Sicherheitsleitfaden für das Online-Banking

Transkript

1 Sicherheitsleitfaden für das Online-Banking Inhaltsverzeichnis 1. Einleitung 2. Gefahren 3. Sicherheitsvorkehrungen am eigenen PC 4. Vorsichtiger Umgang mit den Geheimzahlen 5. Sichere Handhabung des Online-Banking-Programms 6. Gefahren beim Online-Banking an fremden Orten 7. Sicherheitsmedien und Produkte 8. Vorgehensweise im Schadensfall Seite 1 von 13

2 1. Einleitung "Ein System ist so sicher, wie sein schwächstes Glied" - der Anwender. Damit Sie als Kunde der Volksbank Saar-West sicher Ihre Bankgeschäfte online tätigen können, haben wir für den Zugang Online-Banking einen Sicherheitsleitfaden erstellt. Dieses Informationsdokument gibt Ihnen einen Überblick von möglichen Gefahren, welche Schutzmöglichkeiten bestehen und welche Sicherheitsvorkehrungen zu treffen sind. Außerdem stellen wir Ihnen unsere Sicherheitsverfahren und Produkte vor, und wie Sie sich in einem möglichen Schadensfall verhalten können. 2. Gefahren 2.1 Phishing: Vorsicht vor gefälschten s und Trojaner Bei Phishing-Mails wird der Empfänger aufgefordert, seine persönlichen Daten wie PIN und ITAN preiszugeben. Phishing ist eine Methode, mit der Trickbetrüger versuchen, Zugangsdaten von arglosen Internet-Nutzern zu erschwindeln. Die s sowie die Internet-Seiten, auf die diese s verweisen, sind gefälscht! Wir bitten Sie, diese E- Mails sofort zu löschen. Unsere Mitarbeiter werden Sie keinesfalls, weder telefonisch noch per auffordern, Ihre Kontonummer in Verbindung mit Ihrer persönlichen PIN und/oder ITAN preiszugeben Was tun bei Phishing-Mails? Verdächtige s niemals öffnen, sondern sofort löschen. Löschen Sie die Phishing-Mails auch aus dem Papierkorb. Klicken Sie keinesfalls auf Links in Phishing-Mails, da sich sonst möglicherweise ein Trojaner auf Ihrem PC installiert. Aktivieren Sie Ihren Spam-Filter im -Programm. Die meisten Provider haben bereits die von den Betrügern verwendete Endung "@volksbank.de" in ihre Filter aufgenommen. Bei Fragen zu Spam-Filtern wenden Sie sich bitte an Ihren Internet-Provider. Sofern Sie bereits Daten über derartige Internet-Seiten eingegeben haben, nehmen Sie bitte umgehend Kontakt zu uns auf, um Ihren Online-Banking- Zugang zu sperren Trojaner: Schädling späht PIN und TAN aus Neben Phishing-Attacken machen in letzter Zeit Trojaner Schlagzeilen, die unbemerkt vom Nutzer Zugangscodes zum Online-Banking (PIN und TAN) an Betrüger weiterleiten. Lesen Sie in den nächsten Abschnitten wie Trojaner funktionieren und wie Sie sich schützen. Seite 2 von 13

