SEPA-Umstellung - Phishing!

[mathmos]

@Mr_J:

Ein Programm wie z. B. Moneyplex in Verbindung mit einem Kartenleser der Klasse 3 und einer Chipkarte für HBCI sollte derzeit recht sicher sein.

 

[Nero]

Gab auch schon Monate da hab ich mir z.B. 20 oder 30 Zubehörteile, Objektivzeug, Stativ usw. für meine Kamera gekauft.

In solchen Lebensphasen ist Onlinebanking natürlich angenehm.

Und später brauchst Du es wieder, wenn Du das ganze Zeug bei ebay verscheuerst. Als ich das mit meiner Nikon-Ausrüchtung machte, musste ich jeden Tag wegen der Kontoauszüge zur Bank. Hat sich aber auch gelohnt, weil die alten analogen Sachen inzwischen Seltensheitswert hatten, Nikon F2 und sowas, und ich sie zum Neupreis wieder losgeworden bin. Das kann beim aktuellen elekronischen Kram wohl kaum passieren.

Eins ist klar: Wenn Du so viel kauft, musst Du auch verkaufen, sonst platzt die Bude irgendwann. Und dann brauchst Du wirklich Onlinebanking.

 

[godlike]

Nunja, vielleicht steht mal ein Systemwechsel an. Ansonsten halten meine Zeiss-Objektive, meine Canon L Objektive und auch mein anderes Zeug noch ne ganze Weile durch Wertverlust gibts da ja quasi auch keinen. Das Canon EF 24-70mm f/2.8L II USM macht auch noch in 15 Jahren super klasse Bilder Aber darum gehts hier ja nicht

Fankt ist das ich heute mal meine Tan-Liste gegen dieses mobile-Tan-Zeug tauschen werde. Fakt ist aber auch das man immer das Hirn einschalten sollte wenn es um Geld geht. Wer sich einfach nur wundert wieso da jetzt ne Fehlermeldung kam UND dann nix macht bzw. seine Kontobewegungen nicht prüft ist IMHO einfach selber schuld.

Wenn man sich da unsicher ist sollte man es einfach lassen. Das ist auch der Grund wieso ich z.B. meinen Eltern von sowas ab rate.

 

[TBow]

Ist es eigentlich in anderen Länder auch so, dass dort statt nationaler Kontonummern die IBAN für nationalen Geldverkehr genutzt werden?

Das wird überall im EWR Raum geschehen.
In Österreich zB läuft die Umstellung schon. Bis spätestens 2016 muss in jedem teilnehmenden Land abgeschlossen sein.

 

[1Bratwurstbitte]

Mal ne Frage am Rande: Ich habe nur eine Tan-Liste mit vorgefertigten Tan`s.

Ich weiß ja nicht welche Bank du nutzt, aber hier bei uns haben seit bestimmt 1-2 Jahren fast alle Banken auf die Tan-Generatoren mit der Chip-Karte umgestellt.
Ob die das jetzt gemacht haben, weil es zu viel Theater mit Leuten gab die die Nummern einfach irgendwo eingegeben haben, die die Tan-Generatoren verkaufen wollten, oder das Verfahren wirklich sicherer ist, entzieht sich meiner Kenntnis.
Die Volksbank hat das Verfahren schon bestimmt 4-5 Jahre, Die Commerzbank auch schon länger und die Sparkasse hat uns letztes Jahr gezwungen um zu stellen...

 

[Ruby]

Das wird überall im EWR Raum geschehen.
In Österreich zB läuft die Umstellung schon. Bis spätestens 2016 muss in jedem teilnehmenden Land abgeschlossen sein.

Ja dass den Leuten das aufgezwungen wird, ist klar. Ich meinte auch die Länder, wo diese Anordnung nicht umgesetzt werden muss.

 

[simpliziss]

Bei WISO wurde heute erzählt, daß auch Chip-Tan überlistet werden kann.

http://www.zdf.de/WISO/Onlinebanking-im-Visier-von-Ganoven-30739024.html

Da wird dann wohl eine gefälschte Seite gezeigt, auf der auch dieses "Flacker-Muster" erscheint. Damit wird dann im Generator eine falsche TAN erzeugt, mit der die Überweisung auf ein falsches Konto geführt wird.

Ich werde mal fragen, ob man online-Überweisungen großer Beträge verhindern kann. Dann geht man eben in die Filiale und tut es da. Online könnte man ja auch kleine Beträge begrenzen. Mit dem Chip-Generator scheint man nur eine gültige TAN pro Vorgang erzeugen zu können.

Wie sieht das eigentlich mit pay-pal aus? Da braucht man für eine Überweisung ja nur sein pay-pal-Paßwort bei der Händlerseite anzugeben. Die Händlerseiteseite stellt wohl die Verbindung zu pay-pal her und die Überweisung von pay-pal zum Händler läuft.

 

[JinRoh3181]

Bei dem Beitrag in WISO hat die gute Dame aber auch eine Auforderung zur Regestierung des neuen PCs bekommen.
Mir ist nicht bekannt das dies bie Online-Banking gemacht wird. Der Bank ist das ja egel ob da ein neuer gekommen ist oder nicht. Außerdem läuft doch alles über Browser wie so sollte der sowas Speichern?

Wie nennt man die Attacken(?) Man-of-the-Middel oder so?! Damit sind mir jetzt zwei Attacken auf das ChipTan bekannt. Bie allen beiden wird aber der Nutzer benötigt.

 

[TheOnly1]

Der Nutzer ist immer die Schwachstelle (oder zumindest in aller Regel).
Das ist schon seit Beginn des Internets so.

