iTAN-Verfahren von Experten geknackt


Erschienen: 11.11.2005, 16:00 Uhr, Quelle: pressetext, Autor: Jochen Schembera

Einem Team der Ruhr-Universität Bochum ist es gelungen, das beim Online-Banking verwendete Sicherheitsverfahren iTAN zu knacken. Das Expertenteam der Universität hat das Verfahren innerhalb eines Tages überwunden. Mit Hilfe eines Man-in-the-Middle-Angriffs über eine gefälschte Webseite konnte ein symbolischer Betrag von einem Euro auf ein anderes Konto überwiesen werden.

Als Reaktion auf die Häufung von Phishing-Attaken der vergangenen Zeit führten einige Banken das iTAN-Verfahren ein. Kunden, die eine Transaktion online tätigen wollen, geben bei dieser Technik nicht wie bisher einen beliebigen TAN-Code zur Freigabe ein, sondern werden von der Bank zur Eingabe eines bestimmten Codes aus einer Liste aufgefordert. Damit soll unterbunden werden, dass sich Betrüger mit einem beliebigen ergaunerten Code an einem Kundenkonto bedienen können.

"Mit einer geringen Modifizierung der verwendeten Technik können Kriminelle auch das iTAN-Verfahren austricksen", teilte Christoph Wegener von der RUB mit. Die Testbetrüger der RUB forderten das Opfer per Mail zur Eingabe von Kontonummer und Passwort auf einer gefälschten Bankseite auf. Sobald die Daten im Server eingegangen waren, stellte dieser eine Verbindung mit dem tatsächlichen Bankserver des Opfers her. Die Abfrage des Freigabecodes wurde dann automatisch an den ahnungslosen Kunden weitergeleitet. So erhielt der Angreifer die korrekte TAN und konnte die Überweisung durchführen.

Wegener betonte, dass sowohl TAN und iTAN bei korrekter Überprüfung der SSL-Verbindung sicher seien. Allerdings hätten die Angriffe der letzten Zeit gezeigt, dass die Betroffenen den Schutzmechanismus SSL schlichtweg ignorieren oder nicht verstehen. "Hier ist gegenüber den Kunden verstärkt Aufklärungsarbeit zu leisten", forderte Wegener.

"Die einzig wirklich sichere Lösung ist der Einsatz von Kartenlesern der Klasse drei. Bei diesen Geräten wird sichergestellt, dass die persönlichen Informationen des Kunden auf dem Kartenleser verbleiben und nur verschlüsselt gesendet werden", erläuterte Wegener. Doch diese Methode stößt bei den Bankkunden auf wenig Gegenliebe, da sie mit zusätzlichem Aufwand verbunden ist. "Zudem sind diese Geräte nicht gerade preiswert", meinte Wegener abschließend, denn mit Kosten zwischen 80 und 100 Euro sei in jedem Fall zu rechnen.

« Vorherige News Nächste News »
Weitere Meldungen

Kommentare (10)Zum Thread »

1) beckspistol (11.11.2005, 18:29 Uhr)
wirklich sicher kann man sich leider nie schätzen. wir haben so ein kartelesegerät kl. 3. wurde uns von der bank gesponsort.
2) Thrawn (11.11.2005, 22:57 Uhr)
naja also von knacken kann man da aber auch nur entfernt sprechen
3) ventu (12.11.2005, 01:17 Uhr)
wenn man sich nicht gerade besonders dumm anstellt, sollte iTan eine hinreichende Sicherheit gewähren...
4) denjo (12.11.2005, 10:55 Uhr)
wer schreibt auch den leuten seine pin und kontonr. wer so blöd ist sollte auch bestraft werden lachen
5) ventu (12.11.2005, 12:06 Uhr)
weit verbreitet ist außerdem die Meinung, die Banken hätten es versäumt auf HBCI-fähige Geräte hinzuweisen ... Das stimmt so nicht! Die Banken haben sehr wohl damals bei der Einführung von Online Banking auf die Risiken hingewiesen aber die Kunden waren diejenigen, die den zusätzlichen Preis für diese Geräte nicht bereit waren zu zahlen und das Verfahren somit ins Abseits gerückt haben.
6) denjo (13.11.2005, 15:35 Uhr)
Meist kriegt man das Geld sowieso wieder, die Banken machen einfach Rücküberweisungen. Solange das Geld nicht direkt ins Ausland verreist kommts zu 90% wieder.
7) ventu (13.11.2005, 17:09 Uhr)
lol das glaubst Du doch nicht im Ernst oder ?
8) denjo (13.11.2005, 17:33 Uhr)
Zitat:
Original von ventuklotz
lol das glaubst Du doch nicht im Ernst oder ?

ähm, geh mal zu deiner Bank und frag nach
die geben dir eine Antwort mein kleiner Augenzwinkern
9) ventu (13.11.2005, 22:38 Uhr)
Ich weiß ja nicht woher Du Deine Informationen beziehst ... aber wer ist bitte so dumm und überweist das ergaunerte Geld auf ein deutsches Konto ?
Das wird schneller ins Ausland abgezweigt als Du gucken kannst, mein Kleiner Augenzwinkern
Und die Banken werden einen Teufel tun und Dir das Geld ersetzen.
10) denjo (14.11.2005, 20:51 Uhr)
wenn du schnell genug bist kriegste es auch von da wieder, solange es nicht bar abgeholt worden ist smile
Kommentar abgeben 


Sicherheitsabfrage
Bitte übertragen Sie den Code in das Eingabefeld!