Fragen und Antworten zu PROTECT

Transkript

1 Fragen und Antworten zu PROTECT Stand 01/2015

2 Verwendungshinweis Diese Dokumentation ist für den internen Gebrauch in der Bank gedacht. Es soll die Arbeit und den Umgang mit dem Produkt PROTECT erleichtern. Es ist nicht für Endkunden geeignet und soll auch nicht an diese weitergegeben werden. Stimmen zu PROTECT PROTECT ist ein gehärteter Browser. Man kann sich PROTECT als eine Art Rundumschutz für das Online-Banking vorstellen. PROTECT kontrolliert Browser- und Windowsfunktionen sowie alle Seitenaufrufe und sorgt so dafür, dass man sich nur auf den guten Seiten der Bank bewegen kann. Die GAD eg mit Sitz in Münster betreut als Spezialist für Banken-IT Volks- und Raiffeisenbanken, Zentralinstitute und weitere Unternehmen in der genossenschaftlichen FinanzGruppe. Seit 2012 kooperieren wir mit der CORONIC GmbH aus Kiel bei Produktlösungen zum Thema Online-Banking Sicherheit, wie z. B. dem gehärteten Browser PROTECT. CORONIC hat sich dabei als verlässlicher und kompetenter Partner erwiesen, ist immer professionell und schnell auf unsere Anforderung eingegangen und hat dabei stets überzeugende und innovative Lösungen für uns bereitgehalten. Detlev Mergemeier, Produktmanager Sicherheitssysteme im Online-Banking der GAD eg, Münster Als genossenschaftliches Institut liegt uns die Sicherheit unserer Mitglieder sehr am Herzen. Wir haben uns daher schon 2013 für den gehärteten Browser der Firma CORONIC entschieden. Ab April 2014 wird PROTECT in unserem Online-Kontomodell als feste Größe mit Zertifikat verankert." Andrew Termöllen, Teamleiter Zahlungssysteme, Volksbank Greven eg Wir setzen den gehärteten PROTECT Browser der Firma CORONIC seit eineinhalb Jahren bei unseren Mitarbeitern und Kunden erfolgreich ein. Das Produkt hat zu äußerst positiven Reaktionen bei allen unseren Kunden geführt und ist inzwischen zu einem unverzichtbaren Bestandteil unserer hausinternen Sicherheitsstrategie beim Online-Banking geworden. Hans- Jürgen Koch, Abteilungsleiter Betreuungsunterstützung, Volksbank Lüneburger Heide eg, Winsen CORONIC GmbH, Seite 2

3 Warum ist ein normaler Browser nicht sicher? Die Aufgabe eines Browsers ist es, jede Internetseite anzuzeigen und jedes Video abzuspielen. Damit ist ein Browser das genaue Gegenteil einer sicheren Software, denn er erlaubt alles. Die Angriffsmethoden von Viren- und Trojaner-Herstellern basieren daher technisch immer auf der Manipulation von Browserfunktionen. So werden HTML-Seiten im Browser verändert und der Nutzer mit gefälschten Einblendungen (z. B. Retouren-Trojaner) getäuscht. Eine moderne Sicherheitskonzeption muss daher direkt beim Browser ansetzen. Wird der Zugriff der Trojaner auf den Internetbrowser verhindert, können alle dahinter ablaufenden Online-Geschäftsprozesse (z. B. Banking) nicht mehr manipuliert werden. Was ist PROTECT? PROTECT ist ein so genannter gehärteter Browser. Er verhindert, dass Trojaner und andere Schadprogramme in das Online-Banking eingreifen und Geld klauen. Das Programm besteht aus einer einzigen, circa 19 MB großen EXE-Datei. Diese Datei kann einfach auf den Desktop kopiert werden und ist sofort per Doppelklick lauffähig. PROTECT muss nicht installiert werden, benötigt keinerlei Konfiguration und keine Administratorrechte. PROTECT kann auch auf einem bereits durch Viren und Trojaner verseuchten PC eingesetzt werden und sorgt trotzdem für sicheres Online-Banking. Warum ist ein normaler Browser nicht sicher? Die Aufgabe eines Browsers ist es, jede Internetseite anzuzeigen und jedes Video abzuspielen. Damit ist ein Browser das genaue Gegenteil einer sicheren Software, denn er erlaubt alles. Moderne Banking-Trojaner haben sich daher schon vor Jahren auf die Manipulation der Banking-Seiten im Browser spezialisiert. Mit gefälschten Überweisungen, vermeintlichen Gerätetests oder vorgetäuschten Retourenaufträgen klauen diese Schädlinge das Geld des unbedarften Kunden, indem sie die Darstellung im Browser manipulieren. Warum ist PROTECT sicher? Viele Trojaner greifen nicht mehr das Banking-Verfahren, sondern den Banking-Nutzer an. Durch gefälschte Einblendungen im Browser (z. B. Rücküberweisungs-Trojaner) und Social- Engineering wird der Nutzer manipuliert. Wird der Zugriff der Trojaner auf den Internetbrowser verhindert, können alle dahinter ablaufenden Online-Geschäftsprozesse nicht mehr manipuliert werden. PROTECT übernimmt genau diesen Schutz des Internetbrowsers. PRO- TECT kontrolliert Browser-, Netzwerk- und Windowsfunktionen sowie alle Seitenaufrufe und sorgt so dafür, dass man sich nur auf den guten Seiten der Bank bewegen kann. Kann man PROTECT auf einem verseuchten Computer einsetzen? CORONIC GmbH, Seite 3