3 2.2.1 Was sind Trojaner? Grundsätzlich werden Trojaner (oder trojanische Pferde) als zerstörerische Computercodes definiert, die eingebettet in harmlose Downloads und deswegen unbemerkt vom Nutzer auf dem PC installiert werden. Durch den Start des vermeintlich sicheren Downloads werden die Trojaner aktiv und können Schäden am PC anrichten - bis hin zum Neuformatieren der Festplatte Wie können Sie sich schützen? Auf die Festplatte gelangen Trojaner häufig über Sicherheitslücken des Internet Explorers. Zum Schutz vor Trojanern sollten Sie vor allem aktuelle Software und aktuellen Virenschutz einsetzen. Laut einer Studie des Bundesamtes für Sicherheit in der Informationstechnik (BSI) surft jeder vierte deutsche Internetnutzer ohne Virenschutz! Weitere Informationen finden Sie unter Punkt 3 Schutzmöglichkeiten Welche Gefahr besteht für das Online-Banking? Ziel der Betrüger, die auf dem PC des Onlinebanking-Nutzers Trojaner installieren, ist es, die Zugangs- und Transaktionsnummern PIN und TAN des Opfers zu erspähen. Der Vorgang verläuft dann wie folgt: Besucht der Kunde die Onlinebanking-Anwendung seiner Bank, beobachtet oder unterbricht der Computer-Schädling die PIN/TAN- Eingabe des Nutzers und sendet die abgefangenen Daten übers Internet an den Betrüger. Nach Abbruch der Sitzung kann der Betrüger die ebanking-anwendung mit Hilfe der ausspionierten Daten starten und das Geld auf sein Konto überweisen. 3. Sicherheitsvorkehrungen am eigenen PC Versuchen Sie, so wenige Personen wie möglich an dem PC arbeiten zu lassen, den Sie für das Online-Banking nutzen. Dadurch werden die Risiken reduziert, die durch andere Personen entstehen können. Setzen Sie Sicherheitsprogramme wie Anti-Viren-/Anti-Spyware-Software und Firewalls ein, um Ihren PC gegen Schadprogramme wie Viren, Trojaner usw. zu schützen. Nutzen Sie die automatische Aktualisierungsfunktion dieser Programme. Arbeiten Sie an Ihrem PC mit niedrigen Berechtigungen. Richten Sie einen eigenen Benutzer mitadministrativen Berechtigungen ein, den Sie ausschließlich für die Installation von Software benutzen. Dadurch haben viele Schädlinge keine Chance, sich auf Ihrem PC einzunisten. Installieren Sie nur Software-Programme, von denen Sie genau wissen, welche Funktion sie haben und wer ihr Hersteller ist. Vermeiden Sie das Installieren unnötiger Software-Programme, damit Sie einen besseren Überblick haben. Führen Sie eine regelmäßige Aktualisierung Ihres Betriebssystems durch am besten automatisch im Hintergrund. So ist sichergestellt, dass eventuell vorhandene Sicherheitslocher gestopft werden. Seite 3 von 13

4 Informieren Sie sich regelmäßig, z. B. auf über verfügbare Aktualisierungen. Überprüfen Sie Ihren PC regelmäßig anhand der Firewall-Software auf mögliche ungewollte Besucher auf Ihrem Rechner. Speichern Sie Ihre Daten regelmäßig als Sicherheitskopien auf CD oder Diskette. So begrenzen Sie einen möglichen Datenverlust durch Viren oder eine Beschädigung des Betriebssystems. Benutzen Sie Funktastaturen nur, wenn sie mit einer eingebauten Verschlüsselung ausgestattet sind. Denn ohne Verschlüsselung können alle eingegebenen Daten je nach Modell im Umkreis mehrerer Meter auch durch Wände mit Funkempfängern direkt empfangen und mitgelesen werden. Verwenden Sie keine Links aus Mail-Adressen, um Ihr Online-Banking aufzurufen. Nutzen Sie Bookmarks, die Sie selbst angelegt haben und die entweder auf die Einstiegsseite Ihrer Bank oder direkt auf das Online-Banking verweisen. Offnen Sie keine Mail-Anhange, die Sie nicht erwarten. Wenn Sie Ihre Telefonrechnung üblicherweise auf dem Postweg erhalten, ist es nicht wahrscheinlich, dass Ihre Telefongesellschaft Ihre Mail-Adresse kennt und Ihnen die Rechnung neuerdings auf diesem Weg zustellt. 4. Besonderer Augenmerk auf den Internet-Browser Verwenden Sie keine Test-Versionen von Internet-Browsern. Diese so genannten Beta-Versionen können Sicherheitslücken enthalten oder Fehlfunktionen aufweisen. Nutzen Sie nicht die Autovervollständigung - Funktion Ihres Browsers. Benutzernamen und Passwörter werden hierbei schwach geschützt auf der Festplatte gespeichert. Aktualisieren Sie regelmäßig Ihren Internet-Browser. Die einzelnen Anbieter stellen auf ihren Web-Seiten regelmäßig Aktualisierungen (so genannte Updates und Patches) bereit, die neu erkannte Sicherheitslücken schließen. Deaktivieren Sie die Zusatzfunktion ActiveX in Ihrem Browser. Hierüber können Dritte über das Internet unter Umstanden unkontrolliert Programme installieren. Verwenden Sie nach Möglichkeit keine Erweiterungen (Plug-Ins) für Ihren Browser, da sie ein zusätzliches Risiko darstellen. Löschen Sie den Zwischenspeicher (Cache) des Browsers nach jeder Online- Banking-Sitzung. Nach Abmeldung aus unserer ebanking-anwendung empfehlen wir folgenden Sicherheitshinweis zu beachten: Um sicherzustellen, dass kein unberechtigter Dritter Einsicht auf Ihre online abgefragten Daten erhält, empfehlen wir Ihnen nach Beenden der Online-Anwendung den "Cache/temporäre Internetdateien" im Browser zu löschen. Seite 4 von 13

