http://www.zeit.de/digital/datenschutz/2010-09/online-banking-angriffe
Man kann jedem der Onlinebanking betreibt nur raten, dass nur über HBCI und einem Kartenleser mit Nummerntasten zu tun....
Gruß
luttyy
-frank- 
luttyy „Angriff auf Onlinebanking plus Geldwäsche...“
Wenn man eine Wegwerf-TAN-Liste hat, die vom Bank-Computer SEQUENTIELL abgearbeitet wird, verstehe ich obiges Problem mit dem Trojaner.
Der Dieb phisht sich die NÄCHSTE TAN so, dass diese noch gar nicht verwendet wurde und kann mit genau DIESER danach EINE Überweisung tätigen.
Den Vorteil der Handy-TAN gegenüber einer Postbank-TAN-Liste (100 Zahlen-PAARE 0001-0815 0002-4711, 0003-1234) bei obigem Trojaner verstehe ich aber noch nicht.Nach Eingabe des Überweisungswunsches, teilt einem der Bank-Computer mit, dass er die TAN zu 0003 haben möchte, wobei (wichtig!) die 0003 vom Bank-Computer willkürlich aus den unbenutzten 100 gewählt wird - also nicht etwa SEQUETIELL, weil zuvor 0001 und 0002 dran waren..
In beiden Fällen (Handy, Postbank-Pärchen-Liste) muss also
ERST auf der ORIGINAL-Webseite der Bank Betrag+Zielkonto angegeben werden,
DANN erst generiert der Bank-Computer die TAN, die benötigt wird (bei der TAN-Liste sucht er eine von 100 aus)
Es wäre also nicht möglich, eine TAN abzufangen um danach einen anderen Buchungsauftrag durchzuführen.
Würde man nämlich danach einen Buchungsauftrag erstellen, würde der Bank-Computer dann ja ERST die dafür zu nutzende TAN entwerfen.
Habe ich das so erklärt, dass man es verstehen kann?
Sehe ich es richtig, dass o.g. Trojaner demnach für Postbank-TAN-Listen genauso ungefährlich ist wie eine Handy-TAN?
Auch die Handy-TAN scheint eine Schwachstelle zu haben, wenn sich der Trojaner in den Browser einklinkt und SIMULTAN zur gewünschten Überweisung die gephishte Überweisung tätigt. Er müßte halt parallel zur Eingabe der gewünschten Transaktion auf der manipulierten Seite eine gefälschte Überweisung auf der Bankseite tätigen:
1) Eingabe der gewünschten Transaktion auf gefälschter Seite bis zum Punkt, wo die TAN eingegeben werden muss
2) Eingabe der falschen Transaktion auf echten Bankseite, die eine Generierung der von der Bank gewünschten TAN (Liste oder Handy ist egal) und zugehöriger Handy-SMS bzw. zugehörigem Listenplatz führt
3) Abfrage der nötigen TAN durch gefälschte Seite (ggf. vorher Mitteilung des zugehörigem Listenplatzes, der ja in Schritt 3 erfahren wurde)
4) Eingabe der nötigen TAN auf der gefälschten Seite und Einlesen der dazugehörigen TAN vom ahnungslosen User
5) Eingabe der gephishten TAN auf der schon laufenden falschen Transaktion auf der echten Bankseite
....Mist, da hilft auch das Handy nichts mehr :-(((
Ändert HBCI eigentlich irgendwas an dieser Problematik??
