2.) Typisches beim HBCI-Verfahren

Bei diesem Verfahren ist technisch sichergestellt, dass eine Verfügung ohne tatsächliche Verwendung der Chip-Karte nicht möglich ist. Diese ist (bislang) nicht zu vervielfältigen. Die Legitimation gegenüber der Chip-Karte durch Eingabe der PIN ist vergleichbar mit der Situation der EC-Karte. Ein Missbrauch setzt dann grundsätzlich das Abhandenkommen der Chip-Karte sowie das Ausspähen der PIN voraus. Hinsichtlich des Abhandenkommens bei der Übersendung der Karte gilt das gleiche wie oben zu 1.). Danach hängt insoweit die Sicherheit der Karte grundsätzlich von den Maßnahme des Kunden ab.

3.) Gemeinsame online-bedingte Probleme der Verfahren

Schließlich besteht das Risiko, dass sich beim Verbindungsaufbau, aber vor dem Erstellen einer sicheren Verbindung zwischen Bank und Kunden, ein Dritter dazwischen schaltet. Dies ist grundsätzliches Problem beim Datenverkehr im Internet. Bislang wurde es im Bereich des Online-Banking lediglich als theoretische Möglichkeit in der juristischen Diskussion behandelt. Dem CCC-Frankfurt[20] ist es jedoch gelungen, das HBCI-Verfahren zu umgehen. Deren Bericht beschreibt dies wie folgt:[21]Der Computer des Kunden wurde zunächst mit einem im Internet frei verfügbaren Trojanischen Pferd infiziert, der von gängigen Virenprogrammen unbemerkt blieb. Mit dessen Hilfe konnte der Angreifer, sobald das Opfer online war, den gesamten Bildschirminhalt des Opfers mitlesen, die Tasteneingabe im Klartext verfolgen, alle Funktionen des Opfer-PCs unbemerkt kontrollieren und weitere Software unbemerkt auf dem Opfer-PC installieren.

Dem Opfer wurden die angewählten Bildschirmmasken, einschließlich der Möglichkeit der Bedienung von Feldfunktionen oberflächlich belassen. Der Angreifer konnte im Hintergrund den gesamten Computer, einschließlich der Peripherien, nach Belieben benutzen. Zunächst wurden die Passwörter ausgespäht, die Kontonummer, die Bank des Opfers und die dortigen Verfahrensabläufe. Man wartete, bis das Opfer erneut den Kontakt zu seiner Bank aufnahm und hierzu die Chip-Karte ins Lesegerät steckte.

Dann wurde der Kontakt zwischen Opfer und Bank im Hintergrund tatsächlich abgebrochen, ihm jedoch auf dem Bildschirm das Fortbestehen des Kontaktes vorgespielt. Parallel stellte der Angreifer eine Verbindung zwischen seinem Rechner und dem Server der Bank des Opfers her und führte durch Eingabe der ausgespähten Daten die Transaktion durch. Die Bestätigung der Transaktion konnte mittels der Kontrolle über den Opfer-PC und die dort im Kartenlesegerät steckende Original-Chip-Karte bestätigt werden. Voraussetzung war lediglich, dass die Karte tatsächlich noch im Gerät stak. So wurden Transaktionen vorgenommen, die weder von der Bank, noch vom Kunden bemerkt werden konnte, da sie tatsächlich durch Verwendung der Chip-Karte des Kunden authentifiziert wurden.

Aus dem Bericht des CCC spricht nur Hohn über die Einfachheit der Überwindung des HBCI-Sicherheitsstandards mittels frei verfügbarer Software und ohne Einsatzes nennenswerten Know-hows.[22]Dieses Verfahren ist nur eines von vielen denkbaren, wobei der Kreativität von professionellen kriminellen Crackern und die Möglichkeiten beim Einsatz erheblich gesteigerten Know-hows diesseits nur erahnbar sein kann, insbesondere vor dem motivierenden Hintergrund, dass einzelne Verfügungen über ein fremdes Konto dieses bis zur Kreditlinie „leeren“ können. Das Verfahren ließe sich ebenso auf das PIN/TAN-Verfahren anwenden, solange die eingegebenen TANs abgefangen werden und nicht zur Bank durchdringen, so dass sie zum einmaligen Gebrauch weiter verwendbar bleiben.

Die Schwachstelle im System war vorliegend die Möglichkeit der Einschleusung eines Trojanischen Pferdes über das Attachement einer E-Mail. Dies könnte effektiv nur verhindert werden, indem keine E-Mails auf dem fürs Online-Banking genutzten Rechner geöffnet werden, zumal auch die gängigen Virensuchmaschinen keinen Alarm schlugen. Dies ist jedoch unrealistisch und niemandem zumutbar. Es ist festzuhalten, dass ein reales Sicherheitsrisiko durch Crackerangriffe auf die Endrechner beim Datentransfer über das Internet besteht. Dass hier in absehbarer Zeit ein wirksamer Schutz auf der Seite des Kundenrechners gegeben sein wird, ist nicht anzunehmen, zumal auch erfolgreiche Angriffe selbst auf als sicher geltende Systeme immer wieder erfolgen.[23] Dies wird als tatsächliches Grundproblem offener Netze hinzunehmen sein.

Zurückblättern zu Seite 2
Weiterlesen auf Seite 4

Stand 2002