Phishing

Phishing

• PIN/TAN (HBCI-basiert)
  Die Online-Banking Webseite wird über eine gesicherte Verbindung (HTTPS) aufgerufen. Der Kunde hat von seiner Bank eine geheime PIN (Personen-Identifikationsnummer) und eine ebenfalls geheime TAN-Liste (Transaktionsnummern) erhalten. Die PIN benötigt der Kunde zusammen mit seiner Kundennummer zum Login auf sein Bankkonto. Will er Überweisungen tätigen oder einen Dauerauftrag einrichten, dann benötigt er zusätzlich noch eine TAN für jeden Auftrag (bzw. Sammelauftrag). TAN-Nummern müssen nicht unbedingt auf langen Papierlisten übermittelt werden. Einige Banken stellen ihren Kunden auch kleine elektronische Lesegeräte zur Verfügung, die zusammen mit dem GeldKarte-Chip der Maestro-Karte (früher "ec-Karte" genannt) auf Knopfdruck über ein Display entsprechende TAN-Nummern ausgeben. Hat der Kunde seine Bankgeschäfte erledigt, loggt er sich wieder aus. Es sind bis heute keine Fälle bekannt, in denen ein Angreifer ohne Kenntnis von PIN und TAN eine Transaktion durchführen konnte.
  
  
• HBCI (Homebanking Computer Interface)
  Auch hier wird die Online-Banking Webseite über eine gesicherte Verbindung (HTTPS) aufgerufen. Der Kunde hat von seiner Bank neben der geheimen PIN noch eine Chipkarte im Format einer Kreditkarte erhalten. Außerdem benötigt er noch ein kleines Chipkarten-Lesegerät, das er an seinen PC anschließt. Anstatt nun für jede Transaktion eine TAN aus der Liste einzugeben, werden alle Transaktionen über das HBCI-Protokoll in der Chipkarte fälschungssicher elektronisch signiert und anschließend an die Bank übermittelt. Der Kunde kann also bequem beliebig viele Transaktionen durchführen (sofern die Bank ihm dies zuvor erlaubt hat). Hat der Kunde seine Bankgeschäfte erledigt, loggt er sich wieder aus und entnimmt die Chipkarte aus dem Lesegerät. Da der Erwerb von Chipkarte und zugehörigem Lesegerät mit Kosten für die Bank und den Kunden verbunden ist, konnte sich das HBCI-basierte Online-Banking nur bei wenigen Banken durchsetzen. Wie beim PIN/TAN-Verfahren sind bis heute keine Fälle bekannt, in denen ein Angreifer ohne PIN und Chipkarte eine Transaktion durchführen könnte.
  

Die Leiterin des Fraunhofer-Instituts für Sichere Informationstechnologie, SIT, in Darmstadt, Professor Claudia Eckert, hält Phishing für das derzeit drängendste IT-Sicherheitsproblem. "Phishing ist, so trivial sich das anhört, immer noch das Problem Nummer eins, besonders für Banken", sagte Eckert im Interview mit Technology Review online. "Der Benutzer als Endglied der Kette agiert da immer noch ein bisschen naiv." Diese Naivität betreffe aber nicht nur den Privatnutzer, erklärte Eckert, auch das "sagenumwobene Abhören von WLAN vom sprichwörtlichen Parkplatz vor der Haustür" sei nach wie vor ein Problem. "Das ist keineswegs Schnee von gestern; das ist etwas, das hohe Konjunktur hat. Obwohl man weiß, dass es Sicherheitstechnologien gibt, mit denen man hier vorankommen könnte, setzen über 50 Prozent der Unternehmen diese Technologien nicht ein, weil sie nicht wissen, wie man das macht, weil sie denken, bei ihnen wäre nichts zu holen, oder weil sie dann doch wieder nicht genau wissen, was damit möglich ist."

"Phisher haben sich eine neue Masche ausgedacht, um herkömmliche Anti-Phishing-Toolbars und Echtzeitanalysen, wie sie etwa der Internet Explorer 7 bietet, auszutricksen. Dazu fragen die Betrüger Log-in-Daten nicht mehr über herkömliche HTML-Formulare ab, sondern setzen stattdessen auf Flash-Elemente, in die das Opfer seine Daten eingeben soll. Bislang untersuchen Anti-Phishing-Tools allenfalls HTML- und JavaScript-Code in einer Seite daraufhin, ob er Phishing-Merkmale aufweist. Bei Flash ist dies bislang noch nicht möglich. Zwar funktioniert auf diesen Flash-Seiten nur das Eingabeformular, während sich alle anderen Links nicht anklicken lassen, dennoch sind die bereits aufgetauchten Seiten so gut gemacht, dass einige Anwender darauf reinfallen werden. Einzige Abhilfe ist, einen Flash-Blocker zu installieren, der verhindert, dass Flash-Filme automatisch starten, etwa das Plug-in FlashBlock für den Firefox."

"Mit diesem Angriff ließe sich auch das mittlerweile von einigen Banken eingeführte iTAN-Verfahren aushebeln: Meldet sich das Opfer mit seiner PIN auf der vermeintlich echten Seite an, so verwendet die Phishing-Seite diese in Echtzeit zum Log-in - allerdings bei der echten Bank. Versucht das Opfer nun eine Überweisung anzustoßen, so tut es die betrügerischen Seite ihm gleich - wiederum bei der echten Bank. Das Opfer erhält in diesem Fall von der Bank aber keine Nachfrage nach einer iTAN. Stattdessen fragt die Bank die Phishing-Seite nach der iTAN xyz für ihren Überweisung. Da sie die nicht kennt, gaukelt sie nun ihrem Opfer eine Nachfrage der Bank vor. In der Annahme, die Nachfrage sei für seine Überweisung, tippt das Opfer die gewünschte iTAN ein, die anschließend auf der Phishing-Seite landet, die damit die eigene Überweisung durchführen kann."

© 2006-2007 impact e.V.
Jegliche Kopien, auch auszugsweise, sind nur mit Angabe des Urhebers gestattet.
Letzte Aktualisierung: 19.08.2007