# Technischer Anhang

Technische Informationen zum HBCI und FinTS Verfahren finden Sie unter:

www.hbci.de

Zur Mathematik der einzelnen Verschlüsselungs-Verfahren siehe die Literaturliste in dieser Hilfe.

Wertvolle Hinweise von Fachleuten zum Thema Homebanking finden Sie unter:

www.homebanking-hilfe.de

## Erläuterung der Angriffsmöglichkeiten

### Fälschen von Überweisungsformularen

Die heutigen Drucker, Scanner und Plotter ermöglichen es, fast perfekte Fälschungen von Unterschriften ohne besondere handwerkliche Fähigkeiten herzustellen. Insofern ist es wichtig, große Beträge nur bei persönlicher Abgabe der Formulare überweisen zu lassen.

### Phishing

Beim Phishing versucht man, den Benutzer dazu zu bringen, in ein gefälschtes Formular seine Passwörter oder PIN und TAN Nummern einzugeben. Leider ist dieses Verfahren ziemlich erfolgreich.

### Trojaner, Trojanische Pferde

Unter MS Windows ist es sehr leicht, die Eingaben der Tastatur unbefugt zu lesen. Ein Trojaner schickt diese Eingaben, also beim Homebanking die Passwörter, PIN und TAN Nummern an seinen Erschaffer. Teilweise schaffen es diese Programme sogar, den Computer völlig unter ihre Kontrolle zu bringen und auch Dateien, die sich auf der Festplatte befinden, zu versenden.

### Dialer

Unter MS Windows ist es sehr leicht, unbefugt eine Telefon oder DSL Verbindung herzustellen. Ein Dialer ebnet auf diese Art seinem Trojaner den Weg.

### Spyware

Unter MS Windows ist es sehr leicht, Dateien unbefugt zu lesen. Ein Spyware Programm schickt diese Daten, also beim Homebanking die PIN und TAN Nummern und die Kontobewegungen, soweit sie gespeichert wurden, an seinen Erschaffer. Siehe hierzu auch: Trojaner

### BIOS Flashing

Unter MS Windows ist es sehr leicht, Dateien unbefugt zu lesen. Man kann auch die Hardwarekonfiguration des Computers feststellen. Bei modernen Rechnern ist es möglich, den Teil des Betriebssystems, der fest zur Hardware der Hauptplatine gehört, das sogenannte BIOS (Basic Input Output System) zu aktualisieren. Dazu muss normalerweise auf der Hauptplatine ein bestimmter Stecker (Jumper) gesteckt sein. Wurde nach einer Aktualisierung des BIOS vergessen, diesen Stecker wieder zu entfernen, so kann das BIOS durch externen Zugriff verfälscht werden. Dies führt im Normalfalle zum Absturz des Rechners.

Bei extrem guten Kenntnissen der Hardware und des Betriebssystems ist es theoretisch möglich, in das BIOS eine Laderoutine einzubauen, die ein Spionageprogramm aus dem Internet lädt, bevor das eigentliche Betriebssystem geladen wird. Der Aufwand ist allerdings so hoch, ( mindestens ein Jahr für einen erstklassigen Systemingenieur) dass dieses Verfahren eigentlich nur theoretisch in Betracht kommt.

### Brute Force Attack

Man versucht, durch möglichst intelligentes ausprobieren die Schlüssel und Passwörter zu finden. Das ist immer dann möglich, wenn man hinreichend viele und möglichst bekannte Texte zum Probieren hat. Bei Homebanking Daten ändern sich eigentlich nur die Kontonummern, und man kann mit Aussicht auf Erfolg den Brute Force Attack probieren, wenn immer der gleiche Schlüssel verwendet wird. Siehe hierzu auch das Kapitel über Sicherheit in dieser Hilfe.

### Man in the Middle Attack

Internetverbindungen laufen über viele verschiedene und oft nicht besonders gesicherte Rechner. Wer Zugang zu einem solchen Rechner hat, kann dort alle Daten mitlesen und verfälschen. Beim Man in the Middle (Der Mann in der Mitte zwischen den Kommunikationspartnern) Angriff wird dem Benutzer ein gefälschter Schlüssel zugeschickt, mit dessen Hilfe der Datenverkehr abgehört werden kann. Beim HBCI Verfahren mit einer Schlüsseldiskette ist dies deswegen nicht möglich, weil durch den persönlich überbrachten Ini-Brief sichergestellt wird, dass der richtige Schlüssel verwendet wird.

### Fehler oder besondere Features im Browser

Fehlerhafte Browser ermöglichten es im Herbst 2004, dass der Datenverkehr in einem gesicherten Fenster (https) von einem ungesicherten Fenster (http) des gleichen Browsers aus ausspioniert werden konnte. Lediglich der aktuelle Mozilla bzw. dessen Variante FireFox hatten diesen Fehler nicht. Die Programmtexte (Source Code) von Mozilla und FireFox sind öffentlich zugänglich und werden von einer großen Anzahl von Programmierern gelesen, so dass Fehler meist sehr schnell gemeldet und korrigiert werden.

Bei Browsern mit nicht veröffentlichtem Code geschieht dies naturgemäß nicht. Besonders der MS Internet-Explorer war aufgrund seiner großen Verbreitung, seiner Integration in Windows und einiger bekannter Sicherheitslücken in der Vergangenheit gezielt Angriffen ausgesetzt.

### Tabellarische Bewertung der verschiedenen Sicherheitsverfahren

Die folgende Tabelle enthält eine Bewertung der am häufigsten verwendeten Verfahren zur Übermittlung von Kontotransaktionen. Die sicherste Variante ist sicherlich auch weiterhin, wenn man persönlich einem Bankmitarbeiter, der einen gut kennt sein Überweisungsformular in die Hand drückt und dann die Überweisung noch einmal gemeinsam durchliest.

