Wichtige Informationen zum OnlineBanking

Transkript

1 Wichtige Informationen zum OnlineBanking 1. PIN/TAN-Verfahren 1.1 Sicherheit im Internet 1.2 PIN/TAN-Verfahrensanleitung 1.3 Allgemeine Informationen 1.4 mtan Fragen zu PIN/TAN 2. HBCI/FinTS-Verfahren 2.1 Was ist HBCI/FinTS? 2.2 Der neue Homebanking-Standard 2.3 Homebanking Verfahrensanleitung 2.4 Fragen zu HBCI/FinTS

2 1. PIN/TAN-Verfahren 1.1 Sicherheit im Internet Für viele Kunden ist die Nutzung des bewährten PIN/TAN-Verfahrens im Internet der erste Schritt zum elektronischen Zahlungsverkehr. Abgesichert durch die Persönliche-Identifikations- Nummer (PIN) und signiert durch eine mobile- bzw. eine plus - TAN erfolgt der Zugriff auf das Konto. Schneller Abruf der Umsatzinformationen und das Senden von SEPA- Überweisungen von jedem internetfähigen PC aus sind so möglich. 1.2 PIN/TAN-Verfahrensanleitung Anleitung: Um sich anzumelden gehen Sie bitte auf unsere Homepage ( und klicken Sie auf Login Online- Banking >Online-Banking 2

3 Ihre Eingaben: Geben Sie den VR-NetKey (ersehen Sie im PIN-Anschreiben) und anschließend im Feld PIN Ihre zugesandte PIN ein, die Sie nach Bestellung per Postversand erhalten haben. Anschließend müssen Sie auf Anmelden klicken; danach wird eine neue Seite aufgebaut. Hier bitte Ihren VR-NetKey und PIN eingeben. Danach klicken Sie bitte auf Anmelden Vergeben Sie nun bitte eine eigene 5- bis 20-stellige PIN (Buchstaben und Zahlen sind möglich). Sie gelangen dann automatisch in das zweite Feld PIN wiederholen. Dort wiederholen Sie Ihre zuvor getätigte PIN-Eingabe. Aus Sicherheitsgründen wird Ihre PIN- Eingabe nicht angezeigt. Nutzen Sie ein Softwareprogramm zur Bearbeitung Ihres Zahlungsverkehrs beachten Sie bitte, dass Ihre PIN nur 5-stellig ist. In das Feld TAN tragen Sie bitte die angeforderte TAN ein, die Sie per SMS auf Ihr Handy erhalten bzw. über den plus-leser angezeigt bekommen. Die angeforderte TAN- Nummer benötigen Sie fortan nur noch für SEPA-Überweisungen, Daueraufträge, Mitteilungen oder PIN-Änderungen. Der spätere Dialog mit Ihrem Konto beginnt immer mit der Eingabe Ihres VR-NetKeys oder VR-NetKey Alias und der von Ihnen selbst vergebenen PIN. 3

4 1.3 Allgemeine Informationen zum PIN/TAN-Verfahren Das PIN/TAN-Verfahren funktioniert mit zwei Komponenten: Die PIN (Persönliche Identifikationsnummer) als statisches Element, das nur den Zugang zu Informationen freigibt und Die TAN (Transaktionsnummer) als variables Element, das in Verbindung mit der PIN Transaktionen freigibt. Die PIN (persönliche Identifikationsnummer) Mit Ihrer PIN identifizieren Sie sich als für das HomeBanking zugelassener Teilnehmer. Mit der PIN bekommen Sie ausschließlich Informationen. Transaktionen (z. B. SEPA-Überweisungen) sind nur in Verbindung mit einer angeforderten TAN möglich. Die PIN wird von der Bank freigeschaltet, sobald die beigefügte Empfangsbescheinigung zurückgeschickt und die Unterschriftenprüfung durchgeführt wurde. Die PIN ermöglicht nur Zugriff auf die freigeschalteten Konten, die einem bestimmten VR- NetKey zugeordnet wurden. Im Internet können Sie zusätzlich die Kontostände aller Konten, die unter Ihrer sogenannten "Stammnummer" geführt werden, sehen. Beispiel: Sie führen ein Girokonto mit der Nr Es wird ein weiteres Konto (z. B. das des Partners) mit der Nr für Sie freigeschaltet. Ihr VR-NetKey lautet in diesem Beispiel PIN und TAN gilt für beide Konten gleichermaßen. Im Internet erscheinen nach Klick auf alle auf Ihren Namen geführte Konten mit Kontostand (außer Depot). Bei Klick auf wird nur das freigeschaltete Konto mit der Nr angezeigt. Die PIN ist dauerhaft gültig. Wir empfehlen, die PIN aus Sicherheitsgründen regelmäßig zu ändern. Desweiteren sollte die PIN nicht auf dem PC gespeichert werden. Die PIN wird nach dreimaliger Falscheingabe gesperrt. Entsperren können Sie sich bei der Anmeldung im InternetBanking durch die Eingabe der richtigen PIN und Bestätigung einer angefragten TAN. Nach neunmaliger Falscheingabe wird die PIN endgültig gesperrt und automatisch die Erstellung einer neuen PIN (gebührenpflichtige Folge-PIN) veranlasst. 4