4 PROTECT kann auch auf einem bereits durch Viren und Trojaner verseuchten PC eingesetzt werden und sorgt trotzdem für sicheres Online-Banking. Welche Betriebssysteme unterstützt PROTECT? PROTECT ist lauffähig unter allen Windows-Desktop Betriebssystemen: Windows Vista, Windows 7 und Windows 8. Läuft PROTECT auch auf dem MAC, unter Linux und auf Smartphones? PROTECT läuft derzeit nur auf Windows Betriebssystemen, weil nur hier tatsächlich Phishing- Diebstahl erfolgt. Allerdings ist PRORTECT unter Mac in der Windows Emulation lauffähig. Welche Browser werden durch PROTECT unterstützt? PROTECT funktioniert unabhängig davon, welchen Browser Sie installiert haben, denn er verwendet zum Rendering die Windows-interne HTML-Schnittstelle. Er läuft daher problemlos mit allen bekannten Browsern zusammen. Läuft PROTECT mit Antivirensoftware zusammen? PROTECT ist ein zusätzliches Sicherheitsinstrument, welches allein das Online-Banking härtet und schützt. Er funktioniert daher problemlos mit und ohne zusätzliche AV-Software. Muss PROTECT installiert werden? Das Programm besteht aus einer einzigen EXE-Datei. Diese Datei kann einfach auf den Desktop kopiert werden und ist sofort per Doppelklick lauffähig. PROTECT muss nicht installiert werden, benötigt keinerlei Konfiguration und keine Administratorrechte. Wie funktionieren Updates bei PROTECT? Bei jedem Start von PROTECT wird Online zunächst die Aktualität der verwendeten Programmversion kontrolliert. Ist ein Update verfügbar, erfolgt eine automatische Aktualisierung auf die jeweils neueste Programmversion. Dabei wird die vorhandene PROTECT EXE- Datei durch eine neuere Version überschrieben, so dass keinerlei Kundeneingriff notwendig ist. Der gesamte Update-Prozess ist verschlüsselt und durch Zertifikate gegen Manipulationen gesichert. Was macht der Ladebalken beim Starten von PROTECT die ganze Zeit? Während der Ladebalken zu sehen ist, kontrolliert PROTECT die Unversehrtheit seines eigenen Speicherbereichs. Die meisten Schadprogramme lassen sich gewissermaßen durch die CORONIC GmbH, Seite 4

5 Hintertür von ganz normalen Windows-Funktionen mit laden. So gelangen sie in den Prozessraum des Programms, das sie angreifen wollen. PROTECT kontrolliert daher die geladenen Dateien auf Konsistenz und Echtheit. Diese Sicherheitsüberprüfung dauert je nach Prozessorgeschwindigkeit und Netzwerkverbindung einige Sekunden. Wo kann ich PROTECT herunterladen? Banken können sich an die GAD oder an CORONIC wenden Bei jedem Release bekommt die Bank eine mit den Downloadlinks Endkunden bekommen PROTECT dann über Ihre Bank (z. B. Postkorbversion oder CD) Wie kann ich PROTECT an meine Kunden verteilen? Die Verteilung muss über einen gesicherten Kanal erfolgen, z. B. Aus einem passwortgeschützten Kunden- oder Mitgliederbereich Direkt aus dem Online-Banking-Postkorb Download im Online-Banking aus dem Aktionskanal ganz rechts auf der Seite Download aus einem sonstigen, individuell geschützten Bereich Persönliche Verteilung am Schalter per CD oder USB-Stick Was ist der Unterschied zwischen der Nachladeversion und der Komplettversion? Um eine Datei über den Postkorb zu verteilen gibt es eine feste Grenze für die Dateigröße. Diese liegt zurzeit bei 2 MB. Die Vollversion von PROTECT ist jedoch 19 MB groß. In der Nachladeversion ( Postkorb-Version ) wird auf die Signatur-Plugins (TravicSign) zur Unterstützung von Secoder-Hardware verzichtet, damit die Datei kleiner als 2 MB wird. Bereits beim ersten Start der Nachladeversion aktualisiert sich PROTECT automatisch auf die Komplettversion. Können Kunden anderer Banken unseren PROTECT nutzen? Das Programm starten kann jeder, der in Besitz von PROTECT gelangt ist. Nutzbar ist PRO- TECT jedoch nur mit einem Konto der zugehörigen Bank. So gesehen können Kunden anderer Banken PROTECT nicht sinnvoll einsetzen. Wie erkläre ich meinen Kunden was genau PROTECT macht? Dazu gibt es ein Online-Video der GAD, das die Idee hinter PROTECT und seine Schutzfunktionen sehr gut und verständlich erklärt: CORONIC GmbH, Seite 5

