Welche Bank bietet welche Homebankingverfahren an?

 
Benutzer
Avatar
Geschlecht: keine Angabe
Beiträge: 8104
Dabei seit: 08 / 2002
Betreff:

Re: Welche Bank bietet welche Homebankingverfahren an?

 · 
Gepostet: 29.03.2006 - 19:09 Uhr  ·  #21
Du wirst kaum eine richtige Einschätzung bekommen können.
Wenn der PC auf Kundenseite sicher ist, dann bekommen alle von mir 9,99 Punkte. Die Kundenseite ist eher das Problem.

Du solltest fragen: In welcher Rangfolge seht ihr aktuell die Sicherheitssituation bei einem unerfahrenen Windowsuser (oder ähnlich).

Ich würde dann die Reihenfolge von unsicherer nach sicherer so schätzen, was allerdings diskutiert werden sollte:

Windows Iexplorer Browserbanking Pin&TAN Tanliste
Windows Iexplorer Browserbanking SmartTan (Chipkarten-TAN-Liste)
Windows Browserbanking alternativer Browser
Browserbanking Challenge TAN (SmartTAN plus)
Pin&TAN HBCI Onlinebanking-Software
HBCI mit Datenträger würde ich zwischen HBCI Challenge-TAN und HBCI mit Chipkarte stellen -klopfer-
HBCI iTAN / SmartTAN würde ich zumindest als gleichwertig sehen, wobei ich SmartTan favorisiere -klopfer-
HBCI Challenge-TAN (SmartTAN Plus)
HBCI mit Datenträger
HBCI mit Chipkarte
Linux CD basierend
HBCI über Moneypenny (Boot-CD)
HBCI mit Linux und Chipkarte

Das Problem dabei: Jemand mit etwas "Windowsahnung", aber trotzdem Iexplorernutzer mit PIN&TAN schlägt locker einen Linux-User, der die PIN seiner Chipkarte auf der Karte notiert hat...
Benutzer
Avatar
Geschlecht:
Herkunft: Korschenbroich
Alter: 52
Beiträge: 6107
Dabei seit: 02 / 2003
Betreff:

Re: Welche Bank bietet welche Homebankingverfahren an?

 · 
Gepostet: 29.03.2006 - 20:34 Uhr  ·  #22
Da ich die Aufteilung vom Raimund so nicht teile, da Sie mir nicht genug differenziert, würde es mich interessieren, was Du als sicher definierst!

Warum die Frage?
Die Schlüsseldatei bietet fast keinen Schutz, wenn ich Sie im besitz (kopiert) habe. HBCI mit PIN und TAN bei der Challange bietet unter bestimmten Vorraussetzungen dann sogar einen höheren Schutz, da nicht kopierbar.

Also: Was verstehst Du unter Sicher?

Gruß

Holger
Benutzer
Avatar
Geschlecht: keine Angabe
Beiträge: 8104
Dabei seit: 08 / 2002
Betreff:

Re: Welche Bank bietet welche Homebankingverfahren an?

 · 
Gepostet: 30.03.2006 - 00:28 Uhr  ·  #23
Zitat
Da ich die Aufteilung vom Raimund so nicht teile, da Sie mir nicht genug differenziert, würde es mich interessieren, was Du als sicher definierst!

Dann drösel es ruhig noch weiter auf.

Tja, was ist "Sicherheit"? Ich würde versuchen, es so formulieren. Ein Verfahren ist sicherer als das andere, wenn es für Betrüger schwieriger ist, an das Geld des Kontos zu kommen.

klopfers Vorschlag würde ich ebenfalls so nicht stehen lassen, meines Erachtens ist HBCI mit Datenträger klar unsicherer, weil die Schlüsseldateien recht einfach kopiert werden können. Das ist beim Challengeverfahren nicht der Fall. Ich finde die Sicherheit ist sogar beinahe in der Nähe der HBCI-Chipkarte angesiedelt.