Aber bereits ein im Briefkasten der Bank gelandetes Formular mit gut gefälschter Unterschrift wird mit einiger Wahrscheinlichkeit akzeptiert. Bei den elektronischen Verfahren sollte man genau so wie für nicht persönlich abgegebene Überweisungsformulare, eine Obergrenze für die zu überweisenden Beträge mit der Bank vereinbaren.

Eine Bewertung der Verfahren ist sicherlich subjektiv, deshalb sollte man die in den Spalten Angriffsmöglichkeiten und Ausschluss von Angriffen aufgezählten Verfahren einer eigenen Bewertung zu Grunde legen.

Verfahren | Angewendet in | Angriffs-möglichkeiten | Ausschluss von Angriffen durch | Bewertung der Sicherheit
--- | --- | --- | --- | ---
Überweisungs-formulare (Papier) | Überall | Unterschrift fälschen, Kontodaten ausspähen, Briefe abfangen | Sorgfältigste Prüfung und evtl. Rückfragen durch das Bankpersonal, Überweisungen persönlich abgeben | offensichtlich ausreichend Bei sehr sorgfältiger Arbeit des Bankpersonals: gut
PIN alleine | Großbrittannien | Phishing, Abfangen von Briefen, Man in the Middle,Trojaner, Spyware, Dialer, BIOS Flashing | Kaum möglich, Verwendung von Linux verbessert die Situation etwas | sehr mangelhaft, Angriffe mit einfachsten Mitteln möglich
PIN – TAN mit Standardbrowser | Deutschland | Phishing, Abfangen von Briefen, Man in the Middle Attack, BIOS Flashing | Information des Benutzers, Vermeidung von MS IE verbessert die Situation. Empfehlenswert: Firefox Browser unter Linux oder MacOS | Mit MS IE zweifelhaft, aber bei großer Sorgfalt des Benutzers und modernem FireFox Browser recht gut.
PIN - TAN mit Windows basiertem Homebanking Programm | Deutschland | Abfangen von Briefen, bei Verwendung von gespeicherten TAN Listen: Man in the Middle,Trojaner, Spyware, Dialer, BIOS Flashing, Auspähen von Kontodaten | Keine TAN-Listen speichern, Information des Benutzers, Viruscheck | Bei Verwendung der TAN-Listen- Speicherung Mangelhaft, Ohne TAN-Listen- Speicherung recht gut Kontodaten nicht sicherbar
PIN - TAN mit Linux basierten Homebanking Programm | Deutschland | Abfangen von Briefen, bei Verwendung von gespeicherten TAN Listen: Man in the Middle, BIOS Flashing | Keine TAN-Listen speichern, Information des Benutzers, noch keine Spyware Programme bekannt | Bei Verwendung der TAN-Listen- Speicherung Mangelhaft, Ohne TAN-Listen- Speicherung recht gut
HBCI 2.2 mit festem 3DES Schlüssel (Chipcard Klasse 1)und Windows basierten Homebanking Programm | Deutschland | Trojaner, Spyware, Dialer, BIOS Flashing, Brute Force Attack | Virencheck | schlecht, Schlüssel Passwort und Kontodaten sind ausspähbar
HBCI 2.2 mit festem 3DES Schlüssel und eigener Tastatur (Chipcard Klasse 2)und Windows basierten Homebanking Programm | Deutschland | Trojaner, Spyware, Dialer, BIOS Flashing, Brute Force Attack | Virencheck | befriedigend, Kontodaten sind ausspähbar
HBCI 2.2 mit RSA, variablem 3DES Schlüssel und eigener Tastatur (Chipcard Klasse 3)und Windows basierten Homebanking Programm | Deutschland | Trojaner, Spyware, Dialer, BIOS Flashing | Virencheck | befriedigend, Kontodaten sind ausspähbar
HBCI 2.2 mit festem 3DES Schlüssel (Chipcard Klasse 1)und MacOS oder Linux basierten Homebanking Programm | Deutschland | BIOS Flashing, Brute Force Attack | Sorgfältige System-konfiguration, Flash Jumper nicht stecken | gut, Trojaner und Spyware derzeit nicht vorhanden
HBCI 2.2 mit festem 3DES Schlüssel (Chipcard Klasse 1)und nicht veränderbarem MacOS oder Linux basierten Homebanking Programm auf Boot- CD | Deutschland | BIOS Flashing, Brute Force Attack | Flash Jumper nicht stecken | sehr gut, Angriffe nur mit sehr hohem Aufwand möglich
HBCI 2.2 mit 768 bit RSA und variablem 3DES Schlüssel (Sicherheitsdiskette) und nicht veränderbarem MacOS oder Linux basierten Homebanking Programm auf Boot-CD | Deutschland | BIOS Flashing | Flash Jumper nicht stecken | sehr gut, Angriffe nur mit extremen Aufwand möglich, wenn auf dem Computer noch zusätzlich Windows installiert ist
FinTS 3.0 mit 1024 bit RSA und variablem 3DES Schlüssel (Sicherheitsdiskette) und nicht veränderbarem MacOS oder Linux basierten Homebanking Programm auf Boot-CD | Deutschland | BIOS Flashing | Flash Jumper nicht stecken | sehr gut, Angriffe nur mit extremen Aufwand möglich, wenn auf dem Computer noch zusätzlich Windows installiert ist

zum Inhaltsverzeichnis | zur vorhergehenden Seite | zur nächsten Seite