5 Beispiel einer Cache-Löschung im Internet Explorer 9.0 Extras > Internetoptionen > Browserverlauf löschen > Schaltfläche löschen Weitere Browser Mozilla Firefox 10.0 Firefox-Schaltfläche: privaten Modus starten Im privaten Modus wird Firefox keinerlei Chronik anlegen. Das beinhaltet besuchte Seiten, Sucheinträge, Download-Chronik, Formulardaten, Cookies und temporäre Internetdateien. Allerdings werden alle Lesezeichen, die Sie anlegen, oder Dateien, die Sie herunterladen, beibehalten. Oder manuell: Extras > Einstellungen > Datenschutz Opera Extras > Einstellungen > Erweitert > Verlauf oder Extras > Internetspuren löschen Safari Löschung: Cache: Verlauf: Seite 5 von 13 Bearbeiten > Cache leeren Verlauf > Verlauf löschen

6 Grundlage der sicheren Internet-Verbindung ist die Verwendung des SSL- Protokolls für die Übertragung der Daten. Das Bestehen einer sicheren SSL- Verbindung wird Ihnen durch ein geschlossenes Schloss-Symbol angezeigt. Bitte achten Sie darauf, dass während der gesamten Verbindungsdauer mit unserem Online-Anwendungsrechner dieses Symbol ungebrochen dargestellt wird. Durch einen Klick auf das jeweilige Symbol werden Ihnen weitere Informationen angezeigt. Die Darstellung ist abhängig von der von Ihnen eingesetzten Browserversion. Ausgestellt ist das Zertifikat auf finanzportal.fiducia.de. Details zum Antragsteller: FIDUCIA IT AG. Die FIDUCIA IT AG ist der IT-Dienstleister Ihrer Bank. Weitere Informationen zur FIDUCIA IT AG finden Sie hier unter Nur wenn Sie diese Daten angezeigt bekommen, besteht eine Verbindung zu unserem Bankrechenzentrum. Sollten Sie andere Daten angezeigt bekommen, beenden Sie die Verbindung sofort und informieren Sie uns bitte umgehend. z. B. Internet Explorer Seite 6 von 13

