15 Tipps zum sicheren

Transkript

1 15 Tipps zum sicheren Der Schaden bei einem ungenügend gesicherten Online-Konto geht schnell in die Tausende. So sichern Sie Ihre Bankgeschäfte im Internet und schützen sich vor Trickbetrügern. Rund 5 Prozent aller Bankkunden erledigen ihre Geldgeschäfte mittlerweile online. Dabei laufen sie jedoch Gefahr, Opfer von Cyber-Kriminellen zu werden. Im schlimmsten Fall räumen diese das gesamte Online-Konto samt Dispokredit leer. Nur mit dem nötigen Wissen, den richtigen Tricks und sicherer Software lässt sich ohne Risiko durchführen. Zu den häufigsten Angriffsmethoden gehört Phishing. Der Begriff setzt sich zusammen aus den Wörtern Passwort und Fishing. Beim Phishing werden Surfer auf täuschend echt nachgemachte Webseiten gelockt. Mit den dort eingegebenen Daten meist werden Account-Name, PIN sowie eine TAN verlangt heben die Kriminellen dann Geld vom Konto des Internetnutzers ab. Der durchschnittliche Schaden von Phishing-Opfern lag bereits vor einem Jahr bei 4700 Euro Tendenz steigend. Lesen Sie, wie Sie Online-Betrug erkennen, bevor ein Schaden entsteht, und wie Sie Ihr Internetkonto effektiv schützen. Auch viele Trojaner klauen Konto - daten. Wie Sie die heimlichen Schädlinge fernhalten und wie Sie Ihren : So erkennen Sie die Original-Seite Ihrer Bank Nur wenn Sie Ihre Online-Geschäfte über verschlüsselte Verbindungen durchführen, können die Kontobewegungen unterwegs nicht belauscht werden. An folgenden Merkmalen erkennen Sie in Firefox, ob die Verbindung sicher ist SSL-Verschlüsselung Die Internetadressen von verschlüsselten Webseiten beginnen mit Gelbe Adressleiste An der Gelbfärbung der Adressleiste erkennen Sie am schnellsten eine SSL-Verbindung. 4 Schloss-Symbol Die geschlossenen Vorhängeschlösser zeigen ebenfalls, dass die Verbindung mit SSL gesichert ist. 5 4 Kontonummer und PIN Falls schon beim Einloggen zusätzlich eine TAN verlangt wird, handelt es sich um eine Phishing-Seite Sicherheitshinweis Lesen Sie immer die aktuellen Infos Ihrer Bank. Oft finden sich hier Informationen über aktuelle Gefahren. Siteadvisor-Erweiterung Siteadvisor ist ein kostenloses Addon für Firefox. Die grüne Farbe des Buttons zeigt, dass die Webseite nicht gefälscht ist. 84 Das Computer-Magazin 4/2008

2 INTERNET Steckbrief: 15 Tipps zum sicheren Kompakt Führen Sie Ihre Online-Geschäfte nur über Verbindungen durch, die mit SSL verschlüsselt sind. Im Zweifelsfall überprüfen Sie das SSL-Zertifikat. Ein öffentlicher Computer in einem Internet-Café ist in jedem Fall zu unsicher für. Eine TAN benötigen Sie nur zum Bestätigen einer Kontobewegung, aber niemals zum Einloggen in Ihr Online-Konto. Software-Übersicht Programm Quelle Firefox (Browser) McAfee Siteadvisor (Phishing-Blocker) Thunderbird (Mail-Programm) Alle -Programme finden Sie auf Heft-CD und -DVD in der Rubrik Internet,. Seite 86 Inhalt in der Praxis 1. Sichere Browser-Verbindungen S. 2. SSL-Zertifikat überprüfen S.. Phishing-Mails erkennen S. 4. Phishing-Webseiten blockieren S Richtiger Umgang mit URLs S unterwegs S Zugangsdaten ändern S Finanz-Software S.86 Profi-Tipps 9. SHA1-Check durchführen S Hosts-Datei schützen S Browser-Cache sichern S Vorsicht bei TANs S Auftragslimit setzen S Abbuchungen kontrollieren S Smartcards einsetzen S.88 : So erkennen Sie die Original-Seite Ihrer Bank S.84 Wichtige Begriffe: S.87 Weitere Infos Tipps und Infos zur Sicherheit im Internet Wie man ein sicheres Passwort erstellt Computer grundlegend absichern, zeigt der Artikel Trojaner aufspüren und entfernen ab Seite 68. in der Praxis Nur wenn