PIN/TAN auf Platte? Sicherheit optimieren?
Michael Lemke
ich habe in den FAQ gestöbert und in der Newsgroup, aber eigentlich nichts Zusammenhängendes, Aktuelles gefunden. Mit der Einführung
von HBCI haben sich nach meinem Verständnis die Zugangswege und (möglicherweise) auch die Sicherheitsrisiken gegenüber Viren etc.
doch etwas verändert; die sind ja auch nicht stehengeblieben. Ich stelle mir die Frage, ob sich auch an den vernünftigerweise
einzuhaltenden Sivcherheitsvorkehrungen etwas geändert haben könnte.
Ich habe mit Money98 und BTX angefangen und IMHO war es seinerzeit Goldene Regel: "Keine PIN und TAN auf die Festplatte". Nun hat
sich mir in einem kürzlich geführten Thread über "geschlossene PIN-Eingabe" (mit Uli Amann) der Eindruck aufgedrängt, diese "alten"
Regeln seien völlig falsch, vielmehr sei das Gegenteil heute möglicherweise zu empfehlen...
Da ich annehme, dass hier aber weder "schwarz noch weiss", sondern "sowohl als auch" richtig sein könnte, bitte ich als
Viertelgebildeter die Experten um eine Unterstützung. Vielleicht wäre auch eine Aufnahme in die Anfänger- und/oder
Installationshinweise möglich?
- Unterschiede zwischen Karte und PIN/TAN hinsichtlich Virenschutz-Massnahmen?
- PIN auf die Festplatte? Ja - Nein - Warum
- TAN auf die Festplatte? Ja - Nein - Warum
Es ist ja klar, der Datenaustausch ist mit gespeicherten PIN/TAN wesentlich eleganter, nichts wäre mir lieber, als wenn die
Expertenschaft hier zuraten würde. Wenn man als Grundlage von einem sauber installierten, funktionierenden Virenscanner ausgeht, ist
die Antwort sicher einfach, aber da gibt's ja noch Murphy.
Viele Grüsse Micha
Matthias Spanier
Am 10.07.2005 14:18 schrieb Michael Lemke:
> [...]
> Ich habe mit Money98 und BTX angefangen und IMHO war es seinerzeit Goldene Regel: "Keine PIN und TAN auf die Festplatte". Nun hat
> sich mir in einem kürzlich geführten Thread über "geschlossene PIN-Eingabe" (mit Uli Amann) der Eindruck aufgedrängt, diese "alten"
> Regeln seien völlig falsch, vielmehr sei das Gegenteil heute möglicherweise zu empfehlen...
Meinst Du <http://tinyurl.com/9nmrr>? Bitte gib in Zukunft die
betreffende Message-ID (oder einen passenden Google-Link) an.
BTW: In dieser Absolutheit hat Uli das sicherlich nicht gesagt.
> Da ich annehme, dass hier aber weder "schwarz noch weiss", sondern "sowohl als auch" richtig sein könnte, bitte ich als
> Viertelgebildeter die Experten um eine Unterstützung.
Ich bin dafür auch kein Experte.
Gerald Vogt ist beim Thema "Sicherheit" deutlich näher am Status
"Experte" dran als ich, oder Du schaust mal in den Newsgroups
<news:de.comp.security.firewall>, <news:de.comp.security.virus> und
<news:de.comp.security.misc> vorbei.
Im folgenden erwähne ich nur das, was ich mir dazu überlegt habe.
> [...]
> - Unterschiede zwischen Karte und PIN/TAN hinsichtlich Virenschutz-Massnahmen?
Ich habe bei meinen Banken HBCI mit PIN/TAN, habe also keine eigene
Erfahrung bezüglich HBCI mit Karte. Aber ich erinnere mich an Postings
von Uli Amann und anderen, daß einerseits auf der Festplatte
gespeicherte PIN/TANs unter Umständen der Gefahr eines Datendiebstahls
unterliegen könnten und daß andererseits nicht gespeicherte, sondern
jedesmal auf der Tastatur eingegebene PINs und TANs durch eine
Tastatureingaben protokollierende Schadsoftware unter Umständen
ausspioniert werden könnten (man beachte das "unter Umständen" und
"könnten", ich will das hier nicht dramatisieren), und daß demgegenüber
ein Kartenleser mit eigener (von der Computertastatur unabhängiger)
Eingabemöglichkeit einen zusätzlichen Schutz bieten würde.