6 Kann ich erkennen, wer von den Kunden mit PROTECT Online-Banking gemacht hat? PROTECT verwendet einen eigenen Browsernamen (ähnlich dem browser agent ), den man in der bankinternen Statistik wiederfinden kann. So besteht jederzeit die Möglichkeit einer Zuordnung, ob eine Überweisung mit dem gehärteten Browser erfolgt ist oder nicht. Der PROTECT-Browsername kann über ein Zertifikat gegen Manipulation geschützt werden. Was kostet PROTECT? Die Kosten liegen bei 150 monatlich zuzüglich 1,5 Cent pro Online-Banking Kunde. Berechnet wir dabei jeder Online-Kunde, nicht nur die, die das Produkt tatsächlich nutzen. Kleinere Banken mit Online-Kunden kommen so auf 195 pro Monat Mittlere Banken mit Online-Kunden kommen so auf 300 pro Monat Größere Banken mit Online-Kunden kommen so auf 600 pro Monat Wie kann ich PROTECT bewerben? Die GAD stellt im Webcenter vorgefertigte Texte und Bilder für die Kundenkommunikation und Online-Werbung zu PROTECT zur Verfügung. Warum ist PROTECT so teuer? PROTECT ist eine komplexe, mehrschichtige Sicherheitssoftware. PROTECT sorgt dort für Sicherheit, wo Betriebssystem und Netzwerkschicht auf dem PC versagen. PROTECT muss sozusagen die Lücken stopfen, die Microsoft und andere Hersteller offen gelassen haben, denn diese Lücken sind in der Vergangenheit stets Zugangstüren für Banking-Trojaner gewesen. Das bedeutet aber auch, dass sich mit jeder Veränderung am PC (z. B. Windows Update) auch PROTECT ändern und den neuen Gegebenheiten anpassen muss. Dieses dauernde Überarbeiten und Testen der Sicherheitsmechanismen ist sehr personalaufwändig und teuer. Zudem handelt es sich bei PROTECT nicht um einen einzigen Browser, also nicht nur um eine Software. Jede Bank bekommt einen eigenen, individuellen Browser mit eigenem Code und individuellen Funktionen. Versuchen Hacker das Programm zu knacken, können sie nur ein einzelnes Institut angreifen - statt wie sonst üblich die Bankengruppe als Ganzes. Durch diese starke Segmentierung von PROTECT (viele einzelne Browser) wird der Angriff ökonomisch unsinnig aber das Produkt leider auch komplexer und damit teuer. Wenn PROTECT weit verbreitet ist und direkt angegriffen wird, kann man ihn genauso leicht knacken wie jede andere Software? PROTECT ist nicht ein einzelner Browser sondern jede Bank bekommt einen eigenen optisch wie technisch anders aufgebauten Browser ausgeliefert. Diese Browser unterscheiden sich vor allem in den eingesetzten Sicherheitsmerkmalen. Sie reagieren unterschiedlich auf Ha- CORONIC GmbH, Seite 6