die Verbindung zwischen Ihrem Computer und Ihrer Bank verschlüsselt ist, sollten Sie Ihre Kontobewegungen online durchführen. Im Zweifelsfall überprüfen Sie das Sicherheitszertifikat Ihrer Bank. 1. Sichere Browser-Verbindungen Normalerweise werden alle Daten beim Surfen im Klartext übertragen, das gilt prinzipiell sogar für Account-Namen und Passwörter. Damit jedoch niemand die Kommunikation zwischen Internet- Nutzer und Online-Bank belauscht, verschlüsseln alle Finanzinstitute die Verbindung mit SSL. Sie erkennen eine mit SSL gesicherte Verbindung im Browser Firefox an der Gelbfärbung der Adresszeile sowie an dem geschlossenen Vorhängeschloss in der Adresszeile und unten rechts. Der Internet Explorer 6 zeigt nur ein geschlossenes Vorhängeschloss unten rechts an. Beim Internet Explorer 7 befindet es sich am Ende der Adresszeile. Bei allen Browsern gilt außerdem, dass es sich um eine verschlüsselte Verbindung handelt, wenn die URL in der Adresszeile mit beginnt. 2. SSL-Zertifikat überprüfen Möglicherweise handelt es sich um eine Phishing-Seite, wenn Ihr Browser beim Besuch einer per SSL geschützten Webseite ein Fenster öffnet, in dem vor einem abgelaufenen oder einem für eine andere Seite ausgestellten Zertifikat gewarnt wird (Bild A). Weitere Informationen über das Zertifikat erhalten Sie, wenn Sie auf den Button Zertifikat überprüfen klicken. Kontaktieren Sie Ihre Bank, bevor Sie eine Transaktion über eine Seite mit einem dubiosen Zertifikat durchführen.. Phishing-Mails erkennen Mit massenhaft versendeten Phishing-Mails versuchen Kriminelle, arglose Internetnutzer auf gefälschte Webseiten zu locken. Dabei lassen sich Phishing-Mails relativ leicht erkennen. Zum einen schicken die wenigsten Finanzinstitute ihren Kunden schlecht formulierte Mails mit der Aufforderung, auf einen Link zu klicken, um ihre Kontodaten zu überprüfen oder dubiose Formulare auszufüllen (Bild B). Außerdem enthalten Phishing-Mails nie eine persönliche Anrede. Der Spamversender kennt nämlich lediglich Ihre -Adresse. Heißen Sie beispielsweise Max Mustermann und beginnt Ihre -Adresse mit max.mustermann@, dann handelt es sich vermutlich nicht um eine gefälschte Mail, wenn sie die Anrede Sehr geehrter Herr Mustermann enthält. Beginnt die dagegen mit Sehr geehrter max.mustermann handelt es sich mit Sicherheit um eine Phishing- Mail. Dank einem eingebauten Spamfilter erkennt das -Programm Thunderbird ( products/thunderbird, kostenlos) die meisten Phishing-Mails bereits beim Empfang und sortiert diese automatisch in den Junk-Filter aus. Verdächtiges SSL-Zertifikat: Der Hinweis auf ein abgelaufenes Zertifikat deutet auf eine Phishing-Seite hin (Bild A) Das Computer-Magazin 4/2008

3 4. Phishing-Webseiten blockieren Die Browser-Erweiterung Siteadvisor ( kostenlos) verhindert den Aufruf von gefälschten Webseiten. Jede Seite, die Sie besuchen wollen, wird dazu mit einer Datenbank bekannter Phishing-URLs verglichen. Die McAfee-Tochter Siteadvisor tes - tet die Adressen in der Datenbank mit mehreren Verfahren: So führt das Unternehmen Test-Downloads der angebotenen Dateien durch, meldet sich bei -Verteilern an, um Spammer zu erkennen, und bewertet aggressive Pop-ups. Sie finden Siteadvisor für Firefox sowie für den Internet Explorer zum Download unter download. 5. Richtiger Umgang mit URLs Klicken Sie nicht auf Links in s oder auf Webseiten, die vorgeben, zu Ihrer Online-Bank zu führen. Es könnte sich um eine Fälschung handeln. Rufen Sie die Adresse Ihrer Bank nur auf, indem Sie die URL selbst eintippen oder ein eigenes Bookmark verwenden. 