Betrugsserie beim Online-Banking

[Helios]

Wie die Nachrichten und diverse Medien berichten, fielen unzählige Onlinebanking-Kunden, welche ihre Transfers in den vergangenen Wochen mittels mTAN durchführten und die SIM-Karte von der Telekom besassen, einer Betrugsserie ins Netz.

Kompletter Artikel: Süddeutsche Zeitung - Betrugsserie beim Online-Banking


LG Uwe

 

[linrunner]

Das Geheimnis (Key) wird durch den Kunden selbst erstellt

Deutsche Sparkassen und Volksbanken/Raiffeisenbanken liefern die Karten mittlerweile "ready to use" mit fest eingebranntem Key aus.

Eine Finanzsoftware ist jedoch nicht zwingend von Nöten.

Mit welcher Bank geht das ohne Finanzsoftware? Bei obigen m.W. nicht.

Theoretisch könnte man die Transaktion innerhalb der Finanzsoftware im laufenden Betrieb manipulieren bevor verschlüsselt wird. Praktisch hat das m.W. noch keiner getan.

 

[Helios]

Mit welcher Bank geht das ohne Finanzsoftware? Bei obigen m.W. nicht.

Theoretisch könnte man die Transaktion innerhalb der Finanzsoftware im laufenden Betrieb manipulieren bevor verschlüsselt wird. Praktisch hat das m.W. noch keiner getan.

Bei der UBS. Eine Finanzsoftware ist da nicht von Nöten.

P.S.: Mit dem Access Key.

 

[linrunner]

Bei der UBS.

Für eine Schweizer Bank bin ich nicht wohlhabend genug, ausserdem gibts bei Euch kein Bankgeheimnis mehr...

 

[Helios]

Für eine Schweizer Bank bin ich nicht wohlhabend genug, ausserdem gibts bei Euch kein Bankgeheimnis mehr...

Das Erste erfülle ich auch nicht wirklich. Und um das Zweite muss ich mich zum Glück nicht kümmern.

 

[cyberjonny]

Theoretisch könnte man die Transaktion innerhalb der Finanzsoftware im laufenden Betrieb manipulieren bevor verschlüsselt wird. Praktisch hat das m.W. noch keiner getan.

Das stimmt, allerdings ist das bisher ein rein theoretisches Szenario und bei einem Lesegerät mit Display, auf dem bei der Verifizierung via Chipkarte/PIN nochmal unabhängig vom System Zielkonto und Betrag dargestellt werden, kann oder sollte einem das auffallen.

 

[mectst]

mTAN ist ein sicheres Verfahren!

Das hat auch nicht die Bank verkackt sondern die Telekom.

Nochmal: Es war Spähsoftware im Einsatz - damit hat es auch der User verbockt, der sich den Trojaner hat unterschieben lassen!!!


Grüße Thomas

 

[carrarofan]

Wie sicher ist eigentlich das bei Sparkasse und Volksbnk benutzte Verfahren ?

https://www.vb-rb-riedlingen.de/privatkunden/girokonto-kreditkarten/infos-banking/pin-tan.html

 

[Helios]

Würde mich auch interessieren. Habe die Methode mit dem Scannen des Bildschirms noch nie gesehen. Glaube, so etwas gibt es hier in der Schweiz gar nicht. Zumindest nicht meines Wissens.

Gibt es da beispielsweise Probleme, wenn die Helligkeit verändert wird? Oder die Bildwiederholfrequenz etc.?

 

[vlooe]

Der Tan generator berechnet mit IBAN, Betrag und einem Key in der EC-Karte die TAN.
Auf dem Generator wird dann nochmal IBAN und Betrag angezeigt.

Dabei gibt es verschiedene Arten des Generators. Von direkter Eingabe über Blinkenden Strichcode zu QR Code.
https://de.wikipedia.org/wiki/Transaktionsnummer#chipTAN_comfort.2FSmartTAN_optic_.28Flickering.29

 

[slainte]

Würde mich auch interessieren. Habe die Methode mit dem Scannen des Bildschirms noch nie gesehen. Glaube, so etwas gibt es hier in der Schweiz gar nicht. Zumindest nicht meines Wissens.

Gibt es da beispielsweise Probleme, wenn die Helligkeit verändert wird? Oder die Bildwiederholfrequenz etc.?

Nö, das Ding kann irgendwann so ziemlich alles "lesen". Dauert eben manchmal etwas länger, je nachdem wir ruhig die Hand ist und so....
Die Größe des "Fensters" muss ziemlich genau kalibriert sein. Ist aber kein Hexenwerk.

 

[laptopheaven]

Wie sicher ist eigentlich das bei Sparkasse und Volksbnk benutzte Verfahren ?

Das Ganze ist zwar recht umständlich von der Handhabung her, aber dafür gehört es zu den sehr sicheren Verfahren.
Immerhin muss man:
- Zugriff aufs Konto haben
- Den passenden Tan Generator
- Die passende zum Konto gehörende EC Karte

Ich hatte mal unwissend eine alte EC eingesteckt und nach dem dritten misslungenen Versuch war das Konto fürs Onlinebanking gesperrt und ich musste erst in die Filiale dackeln um es wieder freizuschalten fürs SmartTAN. HBCI via Karte ging zum Glück noch

Meines Wissens gab es bisher noch keine erfolgreichen Einbrüche über diese Methode

 

[maxi]

Ein Berater wußte nicht, was HBCI ist.
Die nächste Beraterin dann hat 10 Minuten versucht, uns HBCI auszureden, weil mTAN angeblich genauso sicher sei.