7 ckerangriffe und können daher mit einem einzigen Crack nicht alle gleichzeitig geknackt werden. Wenn eine Bankengruppe zum Beispiel 500 unterschiedliche Versionen des PRO- TECT Browsers im Einsatz hat, so kann ein Angriff immer nur gegen eine einzige dieser Versionen geführt werden. Das Angriffsziel der Kriminellen umfasst dann nur 0,5% der gesamten Bankengruppe, was den Angriff ökonomisch unsinnig macht. Sollte er dennoch stattfinden, wird der geknackte Browser durch eine noch nicht gehackte Version ersetzt oder aber seine Sicherheitsmerkmale werden neu konfiguriert. Der Browser wird für diese eine Bank individuell neu kompiliert und ausgeliefert, so dass innerhalb weniger Stunden alle beim Kunden im Einsatz befindlichen Browser dem Angriff nun standhalten können. Wie nutzen andere Banken PROTECT? Dass PROTECT Phishing und damit auch die Folgekosten von Online-Trojanern erfolgreich verhindert, ist allgemein bekannt. Neben diesem naheliegenden Anwendungsgebiet gibt es jedoch eine Reihe von anderen Einsatzszenarien. Sie reichen von neuen Erlösmodellen, Neukundenakquise und Marketing bis zu Kosteneinsparungen im Belegbanking. Wenn Sie eine individuelle Einführungsstrategie für PROTECT planen, fragen Sie uns gerne, wir helfen mit konkreten Beispielen und Excel-Kalkulationen für die Vorstandsvorlage weiter. Hier einige typische Beispiele von Banken, die PROTECT schon heute erfolgreich und gewinnbringend einsetzen PROTECT als neues Erlösmodell Viele Banken setzen PROTECT als zusätzliche Sicherheitsoption im Rahmen eines neuen Kontomodells ein. Zum Online-Konto gehört dann automatisch auch PROTECT und mit ihm das Versprechen, für sicheres Online-Banking zu sorgen. Die Volksbank Greven hat mit diesem Ansatz im ersten Betriebsjahr ihre Online-Quote um mehr als 10% erhöht, d. h. 10% aller Kunden zahlen jetzt einen monatlichen Zuschlag zur Kontogebühr. PROTECT als Kostenbremse Viele Banken schaffen es mit PROTECT auch eingefleischte Offliner zu begeisterten Online-Kunden zu machen. Wesentlich ist hierbei das Sicherheitsversprechen gegenüber dem Kunden, denn nur wer sich wirklich sicher fühlt, nimmt auch aktiv an Online-Geschäftsprozessen teil. Belegkosten reduzieren Die meisten Belegkunden würden gerne Online-Banking machen, lehnen es jedoch aus Sicherheitsbedenken ab. Mit PROTECT haben es einige Häuser geschafft, ihre Belegkundenzahl binnen Jahresfrist um mehr als 25% zu reduzieren. Bei typischen Belegkosten von 1-3 pro Beleg kommen so leicht mehr als Einsparung pro Jahr zusammen. CORONIC GmbH, Seite 7

8 SB-Überweisungsautomaten abschalten Bei vielen Banken werden die SB-Überweisungsautomaten nur von wenigen hundert Kunden genutzt. Einzelne Geräte weisen sogar nur zweistellige Nutzungszahlen auf. Wechseln diese Kunden ins garantiert sichere Online- Banking mit PROTECT, können diverse SB-Automaten mit Jahreskosten von bis zu dauerhaft abgeschaltet werden. Limitsteuerung über Vertriebsweg 22 Eine Bank setzt für alle Online-Kunden das Überweisungslimit über den normalen Vertriebsweg 15 (Online-Banking) stark herab und richtet gleichzeitig ein hohes Limit für PROTECT im Vertriebsweg 22 ein. So wird jedem Kunden, der hohe Überweisungen plant, automatisch PROTECT als sicherer Weg angeboten. Die Personalkosten für regelmäßige Limitänderungen von bis zu einer Vollzeitstelle pro Jahr entfallen dauerhaft. PROTECT als Online-Mehrwert In der Nacht sind alle Katzen grau und so gleicht auch ein Online-Banking meist dem anderen. Um sich im Mitbewerb zu differenzieren und dem Kunden einen echten Online-Mehrwert anzubieten ist PROTECT der richtige Kandidat. So bietet zum Beispiel die Kieler Volksbank seit Januar 2014 Ihren Kunden dieses einzigartige Sicherheitsinstrument an. Eine Sicherheit, die Sie weder bei Nachbarinstituten noch bei Direktbanken bekommen können. Ein echter Vorteil, nicht nur für Mitglieder. Warum ist PROTECT sicher? Viele Trojaner greifen nicht mehr das Banking-Verfahren, sondern den Banking-Nutzer an. Durch gefälschte Einblendungen im Browser (z. B. Rücküberweisungs-Trojaner) und Social- Engineering wird der Nutzer manipuliert. Wird der Zugriff der Trojaner auf den Internetbrowser verhindert, können alle dahinter ablaufenden Online-Geschäftsprozesse nicht mehr manipuliert werden. PROTECT übernimmt genau diesen Schutz des Internetbrowsers. PRO- TECT kontrolliert Browser-, Netzwerk- und Windowsfunktionen sowie alle Seitenaufrufe (URL, IP-Adresse und Port, SSL-Zertifikat). Die Sicherheit ist auch bei neuen Trojaner- Generationen gegeben, da alle Schädlingsfunktionen im Browser durch geprüfte Anti- Hooking- und Anti-Cracking-Mechanismen unterdrückt werden. Wie unterstützt PROTECT das Firmenkundenportal EBICS-Online? PROTECT hat die TravicSign Plugins zur Kommunikation mit dem EBICS-Firmenkundenportal bereits mit an Bord. So kann der gehärtete Browser mit jeder Secoder-Hardware problemlos zusammenarbeiten und erlaubt den Geschäftskunden sicheres Online-Banking ohne zusätzliche Plugin-Installation. CORONIC GmbH, Seite 8