7 5. Vorsichtiger Umgang mit den Geheimzahlen Sorgen Sie dafür, dass nur Sie allein Kenntnis von PIN und TAN haben. Notieren Sie die PIN nicht auf Zetteln am Computer, der Schreibtischunterlage etc. Speichern Sie Ihre PIN nicht in ungeschützten Dateien wie Word oder Excel. Verwenden Sie nach Möglichkeit nicht das Angebot verschiedener Online- Banking-Programme, die PIN einmalig einzugeben und zu speichern. Nutzen Sie die maximale Anzahl von Zahlen und Buchstaben, die Ihre Bank ermöglicht, weitestgehend aus. Dies macht ein Erraten oder Herausfinden Ihrer PIN viel schwieriger. Verwenden Sie auf keinen Fall Geburtstage oder Namen von Kindern oder Haustieren als PIN, da sie zu leicht erraten werden können. Stellen Sie Ihre Passwörter aus Groß- und Kleinbuchstaben, Zahlen und wenn möglich auch unter Nutzung von Sonderzeichen wie $ oder & zusammen. Dies macht es für Dritte fast unmöglich, Ihr Passwort herauszufinden. Ändern Sie Ihre Passwörter regelmäßig. Verwenden Sie nach Möglichkeit für verschiedene Funktionen wie die Einwahl ins Internet, Online-Banking etc. unterschiedliche Passwörter. Antworten Sie grundsätzlich nicht auf s oder Anrufe, bei denen nach PIN und TAN gefragt wird. Denn Banken fragen Sie nie nach Ihren persönlichen Daten, demzufolge müssen sich dahinter Dritte mit risikobehafteten Absichten befinden. Sperren Sie Ihren Zugang zum Online-Banking, sobald Sie den Verdacht haben, dass ein Dritter im Besitz Ihrer PIN ist. Haben Sie bereits einen VR-NetKey? Dann nutzen Sie die Möglichkeit, den VR-NetKey direkt in Ihrer E-Banking- Anwendung uber den Menupunkt VR-NetKey-Sperre zu sperren. Falls Sie keinen VR-NetKey besitzen, lassen Sie Ihr Online-Banking über Ihren Bankberater sperren. Sichere Handhabung des Online-Banking-Programms Vereinbaren Sie mit Ihrer Bank ein Tageslimit für Online-Überweisungen. So kann ein möglicher Schaden von vornherein auf eine bestimmte Summe begrenzt werden. Speichern Sie PIN nach Möglichkeit nicht ab, auch wenn z. B. der Browser eine Speicherung Ihres Benutzernamens und Passwortes anbietet. Stellen Sie grundsätzlich vor Eingabe Ihrer PIN sicher, dass eine geschützte Verbindung (mindestens 128 Bit SSL) aufgebaut wurde. Dies ist an dem geschlossenen Schloss-Symbol unten rechts im Browser zu erkennen. Überprüfen Sie zusätzlich das Zertifikat (s.u.) der Web-Seite, damit Sie sicher sein können, dass eine verschlüsselte Verbindung zur Bank aufgebaut wurde. Beachten Sie die Warnhinweise Ihres Browsers. Geben Sie keine PIN auf einer Seite ein, vor der Sie Ihr Webbrowser durch eine Sicherheitsmeldung gewarnt hat. Seite 7 von 13

8 Brechen Sie Online-Banking-Sitzungen grundsätzlich sofort ab, wenn Sie irgendwelche Sachverhalte während des Vorgangs auffällig finden. Fragen Sie im Zweifelsfall erst bei Ihrer Bank nach, ob diese Auffälligkeiten zum regulären Ablauf beim Online-Banking gehören. Stellen Sie sicher, dass Sie niemand bei der Eingabe von PIN und TAN beobachten kann. Kontrollieren Sie alle eingegebenen Daten genauestens. Denn die einmal getätigte Überweisung ist verbindlich! Sollten Sie nicht sicher sein, ob Ihre Überweisung die Bank erreicht hat, warten Sie lieber bis zum nächsten Tag oder rufen Sie Ihre Bank an, bevor Sie den Überweisungsvorgang wiederholen. Sonst erfolgen unter Umstanden zwei Überweisungen, da die Computer der Bank nicht auf die Korrektur einer vorherigen Überweisung ausgelegt sind. Verlassen Sie die Web-Seite Ihrer Bank nach Überweisungen grundsätzlich über die Logout - oder die Beenden -Funktion und schließen Sie alle Browser- Fenster. Dadurch kann ein Dritter nicht auf Ihr Konto zugreifen, wenn Sie Ihren PC verlassen haben. 6. Gefahren beim Online-Banking an fremden Orten Seien Sie sich grundsätzlich bewusst, dass ein fremder Rechner deutlich höhere Sicherheitsrisiken birgt. Kontrollieren Sie Sicherheitsfunktionen wie Zertifikate von Web-Seiten oder die verschlüsselte Verbindung genauestens, um das Risiko zu reduzieren. Nutzen Sie möglichst nie Internet-Cafes für das Online-Banking. Hier hat jeder teilweise völlig unkontrollierten Zugang, was das Sicherheitsrisiko drastisch erhöhen kann. Meiden Sie auch andere private PCs oder den Firmen-PC, da Sie hier nicht wissen, wie sicher der Rechner ist und ob Viren etc. auf der Festplatte schlummern. Löschen Sie bei einem fremden Rechner grundsätzlich den Zwischenspeicher (Cache) nach Beendigung des Online-Bankings und melden Sie sich auf jeden Fall über die Abmelden -Funktion Ihrer Bank ab. So kann niemand herausfinden, auf welchen Seiten Sie sich aufgehalten haben. 7. Schutzmöglichkeit mit einen Online-Verfügungsrahmen Wir schützen Ihren Online-Zugang mit einem Online-Verfügungsrahmen. Eine unbegrenzte Verfügungsmöglichkeit in unserem Hause ist somit nicht möglich. Bei Antragstellung werden Sie von Ihrem Berater auf das zukünftige Online-Limit angesprochen. Dieses festgelegte Limit können Sie natürlich jederzeit ändern lassen. Wenn Sie mit Ihrem Online-Zugang Euroüberweisungen nutzen möchten, ist dies nur in beschränktem Umfang möglich. Überweisungsbeträge über 500 Euro lassen wir nur noch mit den Sicherheitsverfahren mobiletan bzw. HBCI zu. (siehe auch unter Punkt 8) Seite 8 von 13