Einen absolut sicheren Schutz gibt es nicht, schon garnicht gegen solche
Fälle ;-) wie von Uli nicht ganz ernstgemeinr in
<http://tinyurl.com/dma7o> genannt. Es gibt nur eine möglichst
weitgehende Risikominderung und das Einhalten von Vorsichtsmaßnahmen.
> - PIN auf die Festplatte? Ja - Nein - Warum
> - TAN auf die Festplatte? Ja - Nein - Warum
>
> Es ist ja klar, der Datenaustausch ist mit gespeicherten PIN/TAN wesentlich eleganter, nichts wäre mir lieber, als wenn die
> Expertenschaft hier zuraten würde. Wenn man als Grundlage von einem sauber installierten, funktionierenden Virenscanner ausgeht, ist
> die Antwort sicher einfach, [...]
Ich rate zu einer Firewall und einem Virenscanner.
Bei mir habe ich einen DSL-Router mit integrierter Firewall, und ich
habe (unter Win2000 Pro) das Norton Internet Security 2004 mit Personal
Firewall und ebenso unter Win XP Pro, wobei bei letzterem auch die
XP-eigene Firewall wählbar wäre (welche Gerald gegenüber Norton vorzieht).
Weiter halte ich ein ständig up-to-date gehaltenes Virenschutzprogramm
für wichtig (bei mir Norton AntiVirus 2004). Aber das Vorhandensein
eines solchen Virenschutzprogramms entbindet einen auf keinen Fall von
eigener Sorgfalt. Wenn ein neuer Virus im Umlauf ist, dauert es
naturgemäß immer eine gewisse Zeitspanne, bis die Virenschutzprogramme
entsprechend angepaßt sind und entsprechende Aktualisierungen für die
Endbenutzer zur Verfügung stehen. Ich klicke also niemals bzw. erst nach
genauem Überlegen auf Anhänge in eMails von mir unbekannten Absendern usw.
Ferner erstelle ich in gewissen Abständen Images meiner Festplatten und
sichere wichtige Dateien separat auf anderen Datenträgern, um bei
Problemen (nicht nur wegen Viren, sondern auch im Falle von
Hardwareproblemen oder Problemen nach Installationen neuer Programme)
zu einem sauberen Stand zurückkehren zu können.
Und ich speichere besonders sensible Daten nicht unverschlüsselt auf der
Festplatte, sondern in einem Datensafe (z.B. demjenigen innerhalb der
Steganos Security Suite). Das werde ich bei einem neuen, gerade in
Vorbeieitung befindlichen eigenen Laptop noch strikter durchziehen als
auf dem stationären PC zuhause. Auf meinem neuen Laptop werden private
Programme laufen wie Virenschutz, XP-Firewall, ein weiteres gerade bei
www.2ndsoft.de gekauften Money99 V2000 Standard (was nur als Teil der
WorksSuite erhältlich war) usw., sowie diverse berufliche Programme und
elektronische Unterlagen, welche ich besonders schützen werde.
Die Öffnung der entsprechenden Datensafes zwecks währenddessen
unverschlüsselten Zugriffs auf die jeweiligen Daten plane ich dann auf
die zur Bearbeitung jeweils nötige Zeitdauer zu beschränken.
Ich hoffe, das hilft Dir etwas weiter. Letzten Endes solltest Du solche
Tips wie meine oder vielleicht bessere Tips von anderen berücksichtigen,
aber dann selbst entscheiden, welches Abwägung zwischen Schutzmaßnahmen
einerseits und Risiko sowie Einfachheit der Bedienung andererseits Du
möchtest und was das Geeignete für Dich ist.
Gruß, Matthias
--
Die Money99V2000-Site: <http://www.money99.de.tf/>
Mit Link zur FAQ
Infos zum Onlinebanking über Money mit HBCI bzw. PIN/TAN
Und vieles mehr
Matthias Spanier
Am 10.07.2005 16:24 schrieb Matthias Spanier:
> [Subjektive Ratschläge zur Verminderung des Risikos von
> Datendiebstahl oder Datenverlust durch Schadprogramme]
Weiterführende Links (die ich selbst noch nicht ausführlich gelesen
habe) findest Du in der oft von Johann Hrebicek an seine Postings
angehängten Sig, z.B. in <http://tinyurl.com/c2grj>.