Ich habe sogar eher den Eindruck, dass immer mehr "Sicherheits-Firlefanz" unerfahrene User eher überfordert und damit noch schneller zu Fehlern treibt.
Ich nutze bis heute TANs auf Papier und fühle mich sicher genug.

 

[Pleitgengeier]

@TheOnly1: Für Papier-TANs reicht aber ein Trojaner auf dem PC.
Für einen SMS-Tan braucht es schon einen Trojaner auf Smartphone UND PC, die auch noch synchronisiert werden müssen - dennoch habe ich von so einem Angriff schon mal gelesen...

 

[TheOnly1]

Klar. Ist schon richtig.
Die DKB bietet allerdings auch nur Papier-TAN an...das heißt, selbst wenn ich wollte, könnte ich nicht auf ein anderes System wechseln.

Aber wie gesagt: Vielleicht würde ich das auch gar nicht. Bei einem "brauchbaren" Trojaner auf dem PC habe ich noch gaaanz andere Probleme (PayPal, Kreditkarte, Bitcoin, Zugangsdaten zu diversen Servern und was weiß ich noch alles).
Heißt für mich: Die Schwachstelle ist nicht das TAN-Verfahren, sondern mein PC bzw. was ich damit mache.

In all den Jahren hatte ich noch keine Infektion meines Systems und ich traue mir durchaus zu, dass dies auch so bleibt. Wenn nicht (was natürlich möglich ist) dann habe ich natürlich ein Problem.

Andererseits:
Wenn ich mir zB meinen Vater und Chip-TAN vorstelle...
Er wäre so ein leichtes Ziel, weil ihm einfach komplett das grundlegende Verständnis dafür fehlt, wie das Internet funktioniert.
Wenn der auf eine vermeindliche Seite seiner Bank kommt und die das Chip-TAN-Verfahren faked, dann fällt der darauf rein...da bin ich mir zu 99% sicher. ("Weil da kann ja nix passieren, hab doch mein voll sicheres Chip-Tan-Dingens").

 

[godlike]

Bei dem Beitrag in WISO hat die gute Dame aber auch eine Auforderung zur Regestierung des neuen PCs bekommen.
Mir ist nicht bekannt das dies bie Online-Banking gemacht wird. Der Bank ist das ja egel ob da ein neuer gekommen ist oder nicht. Außerdem läuft doch alles über Browser wie so sollte der sowas Speichern?

Das ist ja nix neues. Bei den Meisten Spielen/auch bei Facebook wird das angezeigt wenn du dich von einem "neuen" Rechner einloggen willst. Wie genau das funktioniert - k.A.

 

[Tedious]

Denke mal beim ersten Besuch wird ein simpler Cookie abgelegt. Wenn der denn fehlt identifiziert er einen "neuen Rechner"?!?

 

[TheOnly1]

Rechnername, IP-Range...ist kein Problem.
Man kann sogar aus der Hardware-Kombi und ein paar Infos ein ziemlich einmaliges Rechnerprofil erstellen und PCs (und User) so wiedererkennen*...
Es könnte sogar sein, dass es dafür ne API gibt. Ich meine sowas mal in irgendeinem Framework gesehen zu haben.

*übrigens ein Umstand, der häufig ignoriert wird bei vielen Freunden der Anonymität.

 

[mathmos]

Die DKB bietet allerdings auch nur Papier-TAN an...das heißt, selbst wenn ich wollte, könnte ich nicht auf ein anderes System wechseln.

Laut https://www.dkb.de/kundenservice/haeufige_fragen/internetbanking/ wird wohl auch HBCI angeboten.

 

[TheOnly1]

Interssant.
Ob das neu ist? Mein letzter Stand war, dass die DKB sich weigert irgendwas am TAN-System zu ändern, weil sie iTAN für sicher hält.

 

[JinRoh3181]

Bei Spielen im Browser hatte ich noch nie so eine Frage - das ich meinen PC registrieren muss weil der neu ist (bei Steam ja aber Browser-Games nein). Wie dem auch sei zumindest bei meiner Bank der Wahl steht das in den AGB. Das diese niemals Auffordern werden mal eine Überprüfung der TAN zu machen oder den PC Speichern wollen.

Wie das bei anderen Banken ist keine Ahnung. Aber ich würde es Spanisch-finden und somit auch nicht machen.

 

[mathmos]

@TheOnly1:

Keine Ahnung wie aktuell das ist. Bin bei der Konkurrenz. Eventuell ist das auch nur wieder für Geschäftskunden. Bei der Bank bei der ich vorher war, hat HBCI mit Chipkarte nur den Geschäftskunden angeboten. Einer der Gründe, wieso ich abgewandert bin.

 

[pspzockerscene]

Kurze Meinung zu den "Kartenlesern" also den Tan-Generator-Geräten:
Auch wenns praktisch ist, finde ich die Dinger eigentlich unnötig:
-Umweltverschmutzung
-10 € sind trotzdem zu teuer dafür
-Dafür, dass ich das Ding relativ selten nutze, sind die Knopfbatterien ziemlich oft leer
--> Zum Wechseln der Batterien darf man hinten an dem Ding eine Schraube entfernen - wer nicht das Glück wie ich hat, einen kleinen Schraubenzieher zu besitzen, muss nur deswegen einen kaufen

GreeZ psp

 

[mathmos]

Ich würde die TAN-Generatoren nicht mit Kartenlesern gleichsetzen. Mein Kartenleser für HBCI-Karten (edit: unter anderem) ist z. B. per USB angeschlossen und braucht daher keinerlei Batterien.