Online-Betrug nimmt zu: Gerät ebanking unter Druck?

Transkript

1 Online-Betrug nimmt zu: Gerät ebanking unter Druck? Interview mit Hans-Peter Bauer, Geschäftsführer Symantec (Deutschland) GmbH Phishing ist zwar als Phänomen nicht neu, ist aber in den letzten Monaten als besonders perfide Form des Online-Betrugs verstärkt ins Bewusstsein der Öffentlichkeit getreten. Die Postbank ist innerhalb von drei Wochen zweimal das Angriffsziel von sogenannten Phishern geworden. Auch die Kunden der Deutschen Bank haben gefälschte s erhalten, mit denen ihnen sensible Kontoinformationen entlockt werden sollten. Herr Bauer, was schätzen Sie: Ist das der Beginn einer großen Phishing-Welle in Deutschland? Bauer: Der deutsche Markt für Finanzdienstleistungen ist ja bislang weitgehend glimpflich davon gekommen. Besorgniserregende Meldungen erreichten uns eher aus den USA, Großbritannien oder Australien, wo Phishing-Attacken mittlerweile an der Tagesordnung zu sein scheinen. Es war jedoch nur eine Frage der Zeit, bis Phisher ihre Fanggründe in Deutschland entdeckten. Schließlich ist Online-Banking hier sehr beliebt. Jeder zweite Internetnutzer macht von der Möglichkeit Gebrauch, seine Bankgeschäfte über das Internet abzuwickeln. Müssen sich Online-Kunden damit abfinden, dass Online-Banking Betrugsrisiken enthält? Bauer: Jede finanzielle Transaktion ob klassisch oder online - kann für Betrugsdelikte missbraucht werden. Es geht nicht darum, Online-Banking zu vermeiden, sondern die möglichen Missbrauchsrisiken zu minimieren. Was können Banken in dieser Hinsicht tun? Bauer: Aufklärung der Kunden steht an oberster Stelle. Bereits bei der Eröffnung eines Online-Kontos müssen die Prozeduren dem Kunden genau erläutert werden. Darüber hinaus muss klar gesagt werden: Wir als Bank senden unseren Kunden niemals und unter keinen Umständen s, in denen sie zur Weitergabe sensibler Informationen

2 aufgefordert werden. Sensible Informationen haben in ungesicherten Verbindungen einfach nichts zu suchen. Punkt. Tun Banken genug für die Aufklärung ihrer Kunden? Bauer: Bislang waren die Abwehrmaßnahmen gegenüber Phishing-Attacken eher reaktiver Natur. Wenn also eine Bank ins Visier von Phishern geraten war, wie kürzlich die Postbank oder die Deutsche Bank, so kam die Informationsmaschinerie in Gang, beispielsweise mit expliziten Warnhinweisen auf der Webseite der jeweiligen Unternehmen. Andere Banken, die noch einmal davon gekommen sind, haben es meines Wissens bisher nicht für nötig befunden, das Problem Phishing durch proaktive Aufklärungsarbeit anzugehen. Aber Nicht-Beachtung ist keine wirkungsvolle Maßnahme im Kampf gegen Phishing. Besteht nicht die Gefahr, dass vorauseilende Informationen die Kunden verunsichern und vom Online-Banking abhalten? Bauer: Symantec hat im Juli 2004 in den USA eine Umfrage in Auftrag gegeben, die untersucht hat, wie Computernutzer mit dem Betrugsrisiko umgehen. Nachdenklich stimmen sollte die Tatsache, dass knapp 32 Prozent der Befragten aus Angst vor Betrug ganz auf Online-Banking verzichten. Informationsvermeidung ist jedoch keine Abhilfe. Im Gegenteil. Banken müssen ihren Kunden das Gefühl vermitteln: Wir kennen das Problem und tun alles, um es zu beherrschen. Und Phishing ist beherrschbar. Gleichzeitig muss die Erkenntnis beim Kunden gefördert werden, dass auch er sein Scherflein zur Sicherheit von Online-Banking beitragen muss. Was ist, wenn Kunden doch einmal eine solche erhalten? Bauer: Wenn Kunden eine erhalten, die nach einer offiziellen Bank-Nachricht aussieht, in der nach Passwörtern, Kontonummern, PINs oder TANs gefragt wird, dann handelt es sich um einen Phishing-Versuch. Der Kunde darf auf keinen Fall den Link anklicken, der in der genannt ist. Noch weniger darf er der Aufforderung nachkommen, PINs oder TANs herauszugeben. Das muss dem Kunden aber erst einmal klar gemacht werden. Wie können Kunden einen Phishing-Versuch noch erkennen? Bauer: Oftmals sind betrügerische s mit Rechtschreib- oder Grammatikfehlern durchsetzt. Dies ist ein Trick, den Phisher verwenden, um durch die Kontrolle der