Erik Vogelgsang
> - PIN auf die Festplatte? Ja - Nein - Warum
Ich bin kein Experte, aber ich halte das so: Pin auf der Platte, das ist
bequemer und genauso sicher oder unsicher wie die Eingabe auf der
Tastatur. Mit der Pin alleine kann man zwar meine Daten einsehen, man
kann aber keine Transaktionen auslösen, ein PIN-Klau wäre also weniger
tragisch. Trotzdem sollte man die Pin in regelmäßigen Abständen ändern
> - TAN auf die Festplatte? Ja - Nein - Warum
TAN speichere ich nicht auf der Platte, so kann sie keiner klauen, es
sei denn, er bricht hier bei mir ein und kopiert den Zettel. Ein Log
(durch einen Virus) bei der Eingabe würde dem Angreifer nichts nützen,
weil die Tan durch ihre Nutzung verbraucht und ungültig geworden ist.
Ich bin guter Hoffnung, nicht irgendwann mal Phishing-Opfer zu werden,
jedenfalls gebe ich die URL zu meinen Banken immer noch selber ein und
klicke nicht auf Links in irgendwelchen Emails.
> Es ist ja klar, der Datenaustausch ist mit gespeicherten PIN/TAN
> wesentlich eleganter, nichts wäre mir lieber, als wenn die
> Expertenschaft hier zuraten würde. Wenn man als Grundlage von einem
> sauber installierten, funktionierenden Virenscanner ausgeht, ist die
> Antwort sicher einfach, aber da gibt's ja noch Murphy.
Auf einen Virenscanner vertraue ich gar nicht, mittlerweile benutze ich
zwar einen, aber bisher hatte ich noch keine ernstzunehmenden Befunde.
Allerdings bin ich auch der einzige Nutzer an meinem PC und einen Router
mit Firewall habe ich inzwischen auch, vorher bewahrte mich die
alternative Einwahlsoftware Fritz Web (mit integriertem NAT) vor
Massenwürmern wie Sasser usw.
--
Gruß Erik.
Gerald Vogt
Sicherheit prinzipiell gibt es nicht. Du kannst Sicherheitsmassnahmen
unterschiedlicher Art ergreifen und wirst aber nie 100% sicher sein. Es
bleibt immer ein Restrisiko und dieses musst Du abschätzen und versuchen
zu minimieren. Irgendwo gibt es dann eine Grenze, wo Du sagt, dass
Restrisiko ist gering genug bzw. eine Erhöhung der Sicherheit würde mehr
kosten, als es mir bringt.
Das Schwierigste dabei ist: DU spielst eine extrem große Rolle dabei,
wie groß das Restrisiko ist. Prinzipiell brauchst Du nämlich weder eine
Firewall noch einen Virenscanner. Ich brauche keinen. Meine XP-Firewall
brauche ich eigentlich nur, wenn ich meinen Laptop unterwegs einstecke.
Mein NAT-Router (prinzipiell ohne Firewall) schützt das LAN bei mir
zuhause. Ich habe sogar einen Virenscanner, den ich aber eher daswegen
benutze, weil ich ihn gelegentlich anderen Leute empfehle, weshalb ich
es gerne habe, wenn ich das Ding selbe besser kenne. Der Virenscanner
hat bislang, außer echten Falschmeldungen, nichts gebracht (besser:
nichts unerwartetes).
Mein Restrisiko ist, dass es eine unentdeckte Sicherheitslücke in
Thunderbird oder Firefox gibt, die ausgenutzt wird, bevor ich einen
Update einspielen kann. Dazu müsste das Problem allerdings entweder über
eine E-Mail kommen und dabei den Junk-Mail-Sanitizer umgehen
(Thunderbird zeigt als Junk-Mail klassifizierte Mails in besonders
gesäuberter Version an, insbesondere ohne Bilder und Fancy-HTML). Für
Firefox müsste irgendjemand erst einmal eine Webseite hacken, die ich
benutze. Gut auch solches ist vorgekommen, aber halte ich für relativ
unwahrscheinlich. (Jemand hackt google, baut in die Webseite was ein,
was eine unbekannte Firefox-Sicherheitslücke ausnutzt...)
Also, Dein Restrisiko hängt davon ab, welche Software Du verwendest und
wie. Und bei vielen Leuten noch davon, wie groß ihre Installationswut
ist, d.h. wie oft sie neue Software installieren und wieder
runterschmeißen. Wenn Du gerne neue Sachen (nicht komerzielle Software
meine ich hier) ausprobierst, Videoverarbeitung hier, File-Sharing da,
etc., etc., etc. oder gerne mal die neuste DRM-Cracking-Software
besorgst, weil Du Deine MP3s nicht kopieren kannst, dann lebst Du viel
riskanter. Wenn Du gerne Software installierst und ausprobierst, dann
besorg Dir lieber einen extra Computer dafür. Denn wenn Du was
installierst, musst Du davon überzeugt sein, dass die Software O.K. ist.
