selbst eintippen Um sicherzugehen, daß Sie tatsächlich auf der WebSite Ihrer Bank landen, ist es ein absolutes Muß, daß Sie entweder die URL ("Adresse") Ihrer Bank manuell eintippen oder aber ein von Ihnen abgespeichertes Lesezeichen ("Favoriten") zu verwenden. Dabei ist zu bedenken, daß eine unbemerkt im Hintergrund aktive Schadsoftware durchaus solche Lesezeichen verändern kann. Das Selbsteintippen ist daher die sicherste Lösung. In allen anderen Fällen, insbesondere bei Links in eMails oder irgendwelchen WebSites, laufen Sie sehr große Gefahr, daß Sie nicht wirklich auf der WebSite Ihrer Bank landen sondern auf einer nachgeahmten. Im einfachsten Fall werden Domainnamen verwendet, die derjenigen einer Bank täuschend ähnlich sieht. Wenn Sie beispielsweise in einem fiktiven Beispiel glauben, mit www.deutsche-bank.de zur Deutschen Bank zu gelangen, sollten Sie sich die Schreibweise der URL noch einmal genau ansehen und auf "Tippfehler" achten (z.B. www.deulsche-bank.de). Eine andere Methode ist das Ausnutzen bestimmter Sicherheitslöcher, sodaß Ihnen die URL eines Links falsch angezeigt wird. Ziel ist es dabei, die Anmeldedaten Ihres Bankkontos sowie eine oder mehrere gültige TANs in Erfahrung zu bringen, um damit Ihr Konto leerräumen zu können. Wichtig ist auch, daß Sie Fehlermeldungen Ihres Browsers beim Aufbau einer gesicherten Verbindung (https://) ernst nehmen, und das nicht nur, wenn Sie Internetbanking betreiben. Insbesondere wenn er ein Problem mit dem Sicherheitszertifikat Ihrer vermeintlichen Bank meldet, sollten Sie die Meldung keineswegs kurzentschlossen wegklicken sondern genauestens lesen. Um keine Risiken einzugehen, ist es empfehlenswert, das Zertifikat dann nicht anzunehmen und an diesem Tag kein Internetbanking zu betreiben. Denn wenn es einem Angreifer gelingt, Ihrem Browser und damit Ihnen ein gefälschtes Zertifikat unterzujubeln, hat er gewonnen. Warten Sie lieber den nächsten Tag ab, denn es kommt immer wieder vor, daß auch Banken ausgelaufene Sicherheitszertifikate nicht rechtzeitig verlängern, was dann aber wegen Kundenbeschwerden zügig nachgeholt wird. Schon sehr lange werden sogenannte Phishing-eMails versandt. Diese eMails sind so gestaltet, daß das Design einer bestimmten Bank entspricht. Gleichzeitig ist die Absendekennung gefälscht (was sehr einfach ist; dazu sind sogar mit PCs vertraute kleine Kinder in der Lage!), sodaß der Eindruck erweckt wird, daß diese eMail von Ihrer Bank stammt. Durch geeignete Maßnahmen wird dabei verschleiert, daß der in der eMail enthaltene Link nicht zu Ihrer Bank führt sondern zu einer nachgeahmten Seite, deren einziger Zweck darin besteht, Ihre Anmeldedaten sowie eine oder mehrere TANs auszuspionieren. Durch irgendeinen Vorwand werden Sie aufgefordert, sich einzuloggen und irgendeine Transaktion, Bestätigung oder sonst irgendwas mit einer TAN zu bestätigen. Allen Betrugsversuchen können Sie einfach dadurch entgehen, indem Sie die URL manuell eintippen und keinesfalls irgendwelche Links verwenden, um zu Ihrer Bank zu gelangen. Nur sichere Rechner verwenden Als potentiell unsicher muß man alle Rechner klassifizieren, die von weiteren Personen genutzt werden, auch wenn es sich um Familienangehörige handelt. Denn jeder Nutzer kann sich eine Schadsoftware einfangen. Würden Sie für einen unbedarften Rechneranwender in Ihrer Familie wie z.B. Ihre kleinen Kinder die Hände ins Feuer legen, daß genau dies nicht passiert ist? Mit einem "Trojaner" (historisch korrekt müßte es "trojanische Pferde" heißen) könnte man wie oben gesagt die gesicherte Verbindung zwischen Ihnen und Ihrer Bank vollständig unterlaufen. Das negative Extrem sind öffentliche Rechner z.B. in einem Internet-Cafe, weil zumindest der Administrator vollen Zugriff auf das System hat und in aller Ruhe Tastaturlogger oder andere Schnüffelsoftware installieren könnte. Vermeiden können Sie das nur, indem Sie Ihr eigenes Notebook verwenden. Sollte Ihnen dieses zu groß oder zu teuer zum Mitnehmen in den Urlaub sein, bietet sich als Alternative ein kleines, leichtes Netbook an. Da Internet-Cafes oder Hotels, die einen WLAN-Zugang anbieten, üblicherweise über einen Zentralrechner als Router verfügen, besteht die Gefahr, daß der System-Administrator (oft nur eine für begrenzte Zeit angestellte Hilfskraft) selbst ein böses Spiel treibt. Technisch gesehen wäre dies sehr einfach, weil er systembedingt physikalisch bereits zwischen Ihnen und Ihrer Bank eingeklinkt ist. Zwar wird beim Online-Banking eine