Online-Banking gehackt - Systemwiederherstellung?

[irata]

Papier-Tans sind solange sicher, wie die Verbindung nicht korrumpiert wurde. Das "man-in-the-middle" Spiel muss den Betroffenen "nur" auf eine gefakte Site locken....

Hmm, das stimmt so glaube nicht ganz, "er" sitzt zwischen Dir und der Bank, kann die Kommunikation im schlimmsten Fall halt manipulieren zu seinem Gunsten....
Du siehst also die Bankseite, nicht einen Fake.....er greift nur deine Kommunikation ab, und leitet sie an die Bank weiter...

Dem TE wird dies aber nicht passiert sein.

 

[fdimmling]

Ich würde auch auf eine Banking-Software auf dem Mac umsteigen. Ich nutze seit längerer Zeit schon Outbank. Entgegen der Meinung einiger User bin ich sehr zufrieden damit.
Dazu das optische Tan-Verfahren.

Das Photo-TAN Verfahren (Quadrat mit farbigen Punkten, Commerzbank) wird aber von Outbank leider nicht unterstützt. Ich bin übrigens mit Outbank auch recht zufrieden, auch wenn ich keine Überweisungen der Commerzbank damit tätigen kann. Die Volksbank, bei der meine Frau das Konto hat, geht (SmartTAN, das mit den flackernden Balken).

Zum Problem des Themenstarters: ich habe in der Tat den Eindruck, dass es den Hack nicht gegeben hat.

 

[MacBenni]

Ich bin auch bei der Commerzbank und verwende seit Jahr und Tag die olle Papier Tanliste.
Wie soll man die hacken, bitteschön?

ich buche mich bei der Bank mit User / Pass ein und überweise die entsprechende Summe.
Danach wird nach der Tan Listen Nummer gefragt und man bekommt den Bestätigungscode der Tan, fertisch.

D.h. solange keiner Deine aktuelle Tan Liste kopiert hat, gibt es doch keine Möglichkeit, darauf zuzugreifen.

Das war eben auch mein Gedanke.
Sicher ist die Papierliste nicht mehr das Allerneuste, aber bisher hatte ich immer ein gutes Gefühl dabei. Die Liste liegt bei mir gut aufbewahrt in der Wohnung, Dritte kommen da nicht ran. Wenn Tans wirklich abgegriffen wurden, müssten sich die Hacker bei der CoBa noch bedient haben und die hätten dann ja eine Teilschuld an der ganzen Sache. Entweder will man sich das nicht eingestehen oder...

Zum Problem des Themenstarters: ich habe in der Tat den Eindruck, dass es den Hack nicht gegeben hat.

...das Zitat hier trifft es auf den Punkt. Leider bin ich mir nicht ganz sicher, aber um die Pin/das Passwort zu ändern wird wohl auch eine Tan benötigt. Leider habe ich das länger vorher nicht mehr gemacht und ich frage mich, wie das technisch möglich gewesen sein soll. Mit meiner Kennung konnte ich jedenfalls nicht mehr auf den Zugang zugreifen und es wirkte so, als hätte man mein Passwort einfach geändert.

 

[Brutto]

Passwort und Login ändern, geht schon über Fishing, etc.

Und wie viele von den (auch erfahrenden!!!) Online Usern, gehen mal gerne der Aufforderung nach, um den Mails, die da heissen: ACHTUNG: Ihr Konto wurde gesperrt, loggen Sie sich ein, um wieder vollen Zugang zu erhalten.
Dort ist man dann schnell auf gut gemachten Seiten (und die werden wirklich besser) ,die sich freuen, wenn man seine Daten preisgibt.

Nur, hat dann keiner Deine Tanliste, die wird codiert geschickt und nicht mal die Bank hat darauf Zugriff.
(siehe oben - wenn man Deine Zugangsdaten hat, kann man sich natürlich auch eine neue Tanliste zuschicken lassen - Adresse ändern ist ja kein Problem, wenn man den Account erst mal unter Kontrolle hat)

Nunja, irgendwo auf'm Rechner müssen die schon gespeichert sein. Aber so'n Hack ist schon ganz was spezielles und wird sich Imho nicht auf kleine Konten auswirken.

