Sicherheitsempfehlungen Online-Banking Wobei sollten Sie welche Schutzmaßnahmen beachten? Was erreichen Sie damit?

Transkript

1 Nutzung des itan- Verfahrens Einrichtung der Online- Kontoführung Alternativ-Verfahren mit höherem Sicherheitsstandard sind: chiptan-verfahren: mit PIN, SparkassenCard und TAN-Generator smstan-verfahren: Sie bekommen die zur Transaktionsfreigabe benötigte TAN auf die bei der Sparkasse hinterlegte Mobilfunknummer gesendet. Wir beraten Sie gerne unter 02431/ HBCI-Chipkarte-Verfahren mit HBCI-Chipkarte und PIN Für das HBCI-Chipkarte-Verfahren benötigen Sie neben einem Fin/TSbzw. HBCI-fähigen Chipkartenleser unbedingt eine entsprechende Banking-Software (z.b. für die private Nutzung StarMoney oder für die geschäftliche Nutzung SFirm32. Vereinbaren Sie individuelle Verfügungslimits für die Online- Kontoführung. Beachten Sie bitte unsere Sicherheitsempfehlungen, die laufend aktualisiert werden: Darüber hinaus finden Sie beim Online-Banking-Start Sicherheitshinweise des Rechenzentrums. Beim Online-Banking-Start - Starten Sie den Internet-Browser vorher immer neu. Achten Sie darauf, dass nur ein Browser-Fenster geöffnet ist. - Starten Sie Online-Banking ausschließlich über die Homepage der Sparkasse. - Die Anmeldung erfolgt ausschließlich mit dem Anmeldenamen (oder der Legitimations-ID) und Ihrer PIN. Es wird keine TAN abgefragt. - Verzichten Sie auf die Möglichkeit, Online-Banking über fremde Portale abzuwickeln, auch wenn Ihnen mehr Komfort, Sicherheit etc. versprochen werden. - Versenden Sie parallel keine s. Im Vergleich zum itan-verfahren entsprechen diese Sicherungsverfahren einem höheren Sicherheitsstandard und schützen wirksamer als das itan-verfahren gegen Manipulationen, da die Auftragsdaten in die TAN-Berechnung eingehen. Sie gleichen die im Display des TAN-Generators bzw. Handys angezeigten Auftragsdaten mit Ihren tatsächlich erfassten Eingabewerten ab bevor Sie Ihre Zahlung durch Eingabe der erhaltenen TAN bestätigen. Dieses Verfahren schützt wirksamer als das itan-verfahren gegen Manipulationen, da zusätzliche Hard- und Software erforderlich sind. Sie begrenzen damit den Verfügungsrahmen Ihrer Online-Kontoführung pro Kalendertag. Sie informieren sich laufend über neue Risiken und Schutzmöglichkeiten. Wird auf der Anmeldeseite auch eine TAN abgefragt, befinden Sie sich auf einer gefälschten Seite. Informieren Sie uns! Stand: Seite: 1 von 10

2 Kontrollen während des Online-Bankings - Steht im Adressfeld Ihres Browsers die Adresse der Sparkasse? - Werden die ausgetauschten Daten verschlüsselt? - Ist die Stärke der Verschlüsselung ausreichend? - Ist die aufgerufene Internet-Seite echt? Kontrolle nach der Anmeldung Tipps bei TAN-pflichtigen Transaktionen Prüfen Sie, ob Sie tatsächlich mit der Sparkasse kommunizieren: Die Internetadresse im Adressfeld beginnt mit und wird beim Microsoft Internet Explorer im unteren rechten Bereich (beim Firefox in der Adressleiste) durch ein geschlossenes Vorhängeschloss angezeigt. Mit Positionierung der Maus auf das Schloss wird SSL-gesichert 128 Bit angezeigt. Bei Eingabe der TAN ist es ganz besonders wichtig, dass das Schloss geschlossen ist. Ein Doppelklick auf das Vorhängeschloss ermöglicht Ihnen das Sicherheits-Zertifikat zu prüfen. Das Zertifikat muss auf folgende Internet-Adresse ausgestellt sein: bankingportal.kreissparkasseheinsberg.de. Weitere Informationen finden Sie in den Sicherheitshinweisen, die Sie bei jedem Banking-Start nachlesen können. Nach Anmeldung mit Anmeldenamen (oder Legitimations-ID) und PIN prüfen Sie bitte, ob die über dem Finanzstatus angezeigten Angaben Ihrer letzten Online-Banking-Sitzung (Datum, Uhrzeit, zuletzt verbrauchte TAN) der Realität entsprechen. Kennzeichnen Sie verbrauchte Transaktionsnummern durch Ergänzung von Datum und Uhrzeit auf der TAN-Liste. So bemerken Sie mögliche Manipulationen von Betrügern. Sollte der Browser Sie auf ein fehlerhaftes oder unbekanntes Zertifikat hinweisen, brechen Sie die Verbindung ab und informieren Sie bitte unverzüglich Ihre Sparkasse. Sie prüfen, ob kein Dritter versucht hat, zuzugreifen. Nur so können Sie alle Angaben beim Beginn des nächsten Bankings richtig prüfen. Online-Banking beenden - Verwenden Sie unbedingt die Funktion Abmelden Ihre Verbindung zum Bankrechner wird ordnungsgemäß getrennt. Stand: Seite: 2 von 10