gesicherte Verbindung aufgebaut, aber hier könnte man versuchen, Ihnen eine gefälschte Bankseite mit einem gefälschten Zertifikat unterzuschieben. Beachten Sie daher unbedingt Warnhinweise Ihres Browsers in Bezug auf nicht gültige Zertifikate und brechen Sie den Vorgang in einem solchen Fall unbedingt ab! Zu Hause sind WLANs ebenfalls sind nicht ohne Risko, da hier prinzipiell die Möglichkeit besteht, daß sich ein Hacker mit seinem Auto vor Ihr Haus stellt und sich als Ihre Basisstation ausgibt. Wichtig ist auch, daß Sie Ihren Rechner regelmäßig mit einem externen, z.B. auf einer bootfähigen CD untergebrachten Viren- und Trojanerscanner überprüfen. Um nicht den Bock zum Gärtner zu machen, sollten Sie hierzu nur bekannte Produkte verwenden, da ein als Virenscanner angebotenes Programm eines einzelnen Programmierers durchaus ein "Trojaner" sein könnte. Unter  www.free-av.deWenn es nicht vermeidbar ist, daß weitere Personen Ihren Rechner benutzen, bietet es sich an, ausschließlich fürs Online-Banking einen gebrauchten alten Rechner zu kaufen, falls Sie nicht ohnehin über eine alte Gurke verfügen. Ein Rechner mit z.B. TANs überprüfen Es ist gesetzlich vorgeschrieben, daß eine TAN nur zu einer bestimmten Transaktion passen darf. Dies bedeutet, daß man eine erhaltene TAN nicht verwenden kann, wenn sich der Überweisungsbetrag oder der Empfänger ändert. Bei einer von Ihrer Bank über den zweiten Kanal erhaltenen TAN wird beides angegeben. Es ist zwingend notwendig, beides zu überprüfen. Separates Online-Konto Sehr zu empfehlen ist es, das Gehaltskonto nach wie vor bei einer Offline-Bank zu führen und für das Online-Banking ein weiteres Konto bei einer anderen Bank einzurichten. Es gibt zahlreiche Banken, die für ein Online-Konto weder Grund- noch Überweisungsgebühren verlangen. Sie sollten mit der Bank schriftlich vereinbaren, daß dieses Konto ohne Kreditrahmen geführt wird. Wenn Sie nun ab und zu Geld von Ihrem Offline- auf das Online-Konto überweisen, haben Sie online genügend Handlungsspielraum. Durch diese Maßnahme beschränkt sich das Risiko, das Sie selbst tragen, lediglich auf das aktuelle Guthaben auf dem Online-Konto. ZusammenfassungOnline-Banking ist im Grunde eher sicherer als Offline-Banking und erst recht sicherer als Telefon-Banking. Allerdings ist die Haftungsfrage für den Kunden eine Falle, da er im Gegensatz zum Offline-Banking weder beim Online- noch beim Telefonbanking im Zweifelsfall beweisen kann, daß er nicht Urheber einer Transaktion war. Bislang ist aber noch kein Fall eines "gehackten" Kontos bekanntgeworden (im Gegensatz zum sogenannten Phishing, wo arglose Nutzer ihre Kontodaten samt TANs preisgaben). Zu Ihrer Sicherheit ist es trotzdem ratsam, Ihr Gehaltskonto offline weiterführen (unbedingt ohne das absolut unsichere Telefon-Banking) und für das Online-Banking ein Zweitkonto eröffnen. Ein Offline-Konto ist aber nicht unbedingt sicherer als ein online-Konto, da hier ein Angreifer lediglich ein Überweisungsformular ausfüllen und mit einer gefälschten Unterschrift versehen muß. Allerdings muß sich ein Angreifer dazu an den Standort Ihrer Bank begeben, während ein Angriff auf ein Online-Konto von überall her erfolgen kann.Zudem ist es wichtig, daß Sie zum Online-Banking nur einen Rechner verwenden, der sicher (d.h. viren- und trojanerfrei) ist, daß Sie direkt ohne "man in the middle" mit Ihrem Internetprovider verbunden sind und daß vor allem niemand Zugang zu Ihren TANs bekommt. Von Online-Banking an einem öffentlichen Rechner (z.B. in einem Internet-Cafe) kann daher nur gewarnt werden. Die Kontrolle von Betrag und Empfänger bei einer von der Bank übermittelten TAN gibt Ihnen die Gewißheit, daß Ihre Transaktion nicht im Hintergrund für andere Dinge mißbraucht werden. Extrem wichtig ist es, irgendwelche eMails, die scheinbar von Banken stammen und zur Eingabe von PIN und TANs auffordern, vollständig zu | ||||||||||||||||||
  |  |
Alle Angaben in Zusammenhang mit dieser Site wurden nach bestem Wissen und Gewissen gemacht. Trotzdem kann hierfür keine Haftung übernommen werden. Schadenersatzansprüche jeglicher Art sind grundsätzlich ausgeschlossen. Alle Bilder und Texte sind urheberrechtlich geschützt und Eigentum von Chr. Caspari (sofern nicht anders gekennzeichnet). Es gelten die allgemeinen  BenutzungsbedingungenMitteilungen über Fehler sind stets willkommen (Kontaktmöglichkeiten siehe Impressum). ForenLetztes Update dieser Seite: 01.10.2023 (Untergeordnete Seiten können aktueller sein) |
