Sicherheit wird hardwarelastiger

Transkript

1 DaybyDay ISSN > Sicherheit wird hardwarelastiger Sicherheit wird hardwarelastiger Dienstag 30. August 2011, von Dr. Wolf Siegert (KALENDERDATUM 30. August 2011). The way of no return Wer sich von uns erst einmal mit den Möglichkeiten des Internet-Bankings vertraut gemacht hat und selber zu nutzen begonnen, will sich nicht mehr von diese neuen Errungenschaften verabschieden. Wer sich einmal von den Überweisungsbögen samt Briefumschlägen verabschiedet hat, wird sich nicht mehr auf eine solche "fall-back-solution" einlassen wollen. Wer sich aber sehr früh mit diesen Systemen und Möglichkeiten beschäftigt und diese zur Anwendung gebracht hat, ist derzeit mit einem besonders hohen Grad der Verunsicherung konfrontiert. Und das nicht nur darüber, von Kriminellen ausgespäht und ausgeraubt zu werden, sondern von den Banken selber! Facetten und Interfaces Wir haben bereist an anderer Stelle ausführlich über eine Reihe mit den aktuellen Umstellungen einhergehenden Problemen berichtet. Und es war nicht immer einfach, nach dem ganzen Ärger auch noch sachlich und korrekt zu beschreiben, was ging und was nicht ging. Denn es vermischen sich oft eine Reihe von Faktoren, die in der Analyse nicht immer ausreichend voneinander getrennt werden: die eigene Hard- und Software, die vom Provider vorgehaltenen Gateways und Netzverbindungen, die von Seiten der Bankhäuser eingerichteten Verfahren und policies, der Support, der für die Nutzung dieser Dienste angeboten - und allzu oft eben dann nicht geleistet - wird. Und die auch softwareseitig notwendige "Middleware", die notwendig sein kann, um die angebotenen Dienstleistungen mit den eigenen Anforderungen in Übereinstimmung zu bringen. Was haben wir da nicht schon alles im Betrieb eingesetzt: Microsoft Money, Quicken de Luxe, WISO Mein Geld, Star Money... im aktuellen Betrieb haben sich letztendlich nur zwei Systeme behaupten können: Buchhalter Pro und T-Online Banking 6.0. Sicher ist sicher Also haben wir auch schon seit Jahr und Tag einen Card-Reader auf dem Schreibtisch stehen, der für alle Signiersysteme gut war, die auf der Basis des T-TeleSec Signet Paketes von T Systems eingesetzt werden konnten. Inzwischen sind aber weitere Systeme dazukommen - und zwar auf Veranlassung der Banken. Diese machten darauf aufmerksam, das der bisherigen Einsatz von sogenannten itan-nummern nicht sicher genug und dieses Verfahren durch andere zusätzliche Einrichtungen technischer Art abzusichern sei.

2 all rights reserved Diese Veränderungen haben nicht nur einen hohen Aufwand für die Einrichtung dieser neuen Verfahren zur Folge gehabt. Und wenn man die dafür eingesetzte Arbeitszeit - und sei es auch nur anteilig - mit in Rechnung stellen würde, wären selbst die "wenigen hundert Euro" die Rede nicht Wert, die für die zusätzliche Hardware ausgegeben werden musste. Der Teufel sitzt im Detail Der Versuch, mit der T-Online-Banking Software in der aktuellen 6.0 Version die Konten der Commerzbank einbinden zu können, ist ebenfalls bereits an anderer Stelle dokumentiert worden. Hier geht es um den Versuch, eine Lösung zu finden, die itan-dienst, - also den, bei dem man noch die Nummern per Liste zugeschickt bekommt und diese dann für jede Überweisung eingeben muss - durch den sogenannten mtan-dienst abzulösen. Hier wird die Nummer auf ein Handy oder Smartphone geschickt, dort vom Display abgelesen und dann in die Softwaremaske eingegeben. Wie hier gezeigt wird, war dieser Versuch auch erfolgreich, solange man dieses Verfahren "händisch" Schritt für Schritt im T-Online-Banking Interface abarbeitet. Aber eine grundsätzliche Umstellung der Software - auch in der aktuellsten Fassung - blieb bislang ohne Erfolg.