Das ist manchmal schwierig herauszufinden. Beim HBCI-Modul findest Du
zum Beispiel viele, viele Hinweise in dieser Newsgroup und viele Leute,
die das Modul verwenden. Deswegen kannst Du relativ sicher davon
ausgehen, dass das Modul O.K. ist. Aber selbstverständlich hat niemand
von uns untersucht, welche Sicherheitsmaßnahmen Uli zuhause unternimmt,
um seinen Entwicklungscomputer zu schützen. Wenn sich da jemand
reinhackt und dann was ins Modul einbaut... Aber das ist ein Restrisiko,
dass jeder von uns hier trägt.
O.K. Ein Virenscanner kann Dich unterstützen dabei, bekannt Viren zu
blockieren. In der Regel flippt ein Virenscanner leider bereits aus,
bevor überhaupt Gefahr lauert. Eine ausführbare Datei in einem
Attachment ist keine Gefahr für den Computer, leider beanstanden viele
Scanner dies bereits. Das wesentliche ist nämlich, dass Du die Datei im
Attachment nicht öffnest. Wenn Du beim Öffnen von Attachments sehr, sehr
vorsichtig bist, dann bringt Dir der Virenscanner keinen Vorteil an
dieser Stelle, außer der Gewissheit, dass die Mail von einer Dir
unbekannten Person mit einem etwas mehrwürdigen Inhaltstext und diesem
komischen Attachment, auf das Du nicht wartest, was Du aber nach der
E-Mail sofort öffnen sollst, tatsächlich ein Virus ist. Wenn Du alle
Indizien für einen Virus nicht erkennst und trotzdem versuchst, das Ding
zu öffnen, dann ist Dir letztendlich eh nicht zu helfen. Dein
Virenscanner mag ein paar Mal Dir auf die Finger klopfen, aber sehr bald
kommt der Virus, den der Scanner nicht kennt. Lass Dich nicht täuschen
von den "vielen" erfolgreich entfernten Viren des Scanners. Denn: wenn
Du auf Deinem Computer erst mal einen Virus ausgeführt hast, dann ist es
zu spät. Die einzige sichere Methode ist in diesem Fall, den Computer
komplett neu zu installieren. Auch wenn es für einen bestimmten Virus
immer Anleitungen gibt, wie man sie entfernt, ist es sehr häufig so,
dass nach dem ersten Virus sehr schnell eine Latte von anderen Trojaner
und netten Dingen nachfolgt...
Eine Firewall brauchst Du auch nicht unbedingt. Wenn Du mit Deinem
Computer direkt am Internet hängst, dann ist sie sehr sinnvoll, da
Microsoft es leider standardmäßig Windows offen wie ein Scheunentor
stehen lässt, und nicht gerade kooperativ dabei ist, Windows wirklich so
zu konfigurieren, dass ein Windows-Rechner am Internet ohne Firewall
kein Problem darstellt. Eine sichere Konfiguration wäre natürlich zu
bevorzugen, aber notfalls kann eine Firewall hier schnelle Abhilfe
schaffen. Die XP-Firewall erfüllt hier bereits so ziemlich alles, was es
an richtiger Sicherheit geben kann. Stelle Sie auf "alles blockieren"
und Du bist auf der sicheren Seite.