5 Bei der Neubestellung bzw. der Folge-PIN-Bestellung wird eine "Erstzugangs-PIN" ausgegeben. Diese besteht aus ursprünglich fünf Ziffern. Die PIN muss bei der ersten Online-Anmeldung geändert werden (siehe PIN/TAN-Verfahrensanleitung). Transaktionsnummer Das Plus an Sicherheit im Online-Banking Phishing, Pharming, Trojaner und andere Methoden der Datenspionage haben viele Internet- Banking-Nutzer in Deutschland verunsichert. Die folgenden - jetzt eingesetzten - zweistufigen Verfahren schützen die User vor solchen Angriffen: 1.4 Mobile Transaktionsnummer Die mobile TAN erhalten Sie auf Ihr Handy. Sie profitieren von noch mehr Sicherheit. Es funktioniert ganz einfach Sie füllen wie gewohnt in Ihrer Online-Banking-Anwendung ein Überweisungs- Formular aus und fordern eine mobiletan an, indem Sie auf Eingabe prüfen klicken. Sie erhalten nun eine SMS mit Empfänger-IBAN, Betrag und der TAN. Prüfen Sie genau die Überweisungs-Daten anhand des SMS-Textes. Geben Sie die mobiletan in das entsprechende Eingabefeld im Online-Banking ein. Der Vorgang wird im Rechenzentrum Ihrer Bank geprüft und ausgeführt; im Online- Banking wird Ihnen wie gewohnt eine Bestätigung angezeigt. Vorteile für Ihre Sicherheit Die mobiletan ist technisch an genau einen Vorgang gekoppelt (z. B. eine SEPA- Überweisung), für andere Transaktionen ist sie unbrauchbar und damit für Phishing- Betrüger wertlos. Sie überprüfen anhand des SMS-Textes die Empfänger-Daten. Voraussetzungen Sie haben ein Handy, mit dem Sie SMS empfangen können. Sie haben von Ihrer Bank einen VR-NetKey erhalten. Ihre Mobilfunk-Nummer ist für den VR-NetKey-Zugang freigeschaltet entweder in der TAN-Verwaltung im Online-Banking oder durch Ihren Bankberater. Auf dem Handy, das für den Empfang der mobiletan verwendet wird, darf das browsergestützte Online-Banking nicht verwendet werden. 5

6 1.5 Bei werden Auftrag und TAN-Übermittlung in zwei Phasen untergliedert und so voneinander getrennt abgewickelt. Passwort-Fischer haben dadurch keine Chance mehr und das Online-Banking macht wieder Spaß. Beim Verfahren erzeugen Sie eine TAN bei Bedarf auf Knopfdruck. Zur Erstellung und zum Anzeigen der individuellen, einmaligen TAN werden lediglich ein handlicher Leser und Ihre VR- BankCard benötigt. Und so geht s Sie bearbeiten Ihren Auftrag (z.b. SEPA-Überweisung) am PC und schicken die Daten ab. Stecken Sie nun Ihre VR-BankCard in das Lesegerät ein und halten den Leser an den Bildschirm des PC. Mittels eines im Generator integrierten Scanners wird die animierte Grafik vom Online-Banking-Bildschirm durch drücken der Taste F eingescannt. Im Display des Lesers müssen Sie die folgenden Punkte mit OK bestätigen: SEPA-Überweisung Empfänger-IBAN Betrag Nach Ihrer Kontrolle der angezeigten Daten ermittelt die Karte nun mit Hilfe des Gerätes eine einmalige und nur für den angegebenen Auftrag gültige TAN, die Sie am PC eingeben. Erst wenn diese TAN an Ihre Bank übermittelt wurde, wird Ihr Auftrag bearbeitet. Bleiben Sie mobil Profitieren Sie von dem besonders komfortablen und flexiblen Sm@rt-TANplus Verfahren, das Sie an jedem Rechner nutzen können. Der Sm@rt-TANplus Leser ist sehr kompakt und leicht und wird nicht mit dem Rechner verbunden. Damit ist das bedienerfreundliche Gerät zusammen mit Ihrer VR-BankCard der Volksbank Ulm-Biberach eg auch für unterwegs der ideale Begleiter. Ihre Vorteile Sehr hohe Sicherheit bei der TAN-Generierung. Sehr hoher Phishing-Schutz bei SEPA-Überweisungen. Unabhängigkeit: Der Leser arbeitet ohne externe Stromversorgung. Noch mehr Sicherheit: Durch eine logische Verknüpfung der TAN mit Ihrem jeweiligen Auftrag können eventuelle Angreifer selbst im Falle von ausspionierten Daten die TAN nicht mehr für einen willkürlich erweiterten oder anderen Auftrag verwenden. Es ist keine Installation von Treibersoftware nötig. 1.6 Kontakt für Fragen zum PIN/TAN-Verfahren: eberater@volksbank-ulm-biberach.de 6