3 Spamfilter durchzukommen, die nach bestimmten korrekt geschriebenen - Schlüsselwörtern suchen. Auch der angegebene Link und die Webseite sind oftmals mit Fehlern gespickt. Banken sollten ihren Kunden vermitteln, dass sämtliches Textmaterial, das an Kunden herausgegeben wird, sehr sorgfältig erstellt und redigiert wird. Mit Fehlern durchsetzte Texte würden niemals das Haus verlassen und sollten daher misstrauisch machen. Eine sichere Methode, die Authentizität einer gesicherten Webseite zu erkennen, besteht darin, das gelbe SSL-Schloss neben dem Browser-Symbol anzuklicken kann der Kunde sich wirklich darauf verlassen? Bauer: Auf SSL-gesicherten Seiten, wie Banken sie beispielsweise für die Einwahl ins System verwenden, gibt es die Möglichkeit, das Zertifikat der Seite einzusehen. Nach Doppelklick auf das Schloss-Icon öffnet sich ein Zertfikats-Fenster. Stimmt der Name des Zertifikats-Empfängers (der Name nach dem ersten Ausgestellt ) mit dem Namen der Webseite überein, dann gilt das als ein Zeichen für Authentizität. Doch leider lassen sich, das haben Proof-of-Concept-Tests bewiesen, auch diese Zertifikats-Fenster fälschen. Hier müssen wir die weitere Entwicklung wachsam verfolgen. Gefälschte Webseiten werden mit Hilfe des sogenannten Frame-Spoofings erstellt. Wenn Banken auf Frames zum Aufbau ihrer Webseiten verzichten, müsste das Phishing-Risiko damit doch beseitigt sein. Bauer: In der Tat werden viele gefälschte Webseiten mit Hilfe von Frame-Spoofing zusammengebastelt. Frame-Spoofing ist vereinfacht gesagt die Manipulation von Teilen (Frames) einer Webseite durch fremde Webseiten in betrügerischer Absicht. Doch auch Phisher entwickeln ihre technologischen Fähigkeiten weiter. So können sie mittlerweile nicht nur die gesamte Webseite täuschend echt nachmachen, sondern ganze Browserkoponenten fälschen und selbst Experten damit überlisten. Dann zeigt die Statusleiste sogar die korrekte URL an. Frame-Spoofing ist dafür nicht mehr nötig. Können Kunden jetzt also noch nicht einmal der korrekten URL trauen? Bauer: Eine geeignete Vorsichtsmaßnahme ist, keine in s angebotenen Links anzuklicken, die vermeintlich auf die Bankseite führen. Ganz sicher ist man nur, wenn die URL manuell in den Adresszeile des Browser eingegeben wird.

4 Gibt es darüber hinaus auch technologische Abwehrmaßnahmen gegen Phishing, die Banken installieren können? Bauer: Es gibt die Möglichkeit, so genannte Black Lists mit betrügerischen Web-Seiten aufzustellen und Kunden zum Download anzubieten. Beim Besuch einer indizierten Seite wird der Nutzer gewarnt. Das Problem hier ist mangelnde Aktualität. Symantec bietet Banken außerdem mit Symantec Brightmail Anti-Fraud einen Dienst an, der sie über Phishing s, die im Namen ihres Bankinstituts verbreitet werden, informiert. Was für technologische Möglichkeiten stehen zur Verfügung, um Kunden-PCs sicherer gegen Phisher zu machen? Bauer: Phishing-Mails sind die betrügerische Variante der in erster Linie lästigen Spam- Mails. Leistungsfähige Spam-Filter, wie sie beispielsweise die 2005er Versionen unserer Norton-Sicherheitssoftware bieten, sind in der Lage, Phishing-Mails herauszufiltern. So gelangen sie erst gar nicht in den Posteingang und der Nutzer läuft nicht Gefahr, auf sie hereinzufallen. Phishing ist ja nicht die einzige Masche von Online-Betrügern, an das Geld gutgläubiger Menschen zu kommen. Spyware, Trojanische Pferde, sogenannte Key Logger, Computer Dialer sie alle haben betrügerische Absichten. Was geht das Banken an? Bauer: In Großbritannien wurde jetzt ein Fall bekannt, bei dem eine herkömmliche Phishing-Attacke mit einem Trojanischen Pferd verbunden wurde, das sich von der gefälschten Bank-Seite auf dem Nutzer-PC installierte und Tastatureingaben protokollierte. Auf diese Weise konnten sensible Bankdaten ausspioniert werden. Etwas von solchen Attacken bleibt immer am missbrauchten Namen der Bank hängen. Aus diesem Grund sollten Banken offensiv an der Aufklärung ihrer Kunden arbeiten.