Alle anderen Funktionen von komerziellen "Personal Firewalls" (PFW) sind
im Prinzip nur Gimmicks. PFWs sind in der Vergangenheit oft umgegangen
worden und hatten selbst auch schon gelegentlich mal eine
Sicherheitslücke eingebaut, die ausgenutzt wurde. Die wesentliche
Zusatzkomponente, die gerne von Leuten erwähnt wird, ist der Schutz der
abgehenden Verbindungen: d.h. Verbindungen von Deinem Computer nach
draußen. Hier soll verhindert werden, dass Malware auf Deinem Computer
sensitive Daten nach außen schickt. In bestimmt 99.9% der Fälle hast Du
allerdings davor selbst die Malware auf dem Computer installiert. Die
PFW arbeitet auch nie 100% genau, und wenn sie was abfängt, heißt es
nicht, dass das Programm nicht auf anderem Wege auch noch was
rausschickt (und sei es nur als einfache E-Mail, die Du je wohl kaum
blockieren würdest...). Wenn Du die PFW als Indikator dafür benutzt,
dass Du Deinen Computer neu installieren musst, dann bringt sie
vielleicht was. Leider machen das nur die wenigsten Leute, sondern sie
versuchen nur, einen Haufen von Malware, der sich inzwischen eingenistet
hat, zu bekämpfen, was aussichtslos ist... Die PFW kann Dir anzeigen,
wenn andere "normale" Software wie Microsoft Office mit dem Internet
kommuniziert und Du kannst wahrscheinlich dies mit der PFW auch
blockieren (nicht das es für Microsoft ein leichtes wäre, hier in ihrem
Betriebssystem etwas einzubauen, mit dem die PFW umgangen werden kann).
Dies kann für den Lerneffekt sehr gut sein, weil viele Leute zu Beginn
ignorant im Hinblick auf dieses Thema sind. Was Windows und Office und
andere Software mit dem Internet kommunizieren, ist allerdings in der
Regel recht gut in diversen Foren und Newsgroups dokumentiert, so dass
es eigentlich keine größeren Überraschungen gibt. Mich stört es nicht
und ich brauche keine computer-bremsende PFW, um dies zu blockieren,
weil dagegen kein Kraut gewachsen ist. Wenn mich es richtig stört, dann
wechsele ich davor das Betriebssystem...
Wichtig ist immer: Du bist das größte Sicherheitsproblem. Wenn Du was
verbockst, dann hilft Dir letztendlich kein Virenscanner und keine
Firewall. Wenn Virenscanner oder PFW ein echtes Problem melden, dann ist
es bereits zu spät. Der Erfolg der Software hängt dann nur noch davon
ab, wieviel Du aus dem Vorfall lernst. Wenn Dein Virenscanner von Dir
versuchte Ausführung von Malware verhindert, gilt wieder das gleiche:
lernst Du daraus, es beim nächsten Mal nicht mehr zu machen, sondern
wirklich vorsichtig zu sein?`Sicherheitssoftware kann Dir also nur
helfen, etwas zu lernen, aber verlass Dich nie auf sie. Keine
Sicherheitssoftware arbeite 100%ig.
Zu PINs und TANs auf der Festplatte:
Auch hier wieder das Problem des Restrisikos. Das Risiko hängt wie immer
davon ab, wie verbreitet die Software ist. Money 99 ist zum Beispiel
ziemlich sicher in dieser Hinsicht: es gibt so wenig Leute, die die
Software verwenden, geschweige denn, dass Du sie noch irgendwo bekommst,
dass ein Hacker schon ziemlich gezielt arbeiten müsste, um letztendlich
alle Benutzer dieser Newsgroup treffen zu wollen. Möglich, aber für mich
unwahrscheinlich. Das HBCI-Modul ist noch unbekannter und nur hier
wirklich bekannt. Möglich, aber unwahrscheinlich. Die DDBAC ist hier
eine andere Sache. Sie wird von anderen Banking-Anwendungen auch
verwendet. Natürlich ist sie eine rein deutsche Sache, was natürlich
wieder von großem Vorteil ist, weil jeder amerikanische Hacker zunächst
nichts damit anzufangen weiß. Durch die größere Verbreitung ist hier
eine bestimmte größere Gefährdung zu sehen. Die DDBAC selbst speichert
allerdings keine PINs und TANs. Man könnte sie aber recht gut dazu
verwenden, um PIN und TANs abzugreifen (eventuell im Log), und würde
damit WISO, Quicken und leider auch HBCIFM99 Benutzer treffen. Die DDBAC
ist für mich auf meinem Computer von der Banking-Software her gesehen,
das größte potentielle Risiko. Bislang ist mir hier nichts bekannt, aber
das heißt nicht. Restrisiko DDBAC: vage, mit leicht flauem Magen, nicht
genauer quantifizierbar für mich.
Der Zugangsweg:
1. HBCI bieten einen "absolut" sicheren Zugangsweg. Theoretisch
zumindest, da natürlich jede Implementierung von Kartenlesern etc.
irgendwo einen Fehler haben kann. HBCI mit Karte und einem Kartenleser
mit PIN-Eingabe am Leser ist in dieser Hinsicht sehr sicher. Die PIN
erreicht nie den Computer und kann damit auch nie abgefangen werden.