SmartTAN bietet weniger Sicherheit als die iTAN, da Sie für einen Online-Betrüger wenig bis keinen Sicherheitsunterschied zur Tan-Liste hat, wenn nicht nach dem Abgreifen ein "echter" TANverbrauch passiert. Die SmartTan schützt vor allen Dingen vor Abfotografieren und Kopieren des TAN-Bogens.

@all: Bitte editiert nicht an meiner Vorschlagsliste herum, sondern zitiert die einfach, wir haben Platz genug auf dem Server für lange Threads. Das wird sonst zu schnell missverständlich. Das Thema sollte ruhig ausdiskutiert werden.
Benutzer
Avatar
Geschlecht:
Herkunft: Korschenbroich
Alter: 52
Beiträge: 6107
Dabei seit: 02 / 2003
Betreff:

Re: Welche Bank bietet welche Homebankingverfahren an?

 · 
Gepostet: 30.03.2006 - 07:22 Uhr  ·  #24
Hallo Raimund,

Du hast das "Problem" genau erkannt! Gehen wir nur von der Möglichkeit aus, als Angreifer das Sicherheitsmedium unbemerkt ebenfalls zu nutzen, gehört die Schlüsseldatei unter bestimmten Umständen hinter der Smart TAN mit Challange und hinter der mTAN zumindestens wenn ich ein Kundenprodukt einsetze und hier die Möglichkeiten des FinTS Standards ausreize.

Gruß

Holger
Benutzer
Avatar
Geschlecht: keine Angabe
Herkunft: München
Homepage: subsembly.com/
Beiträge: 4443
Dabei seit: 11 / 2004
Betreff:

Re: Welche Bank bietet welche Homebankingverfahren an?

 · 
Gepostet: 30.03.2006 - 07:56 Uhr  ·  #25
Hallo,

ich würde die Sicherheit einer Schlüsseldatei ganz unten - noch hinter allen PIN/TAN-Verfahren - setzen. Sie kann ganz einfach und völlig unbemerkt kopiert werden und wenn der Benutzer kein wirklich gutes Passwort gewählt hat (damit meine ich mehr als 10 Zeichen mit Ziffern Groß/Kleinbuchstaden und Sonderzeichen) ist Sie im Handumdrehen geknackt.

Beim PIN/TAN-Verfahren muss man dazu sagen, dass man natürlich die besondere Sicherheit der TAN-Nummern verliert wenn man seine TAN-Nummern im Finanzprogramm selbst speichert.

Die maximale heute erreichbare Sicherheit sehe ich mit Verwendung eines Chipkartenlesers auf einem isoliert - nur zum Banking - betriebenen Pocket PC ;-)
Benutzer
Avatar
Geschlecht: keine Angabe
Herkunft: Wangen im Allgäu
Homepage: windata.de
Beiträge: 627
Dabei seit: 11 / 2003
Betreff:

Re: Welche Bank bietet welche Homebankingverfahren an?

 · 
Gepostet: 30.03.2006 - 08:23 Uhr  ·  #26
Zitat geschrieben von subsembly
Die maximale heute erreichbare Sicherheit sehe ich mit Verwendung eines Chipkartenlesers auf einem isoliert - nur zum Banking - betriebenen Pocket PC ;-)


Und das ist die wahrscheinlich schönste Form des Homebankings...
Der an diesem Beitrag angefügte Anhang ist entweder nur im eingeloggten Zustand sichtbar oder die Berechtigung Deiner Benutzergruppe ist nicht ausreichend.
Benutzer
Avatar
Geschlecht: keine Angabe
Herkunft: Im wunderschönen Ahrtal
Beiträge: 2077
Dabei seit: 04 / 2004
Betreff:

Re: Welche Bank bietet welche Homebankingverfahren an?