7 2. HBCI-Verfahren 2.1 Was ist HBCI/FinTS Das Thema Homebanking gewinnt zunehmend an Bedeutung. Die deutschen Kreditinstitute haben daher einen gemeinsamen Standard erarbeitet, mit dem Homebanking noch sicherer, komfortabler und umfangreicher wird. Dieses HomeBanking-Computer-Interface (HBCI) in der Weiterentwicklung Financial Transaction Services (FinTS) in der Version 3.0 wurde vom Zentralen Kreditausschuss der deutschen Kreditwirtschaft verabschiedet. Der HBCI/FinTS- Standard erlaubt dank der Verwendung moderner kryptographischer Funktionen und der Nutzung von Chipkarten eine sichere Kommunikation über offene Netze wie das Internet. Insbesondere deshalb aber auch wegen seiner Flexibilität in Bezug auf die unterstützten bankfachlichen Geschäftsvorfälle ist HBCI/FinTS für die deutschen Kreditinstitute der Homebanking-Standard der Zukunft. 2.2 HBCI/FinTS - Der neue Homebanking Standard Bessere Verschlüsselung und mehr Komfort: HBCI/FinTS machen das Homebanking einfacher und vor allem sicherer. Vorteile von HBCI/FinTS Das neue HBCI/FinTS soll alle diese angeführten Probleme beseitigen. Entwickelt wurden HBCI/FinTS um einen gemeinsamen Standard für das Homebanking zu schaffen und gleichzeitig für mehr Sicherheit und Komfort zu sorgen. Bereits im Jahre 2001 haben sich alle führenden deutschen Kreditinstitute auf HBCI FinTS ab dem Jahre geeinigt. HBCI/FinTS setzen auf offene Normen und Standards. Der Kunde hat dabei ein Höchstmaß an Sicherheit und Freiheit. Dazu gehört die freie Wahl des Internetproviders: lediglich die IP- Adresse der Bank muss bekannt sein. Aber auch die Wahl der Software ist freigestellt. Jedes Programm, das die HBCI/FinTS-Normen erfüllt und somit HBCI/FinTS-fähig ist, lässt sich für das neue Internetbanking einsetzen. Der Benutzer kann sich daher für sein Lieblingsprogramm entscheiden und damit alle Online-Bankgeschäfte durchführen. Neben der vertrauten Bedienung und dem erhöhten Komfort der professionellen Finanzprogramme ist dadurch eine erhöhte Unabhängigkeit gegeben. Ist ein Programm fehlerhaft oder umständlich, so ist ein Wechsel ohne weiteres möglich. Ein Programm für alle Banken Durch diese Softwareunabhängigkeit von HBCI/FinTS lassen sich deshalb problemlos alle HBCI- Konten unterschiedlicher Banken mit ein und derselben Software verwalten. Die Anbieter sprechen von einer Multibankfähigkeit. HBCI/FinTS-fähige Software soll sich durch den offenen Standard einfach für die unterschiedlichsten Betriebssysteme und Plattformen programmieren lassen. 7