6. unterwegs Verzichten Sie auf an einem öffentlichen Computer, beispielsweise in einem Internet-Café. Selbst wenn die Verbindung verschlüsselt ist, kann doch ein heimlicher Keylogger auf dem Computer installiert sein. Dieser schneidet alle Tastatureingaben inklusive Ihrer Kontonummer und Ihrer PIN mit. 7. Zugangsdaten ändern Ändern Sie Ihre PIN regelmäßig, sofern Ihre Bank diese Funktion anbietet. Loggen Sie sich dazu in Ihrem Online-Konto ein. Sie finden die Option unter Einstellungen oder einem ähnlichen Punkt. Phishing-Mail: Mit dieser schlecht formulierten Mail sollten Kunden der Sparkasse hereingelegt und auf eine Phishing-Seite gelockt werden (Bild B) Beachten Sie die Sicherheitshinweise Ihrer Bank. Meist sind neben Ziffern auch große und kleine Buchstaben möglich. Durch eine Mischung erhöhen Sie die Sicherheit Ihrer PIN. Verwenden Sie keine Wörter, die sich in einem Lexikon finden. Wie Sie ohne Zusatz-Tools ein sicheres Passwort erstellen, lesen Sie unter SHA1-Fingerprint: Wenn der SHA1-Wert in der vorletzten Zeile mit den Angaben Ihrer Bank übereinstimmt, ist die besuchte Seite echt (Bild C) 8. Finanz-Software Viele Konten im Internet lassen sich auch über Programme wie Wiso Konto Online oder Quicken verwalten. Verwenden Sie nur Original-Software und keine dubiosen Kopien aus Tausch börsen, die möglicherweise manipuliert wurden. Vorsicht ist auch angebracht bei wenig bekannten Anbietern, die eine Freeware zum beispielsweise für die Palm- Plattform anbieten. Profi-Tipps Das herkömmliche TAN- Verfahren gilt als nicht mehr zeitgemäß. Welche Verbesserungen die Banken heute anbieten, lesen Sie in den folgenden Abschnitten. 9. SHA1-Check durchführen Mit dem SHA1-Fingerprint lässt sich die Echtheit eines SSL-Zertifikats überprüfen. Der SHA1-Wert ist ein eindeutiger Finger - abdruck, der die Echtheit einer besuchten Webseite 86 Das Computer-Magazin 4/2008

4 INTERNET garantiert (Bild C). Sie finden ihn auf den Support-Seiten Ihrer Bank. Um ihn zu überprüfen, rufen Sie eine mit SSL geschützte Webseite Ihrer Online-Bank auf und klicken doppelt auf das Schloss-Symbol unten rechts. Unter Firefox wechseln Sie anschließend zum Reiter Sicherheit und klicken auf Anzeigen. In der vorletzten Zeile sehen Sie den SHA1-Fingerprint. Beim Internet Explorer findet sich der SHA1-Fingerprint auf dem Reiter Details in der letzten Zeile hinter Fingerabdruck. 10. Hosts-Datei schützen Überprüfen Sie die Hosts-Datei auf Ihrem Computer auf Änderungen. In ihr befinden sich Informationen darüber, welche Webseiten Windows wirklich aufruft, wenn eine URL eingetippt wird. Kriminelle manipulieren die Hosts-Datei und leiten Surfer so auf gefälschte Seiten um. Privatanwender können die Hosts- Datei meist problemlos löschen, da dort nur in den seltensten Fällen relevante Informationen stehen. Alternativ verse- Kartenleser: Eine Smartcard erhöht die Sicherheit (Bild F) hen Sie Ihre Hosts- Datei mit einem Schreibschutz. Rufen Sie dazu unter Windows XP den Windows-Explorer auf, wechseln Sie in das Verzeichnis C:\WIN DOWS\system2\drivers\ etc und klicken Sie mit der rechten Maustaste auf hosts. Wählen Sie im Kontextmenü Eigenschaften und setzen Sie einen Haken vor Schreibgeschützt. Unter Vista wird die Datei bereits vom Betriebssystem geschützt und lässt sich nur mit Admin-Rechten ändern. 