3 Allgemeine Tipps zum Umgang mit PIN/TAN sowie dem Anmeldenamen Allgemeine Tipps zum Umgang mit PIN/TAN sowie dem Anmeldenamen (Fortsetzung) Online-Banking funktioniert nicht wie gewohnt: Sie können Internet- Banking nicht mehr starten / aufrufen. - Verzichten Sie auf die Wahl von Einfachkombinationen wie z.b , 47111, PLZ, Geburtsdatum, Telefonnummern eigene(r) Name, Spitzname, -Adresse bzw. von nahest. Personen (Tieren). - Geben Sie Ihre Geheimnummern nicht an Dritte weiter, auch nicht an Sparkassenmitarbeiter. - Geheimnummer niemals notieren bzw. speichern. - Durch regelmäßige Änderungen erhöhen - Bewahren Sie PIN und TAN (bzw. SparkassenCard/Chipkarte) getrennt voneinander auf. - Besteht Verdacht, dass Dritte hiervon Kenntnis erlangt haben: - PIN und Anmeldename ändern, Online-Banking-Zugang sperren - beides ist über Internet-Banking (Auswahl Service) möglich - Bei mehr als 3 Falscheingaben: Konto wird automatisch für das Online-Banking gesperrt (Chipkarte defekt). Wir entsperren Ihr Konto erst, wenn wir uns von Ihrer Identität überzeugt haben. Dabei fragen wir niemals nach PIN/TAN etc.. - Verwenden Sie Ihre Geheimnummern nur beim Banking. Wählen Sie andere Passwörter für andere Systeme (z.b. -Dienste, Internet- Auktionen) und Internet-Seiten fremder Anbieter. - Verwenden Sie Ihre Geheimnummern nur zu den bekannten Geschäftszwecken, nie aber zu anderen Zwecken. Bitte melden Sie uns jede Veränderung zu Ihrem gewohnten Umgang im Internet-Banking umgehend, z.b. per an electronicbanking@kskhs.de Erscheinen nach der Anmeldung Fenster, die Sie bisher noch nie gesehen haben, z.b. Sicherheitsabfrage oder ein Systemfehler mit der Aufforderung eine oder mehrere TAN einzugeben? Geben Sie auf keinen Fall dort eine TAN ein. Es könnte ein technisches Problem vorliegen oder ein Alarmzeichen für einen Hacker-Angriff sein. Erkundigen Sie sich bitte an unserer Hotline, Tel / Stand: Seite: 3 von 10

