Schwer zu durchschauen – der Mann dazwischen bei Direktbanking

Für eine andere Art des Angriffs verwendet man den englischen Begriff „Man in the Middle“ (der Mann in der Mitte). Das ist ein besonders gemeiner Trick. In diesem Fall liegt der Fehler nämlich nicht bei Ihnen. Sie haben sich auf die (echte) Internetseite Ihrer Bank eingewählt und wollen jetzt eine Überweisung ausführen. Allerdings kommen Ihre Daten nie bei der Bank an, denn der Täter hat sich mithilfe eines Trojaners dazwischengeschaltet. Er fängt jede Datenübertragung an die Bank ab. Er löscht zum Beispiel die Kontonummer des Empfängers und setzt eine andere Nummer ein. Die manipulierte Information schickt er an die Bank, die natürlich wie gewohnt eine TAN zur Autorisierung des Auftrags verlangt. Die fragt der Hacker dann bei seinem arglosen Opfer ab.

Um auch dieses Risiko zu umgehen, haben viele (Direkt-)Banken die Übertragungssicherheit durch die Einführung von iTANs, mTANs und eTANs erhöht. Bei iTANs handelt es sich um indizierte Transaktionsnummern. Das heißt, Sie tippen zur Freigabe eines Auftrags nicht mehr eine beliebige Nummer aus Ihrer TAN-Liste ein. Vielmehr fragt die Bank nach einer ganz bestimmten TAN aus der nummerierten Liste – zum Beispiel „Bitte TAN 65 eingeben“.

Die Lösung mTAN bedeutet, dass Sie die TAN, die Sie zur Durchführung einer Aktion benötigen, per SMS auf Ihr Handy erhalten. Das macht es für den Man in the Middle schwierig, denn üblicherweise wird dabei nicht nur die TAN mitgeteilt, vielmehr erhalten Sie zusätzlich die Empfängerdaten übermittelt. Außerdem ist die TAN nur wenige Minuten gültig. Wenn Sie also eine andere Kontonummer erhalten als die, die Sie eingegeben haben, können Sie den Vorgang abbrechen. Bei eTANs müssen Sie in ein Gerät (den TAN-Generator), das Sie von Ihrer Bank erhalten, die Kontonummer des Empfängers eingeben, bevor Sie eine TAN erhalten. Diese TAN tippen Sie über die Tastatur Ihres PCs ein. Sie ist wie die mTAN nur etwa zwei Minuten gültig. Die Bank hat die Möglichkeit zu überprüfen, ob TAN und die angegebene Kontonummer tatsächlich zusammengehören. Weitaus besser ist eTAN Plus. Hier erhält der Kunde keinen schlichten TAN-Generator, sondern ein „signierendes Gerät“, in das er seine EC-Karte einschieben muss, damit er es nutzen und eine TAN generieren kann. Er erhält zwei Codes: einen Banken- und einen Transaktionscode. Letzterer besteht aus den ersten sechs Stellen der Empfängerkontonummer. Die TAN, die er nach Eingabe der Codes erhält, ist an die Empfängerdaten gebunden.

PC-Sicherheit ist kein Luxus
Experten wissen es seit Langem: Der heimische PC des „Onliners“ ist die Schwachstelle. Deshalb lohnt es sich für jeden, der seine Bankgeschäfte per Internet abwickelt, seinen PC unter Sicherheitsaspekten zu prüfen. Folgende Vorsichtsmaßnahmen sollten Sie unbedingt ergreifen:
Verwenden Sie einen Browser mit 128 Bit SSL Verschlüsselung. Speichern Sie weder PINs noch TANs auf dem PC. Stellen Sie immer sicher, dass Sie sich wirklich auf der Internetseite Ihrer Bank befinden. Rufen Sie die Seite niemals über Links auf.Achten Sie immer auf das geschlossene Sicherheitsschloss. Wählen Sie sichere Passwörter mit sechs bis acht Stellen und einer Mischung aus Groß- und Kleinbuchstaben sowie Zahlen. Gehen Sie nicht als Administrator ins Internet. Deaktivieren Sie in Ihrem Browser die automatische Verwendung von AxtiveX-Controls und Java-Applets. Diese kleinen Programme machen es Unbefugten leicht, auf Ihren PC zuzugreifen. Benutzen Sie immer ein aktuelles Virenschutzprogramm und achten Sie auf regelmäßige Updates. Installieren Sie eine Firewall.

Tipp:
Es gibt gute kostenlose Firewalls. Viele Tipps und Informationen rund um das Thema PC-Sicherheit sowie kostenlose Downloads finden Sie unter beim Bundesamt für Sicherheit in der Informationstechnik.

Nicht verunsichern lassen
Keine Frage, bei allen Onlinegeschäften gibt es potenzielle Risiken (wie bei anderen Geschäftsvorgängen auch, denken Sie nur an den Kauf eines Gebrauchtwagens, der oft genug zu einem Vabanque-Spiel gerät). Heute wickeln rund 40 Prozent aller Deutschen ihre standardisierten Banktransaktionen online ab. Im Ausland liegt der Anteil prozentual sogar noch höher. Das heißt, pro Jahr kommt es allein in Deutschland zu mehreren Milliarden von Onlinebanking-Transaktionen. Gemessen daran sind die Schadenfälle verschwindend gering. Die Gefahr, als Kunde in einen Banküberfall verwickelt zu werden, ist statistisch sehr viel größer als das Restrisiko bei virtuellen Bankgeschäften. Vorausgesetzt, Sie befolgen die Sicherheitstipps Ihres Instituts und die Empfehlungen, die wir Ihnen auf den zurückliegenden Seiten gegeben haben. Wir haben an dieser Stelle auf die möglichen Gefahren hingewiesen. Dies geschah nicht mit dem Ziel, Sie zu verunsichern. Aber größtmögliche Sicherheit setzt Information voraus. Wer die Risiken kennt, kann entsprechend handeln und diese minimieren. Letztlich bestätigen auch Verbraucherschützer, dass Onlinebanking mindestens ebenso sicher ist wie die Abwicklung von Geldgeschäften in der Filiale.