 · 
Gepostet: 30.03.2006 - 10:18 Uhr  ·  #27
*lol*
Hier ist das Knacken der Sicherheitsmechanismen (auch genannt Kronenkorken) wohl Pflicht. :lol: :lol:
Benutzer
Avatar
Geschlecht: keine Angabe
Beiträge: 8104
Dabei seit: 08 / 2002
Betreff:

Re: Welche Bank bietet welche Homebankingverfahren an?

 · 
Gepostet: 30.03.2006 - 12:15 Uhr  ·  #28
Zitat geschrieben von subsembly
Hallo,

ich würde die Sicherheit einer Schlüsseldatei ganz unten - noch hinter allen PIN/TAN-Verfahren - setzen. Sie kann ganz einfach und völlig unbemerkt kopiert werden und wenn der Benutzer kein wirklich gutes Passwort gewählt hat (damit meine ich mehr als 10 Zeichen mit Ziffern Groß/Kleinbuchstaden und Sonderzeichen) ist Sie im Handumdrehen geknackt.
ich bin anderer Meinung. Die Sonderzeichen sind in den meisten Programmen Pflicht. Das zum ersten. Dann benötigst der Angreifer zusätzlich auch noch die passende Software zum Key. An die Datei käme ein Online-Angreifer normalerweise durch ein trojanisches Pferd. Da diese i.d.R. auch Keyloggingfunktionen haben, hast du aber bereits auch die Voraussetzungen für das Abfischen der PIN&TAN über die Tastatur. Zusätzlich kannst du mit PIN&TAN über den Browser arbeiten, der Zugang ist also für Angreifer transparenter. Ich glaube nicht, dass irgendwelche ausländische Skriptkiddies sich mit einer Homebanking-Software auskennen.

Zitat
Beim PIN/TAN-Verfahren muss man dazu sagen, dass man natürlich die besondere Sicherheit der TAN-Nummern verliert wenn man seine TAN-Nummern im Finanzprogramm selbst speichert.
die Realität sieht leider anders aus. Ich halte es tatsächlich für sicherer, die PIN zu speichern! Ein später installierter Keylogger kommt dann NICHT sofort an die Zugangsdaten. Er müsste schon die Datenbank der Software knacken. Dem Kunden ist das Speichern der PIN allerdings per Vertrag verboten und damit existiert eine Zwiespalt zwischen Realität und empfehlenswertem Vorgehen.

Deshalb sind die Sicherheitsvergleiche auch sehr, sehr schwierig.

Gruß
Raimund
Benutzer
Avatar
Geschlecht: keine Angabe
Herkunft: Westfalen
Beiträge: 5096
Dabei seit: 05 / 2003
Betreff:

Re: Welche Bank bietet welche Homebankingverfahren an?

 · 
Gepostet: 30.03.2006 - 12:37 Uhr  ·  #29
Was haltet ihr von einer Kombination von indizierter TAN mit Challenge-PIN?

Soll heissen die aktuelle PIN wird über eine neue ZKA-Zusatzanwendung auf der Seccos Karte erzeugt und die TAN kommt über Index-Anforderung aus einer elektronischen Liste, z.B. sowas wie eine RSA-Sicherheitsdatei. Der Index könnte ja lauten: Alle Zeichen zwischen Position 55-87 in der Datei. Warum sollte eine TAN eigentlich keine Buchstaben und Sonderzeichen beinhalten dürfen? :)

Der Benutzername zum öffnen der Datei wird dynamisch hochgezählt (Kunde muss selber mit-protokollieren) und das Passwort ist gleich der Atom-Zeit der PTB in Branschweig (Hundertstel-genau einzugeben) in Verbindung mit weitergehender Authentifizierung über eine akkreditierte qualifizierte elektronische Signatur. Zugegeben ist die Passworteingabe dann auch zeitkritisch (keine erlaubte Abweichung), aber prinzipiell nicht ganz unmöglich.
Später wird noch die Zeitzone (Index-übermittelt) in die Berechnung mit eingebaut.
Ach ja: Der zur Anmeldung am Bankrechner zu verwendende Benutzername wird in absteigender Reihenfolge einer Papier-Liste entnommen.

