Banken überlassen Kunden Schutz vor Phishing

In den vergangenen Monaten waren die Nachrichten voll von Pishing, dem Passwort-Fishing per E-Mail. Betrüger versuchten, mittels E-Mails, die oftmals das Design der Banken hatten, die PIN- und TAN-Nummern der Kunden zu erhaschen. Damit hatten sie dann Zugang zu dem Konto des Opfers. Betroffen waren unter anderem die Deutsche Bank und die Postbank. Bei letzterer fand sogar eine Abbuchung über 21 000 Euro statt, die jedoch gestoppt werden konnte.

Die Nutzer nehmen die Systeme an, die die Banken ihnen bieten. Also liegt es an den Banken, die Zugangssysteme sicherer zu machen. Die Postbank hat reagiert. Sie bietet nun eine mobile TAN an. Dem Kunden wird vor jeder Überweisung eine solche einmalig verwendbare Nummer per SMS auf sein Handy geschickt. Diese TAN ist nur 15 Minuten gültig. Andere Banken setzen auf HBCI. Hier werden keine TANs mehr benötigt. Der Kunde schiebt eine Chipkarte, ähnlich seiner vorhandenen EC-Karte, in ein Lesegerät. Auf dieser Karte ist ein mehrstelliger Code hinterlegt, der bei jeder Transaktion von der Banking-Software ausgelesen und an den Bankrechner geschickt wird.

Minicomputer ermittelt TAN-Nummer

Der Minicomputer der Rabobank Ohne Handy und Onlineanbindung realisiert die niederländische Rabobank ihre Sicherheitsabfrage. Sie gibt ihren Kunden ein kleines Gerät aus, in dass sie die Ident-Card schieben und ihre PIN eingeben. Das Gerät nennt dann eine einmalig verwendbare Nummer. Ohne das Gerät gibt es somit keinen Zugang zum Konto. Auch bei der Bank für Tirol und Kärnten wird dieses System genutzt, die Codes sind nur 60 Sekunden gültig.

In Deutschland hingegen gibt es seit langem nur wenig Innovation. Nach einem Bericht der Financial Times Deutschland (FTD) warten die meisten Banken auf die Entwicklung der "Bürgerkarte". Auf dieser Karte wären dann nicht nur Kontozugangsdaten hinterlegt, sondern auch Daten wie Ausweis, Führerschein und Krankenkassenkarte. So sparen sich die Banken das Geld eigener Entwicklungen. Fraglich ist allerdings, ob der Kunde alle Daten auf einer Karte haben will. Denn wer kann mit Sicherheit sagen, dass nicht in einer Arztpraxis beim Auslesen der Krankenkassendaten über eine manipulierte Software auch die Bankingdaten ausgelesen werden?

Sicherster Schutz vor Phishing: Wachsam sein

Eine weitere Sicherheitsabfrage könnten die biometrischen Verfahren darstellen. Gegenüber der FTD erklärte die Leiterin des Frauenhofer-Instituts für Sichere Informationstechnologie (SIT), Claudia Eckert, die Probleme von Iris-Scan und Fingerabdruck. Zu genaue Scanverfahren könnten den eigentlichen Nutzer bei schmutzigen Fingern zurückweisen, zu großzügige Einstellungen könnten auch unberechtigten Zutritt verschaffen.

Letztlich bleibt den mehr als 20 Millionen Bundesbürgern, die ihre Überweisungen online erledigen nur, wachsam zu bleiben. Grundsätzlich sollte die Homebanking-Seite nicht aus E-Mails heraus aufgerufen werden. Und wer Onlinebanking über Homepages ganz meiden will, sollte sich bei seiner Bank nach einer Software erkundigen, mit der das Konto vom heimischen Rechner aus administriert werden kann.