Wusste auch nicht, was HBCI/FinTS ist. Dank diesem Thread habe ich dazugelernt.
Habe heute bei Bankbetreuer (große Bank in AT) nachgefragt. Die Reaktion war wie vermutet: "Telekom-Skandal: noch nie gehört, HCBI: was ist das" u. wurde beruhigt: Die Bank investiert viel in IT, damit Online-Banking sicher ist :huh:

Ich habe seit Jahren (als Handy-Provider irrtümlich 3stelligen Betrag abgebucht hat - bekam ich nach div. Telefonaten ca. 1 Monat später zurück) neben dem Girokonto ein 2. Konto, ohne Dispo.
Das ist für Abbuchungen, die zwingend über Provider laufen müssen bzw. wenn ich per Mail Konto-Daten bekanntgeben muss. Auch Online-Shopping läuft nur über dieses Konto.
Ist zwar nervig, weil ich immer drauf achten muss, rechtzeitig Geld "umzuschaufeln" (Online-Banking *g*), aber mein echtes Girokonto bleibt sicher. Bis meine Bank gehackt wird

@Offline-Banking
Mir wurden im Foyer 400€ geklaut (lange Geschichte, waren Trickbetrüger, die Kripo hatte ca. 30 Fälle im selben Zeitraum), ist aber gut ausgegangen: zwar viel Zeitaufwand, aber bekam 420€ zurück.

Eines ist sicher: Nichts ist sicher - sosehr man sich auch bemüht :huh:

 

[vlooe]

Gibt es da beispielsweise Probleme, wenn die Helligkeit verändert wird? Oder die Bildwiederholfrequenz etc.?

Ja es gibt manchmal Probleme.
Man kann im gerät aber etwas umstellen. War bei meinen Eltern notwendig da sonst das generieren einer TAN ewig dauert.
Bei Interresse kann ich die nötigen schritte zum Umstellen mal raussuchen.

Wobei mir nicht klar ist warum das Gerät nicht automatisch die Einstellungen durchprobiert wenn es nicht beim 1. mal klappt...

- Den passenden Tan Generator

Passend im sinne der Version fürs Verfahren.
Ob auf dem Gerät ein S, V, X oder garnichts aufgedruckt ist macht keinen Unterschied auch wenn der Banker was anderes verzapft :thumbsup:

- - - Beitrag zusammengeführt - - -

Zum Thema Kompatibilität:

Unser Sm@rt-TAN-Verfahren setzt einen Kartenleser mit der HHD-Spezifikation 1.4 (entwickelt über den Zentralen Kreditausschuss in 2010) voraus. Bitte stellen Sie ggf. sicher, dass das Ihnen vorliegende Gerät diese Voraussetzung erfüllt. Informieren Sie sich bitte speziell bei Geräten, die vor 2011 produziert wurden beim Hersteller / Anbieter.

Verfügt der Kartenleser über die entsprechende Spezifikation (HHD 1.4), können die Geräte bank-, personen- und kontoübergreifend verwendet werden.

https://www.bbbank.de/homepage/konten-und-karten/banking-und-broking/banking-verfahren/smart-tan-plus.html

Wie gesagt logo(der Bank) auf dem Leser ist egal. Das Verfahren muss passen.

 

[der_ingo]

Hier läuft Onlinebanking mit PhotoTAN bei der DeuBa.
Onlinebanking selber geht per Browser, zur TAN Anforderung wird mir ein spezieller QR Code angezeigt. Den scanne ich mit einer App auf dem Handy ein, dieses zeigt mir dann die TAN, welche ich im Browser eingebe.
Das Handy ist ein Windows Phone Gerät, d.h. sowieso schon mal sicherer als Android. Die App kommuniziert verschlüsselt direkt mit der DeuBa und auch bei einer fremden SIM-Karte würde man damit nicht weiter kommen. Das Verfahren ist dabei narrensicher und soweit ich es beurteilen kann auch sicher.
Einziger Nachteil: darüber klappen keine Überweisungen direkt von dem Handy, auf dem die PhotoTAN App läuft.

 

[Koile]

Eines ist sicher: Nichts ist sicher - sosehr man sich auch bemüht :huh:

Eigentlich ein schöner Schlusssatz

 

[cuco]

Gibt es da beispielsweise Probleme, wenn die Helligkeit verändert wird? Oder die Bildwiederholfrequenz etc.?

auf die Heligkeit reagiert es bei meinen Eltern recht empfindlich. Ist der Bildschirm recht dunkel eingestellt, schlagt es meist fehl.

 

[cyberjonny]

Also meines Wissens bzw. meiner Erfahrung nach gehört das zu den relativ sicheren, aber in der Handhabung manchmal eher "nervigen" Verfahren. Wenn man mal ein System bzw. eine Konfiguration hat, mit der es läuft, dann funktioniert es damit eigentlich zuverlässig. Wenn man aber öfter verschiedene Systeme oder Einstellungen nutzt, kann es sein, dass man erstmal frickeln und ein paar Fehlschläge einstecken muss, bevor es wieder läuft.