11. Browser-Cache sichern Verhindern Sie, dass Firefox Details von mit SSL verschlüsselten Webseiten auf Ihrer Festplatte speichert. Diese können Informationen über Ihre Konto - bewegungen enthalten. Tippen Sie dazu den Befehl about:config in die Adresszeile des Browsers ein und drü - cken Sie die Eingabetaste. Es erscheint eine Liste der Firefox-Einstellungen. Geben Sie bei Filter browser. cache.disk_cache_ssl ein und drü - cken Sie die Eingabetaste. In der Wichtige Begriffe: HBCI: Der Standard Homebanking Computer Interface wird meist im Zusammenhang mit zusätzlich zu erwerbenden Smartcards eingesetzt. SHA1: Der Secure Hash Algorithm dient zur Überprüfung, ob ein SSL- Zertifikat echt ist. itan: Beim Verfahren mit indizierten TANs gibt die Bank immer eine bestimmte TAN vor, die eingegeben werden muss. Smartcard: Persönliche Chipkarte, mit der sich die Sicherheit beim erhöhen lässt. mtan: Beim mobilen TAN-Verfahren wird dem Kunden die benötigte Transaktionsnummer per SMS zugesandt. PIN: Die persönliche Identifikationsnummer entspricht dem Passwort beim Anmelden an Ihrem Online-Konto. SSL: Mit Secure Sockets Layer verschlüsselte Internetverbindungen erkennen Sie an dem ge - schlossenen Schloss-Symbol in der Adressleiste oder unten rechts im Browser. TAN: Pro Kontobewegung benötigen Sie eine einmal gültige Transaktionsnummer. Das Computer-Magazin 4/2008

5 Spalte Wert muss false stehen (Bild D), mtans anbietet. Bei itans fordert die Bank damit Firefox keine zur Bestätigung nicht SSL-Seiten lokal abspeichert. Klicken Sie doppelt auf den Eintrag, falls dort true steht. Dadurch setzen Sie den Wert zurück auf false. mehr eine beliebige Transaktionsnummer, sondern eine bestimmte Nummer gezielt an. Falls eine Ihrer TANs doch einmal in die Fänge von Kriminellen gerät, sinkt so die Gefahr 12. Vorsicht bei TANs Wenn Sie bereits beim Einloggen in Ihr Online-Konto Browser-Cache: Stellen Sie sicher, dass der markierte Wert auf false steht, damit Firefox keine mit SSL gesicherten Webseiten auf Ihrer Festplatte zwischenspeichert (Bild D) einer fremden Ab- buchung. Beim mtan-verfahren sendet Ihnen Ihre aufgefordert werden, eine oder mehrere TANs einzugeben, befinden Sie sich auf einer gefälschten Seite (Bild E). TANs benötigen Sie nur, um etwa Überweisungen freizugeben, aber niemals schon beim Einloggen. Dafür sind Ihre Zugangsdaten da, meist die Kontonummer und Ihre PIN. Wechseln Sie das TAN-System, wenn Ihre Online-Bank bereits itans oder Bank nach jeder Überweisung per SMS eine TAN auf Ihr Handy, die Sie zur Freigabe online eingeben müssen. 1. Auftragslimit setzen Legen Sie ein Auftragslimit für Überweisungen über das Internet fest beispielsweise maximal 500 Euro. So minimieren Sie den Schaden, falls Ihr Konto gehackt wurde. Achten Sie darauf, dass Sie auch Limits für Überweisungen per Finanz-Software und für Auslandsüberweisungen wie Western Union setzen. 14. Abbuchungen kontrollieren Prüfen Sie regelmäßig alle Beträge, die von Ihrem Konto abgebucht wurden. Dadurch erkennen Sie ein gehacktes Konto schneller und können sofort reagieren am besten, indem Sie umgehend Ihre Online-Bank informieren und das Konto sperren lassen, um den weiteren Schaden zu begrenzen. 15. Smartcards einsetzen Einige Online-Banken setzen bereits auf HBCI. Für dieses Verfahren benötigt der Kunde nicht nur wie bisher seine Zugangsdaten, sondern zusätzlich einen Chipkartenleser sowie seine persönliche Smartcard (Bild F). Dies ist jedoch mit Zusatzkosten für den Kunden verbunden, der die Hardware meist für etwa 20 bis 50 Euro selbst kaufen muss. Gefälschte Postbank-Seite: Diese Phishing-Seite fordert Sie auf, bereits beim Einloggen in Ihr Online- Konto PIN und TAN anzugeben. Dies würde eine echte Bank an dieser Stelle niemals verlangen (Bild E) Andreas Th. Fischer 88 Das Computer-Magazin 4/2008