9 Wie wird PROTECT wieder deinstalliert? PROTECT nicht wird installiert und muss daher auch nicht deinstalliert werden. Man kann das Programm einfach löschen und es ist verschwunden, ohne Spuren auf dem PC zu hinterlassen. Was verändert PROTECT auf dem PC des Nutzers? PROTECT ändert nichts am Windows PC. Lediglich kurzfristig kann es vorkommen, dass für die aktuelle Sitzung benötigte gecachte Informationen (zum Beispiel die Flicker- Geschwindigkeit bei der Nutzung von SmartTAN optic) im Temp-Ordner verschlüsselt abgelegt werden. Alle Dateien im Temp-Ordner können problemlos jederzeit gelöscht werden. Wird eine Schulung oder ein Handbuch für die Nutzung von PROTECT benötigt? Es gibt kein Handbuch für das Produkt, da es einfach per Doppelklick startet. Eine Installation ist nicht nötig und eine individuelle Konfiguration ist nicht möglich. PROTECT verhält sich wie ein ganz normaler Browser und kann daher problemlos von jedermann verwendet werden. Wie melde ich mich am Proxy in der Bank21 richtig an? Wenn man PROTECT innerhalb der Bank einsetzt, muss auch PROTECT beim Weg in das freie Internet den Bank-internen Proxy passieren. Gegebenenfalls sind hierfür gesonderte Login- Daten notwendig. Den Proxy konfigurieren Sie in den Internetoptionen von Windows (Tabreiter Verbindungen -> LAN-Einstellungen). Wie erstelle ich das Log-Protokoll? Sollte es bei der Nutzung von PROTECT zu Darstellungsproblemen oder Programmabstürzen kommen, so kann ein Protokoll an den Supportmitarbeiter der GAD gesendet werden. Sie finden das Protokoll nach einem Klick auf das Fragezeichen Symbol ganz unten auf der Info-Seite. Ein Klick auf den letzten Link kopiert das Protokoll im verschlüsselten Format in die Windows Zwischenablage. So kann das Protokoll direkt per Copy&Paste in eine eingefügt werden. CORONIC GmbH, Seite 9

10 Was ist das Log-Protokoll? Während PROTECT läuft werden alle Sicherheitsmechanismen dauernd überwacht und kontrolliert. Diese Überwachung wird in einem speziell verschlüsselten Protokoll festgehalten, dem so genannten Log-Protokoll. Sollte das Programm einmal angegriffen werden oder sollte es Probleme beim Einsatz des Produktes auf einem bestimmten PC geben, so kann das Log-Protokoll Aufschluss darüber geben, wo der Fehler liegt. Persönliche Informationen und Webinhalte werden grundsätzlich nicht im Log-Protokoll festgehalten. Um keinen Einblick in dieses Protokoll und damit in die technischen Mechanismen von PROTECT zu ermöglichen, liegt es nur und ausschließlich in verschlüsselter Form vor. An wen kann ich mich für individuelle Änderungen wenden? PROTECT wird Bank-individuell erstellt. Sollten sich Änderungen z. B. an Layout, Startadresse, Kontaktdaten oder den zugelassenen Webadressen und Zertifikaten ergeben, wenden Sie sich bitte an Ihr Auftragsmanagement bei der GAD (Marktplatz). Weitere Fragen zu PROTECT? Kontakt beim Hersteller, der CORONIC GmbH Kontakt direkt bei der GAD CORONIC GmbH, Seite 10