8 HBCI/FinTS ermöglichen es weiterhin alle Buchungen in Ruhe offline einzugeben. Danach genügt es kurz eine Onlineverbindung aufzubauen. Die HBCI/FinTS-Software verschlüsselt daraufhin alle Daten und überträgt sie gesammelt über das Internet. Ein Vorgang, der im Normalfall nur wenige Sekunden dauert. Endlich sichere Verschlüsselung Das wichtigste Thema beim Internetbanking ist unbestritten die verwendete Sicherheitslösung. Kein noch so durchdachtes und komfortables Verfahren wird beim Kunden eine Chance haben, wenn potenziell mögliche Sicherheitslücken bestehen. Schließlich ist die Öffentlichkeit beim Versenden vertraulicher Informationen über das Internet extrem skeptisch. HBCI/FinTS setzt deshalb auf die bislang beste und sicherste Lösung zur Datenverschlüsselung und Authentifizierung: das RSA-Verfahren, benannt nach den Erfindern Rivest, Shamir und Adleman. Dabei handelt es sich um ein asymmetrisches Verschlüsselungsverfahren, das im Gegensatz zur einfachen Verschlüsselungstechnik zwei unterschiedliche Schlüssel einsetzt: einen öffentlichen Schlüssel, der weitergegeben wird und mit dem sich Daten nur entschlüsseln, nicht aber verschlüsseln lassen. Und einen privaten Schlüssel, der geheim gehalten wird und zur Verschlüsselung der Daten dient. Im Gegensatz zu herkömmlichen Verschlüsselungsmethoden lässt sich bei der asymmetrischen Verschlüsselung die Identität des Absenders eindeutig verifizieren. 2.3 Homebanking Verfahrensanleitung 1 Technische Voraussetzungen beim Nutzer Der Nutzer (Kontoinhaber und etwaige Bevollmächtigte) benötigen ein homebankingfähiges Endgerät (Kundensystem). Dieses Kundensystem kann insbesondere sein: ein PC mit installierter Homebankingsoftware z.b. unser Windata professional oder Windata Basic, ggf. einen Chipkartenleser und einen Internet-Zugang 2 Funktion des Kundensystems Mit dem Kundensystem können verschiedene Nachrichten erzeugt werden, wie die Erteilung von Aufträgen, z. B. für den SEPA-Zahlungsverkehr, SEPA-Terminüberweisungen, SEPA- Dauerauftragsverwaltung, die Abholung von Konto- und Umsatzinformationen sowie den elektronischen Kontoauszug oder Statusprotokollen sowie die Initialisierung. Diese Nachrichten werden per Datenfernübertragung an das Kreditinstitut übermittelt. 3 Sicherungsverfahren Zum Schutz der elektronischen Datenübermittlung zwischen Nutzer und Kreditinstitut werden die im Folgenden beschriebenen Sicherungsverfahren eingesetzt: Durch Verschlüsselung werden die zu übertragenden Nachrichten gegen Einsicht durch unberechtigte Dritte geschützt. Durch Verfahren zur elektronischen Signatur wird der Inhalt und der Ursprung von Nachrichten unfälschbar gesichert. 8

9 Das elektronische Signaturverfahren verwendet geheime Schlüssel. Diese Schlüssel werden entweder vom Kreditinstitut in einer Chipkarte sicher gespeichert an den Nutzer ausgeliefert oder vom Nutzer für sich selbst generiert z.b auf einem USB-Stick. Der geheime Schlüssel dient der Erzeugung der elektronischen Signatur und damit zur Autorisierung von Aufträgen des Kontoinhabers gegenüber dem Kreditinstitut durch den jeweiligen Nutzer. Der geheime Schlüssel verbleibt beim Nutzer und ist sicher vor dem Zugriff Unbefugter aufzubewahren. Zur Prüfung der Signatur des Nutzers benötigt das Kreditinstitut ebenfalls Schlüssel, die mit dem Nutzer vereinbart werden. Diese werden als öffentlicher Schlüssel des Kunden im Zuge der Initialisierung an das Kreditinstitut übermittelt. 4 Auftragserteilung oder Abfrage von Informationen Der Nutzer wählt die von ihm gewünschte Funktion in seinem Kundensystem aus und erfasst die für die Nachrichtenübermittlung erforderlichen Daten. Er überprüft die zu signierenden Aufträge auf Richtigkeit. Diese Nachrichten versieht der Nutzer mit einer elektronischen Signatur. Hierzu verwendet er sein Identifikations- und Legitimationsmedium und gibt sein Passwort ein. Falls mehrere elektronische Signaturen pro Auftrag mit dem Kreditinstitut vereinbart sind, ist der Signiervorgang je signaturpflichtigem Nutzer entsprechend zu wiederholen. Die signierten Nachrichten werden dann per Datenfernübertragung an das Kreditinstitut übertragen. Das Kreditinstitut wird eine empfangene Nachricht nur dann bearbeiten, wenn sie die erforderliche Anzahl von ordnungsgemäßen elektronischen Signaturen enthält. Das Kreditinstitut bestätigt im elektronischen Dialog den Eingang von Aufträgen durch Übersendung einer Empfangsbestätigung oder übermittelt die angefragten Daten. Der Nutzer kann sich zu einem späteren Zeitpunkt durch Abruf eines Statusprotokolls über die Ausführung des Auftrags informieren, wenn er vor dem Versenden der Auftragsnachricht unterbrochen wurde. 2.4 Kontakt für Fragen zu HBCI/FinTS: eberater@volksbank-ulm-biberach.de 9