Banking ist nur möglich, wer die Karte besitzt und die PIN weiß. Man
müsste also Dir schon über die Schulter schauen und dann die Karte
klauen. Sonst ist hier kein Angriff außer auf Deine Banking-Software
möglich (also wenn jemand einfach eine neue Überweisung in Money,
Quicken, WISO einträgt und Du die dann wegschickst, weil Du nicht
aufgepasst hast). Bei HBCIFM99 sieht man die Aufträge, die rausgeht,
also sollte dies auffallen.
2. Beim einen einfachen Kartenleser ohne Tastatur, d.h. mit PIN-Eingabe
über den Computer, ist das Risiko höher als im ersten Fall. Trotzdem ist
es noch relativ gering, da die Karte eingesteckt sein muss, damit
Banking gemacht werden kann. Die PIN kann möglicherweise abgefangen
werden, aber eine Malware müsste dann im Hintergrund schlafend liegen
und abwarten, bis die Karte das nächste Mal wieder eingesteckt wird, um
dann heimlich die Verbindung aufzubauen. Wenn Du die Karte nicht
eingesteckt lässt und immer nur kurz drinnen hast, während Du
tatsächlich eine Aktion durchführst, dann solltest Du ein Problem sehr
schnell bemerken. (Schau Dir das Blinken am Leser an und Du solltest
eigentlich schnell bemerken, falls direkt nach dem Einlegen plötzlich
was passiert, obwohl Du noch nichts unternommen hast.) Für diesen Punkt
besteht also ein gewisses Risiko, insbesondere dadurch, dass natürlich
mit PIN und Karte Aufträge verschickt werden können und keine weitere
Legitimation (TAN) mehr benötigt wird. Zum "Glück" werden Kartenleser
sowieso selten verwendet und mir scheint, als ob die meisten Banken doch
eher letztendlich zu PIN/TAN tendieren.
Wenn die PIN gespeichert wird, dann ist die Frage, wie einfach oder
schwierig sie herauszufinden ist, d.h. wie sie verschlüsselt
abgespeichert liegt und wie bekannt der Ort der Speicherung ist.
HBCIFM99 bzw. Money 99 ist hier mangels Verbreitung wieder etwas im Vorteil.
3. PIN/TAN. Um an die PIN zu gelangen, gilt eigentlich wieder ähnliches
wie in 2. Man kann mit der PIN dann allerdings mehr anfangen, denn es
ist ja die PIN vom Konto direkt und nicht von der HBCI-Karte. Wer PIN
und Kontonummer/Zugangsnummer herausfinden kann, kann auf das Konto
zugreifen und Kontoumsätze etc. abrufen. TANs sind sicherheitmäßig
interessant in ihrer Bewertung. Eine TAN funktioniert nur ein Mal und
ist dann "verbraucht". Wenn Du vorsichtig bist und die Nutzung der TANs
wirklich nachvollziehst, dann ist es hier relativ sicher. Das ist
allerdings nicht immer einfach, weil eben ein Abbruch einer Transaktion
aus welchem Grund auch immer, eigentlich eine TAN verbrauchen müsste,
was aber meines Wissens nicht immer der Fall sein muss. Bezgl. der TANs
ist es also vermutlich besser, wenn Du, falls mal was nicht durchgeht,
über das Internet-Banking verifizierst, dass die TAN verbraucht wurde.
Wenn Du die TANs auf der Festplatte speicherst, dann besteht natürlich
das Risiko, dass eine Malware die Zahlen ausliest. Und hier zeigt sich
dann ein großes Problem der bisherigen TAN-Listen (was sich ja jetzt
ändern wird): Du kannst eine beliebige Nummer der Liste verwenden. Wenn
eine Malware also Nummern vom Ende der Liste nimmt, merkst Du es
vermutlich gar nicht, bis Du Deinen nächsten Kontoauszug siehst.
Generell wäre ich vorsichtig zu sagen, wenn die PIN/TAN nicht auf der
Festplatte gespeichert ist, dann ist es sicher. Die PIN wird irgendwann
an der Tastatur eingegeben und die Eingabe kann von Malware abgefangen
und protokolliert werden. Der Einsatz der TANs ist natürlich
eingeschränkter, aber wenn die Malware geschickt die Transaktion
blockiert, ohne dass die Bank die TAN geschickt bekommt, kann man hier
auch Schaden anrichten. Aber: wenn Du die Nummer nicht speicherst, ist
das "Window of Opportunity" natürlich kleiner, und es reicht nicht, dass
eine Malware einfach Deine komplette Datei klaut, die dann woanders
"geknackt" wird.