4 Die Verbindung wird während des Online-Bankings nach Eingabe von PIN und TAN unterbrochen oder Sie werden zur Eingabe einer weiteren TAN durch ein Pop- Up-Fenster aufgefordert. Was ist beim Einsatz einer PC-Banking Software beim PIN/TAN-Verfahren zu beachten? Was ist beim Einsatz einer PC-Banking Software beim Chipkarten- Verfahren zu beachten? Welcher PC ist zum Online-Banking geeignet? Reparatur Verkauf des Rechners Wir empfehlen wir Ihnen: - geben Sie niemals eine weitere TAN in einem zusätzlichen PopUp- Fenster ein - prüfen Sie im Zweifel, ob eine TAN tatsächlich verbraucht wurde (Menü Service); ggfs. diese TAN sofort verwenden - im Internet-Banking (Menü Service): Anmeldenamen und PIN ändern, Online-Banking-Zugang sperren - kontrollieren Sie Ihre Kontoumsätze zeitnah und sorgfältig anhand des Papierauszugs - informieren Sie uns schnell und ausführlich - Geheimnummer nicht in der Zusatzsoftware speichern. - Verzichten Sie auf das Speichern des Anmeldenamens, hinterlegen Sie die Legitimations-ID. - Wir empfehlen, Banking nur über die Software abzuwickeln, da diese bisher nicht von Phishing-/Trojaner Angriffen betroffen ist. - Legen Sie Ihre Karte nur dann in den Leser, wenn die Software dazu auffordert. Verwenden Sie einen Chipkartenleser Klasse 2 (eigene Tastatur). - Online-Banking nur vom eigenen Rechner - Risiken bergen: Fremde Rechner, auch im Internet-Café Fremde Internet-Portale Fremde Proxy Server, die z.b. anonymes/schnelles Surfen ermöglichen überlassen Sie Ihr Gerät keinem Dritten zur Nutzung - Bei Funkverbindungen (Wireless LAN, Funktastaturen) könnten Ihre Daten ungesichert übertragen werden. Verschlüsselung aktivieren. - In öffentlich zugänglichen Funknetzwerken ( Hotspots ) ist die Abhörsicherheit nicht immer gegeben. - PC nur von seriösen Unternehmen reparieren lassen - Formatieren und Defragmentieren der Festplatte vor Verkauf des Rechners reicht zur Löschung Ihrer Daten nicht aus. Nutzen Sie einen so genannten Safe Erase (z.b. O&O Software), der die Daten durch mehrmaliges Überschreiben sicher löscht. So stellen Sie sicher, dass PC-Freaks nicht an Ihre Daten gelangen. Stand: Seite: 4 von 10

5 Allgemeine Tipps zum Surfen im Internet Allgemeine Hinweise beim -Verkehr Allgemeine Hinweise beim Chatten Betriebssystem (z.b. Windows XP) und Internet-Browser (z.b. Internet-Explorer) - Besuchen Sie nur Internet-Seiten seriöser Anbieter, das gilt ganz besonders beim Download von Programmen und Dateien. Verzichten Sie bei zweifelhaften oder unbekannten Quellen lieber. - Lesen Sie jeden Hinweis. Bestätigen Sie nur unbedenkliche Hinweise. - Verwenden Sie zum Surfen unbedingt ein Benutzerkonto mit eingeschränkten Ausführungsrechten. Verwenden Sie dieses für das normale Tagesgeschäft. - Öffnen Sie nur s, wenn Sie den Absender kennen. - s fragwürdiger Herkunft / unbekannter Absender sofort auf dem Server löschen. - Auch bei bekannten Absendern sollten Sie vor dem Öffnen eines Dateianhangs oder beim Ausführen von Links skeptisch sein. Vorsicht, wenn diese versuchen, starken Druck oder Angst aufzubauen. Öffnen Sie auf keinen Fall aus Panik unüberlegt enthaltene Dateianhänge oder Links. - Besondere Vorsicht ist bei nicht erwarteten s angebracht. - Versenden Sie während des Bankings keine s. - Ein zusätzlicher Spam-Filter erkennt unerwünschte Werbepost. - Verraten Sie weder Ihren richtigen Namen noch Ihre Adresse, Telefon-/Handy-Nummer. - Verwenden Sie eine separate Adresse, die Sie auch wieder aufgeben könnten. - Verwenden Sie ein aktuelles Betriebssystem und installieren Sie zeitnah die verfügbaren Updates, Patches und Servicepacks. - Beziehen Sie diese Programme nur von seriösen Lieferanten. - Verzichten Sie auf den Einsatz von Test- oder Beta-Versionen. - Richten Sie sich zum Surfen ein Benutzerkonto mit eingeschränkten Ausführungsrechten ein. Verwenden Sie dieses für das normale Tagesgeschäft. Sie vermeiden das Risiko, sich neben den gewünschten Daten auch unerwünschte Schädlinge oder Spionageprogramme einzufangen. Sie vermeiden das Risiko, sich neben den gewünschten Daten auch unerwünschte Schädlinge oder Spionageprogramme einzufangen. So bleiben Sie immer anonym. Schließen Sie eventuelle Sicherheitslücken rechtzeitig. Stand: Seite: 5 von 10