9 Durch diese Maßnahme wird Ihr Online-Banking noch sicherer und kann möglichen Angriffen aus dem Internet (Phishing, Trojaner) abwehren. 8. Sicher bezahlen im Internet Kreditkarten der Volksbanken und Raiffeisenbanken jetzt mit 3D-Secure Beim Bezahlen mit Kreditkarte im Internet bieten wir Ihnen mit 3D-Secure ab sofort ein Verfahren an, mit dem Zahlungen noch sicherer abgewickelt werden können und das gleichzeitig einfach zu handhaben ist. MasterCard SecureCode TM / das Verified by Visa-Passwort wird zusätzlich von Ihnen ein gewähltes Passwort abgefragt, um die Transaktion abzusichern. Der Service ist für Sie kostenlos. Die Registrierung Ihrer Kreditkarte können Sie auf unserer Internetseite durchführen. 9. Sicherheitsmedien und Produkte 9.1 Sicherheitsmedien Online Banking kann man über ebanking (Browseranwendung) oder eine Software (z.b. Quicken) nutzen. Dabei kommen unterschiedliche Verfahren zum Einsatz Beim Browser kommen folgende Sicherheitsmedien zum Einsatz: 1. Zwei-Schritt-Verfahren (PIN/TAN) mobiletan Sm@rt-TAN plus Bei einer Software können folgende Medien zum Einsatz kommen: 1. Zwei-Schritt-Verfahren (PIN/TAN) mobiletan Sm@rt-TAN plus 2. HBCI-Chipkarte (VR-NetWorld Card) mobiletan: Die innovative Lösung für noch mehr Sicherheit im Online-Banking. Die mobiletan ist ein Zwei-Schritt-Verfahren, dabei werden zusätzlich zwei Kommunikationswege (Internet & Handy) genutzt. Seite 9 von 13

10 Voraussetzungen Sie haben ein Handy oder ein anderes mobiles Endgerät, mit dem Sie SMS empfangen können. Sie haben einen VR-NetKey angelegt. Ihre Mobilfunk-Nummer ist für den VR-NetKey-Zugang freigegeben entweder durch Ihren Bankberater oder in der TAN-Verwaltung im Online-Banking. Wie funktioniert die mobiletan Kunde bekommt nach der Erfassung eines Geschäftsvorfalls eine SMS Inhalt der SMS sind Eckdaten des Geschäftsvorfalls: - Betrag - Kontonummer - Uhrzeit - mobiletan Eingabe der TAN in den Geschäftsvorfall Es wird kein Lesegeräte benötigt Sicherheitsmerkmale sind zwei unterschiedliche Übertragungskanäle - Erfassung Geschäftsvorfall im ebanking via Internet Übermittlung der TAN an den Kunden via SMS. Die per SMS zugesendet mobiletan ist an die Session-ID gekoppelt und somit max. 15 Minuten gültig. Bei Verlust des Handys muss die Bank umgehend informiert werden Vorteile - Nur theoretische Angriffsszenarien denkbar - mobiletan ist durch die Einbeziehung des zweiten Kanals (SMS) extrem sicher Sm@rt-TAN plus: Sicherheit auf höchstem Niveau! Die Sm@rt-TAN plus ist ein Zwei-Schritt-Verfahren, dabei werden zusätzlich zwei unterschiedliche Medien (Internet & TAN-Generator) genutzt. Seite 10 von 13