Bottom line: Das Grundproblem bist Du (;-) und wie wahrscheinlich es
ist, dass Du Dir Malware auf den Rechner holst. Davon hängt alles ab.
Sicherheitssoftware mag Dir dabei helfen, besser zu werden, kann Dich
aber nie 100%ig schützen. Bei der Wahl der Banking-Software und des
Zugangs und der Speicherung der Daten auf der Festplatte läuft es dann
letztendlich auf eine Wahrscheinlichkeitsbetrachtung ab. Ansonsten hängt
es nur davon ab, wieviel Aufwand Du treiben möchtest, und wie bequem Du
es gerne hast. Aber Du musst Dir erstmal Malware holen, bevor es ein
Problem gibt. Darauf läuft es immer wieder hinaus...
Ich weiß, das ist nicht die Antwort, die man gerne hört, aber so ist.
"Ein sauber installierter Virenscanner", der alle Viren abfängt, wäre
toll. Den gibt es aber nicht und wird es nie geben. Und solange Du als
Benutzer Software auf Deinem Computer installieren möchtest, wirst Du
möglicherweise Probleme bekommen. Ich weiß auch, dass natürlich für den
Anfänger und unbedarften Benutzer diese ganze Beurteilung der Sicherheit
sehr schwierig ist, weshalb gerne eben nach Pauschalantworten (und der
Software, die diese darstellt) gesucht wird. Leider fällt dabei immer
unter den Tisch, dass der Benutzer letztendlich lernen muss, wie er sich
verhalten muss, um relativ sicher zu sein. (Nicht anders, als wenn Du
Deine Wohnung/Haus "schützen" willst, oder wenn Du auf der Strasse
rumläufst, je nachdem ob es eine "gute" oder "schlechte" Gegend ist,
eine überfüllte Fußgängerzone, der Drogenszenetreff oder die letzte
S-Bahn.) Wenn Du meinst, dass Du das alles nicht wissen willst, dann
solltest Du nicht einen normalen PC kaufen, sondern etwas geeigneteres,
mit dem nicht so viel passieren kann...
--
Gerald
Die neue deutsche Money-FAQ http://money.gvogt.de/
Software-Fingerprint:
01 fa 8c 7a f3 24 d7 f1 54 7b be 16 2a cc b0 61 27 15 91 71
Volkmar Dierkes
On Mon, 11 Jul 2005 09:09:54 +0900, Gerald Vogt wrote:
[Erläuterungen zur Sicherheit]
Ich habe Deine Erläuterungen mit großem Interesse gelesen. Sie hören
sich für mich auch schlüssig an. Dabei kam mir die Idee. ob Du sie
nicht in die FAQ aufnehmen kannst? Zumindest der Bereich der
Online-Banking-Erläuterungen wäre sicherlich sinnvoll. Es mag sein,
daß Deine persönliche Meinung zum Thema nicht von allen geteilt
wird, aber die Frage kam ja schon ab und zu auf und ich habe noch
nicht viel anderes zum Thema hier finden können.
Volkmar
--
The one and only Money99 V2000 Page
http://www.money99.de.tf
The one and only HBCI for Money99 V2000 Tool
http://www.hbcifm99.de
Roland Bierlein
Buenas noches: *Gerald Vogt* escribió:
Folgender Beitrag scheint mir interessant zu sein insbesondere auch für
andere Zielgruppen, daher mal vollzitatlich weitergeleitet. Danke, Gerald!
> Sicherheit prinzipiell gibt es nicht. Du kannst Sicherheitsmassnahmen
> unterschiedlicher Art ergreifen und wirst aber nie 100% sicher sein. Es
> bleibt immer ein Restrisiko und dieses musst Du abschätzen und versuchen
> zu minimieren. Irgendwo gibt es dann eine Grenze, wo Du sagt, dass
> Restrisiko ist gering genug bzw. eine Erhöhung der Sicherheit würde mehr
> kosten, als es mir bringt.
>
> Das Schwierigste dabei ist: DU spielst eine extrem große Rolle dabei,
> wie groß das Restrisiko ist. Prinzipiell brauchst Du nämlich weder eine
> Firewall noch einen Virenscanner. Ich brauche keinen. Meine XP-Firewall
> brauche ich eigentlich nur, wenn ich meinen Laptop unterwegs einstecke.