Ist das Systm nach Expertenmeinung noch angreifbar?

*ichbestellmirjetztnenarzt*
Benutzer
Avatar
Geschlecht: keine Angabe
Herkunft: Im wunderschönen Ahrtal
Beiträge: 2077
Dabei seit: 04 / 2004
Betreff:

Re: Welche Bank bietet welche Homebankingverfahren an?

 · 
Gepostet: 30.03.2006 - 12:51 Uhr  ·  #30
Zitat
Ein später installierter Keylogger kommt dann NICHT sofort an die Zugangsdaten.
wenn er aber schon vorher drauf war hat er 100 Nummern auf einen Rutsch.
Außerdem haben immer noch (aber die Scriptkiddies holen auf) die meisten Viren Arme und Beine. Will sagen, daß immer noch die meisten Schäden durch Unberechtigte entstehen, die körperlich am PC sitzen. Das Fishing der Pin passiert dann eher durch einen Blick über die Schulter oder eine einfache Frage. Da wird die gespeicherte Tanliste dann wirklich zum Problem und das ist wohl auch der Sinn dieser Vertragsklausel.
(Digital-)Virentechnisch stimme ich Ray zu. Kein aktuelles Bankingprog wird auf absehbare Zeit einen so großen Marktanteil erreichen, daß es als Ziel für einen Trojaner interessanter wird als der IE. Ich für meinen Teil erwarte für die nächste Zeit die ersten Trojaner für den Fuchs...

CU
Frank
Benutzer
Avatar
Geschlecht: keine Angabe
Herkunft: tief im Süden
Beiträge: 1046
Dabei seit: 07 / 2003
Betreff:

Re: Welche Bank bietet welche Homebankingverfahren an?

 · 
Gepostet: 30.03.2006 - 13:17 Uhr  ·  #31
Zitat geschrieben von Captain FRAG
Was haltet ihr von einer Kombination von indizierter TAN mit Challenge-PIN?


Finde ich gut, die UBS hat das schon im Einsatz:

Seite 3, "Sicherheit geht vor"
Benutzer
Avatar
Geschlecht:
Herkunft: Korschenbroich
Alter: 52
Beiträge: 6107
Dabei seit: 02 / 2003
Betreff:

Re: Welche Bank bietet welche Homebankingverfahren an?

 · 
Gepostet: 30.03.2006 - 14:40 Uhr  ·  #32
Hallo Captain,

Zitat geschrieben von Captain FRAG
Was haltet ihr von einer Kombination von indizierter TAN mit Challenge-PIN?

Ist das Systm nach Expertenmeinung noch angreifbar?


das System ist nach dem ersten Überfliegen sowohl angreifbar, wie auch für den Endanwender noch weniger verständlich als die "normalen" Challangeversionen.

Gruß

Holger
Benutzer
Avatar
Geschlecht: keine Angabe
Herkunft: Im wunderschönen Ahrtal
Beiträge: 2077
Dabei seit: 04 / 2004
Betreff:

Re: Welche Bank bietet welche Homebankingverfahren an?

 · 
Gepostet: 30.03.2006 - 14:47 Uhr  ·  #33
Im Browserbanking werden wir ein DAU-kompatibles System finden, bei dem ein deutlicher Sicherheitsgewinn drin ist. Sicherheit und Bequemlichkeit beißen sich nun mal.
Ein großes Sicherheitsplus hätten wir, wenn wir die Kunden weg vom Browser und hin zur Software bringen. Dann aber kommt zu Sicherheit und Bequemlichkeit auch noch der Punkt Kosten (für Banken und Kunden).
Schaffen wir das blöde Geld einfach ab - oder die Menschen :noidea:
Benutzer
Avatar
Geschlecht: keine Angabe
Beiträge: 931
Dabei seit: 07 / 2004
Betreff:

Re: Welche Bank bietet welche Homebankingverfahren an?