11 Voraussetzungen Sie haben ein TAN-Generator Sie haben einen VR-NetKey angelegt. Das ist freigegeben entweder durch Ihren Bankberater oder in der TAN-Verwaltung im Online-Banking. Wie funktioniert plus? Sie erfassen Ihre Online-Banking-Transaktion wie gewohnt. Beim Schritt Eingabe prüfen wird anschließend ein F lickercode angezeigt: Dann befolgen Sie die Anweisungen in der Maske TAN-Eingabe durch optische Erkennung Zur Sicherheit werden dann im TAN-Generator die Transaktionsdaten (bei einer Überweisung sind das z.b. Betrag, Bankleitzahl und Kontonummer des Empfängers) angezeigt. Seite 11 von 13

12 Bitte prüfen Sie zu Ihrer Sicherheit die Transaktionsdaten und drücken jeweils auf dem TAN-Generator die ok Taste. Geben Sie Ihre Transaktion nun frei, wenn die Transaktionsdaten korrekt waren. Optional steht die TAN-Eingabe durch manuelle Erfassung zur Verfügung. (anzuwenden, wenn die optische Erkennung nicht möglich war) HBCI mittels Chipkarte (=Homebanking Computer Interface) Unsere Privatkunden können mit modernsten kryptografischen Verfahren ihre Bankgeschäfte sicher und unabhängig von den Öffnungszeiten von zu Hause aus erledigen. Auch unsere Firmenkunden können so ihre Kontoabfragen, Überweisungen "rund um die Uhr" abwickeln. Unsere Kunden profitieren bei diesem Verfahren zweifach! Zum einen beinhaltet das HBCI-Verfahren ein hohes Maß an Sicherheit, zusätzlich wird auf die papierhafte TAN-Liste verzichtet, was eine erhebliche Arbeitserleichterung verspricht, insbesondere wenn sehr viele Überweisungen zu tätigen sind. Damit Sie dieses Verfahren nutzen können, benötigen Sie einen HBCI-Chipkartenleser mit eigener Tastatur (pinpad) Wir empfehlen den Einsatz eines Sicherheitsklasse 2-Lesers oder höher, dieser besitzt eine eigene numerische Tastatur auf der die PIN eingegeben wird. Ein Key-Logger ist somit wirkungslos. Lesegeräte sollen nur über die Bank oder aus dem Fachhandel bezogen werden. einen freien USB-Anschluss für den HBCI-Chipkartenleser eine Finanz-Software (z.b. Profi cash, Star Money, Quicken etc.) eine HBCI-Karte der Volksbank Saar-West Ihre Vorteile Sicher vor Phishing-Attacken Hohe Sicherheit bei der Übertragung der Daten Keine aufwändige Verwaltung von TANs Seite 12 von 13

13 Die Authentifizierungsschlüssel sind angriffssicher auf einer Chipkarte abgelegt. Zudem wird der Zugriff auf die Karte durch eine selbst vergebene PIN geschützt. 10. Vorgehensweise im Schadensfall Schnelles Handeln ist gefordert!! Sie bemerken eine Unregelmäßigkeit oder etwas Verdächtiges? Montag bis Freitag: Sofortige Kontaktaufnahme mit Ihrer Bank unter der Rufnummer: / Erläutern Sie Ihrem Berater den genauen Ablauf Nach Öffnungszeiten der Bank, Wochenende und Feiertag: Sperrung der Online-Banking Zugangs (in ebanking: Verwaltung - VR-NetKey sperren oder 3 Fehlversuche verursachen. Daraufhin wird der Zugang gesperrt.) Sperrung über den Notruf So bald wie möglich Kontaktaufnahme mit Ihrer Bank Wenn sich ein Betrugsfall bestätigt, sind folgende Dinge umzusetzen: Keine weitere Internetnutzung PC auf Virenbefall überprüfen Strafanzeige bei Behörde OnlineBanking ist sicher, wenn... aktuelle Verfahren und moderne technische Maßnahmen eingesetzt werden. der Internetnutzer mit diesem Medium bewusst, sensibel und verantwortungsvoll umgeht. das Zertifikat immer überprüft wird (finanzportal.fiducia.de) Seite 13 von 13