> Mein NAT-Router (prinzipiell ohne Firewall) schützt das LAN bei mir
> zuhause. Ich habe sogar einen Virenscanner, den ich aber eher daswegen
> benutze, weil ich ihn gelegentlich anderen Leute empfehle, weshalb ich
> es gerne habe, wenn ich das Ding selbe besser kenne. Der Virenscanner
> hat bislang, außer echten Falschmeldungen, nichts gebracht (besser:
> nichts unerwartetes).
>
> Mein Restrisiko ist, dass es eine unentdeckte Sicherheitslücke in
> Thunderbird oder Firefox gibt, die ausgenutzt wird, bevor ich einen
> Update einspielen kann.
Natürlich gilt das gleiche in Bezug auf Windows bzw. den Internet
Explorer und Outlook Express! Die stetige Aktualisierung seines Systems
sollte heutzutage für jeden Internetnutzer selbstverständlich sein!
Saludos
Roland
[Followup-To: news:microsoft.public.de.security.heimanwender]
--
Probleme mit OE? Hier gibt es die Lösungen: <http://oe-faq.de>!
"There is only one thing more painful than learning from experience
and that is not learning from experience." (A. McLeish)
Michael Lemke
(verdammter Zeilenumbruch - OE neu eingestellt, *fluch*).
...vielen Dank für die doch sehr umfängliche Hilfestellung. Ich hatte ja insgeheim gehofft, dass sich irgendetwas durch das
HBCI-Modul geändert hätte, vielleicht eine geheimnisvolle Verschlüsselung - aber, na ja, offensichtlich doch alles beim Alten.
Ich versuche mal für meine PIN/TAN-Anwendung ein Resümee zu ziehen, das eine gewisse Optimierung zwischen Restrisiko und
Bedienungsbequemlichkeit bildet:
1. PIN auf die FP
2. TAN von Hand
Hoffe ich liege insoweit richtig.
Viele Grüsse Micha
Gerald Vogt
> Ich versuche mal für meine PIN/TAN-Anwendung ein Resümee zu ziehen, das
> eine gewisse Optimierung zwischen Restrisiko und
> Bedienungsbequemlichkeit bildet:
> 1. PIN auf die FP
> 2. TAN von Hand
> Hoffe ich liege insoweit richtig.
Wie gesagt, es hängt von Dir ab. Ich versuche mal den "einfachsten"
Angriff auf die HBCI-Installation auf Deinen Computer zu beschreiben:
(natürlich gibt es einige andere Angriffe, wie Tastaturlogger oder
einfach eine Überweisung direkt in die Money-Datei einzutragen, die hier
und auch anders möglich sind.)
In dieser Konfiguration kann eine Malware, die zu irgendeinem Zeitpunkt
auf Deinen Computer kommt, und irgendwie und irgendwann Deine
Money-Installation findet (also eben nicht wie ein Tastaturlogger o.ä.,
der auf die Eingabe wartet), Deine PIN und Deine Zugangsnummer
herausfinden und damit natürlich anstellen, was man eben mit PIN und
Zugangsnummer machen kann (schau einfach mal ins Internet-Banking...),
also zumindest sich mal über Deine Finanzen informieren, wenn auch keine
Transaktionen absetzen. (Das fiese dabei ist natürlich, dass Du das
nicht merken wirst...) Wenn es Dir nicht wehtut, falls eventuell jemand
mal Deinen Kontoauszug sieht, dann ist das für Dich richtig.
Wichtig ist natürlich, dass Du aufpasst, dass eine TAN wirklich
verbraucht ist, falls mal ein Fehler auftritt. Nicht dass da jemand eine
TAN abgreifen möchte (was aber eine andere Klasse von Angriff wäre,
nicht die obige).
Natürlich ist allgemeine Vorsicht und Sicherheitsmassnahmen immer noch
wichtig...
Gerald Vogt
Volkmar Dierkes wrote:
> [Erläuterungen zur Sicherheit]
>
> Ich habe Deine Erläuterungen mit großem Interesse gelesen. Sie hören
> sich für mich auch schlüssig an. Dabei kam mir die Idee. ob Du sie
> nicht in die FAQ aufnehmen kannst? Zumindest der Bereich der
ich habe den Text jetzt mal in eine Seite gepackt und auf den beiden
Online-Bankingseiten, die auf der Einstiegsseite des FAQs sind, verlinkt.
http://money.gvogt.de/index.php?node=74