6 Sicherheitseinstellungen im Internet-Browser Zusatzschutzprogramme: Virenscanner Firewall Anti-Spy-Software und Spam-Filter Wählen Sie eine hohe Sicherheitseinstellung (im Internet-Explorer unter Extras - Internetoptionen ), z.b. ActiveX deaktivieren Subframes zwischen verschiedenen Domänen bewegen deaktivieren Auto-Vervollständigen zum Ausfüllen von Online-Formularen deaktivieren Java-Applets nur nach Rückfrage zulassen. - Denken Sie daran, bei jeder neuen Version Ihres Browsers die Sicherheitseinstellungen zu überprüfen. - Vorsicht bei der Installation von Plug-Ins. - Lassen Sie sich über sicherheitsrelevante Vorgänge informieren. - Wie und wo Sie diese Einstellung vornehmen, entnehmen Sie bitte der Hilfe Ihres Browsers oder dem Handbuch. Der Verzicht hierauf ist wie Autofahren ohne Gurt und Airbag. Links zum gratis-download finden Sie unter - Leistungsfähige Scanner suchen in allen vorhandenen und eingehenden Daten nach ungebetenen Viren, Würmern und Trojanern. - Bezug aus seriöser Quelle - regelmäßige Aktualisierungen/Updates laden und installieren, damit neue ungebetene Gäste auch erkannt werden - Der Scanner sollte immer eingeschaltet sein. - durchsuchen Sie trotz eingeschaltetem Scanner regelmäßig Ihre Festplatte mit Hilfe der Software - Diese Feuerschutztüren schützen Ihren PC vor unbemerkten Zugriffen von außen. Sie verhindern, dass Ihr PC sich selbstständig macht. - Die Firewall muss aktuell und immer aktiv sein. - Anti-Spionage-Software und Filter gegen unerwünschte Werbepost und gefälschte s bieten weitergehenden Schutz. Sie verhindern bzw. erschweren damit den möglichen Zugriff Dritter. Enttarnen und vernichten Sie ungebetene Gäste. Diese Programme erfüllen die Funktion einer Alarmanlage und löschen Schädlinge wie die Feuerwehr. Stand: Seite: 6 von 10

7 Typische Attacken: Online-Banking funktioniert nicht wie gewohnt: Die Internet-Diebe arbeiten raffiniert getarnt und fälschen Internet- Seiten oder s zum Verwechseln gut. Die Gauner beabsichtigen, dass Sie Ihre letzten Zweifel durch verlockende Angebote über Bord werfen. Oder Sie versuchen, starken Druck oder Angst aufzubauen. Bleiben Sie hellwach und misstrauisch. Fragen Sie sich immer, ob die auf einer Webseite geforderten Eingaben in Zusammenhang mit der von Ihnen gewünschten Aktion Sinn machen. Erscheinen nach der Internet-Banking-Anmeldung Fenster, die Sie bisher noch nie gesehen haben, z.b. Sicherheitsabfrage oder ein Systemfehler mit der Aufforderung eine oder mehrere TAN einzugeben? Geben Sie auf keinen Fall dort eine TAN ein. Vorbeugen ist besser als Heilen! Stand: Seite: 7 von 10