 · 
Gepostet: 30.03.2006 - 15:35 Uhr  ·  #34
Zitat geschrieben von Raimund Sichmann
die Realität sieht leider anders aus. Ich halte es tatsächlich für sicherer, die PIN zu speichern! Ein später installierter Keylogger kommt dann NICHT sofort an die Zugangsdaten. Er müsste schon die Datenbank der Software knacken. Dem Kunden ist das Speichern der PIN allerdings per Vertrag verboten und damit existiert eine Zwiespalt zwischen Realität und empfehlenswertem Vorgehen.

Deshalb sind die Sicherheitsvergleiche auch sehr, sehr schwierig.

Gruß
Raimund


Das Problem ist nur, wenn jemand die Datenbank in die Finger bekommt, hat man unbegrenzt viele versuche um die Datenbank zu knacken,bzw. es wird das DB PW geloggt...
Benutzer
Avatar
Geschlecht: keine Angabe
Beiträge: 23
Dabei seit: 03 / 2006
Betreff:

Re: Welche Bank bietet welche Homebankingverfahren an?

 · 
Gepostet: 30.03.2006 - 15:41 Uhr  ·  #35
Ist es sinnvoll die verschiedenen Pin-Tan verfahren einfach nur nach ein oder zwei-weg zu unterscheiden?
Wie gesagt mein Problem ist das ich nicht soviel Zeit habe. ca 35 std
Ich habe mir folgenden Ablauf gedacht
IST Zustand (Kreditinstitue durchforsten und kurz Verfahren erläutern)
IST Analyse (Nutzwertanalyse=(Sicherheitsrisiken aufführen-erläutern,mit Verfahren vergleichen)
Zum Schluss dann in einer Wirtschaftlichkeitsanalyse errechnen wie teuer eine umstellung auf dieses Verfahren wäre
Benutzer
Avatar
Geschlecht: keine Angabe
Beiträge: 23
Dabei seit: 03 / 2006
Betreff:

Re: Welche Bank bietet welche Homebankingverfahren an?

 · 
Gepostet: 30.03.2006 - 17:08 Uhr  ·  #36
Das zweite Problem sehe ich neben der Definition was ist sicherer gegen z.b. Phishing.... eine gescheite Quelle nachzuweisen. Ich weiß nicht ob ich einfach reinschreiben soll das ich mich mit einem Experten des Hauses abgestimmt habe oder ob ich eine direkte seriöse Quelle haben muss
Benutzer
Avatar
Geschlecht: keine Angabe
Beiträge: 8104
Dabei seit: 08 / 2002
Betreff:

Re: Welche Bank bietet welche Homebankingverfahren an?

 · 
Gepostet: 30.03.2006 - 23:08 Uhr  ·  #37
moment, hältst du uns nicht für seriös? *Beleidigtguck*. Die Antworten kamen hier alle von gestandenen Bankern, die sich in ihrer Materie sehr gut auskennen!

@stoney
Zitat
Das Problem ist nur, wenn jemand die Datenbank in die Finger bekommt, hat man unbegrenzt viele versuche um die Datenbank zu knacken,bzw. es wird das DB PW geloggt...
Wenn der Betrüger an die Datenbank rankommen kann, ist das Keyloggen doch wohl ein geringeres Problem, oder nicht? Außerdem halte ich das Speichern der PIN zur aktuellen Zeit für sicherer, vom TAN-Speichern war nicht die Rede.

Gruß
Raimund
Benutzer
Avatar
Geschlecht: keine Angabe
Beiträge: 23
Dabei seit: 03 / 2006
Betreff:

Re: Welche Bank bietet welche Homebankingverfahren an?

 · 
Gepostet: 31.03.2006 - 08:10 Uhr  ·  #38
so war das natürlich nicht gemeint :oops:
ich weiß nur nicht wie das ankommt wenn ich als Quelle ein Forum angebe
Benutzer
Avatar
Geschlecht: keine Angabe
Beiträge: 931
Dabei seit: 07 / 2004
Betreff:

Re: Welche Bank bietet welche Homebankingverfahren an?