Den aktuellen Stand der Hacker Szene kenne ich allerdings nicht

 

[fdimmling]

Na ja, die Papier TAN Liste hat schon das Problem der Man-in-the-middle Angriffe, die sich AFAIK auch mit gefälschten DNS Einträgen inszenieren lassen. Ich würde daher bei der Gelegenheit schon auf das Photo TAN Verfahren umsteigen, wobei das Gerät der Commerzbank ohne EC-Karte oder PIN funktioniert, was mich etwas stört. Alternativ bietet die Commerzbank auch HBCI mit Chipkarte an, was schon als sehr sicher gilt, weil die ganze Kommunikation mit dem Bankserver auf der Chipkarte selbst verschlüsselt wird. Wenn du dann einen Kartenleser mit Tastatur verwendest, nützt den Betrügern nicht mal ein Keylogger auf deinem Rechner. Die Karte ist mit einer PIN geschützt und zerstört sich nach dreimaliger Falscheingabe der PIN unwiderruflich selbst. Bank X aus dem Mac App Store unterstützt das Verfahren, für das iPAD käme HBCI mit Schlüsseldatei in Frage. Da habe ich aber keine Erfahrung, sollte aber m.W. mit der CoBa gehen (Bank X unter iOS).

Was wirklich bei dir passiert ist, wird sich womöglich nicht klären lassen. Ich bezweifle aber, dass die Commerzbank mehr feststellen kann als den Browser und das OS, mit dem du arbeitest.

 

[Brutto]

Na ja, die Papier TAN Liste hat schon das Problem der Man-in-the-middle Angriffe, die sich AFAIK auch mit gefälschten DNS Einträgen inszenieren lassen

Mach mich bitte schlau, wie das gehen soll?

 

[fdimmling]

Meines Wissens werden die DNS Einträge in einem Cache gespeichert, der sich manipulieren lässt. Dann nützt auch der Aufruf der Seite über Bookmark nichts, weil die Umsetzung in die IP Adresse manipuliert wird. Ob das beim iPAD eine realistische Bedrohung ist, entzieht sich allerdings meiner Kenntnis.

 

[irata]

Meines Wissens werden die DNS Einträge in einem Cache gespeichert, der sich manipulieren lässt. Dann nützt auch der Aufruf der Seite über Bookmark nichts, weil die Umsetzung in die IP Adresse manipuliert wird. Ob das beim iPAD eine realistische Bedrohung ist, entzieht sich allerdings meiner Kenntnis.

Ja, völlig richtig....

Wiki:
Weitere MITM-Angriffe:
Der Angreifer hat Kontrolle über einen Router, durch den der Datenverkehr geschleust wird. Dies funktioniert sowohl im WAN als auch im LAN und im WLAN.
Durch DNS Cache Poisoning gibt der Angreifer eine falsche Zieladresse für die Internet-Kommunikation vor und leitet dadurch den Verkehr durch seinen eigenen Rechner (Poison Routing).
Durch Manipulation der host-Datei auf dem Rechner des Angegriffenen können trotz Eingabe der echten URL gefälschte IP-Adressen aufgelöst werden. Simuliert der Angreifer dann einen gültigen Webserver, hat er gute Chancen, als MITM unerkannt zu bleiben. Siehe dazu: Pharming

 

[MacBenni]

Vielen Dank für die zahlreichen Antworten.

Ich habe nach kurzer Recherche noch gelesen, dass die CB momentan das Online-Banking auf ein neues Portal umstellt. Möglicherweise ist hier auch was vor den Baum gelaufen, mittlerweile weiß ich nicht mehr was ich glauben soll.

Es bleibt die Frage:
Lohnt es sich das iPad mini/das MacBook neu aufzusetzen? Ich kann mir nur schwer vorstellen, dass das Mini - was ich hauptsächlich fürs Banking genutzt habe - so unsicher ist.

Des Weiteren habe ich nach all den Jahren mal einen Virenscan auf dem Mac installiert, der natürlich nichts gefunden hat.

 

[Brutto]

Sorry, aber das reicht mir nicht.

Ich möchte ganz konkret wissen, wie man sich in mein Konto einlogt (ausser der oben von mir genannten Möglichkeit) und dann zugriff auf meine in der Schublade verwahrten Tanliste hat.

 

[irata]

Sorry, aber das reicht mir nicht.

Ich möchte ganz konkret wissen, wie man sich in mein Konto einlogt (ausser der oben von mir genannten Möglichkeit) und dann zugriff auf meine in der Schublade verwahrten Tanliste hat.

Hmm, niemand loggt sich in dein Konto ein, niemand hat Zugriff auf deine Tans in der Schublade.
Das ist ja der Witz beim MITM Angriff. Du gibts diese Infos frei.....

Es ist kein Phishing, leider viel raffinierter, google dazu halt mal.

 

[fdimmling]

Das Szenario geht so, dass du dich bei der vermeintlichen Bank einloggst, die Überweisung tätigst, die aber auf dem Weg zur Bank ausgetauscht wird. Die TAN wird gar nicht abgegriffen, sondern nur die Überweisung geändert, für die du die TAN eingegeben hast.

 

[MacBenni]

Das Szenario geht so, dass du dich bei der vermeintlichen Bank einloggst, die Überweisung tätigst, die aber auf dem Weg zur Bank ausgetauscht wird. Die TAN wird gar nicht abgegriffen, sondern nur die Überweisung geändert, für die du die TAN eingegeben hast.

