Nickles › Forum › Internet › Viren, Spyware, Datenschutz

Viren, Spyware, Datenschutz 11.212 Themen, 94.146 Beiträge

News: Viren, Spyware, Datenschutz

Erneut gehackt: das pushTan-Verfahren bei der Sparkasse

Olaf19 am 29.12.2015, 22:09 / 59 Antworten / Flachansicht

Am Rande der 32C3 in Hamburg hat Vincent Haupert von der Uni Erlangen berichtet, wie es ihm innerhalb weniger Monate zum zweiten Mal gelungen ist, das pushTan-Verfahren der Sparkasse zu hacken – und wie simpel dies laut seiner Schilderung gewesen sein soll.

Natürlich wird die Sparkasse ihrerseits nachlegen und ein Update bringen, um die Sicherheitslücke zu schließen, doch am Ende, so Haupert, wird die Sparkasse das Katz-und-Maus-Spiel immer verlieren: der Fehler liegt im Gesamtkonzept. Online-Banking-App und TAN-Generation auf dem gleichen Gerät, das wird immer anfällig bleiben.

Die Zeit beschäftigt sich mit diesem Thema in einem ausführlichen Artikel.

Quelle: www.zeit.de

Olaf19 meint: Sich per SMS eine TAN aufs Smartphone schicken zu lassen, mag ja noch angehen – eine TAN ist eh nur ein "Wegwerfartikel", der in Sekundenschnelle verbraucht ist und danach nie wieder genutzt werden kann.

Aber das eigentliche Online-Banking auf eben diesem Gerät ausführen? – never ever.

Hinweis: Vielen Dank an Olaf19 für das Verfassen der News. Diese News stammt von einem Nickles.de-Teilnehmer. Die Nickles.de Redaktion übernimmt keine Verantwortung für den Inhalt und die Richtigkeit dieser News.

Bei Nickles.de kann übrigens jeder mitmachen und News schreiben. Dazu wird einfach in einem Forum ein neues Thema begonnen und im Editor die Option "News" gewählt.

So richtig habe ich das mit den verschiedenen Arten der TAN noch immer nicht kapiert. Ich benutze eben noch eine TAN-Liste. ... jueki 30.12.2015, 11:44

Die benutze ich auch, genau wie von dir beschrieben, immer dann, wenn ich von zuhause eine Überweisung tätige also zu 90 ... Olaf19 30.12.2015, 17:16

Die Größenordnung ist bei mir exakt 100 . Und in diesem Falle - müßte mein PC ja wohl erfolgreich okkupiert worden ... jueki 30.12.2015, 17:30

Nun ja das kommt tagtäglich 1000fach vor... Ein solcher Jongleur ist mit Sicherheit ein attraktiveres Ziel als ... Olaf19 30.12.2015, 17:54

Eigentlich ist die Antwort darauf ganz einfach: Es gibt zu viele unbedarfte User, die auf Phishing-Mails reinfallen und ... shrek3 30.12.2015, 19:23

Dann geschieht es denen recht. Dümmlichkeit wurde schon immer bestraft. Jürgen jueki 30.12.2015, 21:44

Genau DAS ist das grosse Problem bei den TAN-Listen, zum Einen die dümmliche Eingabe der TAN-Listen in den Computer, damit ... Bobby1234 03.01.2016, 12:32

Machen das wirklich manche Leute? Ich meine, das ist doch eine fürchterliche Sisyphos-Arbeit, und fehleranfällig ... Olaf19 03.01.2016, 13:30

Naja, heute werden sie es nicht mehr machen, es gibt ja keine Bank mehr die sowas rausgibt - zumindest keine Bank, die ich ... Bobby1234 03.01.2016, 13:46

Bobby, deine Argumentation ist so überzeugend, dass ich eben nachgeschaut habe, wo ich mich vom Papier-TAN -Verfahren ... Olaf19 03.01.2016, 14:26

fakiauso

Olaf19 „Erneut gehackt: das pushTan-Verfahren bei der Sparkasse“

30.12.2015, 12:22 Optionen

Damit nicht jeder das Fidscho zum Artikel aus dem Artikel der Zeit heraussuchen muss, verlinke ich das einfach direkt:

https://media.ccc.de/v/32c3-7360-un_sicherheit_von_app-basierten_tan-verfahren_im_onlinebanking#video

Aber das eigentliche Online-Banking auf eben diesem Gerät ausführen? – never ever.

Was genau das Problem daran ist, denn gerade das Übertragen einer TAN auf ein Mobilgerät dient m.E. in den meisten Fällen dazu, auf genau demselben Ding eine Transaktion durchzuführen, möglichst noch mit derselben App;-)
Das wird von den Banken auch noch als einfach, schnell und sicher bezeichnet.

https://www.sparkasse.de/service/sicherheit-im-internet/tan-verfahren.html

Zitat daraus:

Sie benötigen nur ein Gerät, um auf Ihr Konto zugreifen und Geld überweisen zu können.

Möp - verloren!

Denn welchem anderen Zweck sollte es schliesslich dienen, wenn man von unterwegs auf die Schnelle eine TAN anfordert, als stante pede etwas zu überweisen?
Die Klientel, welche das Verfahren nutzt, dürfte sich wie so oft in solchen Fällen in den wenigsten Fällen eine platte machen, ob und was da schiefgehen kann - Hauptsache es ist einfach.

Das Verfahren TAN ist schon immer 'riskant' gewesen und der Angreifer hat nichts zu verlieren. Entweder seine abgefangene und umgebogene TAN führt das Überweisen auf ein Konto seiner Wahl durch oder eben nicht. Geht es schief, hat er auch nichts eingebüsst, der eigentliche Kunde bei Erfolg aber auf jeden Fall.
Ganz so einfach dürfte es zwar nicht sein, als das Jeder so mir nichts - Dir nichts sich mal danebenstellt und dann im Akkord TAN abfischt und fleissig Geld umschichtet.
Für Online-Geschäfte sollte man möglichst immer eine separate Software verbunden mit HBCI nutzen. Smartphone ist da so ziemlich das dämlichste aller Mittel, weil ausser der Doppel-App auch noch andere Apps mit Vollzugriff auf dem Teil vorhanden sein könnten und Google plus Anhang sowieso mitliest.
Die juckt zwar die TAN, die Bank und das Verfahren weniger, dafür mehr die Summen und Wege der Kohle - also mehr so auf Meta-Ebene, noch dazu wenn vom gleichen Smartphone vielleicht zufällig in einem Internetshop gerade ein Kauf getätigt wurde oder so, also so irgendwie jedenfalls oder so...