 · 
Gepostet: 31.03.2006 - 08:57 Uhr  ·  #39
Zitat geschrieben von Raimund Sichmann
Zitat
Das Problem ist nur, wenn jemand die Datenbank in die Finger bekommt, hat man unbegrenzt viele versuche um die Datenbank zu knacken,bzw. es wird das DB PW geloggt...
Wenn der Betrüger an die Datenbank rankommen kann, ist das Keyloggen doch wohl ein geringeres Problem, oder nicht? Außerdem halte ich das Speichern der PIN zur aktuellen Zeit für sicherer, vom TAN-Speichern war nicht die Rede.

Gruß
Raimund


Von TANs speichern war ja auch nicht die Rede, aber sehe eben kein Unterschied, ob nun die PIN der DB geloggt (wenn überhaupt dort eine hinterlegt ist) und die DB verschickt wird oder die PIN bei der Übertragung geloggt wird. Bei beiden Wegen muß ich ja unabhängig davon noch irgendwie eine TAN loggen, aber es ging ja lediglich um die Sicherheit der PIN...
Benutzer
Avatar
Geschlecht: keine Angabe
Herkunft: Pinneberg
Beiträge: 230
Dabei seit: 10 / 2003
Betreff:

@Quietstorm

 · 
Gepostet: 31.03.2006 - 11:26 Uhr  ·  #40
Zitat geschrieben von Quietstorm
so war das natürlich nicht gemeint :oops:
ich weiß nur nicht wie das ankommt wenn ich als Quelle ein Forum angebe

Ich bin nicht beleidigt und kann Deine Aussage auch verstehen - und ich glaube die Kollegen letztendlich auch 😉 . Ein Forum mit einem so hoch qualifizierten Mitgliederkreis ist aber auch, denke ich, nicht selbstverständlich und für so eine Arbeit zumindest erklärungsbedürftig.

Und was spricht dagegen, diesen Thread in Deine Arbeit mit aufzunehmen ? Fakt ist, die hier postenden Mitglieder sind definitiv hoch qualifiziert und über sämtliche Bankengruppen gestreut. Die aufgekommenene, teilweise auch kontrovers geführte, Diskussion zeigt doch am deutlichsten, wie komplex das Thema ist und wieviel Interpretationsspielraum im Vergleich der einzelnen Systemen steckt. Und zwar ohne Marketing-Hochglanzprospekte, nur anhand gültiger Fakten.

Es gibt nicht "die" korrekte Einstufung der Sicherungsverfahren, soviel wissen wir inzwischen. Wir finden in diesem Thread (und im Forum insgesamt) diverse Informationen zu Stärken und Schwächen der Systeme, letztendlich hilft Dir das aber auch nicht.

Was nützt es mir, das derzeit sicherste Verfahren einzusetzen (HBCI mit Seccos-Chipkarte, ich bin ja schliesslich ein Genosse 😉 ), wenn meine Chipkarte dauerhaft im Leser steckt, ich die PIN mit einem Edding da raufgeschrieben habe weil ich sie sonst vergesse und eine Zahlungsverkehrssoftware ohne Kennwort benutze ? Dann kann jeder, der am Rechner sitzt, Unfug machen, oder einfach mal die Karte mitnehmen zum Unfug machen...

Wie wäre es, das Thema Sicherheit mal nicht ans System zu hängen, sondern an den User ? Der ist doch letztendlich dafür zuständig, die sicheren Systeme auch sicher zu nutzen. Denn auch die in der Liste als "relativ unsicher" eingestuften Verfahren sind in den Händen bestimmter User absolut sicher.

Nur mal so als weitere Anregung - um Deine 30 oder 35 Stunden brauchst Du Dir wohl keine Sorgen zu machen...

Gruß
Stefan
Gewählte Zitate für Mehrfachzitierung:   0