5 Textkasten 1: Klartext von Bank zu Kunde Informationen helfen Schäden zu vermeiden Gegen Schäden durch Phishing hilft nur eine offene Informationspolitik. Banken sollten ihren Kunden daher mit einigen Sicherheitstipps entgegen kommen: Oberstes Prinzip: Niemals vertrauliche Daten im Internet weitergeben, auch (oder gerade) wenn eine seriös wirkende dazu auffordert. Es gehört nicht zu den Bank-üblichen Verfahren, sensible Daten vom Kunden über eine ungeschützte -Verbindung abzufragen. Sämtliche Online- Transaktionen werden stets nur über sichere Verbindungen abgewickelt. Betrügerische s sind oft mit Rechtschreib- oder Grammatikfehlern durchsetzt, damit sie durch die Kontrolle der Spamfilter durchkommen, die nach bestimmten korrekt geschriebenen - Schlüsselwörtern suchen. Auch der angegebene Link und die Webseite sind oftmals mit Fehlern gespickt. Banken sollten ihren Kunden vermitteln, dass sämtliches Textmaterial, das an Kunden herausgegeben wird, sehr sorgfältig erstellt und redigiert wird. Kunden sollten bei einer zweifelhaften , die angeblich von ihrer Bank stammt, sofort ihren Kundenberater einschalten. Sie sollten dabei aber keine Telefonnummern oder -adressen verwenden, die in der Nachricht angegeben sind. Bei Bezahlanwendungen im Internet sollten Anwender die entsprechenden Seiten immer manuell in die Adressleiste eintragen und diese nicht über Links ansteuern. Damit stellt man sicher, auch wirklich die Originalseite abgerufen zu haben. Unterstützung durch Software: Sicherheitssoftware wie zum Beispiel Norton Internet Security von Symantec enthalten zum einen eine Funktion, die den Anwender bei der unbedachten Weitergabe persönlicher Daten alarmiert. Zum anderen werden durch die Spam-Filter-Funktion s, die von gefälschten Absendern stammen, direkt aussortiert. Die AntiPhishing-Organisation APWG informiert unter über aktuelle Phishing-Attacken und mögliche Gegenmaßnahmen. Die kostenlos erhältliche Earthlink Toolbar schützt vor einschlägig bekannten Phishing-Websites:

6 Textkasten 2: Protokoll eines Phishing-Angriffs Phishing-Attacken kommen meist unspektakulär daher, laufen aber nach einem klar erkennbaren Muster ab: Der Bankkunde erhält eine , die vermeintlich von seiner Bank stammt. Darin wird er aufgefordert, sensible Daten wie seine Kontonummer sowie PIN und TAN auf einer eigens eingerichteten Seite einzugeben. Die Aktion dient angeblich der Verwaltung oder Aktualisierung von Kundendaten. Ein Link führt den Kunden auf jene Seite, die offensichtlich von seiner Bank stammt: das vertraute Logo ist zu sehen, die gewohnte Gestaltung und Schrift, sogar die URL alles scheint zu stimmen. Gerade das PIN-/TAN-Verfahren gilt vielen Kunden als Garant für Sicherheit. Der Kunde gibt also die gewünschten Daten ein. Nach kurzer Zeit stellt der Geprellte allerdings eine mysteriöse Abbuchung in beträchtlicher Höhe von seinem Konto fest. Ein Phisher ist auf Kosten des Bankkunden auf Shoppingtour gegangen.