Welches chipTAN Verfahren ist am sichersten?

TAN-Verfahren gewähren die höchstmögliche, jedoch niemals eine hundertprozentige Sicherheit beim Onlinebanking – auch wenn das manche Anbieter gerne behaupten. Die ernüchternde Wahrheit ist: Mit Ausnahme des HBCI, das streng genommen gar kein TAN-Verfahren ist, wurde jedes TAN-Verfahren zu irgendeinem Zeitpunkt schon einmal erfolgreich gehackt. Obgleich die verfahrenseigenen Sicherheitslücken bei jedem Betrugsfall eine wichtige Rolle gespielt haben, war meist jedoch eine ganz andere Schwachstelle ausschlaggebend: der Kunde. Von der bankinternen Sicherheitsinfrastruktur isoliert, oft wenig in IT-Themen bewandert und zuweilen impulsiv handelnd, ist er für viele Kriminelle das schwächste Glied der Kette.

Dies ist auch der Grund, warum Cyber-Angriffe auf ein Bankkonto immer zuerst auf dessen Besitzer abzielen. Aus diesem Grund liegt es wohl oder übel an den Kunden, sich mit dem Thema Kontosicherheit zu befassen und ein Bewusstsein für den sicheren Umgang mit Onlinebanking und TAN-Verfahren zu entwickeln. In diesem Zusammenhang kann es hilfreich sein, den typischen Ablauf einer Attacke zu kennen und zu verstehen. Nun existiert ein großer Variantenreichtum an möglichen Angriffsszenarien, und täglich lassen sich Kriminelle neue Wege einfallen, um an Geld heranzukommen, das ihnen nicht gehört. Somit können hier nicht alle Tricks der Cyberkriminellen umfassend dargestellt werden, doch wir möchten Ihnen zumindest beispielhaft typischeVorgehensweisen vieler Cyber-Kriminellen erläutern. Die folgenden Ausführungen beziehen sich auf das mTAN-Verfahren:

Um den Faktor Mensch für die Unterwanderung eines IT-Sicherheitssystems nutzen zu können, bedienen sich geübte Angreifer neben einer Auswahl digitaler und technischer Hilfsmittel vor allem einer Methodik: dem Social Engineering. Sie versuchen, ihr Opfer dazu zu bringen, sich in einer sicherheitskritischen Situation falsch zu verhalten. Beispielsweise könnte sich ein Hacker als Angestellter eines externen IT-Supports ausgeben, der gebeten wurde, Probleme der Buchhaltungs- und Onlinebanking-Software zu lösen. In diesem Zusammenhang versucht er dann, von seinem Gesprächspartner Zugangs- oder Bankdaten zu erfragen.

Häufig besteht der erste Schritt einer Cyberattacke auch in der Einschleusung eines Trojaners. Dies geschieht etwa, indem das Opfer in einer vertrauenswürdig wirkenden E-Mail dazu verleitet wird, auf einen infizierten Link zu klicken. Je seriöser die E-Mail und ihre Adresse wirken, desto eher führt diese Art von Phishing zum Erfolg. Betreffzeilen wie „Mahnung“, „Kontosperrung“ oder „Sicherheitsprüfung“ sollen das potenzielle Opfer unter Stress setzen und zu einer unüberlegten Handlung animieren.

1. Egal, auf welche Weise ein Banktrojaner sich einnistet – ist er erst einmal auf dem Gerät, mit dem man sein Onlinebanking durchführt, kann er die dazugehörigen Zugangsdaten ausspähen. Die erste Hürde hat der Hacker dann genommen.
2. Nun muss der Angreifer nur noch das TAN-Verfahren überwinden, wofür er eine Reihe verschiedener Optionen hat, von denen an dieser Stelle nur drei vorgestellt werden sollen:

• Das Mobilgerät zu stehlen, ist wohl die häufigste Methode, sie fällt dem Geschädigten aber auch am schnellsten auf.
• Eine weitere Strategie besteht darin, die erbeuteten Zugangsdaten zu nutzen, um die Handynummer des Kontoinhabers auf eine zweite SIM-Karte zu portieren, beziehungsweise um eine zusätzliche SIM-Karte anzufordern. Diese konfiguriert der Angreifer im Anschluss so, dass SMS (und damit auch Transaktionsnummern) nur noch an seine eigene SIM-Karte gesendet werden, während alle anderen Funktionen (zum Beispiel Telefonieren) weiterhin für das Opfer verfügbar bleiben. Dass etwas nicht stimmt, fällt dem Opfer dann erst nach einiger Verzögerung auf.
• Besonders hinterlistig, da nahezu unsichtbar, ist jedoch die sogenannte Man-in-the-Middle- beziehungsweise Man-in-the-Browser-Attacke: Dabei nistet sich der Trojaner im Browser des Opfers ein und manipuliert die visuelle Darstellung einer Onlinebanking-Plattform. So verändert er vorhandene Elemente oder fügt neue hinzu. Das unbedachte Opfer gibt seine Überweisungsinformationen samt dazugehöriger TAN wie gewohnt ein und schickt beides ab. Im Hintergrund hat der Angreifer die Daten aber bereits abgegriffen und lenkt Überweisungen auf sein eigenes Bankkonto. Je nachdem, wie clever er dabei vorgeht, kann es Wochen oder sogar Monate dauern, bis der Schaden entdeckt wird.

Wie ein kriminelles Individuum letztendlich an Ihre TAN herankommt, ist für Sie als Verbraucher nicht wirklich von Belang. Stattdessen sollten Sie sich darauf konzentrieren, sich gegen die ersten Schritte eines Cyber-Angriffs (Social Engineering und das Einschleusen von Banktrojanern) zu wappnen. Dazu müssen Sie beispielsweise auf die typischen Indizien des Phishings achten oder sensible Daten nicht ohne weiteres an Fremde ausgeben, auch wenn diese als verlässlicher Dienstleister (IT-Support, Buchhaltungsdienstleister etc.) auftreten.

Welches ist das sicherste Online

Wie sicher ist das chipTAN

Was ist sicherer chipTAN oder BestSign?

Was ist besser chipTAN manuell oder optisch?