3 all rights reserved Guter Rat Als in der Ausgabe 8 der c t auf eine weitere Lösung verwiesen wird, die zunächst einmal für Postbank-Kunden angeboten wird, wird uns von den Kollegen in Bonn ein "Care-Paket" mit der von ihnen eingekauften Seal One USB- Lösung zugeschickt. Nach dem Anschluss des USB-Sticks werden sowohl vom Rechner als auch von der eingespielten Software Meldungen angezeigt. Und zunächst ein Neustart des Rechners vorgenommen, auch wenn davon in der Bedienungsanleitung nicht die Rede ist. all rights reserved Nach dem Neustart ist im Windows-Explorer ein neue virtuelles Laufwerk zu finden und dort wird die Funktion "SealOne.exe" aktiviert. Auf der Taskleiste ist ein neues Symbol zu finden; wird dieses angeklickt, erscheint die Kennung aus 5 Zeichen in 3 Blöcken. Nun geht es darum diese eindeutige Seal ID beim "jeweiligen Akzeptanzpartner" zu hinterlegen. Aber wer bitte ist dieser "Akzeptanzpartner"? Um diese Fragen zu klären gibt es die Postbank-Online-Banking-Hotline unter der Nummer Dort ist zu erfahren, dass es zwar möglich sei, diesen neue Service schon im Zusammenhang mit seinem Online-Konto zu nutzen, aber noch nicht im Zusammenhang mit dem Online-Banking Programm von T-Online. Dann aber wird der kleine Schritt gemacht und - in Begleitung der Hotline-Assistenz und nach zwei

4 Fehlstarts - das Gerät erfolgreich über seine Kennung mit dem Konto verknüpft. Eile mit Weile Jetzt ist erst einmal Schluss an dieser Stelle. Denn jetzt muss die Post mit dem Bestätigungsschreiben abgewartet werden, mit dem der Nutzer dann eindeutig autorisiert werden wird. In der Zwischenzeit wird es darum gehen herauszufinden, warum im Banking Programm von T-Online die mtan-variante nicht als neue Default-Einstellung eingetragen werden kann. Wenn auch diese beiden Schritte erfolgreich abgewickelt worden sein werden, wäre auch unsererseits ein Statuswechsel zu vermelden: Vom Tester zum Nutzer. Ende gut: Mit der Seal On ID... am Montag, den 26. September Dieses ist der letzte Tag, an dem noch der Zugang zu allen Systemen über eine flexible IP möglich ist. Bevor ggf. neue Probleme aufgrund der Einrichtung einer festen IP-Adresse auftauchen, sollte zumindest in dem bisherigen Umfeld das Nutzungsprofil fertiggestellt in in Funktion gesetzt werden. Dazu wurde das inzwischen eingegangene Schreiben von der Postbank Ludwigshafen geöffnet. Dann wurde die Online-Adresse der Postbank aufgerufen - die sich nunmehr unterscheidet zwischen den Funktionen Zum alten Online-Banking und Online-Banking - um sodann nach einigem Suchen auf der neuen Onlinebankingseite die aktuelle sogenannte "Seal One ID" mit dem zugeschickten Aktivierungscode aktiviert. Und danach wurde die erste Überweisung erfolgreich ausgeführt: all rights reserved Eine Einrichtung dieses Dienstes in einer der aktuellen Versionen des T-Online-Banking Pakets 6.0 oder der von T-Online unabhängigen Version 7.0 war allerdings auch zu diesem Zeitpunkt noch nicht möglich. Alles gut: Mit dem mtan Verfahren Was noch viel schlimmer war: eine Online-Buchung auf das eigene Konto war mit keiner der beiden Software-Versionen möglich. Nicht nur nicht mit dem noch zu neuen BestSign-Service, sondern auch nicht mit dem mtan-dienst. Und das, obwohl alle Parameter mehr als nur einmal ausführlich geprüft und getestet wurden: Zuletzt am Morgen des 26. September 2011 mit dem Second-Level-Service der DTAG und einem wirklich kompetenten Kundenberater in der Zeit von 8:30 bis 10:30 Uhr. Am Nachmittag dann eine erneute Rücksprache mit dem Postbank-Geschäftskunden-Service unter der Nummer Und da sitzt ein ebenso freundlicher wie genialer Typ, der endlich sagt, was Sache sei: dass nämlich eine Online-Überweisung auf das eigene Konto nicht möglich sei.

5 Wie bitte?! Der nächste Versuch beweist die Richtigkeit dieser Aussage: Es wurde anstatt der seit Wochen immer und immer wieder erneut aufgerufenen Überweisungsvorlage mit einem Mini-Betrag auf das eigene Konto eine andere Kontonummer eingegeben: und schon erschien nach wenigen Sekunden die mobile TAN Nummer auf dem Display des Smartphones.