8 Phishing (= Passwort-Fischer) Wie funktioniert Phishing? - Sie erhalten persönlich, telefonisch oder per eine Aufforderung, Ihre persönlichen Daten (Kontoverbindung, PIN, TAN, Kreditkartendaten etc.) preiszugeben. Diese vertraulichen Daten sollen auf einer Internet-Seite, die auch als Link in der aufgeführt sein kann, eingegeben werden. - ACHTUNG: Absender der und Internet-Seite sind gefälscht, erwecken jedoch den Anschein von der Sparkasse, einer Bank oder einem anderen namhaften Unternehmen zu sein. - Weitere TARNUNGSMETHODEN der Betrüger: - Sicherheitsüberprüfung unter Angabe der persönlichen Zugangsdaten vortäuschen - mit Geld / Mehrwert locken: Beteiligung an Online-Umfrage wird vergütet Bereitstellung des eigenen Kontos für Geld-Transaktionen gegen Aufwandsentschädigung (Als Geldbote machen Sie sich strafbar, weil Sie gegen das Geldwäschegesetz verstoßen!) unseriöse Internet-Anbieter versprechen anonymes oder schnelles Surfen im Internet, indem sog. Proxy-Server oder Surf- Turbos zwischengeschaltet werden. Durch eine kostenlose Zusatzsoftware kann u.u. der gesamte Datenverkehr mitgelesen werden. - Versprechen an Opfer von Computerkriminalität auf Rückzahlung des verlorenen Geldes im Namen einer großen Organisation, z.b. der Vereinten Nationen. Antwortet der empfänger wird seine Adresse an sogenannte Scammer weiterveräußert. So droht das nächste Unheil. Lassen Sie sich nicht phishen : - Ignorieren Sie alle Versuche dieser oder ähnlicher Art, auch wenn Ihnen der Absender bekannt ist. - Verzichten Sie unbedingt auf die Preisgabe vertraulicher Daten. Informieren Sie uns bei Zweifeln oder Attacken. Bitte leiten Sie uns diese s an electronicbanking@kskhs.de weiter, damit die Server der Betrüger schnellstmöglich deaktiviert werden können und Anzeige erstattet wird. Sollten Sie versehentlich eine zweifelhafte Seite besucht und Ihre Daten preisgegeben haben, empfehlen wir Ihnen: - im Internet-Banking (Menü Service): Anmeldenamen und PIN ändern, Online- Banking-Zugang sperren - Kontoauszüge am Auszugsdrucker ausdrucken und Kontoumsätze zeitnah und sorgfältig kontrollieren. - Informieren Sie uns so ausführlich wie möglich über den Versuch, damit wir Gegenmaßnahmen einleiten können: Tel / ignorieren. Stand: Seite: 8 von 10

9 Trojanische Pferde / Spyware Wie arbeitet ein Trojanisches Pferd? Trojanische Pferde ermöglichen Betrügern das Ausspionieren geheimer Online-Banking-Daten ohne Mitwissen des Geschädigten. Von der Installation, die i.d.r. über das Internet oder mithilfe einer erfolgt, bemerken Sie meist nichts. Der unsichtbare Spion schlägt beim nächsten Online-Banking nach Eingabe Ihrer geheimen Kundendaten zu. Hat das Trojanische Pferd die gestohlenen Daten an seinen Schöpfer übermittelt, bricht die Verbindung zur Sparkasse plötzlich ab für Sie Alarmstufe Rot. Fangen Sie sich kein Trojanisches Pferd ein! Sie schützen Ihren PC, indem Sie alle Vorsorgemaßnahmen treffen, um nicht infiziert zu werden. Verzichten Sie auf - Internet-Downloads unbekannter Anbieter - Öffnen von s bzw. Dateianhängen oder das Ausführen von Links unbekannter sowie bekannter Absender, von denen Sie keine erwarten. Betrüger versenden gefälschte s und geben sich als namhafte Unternehmen aus (z.b. Banken, Telekom, Versandhäuser). - Vorsicht, wenn der Absender versucht, starken Druck oder Angst aufzubauen. Handeln Sie auf keinen Fall aus Panik unüberlegt. Stellen Sie sich vor der weiteren Bearbeitung die Frage, ob die Sinn macht. - Informieren Sie uns so ausführlich wie möglich über den Versuch, damit wir Gegenmaßnahmen einleiten können: Tel / Bei Verdacht auf Infizierung, empfehlen wir vorsorglich: - im Internet-Banking (Menü Service): Anmeldenamen und PIN ändern, Online- Banking-Zugang sperren - Kontoauszüge am Auszugsdrucker ausdrucken und Kontoumsätze zeitnah und sorgfältig kontrollieren. Stand: Seite: 9 von 10

10 Drive-by-Downloads Unter dem Begriff "Drive-by-Downloads" versteht man die meist unbemerkte Verseuchung des Rechners durch Malware, während man vermeintlich harmlose Websites besucht. Schädlinge wie Adware, Bots oder Trojanische Pferde werden über Sicherheitslücken im Browser oder in über den Browser angreifbaren Systemkomponenten (etwa den Windows Media Player) eingeschleust. Die Installation von Sicherheits-Updates hat sich ebenfalls als sehr erfolgreiche Abwehrmaßnahme erwiesen. Nutzen Sie wenn möglich alternative Browser (z.b. Mozilla Firefox oder Opera), da diese Browser weit weniger Ziel derartiger Attacken sind, als der Microsoft Internet Explorer. Auf Grund der schnellen Entwicklung im technischen Bereich erheben wir keinen Anspruch auf Vollständigkeit. Stand: Seite: 10 von 10