Online-Banking: HBCI "angeblich" geknackt

http://www.golem.de/0205/19798.html


WOW! Ich frage mich ob das wirklich stimmt!? Denn anders als beim Online-Banking über HTTPS-Internet-Seiten mit einer SSL-Daten-Verschlüsselung (benutzt das PIN und TAN-Verfahren), wird beim HBCI-Verfahren eine spezielle Software installiert, welche dann für die Verschlüsselung und den Austausch der Daten mit dem Bank-Rechner sorgt. Auch soll HBCI von der Technik her komplizierter sein und somit mehr Sicherheit bieten.

Um beim HBCI-Verfahren Zugang zum eigenen Bankkonto zu erlangen, benötigt man eine Geheimnummer und einen persönlichen Code. Diese Daten sind meistens auf einer Chipkarte, können aber auch auf einer Diskette gespeichert sein. Das heißt man benötigt beim Online-Banking via HBCI-Verfahren die spezielle HBCI-Software sowie ein Kartenlesegerät oder ein Diskettenlaufwerk. Empfohlen wird meines Wissens ein Chipkartenleser mit eigener Tastatur. Die Daten werden da schon im Lesegerät ausgewertet und sind dort normalerweise für Cracker nicht erreichbar. Also wie zum Kuckuck wollen die mit Hilfe eines Trojaner an den Code (Passwort) gekommen sein, wenn der über ein externes Gerät eingegeben wird und nicht über die PC-Tastatur? Gut, ich habe die Sendung leider nicht gesehen, und kann die Sache deshalb nicht ganz nachvollziehen. In dem Artikel, über welchen ich gestolpert bin, steht ja auch nichts genaueres dazu. Möglicherweise haben die ja auch die Eingabe über die PC-Tastatur getättig. In diesem Fall wäre es sicher möglich. Vielleicht denke ich aber auch falsch und die haben wirklich einen Weg gefunden?!

Keine Angst, ich habe nichts böses vor, ich zerbreche mir bei solch interessanten Themen nur gern den Kopf. Ich halte es auch nicht für gut wenn jemand solche Dinge tut (es sei den sie sind für einen guten Zweck). Nun ja, so ist halt unsere Zeit. Die einen entwickeln etwas für die Sicherheit und die Anderen versuchen sie zu knacken. Ein Wettkampf eben! Das wird sich auch nie ändern. Beispiele dafür gibt es ja genug. Man braucht zum Beispiel nur mal Google zu fragen.

Habe was interessantes zu dem Test gefunden, das Zweifel aufkommen lässt.

"Nähere Details zu dem Test sind nicht bekannt. Offenbar konnte er aber dadurch funktionieren, dass das Passwort auf dem PC abgespeichert wurde - ein Verfahren, vor dem jede Banking-Software eindrücklich warnt." http://www.zdnet.de/news/tkomm/0,39023151,2110202,00.htm|Quelle

Na, da wundert mich das nicht! :) Funktionieren würde es höchstwahrscheinlich auch, wenn man das Passwort über die PC-Tastatur mit Kartenschlitz eingibt. Der Trojaner zeichnet den Tastenanschlag dann auf und sendet die gesammelten Daten übers World Wide Web an den Bösling. Ich denke mal ein externes Kartenlesegerät ist da doch die bessere Wahl.