Editorial: Besorgen Sie sich ein Uralt-Handy!
Nun ist digitale Sicherheit an sich kein Hexenwerk. Seit Jahren ist bekannt, wie ein kryptographisches Token beschaffen sein muss, damit es zweifelsfrei und fälschungssicher identifiziert werden kann. Das bekannteste solche Token ist die SIM-Karte. Die Entführung von Handy-Rufnummern oder mobiles Telefonieren auf fremde Rechnung - davon hören wir so gut wie nie, weil die SIM-Karte so sicher ist. Zwar brauchte auch der Algorithmus der SIM-Karten in der Vergangenheit ein Sicherheits-Update. Zum Vergleich: Für PC und Smartphone kamen im selben Zeitraum hunderte Sicherheits-Updates.
Mit der mTAN versuchen die Banken nun, sich quasi huckepack auf die gute Sicherheits-Infrastruktur der Mobilfunknetze zu setzen. Doch gelten SIM und SMS zwar als sicher, aber Smartphones sind es nicht, und das öffnet den oben genannten Angriffsvektor per Doppeltrojaner.
Statt sich auf ein fremdes Sicherheitssystem draufzusetzen, müssten die Banken in ein eigenes System investieren, wenn sie wirklich Sicherheit für ihre Kunden haben wollten. Billig würde ein solches eigenes System aber auf keinen Fall, denn ein kryptographisches Bank-Token müsste mehr können als eine SIM-Karte, zum Beispiel die Transaktion nochmal anzeigen, bevor der Kunde sie freigibt. Somit braucht das Token ein (potenziell verwundbares) Kommunikationsmodul und ein (absolut sicher zu implementierendes) Krypto-Modul samt Display, auf dem die zu bestätigende Transaktion noch einmal angezeigt wird.
Diesem geforderten Verfahren recht nah kommt das Chip-TAN-Verfahren, das tatsächlich in ein Kommunikationsmodul und den eigentlichen Krypto-Chip (der Teil neuerer ec-Karten ist) getrennt ist. Nicht optimal ist bei diesem allerdings, dass das Display Teil der Kommunikationseinheit ist, und auch der Krypto-Chip wohl reprogrammierbar ist. Zumindest bei Postbank-Kunden wurde letzterer nach dem Jahr-2010-Problem im Geldautomaten geupdated.
Dennoch bietet Chip-TAN aktuell mehr Sicherheit als herkömmliche TAN, iTAN oder mTAN. Jedoch bieten viele Banken Chip-TAN gar nicht an, oder geben die Geräte nur an die Kunden, die das ausdrücklich wünschen. Bisher scheuen die Banken offensichtlich die Milliardeninvestitionen, die die Verwendung sicherer TAN-Verfahren für alle Kunden mit sich ziehen würden.
Anscheinend wiegt der Reputationsverlust, dass Onlinekonten nicht sicher sind, den Banken noch nicht schwer genug, um in höhere Sicherheit zu investieren. Auch an anderer Stelle scheinen die Banken eher Kosten und Komfort zu optimieren, und im Gegenzug einen gewissen Bodensatz an betrügerischen Transaktionen hinzunehmen. Als Beispiel sei der gängige Betrug mit ec- und Kreditkarten genannt.
Selbstschutz
Verbrauchern, die dennoch weiter das mTAN-Verfahren nutzen wollen oder gar nützen müssen, weil die Bank nur dieses anbietet, ist zu empfehlen, für den Empfang der mTANs ein möglichst einfaches Handy mit einer eigenen SIM-Karte zu verwenden. Dieses Uralt-Handy sollte zudem keinesfalls mit dem Online-Banking-PC synchronisiert werden, und auch sonst komplett getrennt von den Kommunikationswegen sein, über die man das Online-Banking nutzt. Wer es den Angreifern hingegen möglichst leicht machen will, benutzt das Online-Banking direkt auf dem Smartphone, auf dem er auch die mTANs empfängt. Dann reicht schon ein Trojaner zum virtuellen Bankraub mit realer Kontoleerung.