E-Banking: Achtung mTAN & Co.

Seit Längerem setzt eine Mehrzahl der Banken sowohl für das Login ins E-Banking als auch für das Visieren (autorisieren) von Zahlungen via E-Banking auf mobile Authentifizierungsmethoden: Beim Verfahren mobileTAN (mTAN) zum Beispiel schickt die Bank einen Bestätigungs-Code via SMS an den Kunden. Kriminelle versuchen schon seit einigen Jahren mittels Smartphone-Malware die SMS-Bestätigungs-Codes (mTAN) auf dem Smartphone des Kunden abzufangen und danach für E-Banking-Betrug zu verwenden, wie die Melde- und Analysestelle Informationssicherung (Melani) schreibt.

Alternative Möglichkeit: Prinzipiell sicher, aber…

Die Industrie hat deshalb alternative Authentifizierungsmethoden zu mTAN entwickelt, welche bereits von diversen Banken eingesetzt werden. Dabei wird dem Kunden beim Login oder zum Visieren einer Zahlung ein QR-Code oder Mosaik im E-Banking-Portal angezeigt. Der Kunde kann diesen mit einer App auf seinem Smartphone oder einem unabhängigen (autonomen) Gerät einscannen.

Je nach Produkt wird das Login bzw. die Visierung der Zahlung direkt in der App bestätigt oder diese generiert einen Code, welcher der Kunde dann im E-Banking-Portal eingeben muss. Produkte, mit einer solchen Authentifizierungsmethode, welche von Schweizer Banken verwendet werden, sind unter anderem PhotoTAN, CrontoSign, SecureSign.

Prinzipiell gilt diese Authentifizierungsmethode als sicher. Kunden lassen sich jedoch in vielen Fällen durch Social Engineering täuschen und visieren Zahlungen auch dann, wenn sie den Vorgang als betrügerisch erkennen könnten, beispielsweise wenn in der App ein offensichtlich falsches Empfängerkonto angezeigt wird oder wenn bereits beim Login-Vorgang Zahlungsdaten eingeblendet werden.

Achtung vor der Schadsoftware Retefe

Melani hat Kenntnis von aktuellen E-Banking-Betrugsversuchen auf Authentifizierungsmethoden wie PhotoTAN, CrontoSign oder SecureSign. In der Schweiz ist derzeit zum Beispiel die seit Langem bekannte Schadsoftware Retefe in der Lage, mittels Social Engineering E-Banking-Kunden dazu zu animieren, betrügerische Zahlungen via PhotoTAN, CrontoSign oder SecureSign zu visieren.

Im Umgang mit Authentifizierungsmethoden via Smartphone wie beispielsweise mTAN, PhotoTAN, CrontoSign oder SecureSign empfiehlt Melani:

• Stellen Sie sicher, dass Sie beim Login-Vorgang ins E-Banking auf dem mobilen Gerät (z.B. Smartphone oder dediziertes PhotoTAN-Gerät) wirklich das Login bestätigen und dass es sich nicht bereits um die Visierung einer Zahlung handelt.
• Falls Sie eine Zahlung visieren, lesen Sie immer den ganzen Text auf dem mobilen Gerät und überprüfen Sie Betrag und Empfänger (Name, IBAN) der Zahlung, bevor Sie diese freigeben.
• Installieren Sie Apps nur aus dem offiziellen App-Store (Google Play Store bzw. Apple iTunes). Installieren Sie niemals Apps aus unbekannten Quellen, auch wenn Sie dazu aufgefordert werden. Modifizieren Sie Ihr Gerät nicht in dem Sinne, dass wesentliche Sicherheitsmechanismen ausgehebelt werden (z.B. Rooten, Jailbreaken).
• Sollten Sie unaufgefordert ein SMS Bestätigungs-Code (mTAN) erhalten, kontaktieren Sie unverzüglich Ihre Bank.
• Sollten Sie beim Login in das E-Banking Unregelmässigkeiten feststellen, kontaktieren Sie unverzüglich Ihre Bank.
• Solche Unregelmässigkeiten sind beispielsweise:

1. Sicherheitsmeldung vor dem Login ins E-Banking. Zum Beispiel „In Zusammenhang mit der Modernisierung des Sicherheitssystems kann von Ihnen beim Einloggen ins Benutzerkonto eine zusätzliche Identifizierung angefordert werden. […]“
2. Fehlermeldung nach dem Login ins E-Banking. Zum Beispiel „Fehler! Wegen eines technischen Problems sind wir unfähig, die Seite zu finden, nach der Sie suchen. Versuchen Sie bitte in 2 Minuten noch einmal.“
3. Sicherheitsmeldung nach dem Login ins E-Banking (z.B. „Sicherheitsmassnahme“), bei welcher Sie dazu aufgefordert werden, Festnetz- oder Handy-Nummer einzugeben
4. Aufforderung zur Installation einer mobile App nach dem Login ins E-Banking
5. Nach dem Login ins E-Banking erfolgt beispielsweise eine Weiterleitung auf eine Website, die nicht in Zusammenhang mit der Bank steht (z.B. auf google.ch).
6. Timer nach dem Login ins E-Banking. Zum Beispiel (s. Abbildung 2): „Bitte warten… (Bitte warten Sie eine Minute, die Seite nicht neu laden)

Quelle: Melde- und Analysestelle Informationssicherung (Melani)