Es ist aber kein Geld verloren gegangen, sondern da gelandet wo es sollte. Zumindest in dem Zeitraum, als alles noch ging.

 

[Brutto]

Nah, sag ich doch die ganze Zeit.

Hier wird nichts gehackt, sondern nur die Blödheit des jeweiligen Users ausgenutzt.

 

[fdimmling]

...
Es bleibt die Frage:
Lohnt es sich das iPad mini/das MacBook neu aufzusetzen? Ich kann mir nur schwer vorstellen, dass das Mini - was ich hauptsächlich fürs Banking genutzt habe - so unsicher ist....

Meines Erachtens: NEIN, du musst gar nichts neu aufsetzen, weder das MacBook noch das iPAD. Ich würde aber auf ein modernes TAN Verfahren umsteigen, entweder PhotoTAN oder HBCI mit Chipkarte oder Schlüsseldatei. Die Wahrscheinlichkeit, dass deine Rechner selbst kompromittiert sind, ist verschwindend klein.

 

[fdimmling]

Nah, sag ich doch die ganze Zeit.

Hier wird nichts gehackt, sondern nur die Blödheit des jeweiligen Users ausgenutzt.

Kann man so nicht sagen, kann auch anders laufen. Aber aus der Tatsache, dass kein Geld fehlgeleitet wurde, schliesse ich auch, dass hier eher kein Hack stattgefunden hat.

Die Geschichte mit den erfolgreichen Kontoplünderungen mittels umgeleiteter mTANs zeigt aber schon, dass man auch mit raffinierteren Angriffen rechnen sollte. Leider erfordern nicht alle Angriffe einen dummen User. Außerdem funktioniert das mit der PhotoTAN der CoBa recht gut. Man muss halt auf das Gerät so gut aufpassen wie zuvor auf die TAN Liste. Der Vorteil ist eben, dass die Überweisung nicht unterwegs ausgetauscht werden kann. Das ist schon was.

 

[Brutto]

Ich würde aber auf ein modernes TAN Verfahren umsteigen, entweder PhotoTAN oder HBCI mit Chipkarte oder Schlüsseldatei.

Das ändert nichts am Szenario, oder?

Wenn der Rückmelde Code meiner ''uralten" Papierliste nicht mit meiner Überweisung übereinstimmt, werde ich auch ohne Fummelei mit diesen unsäglichen neumodischen Kram glücklich.

Das dient, meiner Meinung nach, doch nur den Banken, um sich aus der Verantwortung gegenüber Ihren Kunden zu stehlen.

Ich hatte in alten Zeiten, wo das "Onlinebanking" gerade aufkam, mal wirklich einen nachvollziehbaren Hack im BTX System.
Ich habe das alles sorgfältig dokumentiert und zahlreiche Stellen darauf hingewiesen.
erst nach Monaten hat man darauf hingewiesen, auf ein Entschuldigungsschreiben warte ich heute noch.

Ist doch wie immer, was nicht seien kann, kann nicht sein.

 

[minilux]

Der Vorteil ist eben, dass die Überweisung nicht unterwegs ausgetauscht werden kann. Das ist schon was.

Wie soll denn eine Überweisung "unterwegs" ausgetauscht werden? Ich gebe meine Überweisungsdaten ein, komme dann auf eine Bestätigungsseite, wo ich die Überweisung noch mal checken kann, und gebe da meine TAN ein (und da muss ich sie nicht tippen, sonder kann sie klicken)

 

[sutz2001]

Wie soll denn eine Überweisung "unterwegs" ausgetauscht werden? Ich gebe meine Überweisungsdaten ein, komme dann auf eine Bestätigungsseite, wo ich die Überweisung noch mal checken kann, und gebe da meine TAN ein (und da muss ich sie nicht tippen, sonder kann sie klicken)

Man in the middle attack, wurde doch jetzt schon mehrfach gesagt.
Lies dir mal bei Wikipedia oder woanders das Prinzip dazu durch, das zu erklären würde hier jetzt den Rahmen sprengen

 

[fdimmling]

"Unterwegs" ist das Man-in-the-middle Szenario. Du merkst nicht, dass du mit der Betrügerwebsite kommunizierst und die mit der Bank. Die schicken dir die Bestätigungsseite für deine vermeintliche Überweisung, haben aber eine ganz andere Überweisung an die Bank geschickt und fangen deren Bestätigungsseite ab. Da die TAN aus der Liste nicht an eine bestimmte Überweisung gebunden ist, kann sie auch eine gefälschte Überweisung freischalten. Die modernen TANs aus dem Generator verwursten die Überweisungsdaten wie Kontonummer, BLZ und Betrag, so dass sie nur für die Überweisung verwendet werden kann, die du auf deinem Computer gesehen hast. Das ist der Trick.