Online-Banking

Computer in einem Internetcafé gehören nicht in diese gesicherte Kategorie und öffentliche WLANs sind ohne die Benutzung einer VPN-Lösung ebenfalls ein digitales Minenfeld. Auf die Sicherheit fremder und vor allem auch öffentlicher Rechner haben Benutzer keinen Einfluss. So muss damit gerechnet werden, dass sie im schlimmsten Fall von Malware befallen sind, die z.B. eingegebene Zugangsdaten stiehlt oder speziell auf Online-Banking Kunden abzielt.

Offene WLANs sind unsicher, da der Datenverkehr sehr leicht abgefangen und mitgelesen werden kann. Somit sind eingegebene Daten nicht vor Angreifern sicher. Die Benutzung von passwortgesicherten Netzen und dazu verschlüsselten Übertragungsprotokolle (z.B. durchgängig HTTPS) ist ein erster richtiger Schritt für mehr Sicherheit. Doch erst die Nutzung eines VPN-Tunnels schottet den gesamten Datenverkehr ununterbrochen vor datenschnüffelnden Angreifern ab.

Angreifer nutzen die Unachtsamkeit der potentiellen Opfer und verleiten sie dazu, ähnlich lautende und ähnlich aussehende Webseiten zu besuchen, um Phishing- oder Schadcode-Angriffe durchzuführen.

Angenommen die Domain einer Bank lautet „MeineLieblingsbank.de“, dann würden Angreifer beispielsweise eine Domain namens „MeineLiebIingsbank.de“ registrieren – dabei fällt optisch überhaupt nicht auf, dass mitten im Wort „lieblings“ ein kleines l zu einem großen i geworden ist. Unachtsame Benutzer können sich durch einen solchen Trick in Spam-Mails oder auf Webseiten in die Falle locken lassen. Wichtig ist auch die Verwendung von HTTPS anstatt HTTP.

Moderne Browser zeigen durch Farben und Symbole an, ob eine Verbindung zwischen Browser und Webserver gesichert wurde und ob ein ausgestelltes Zertifikat gültig ist.

An dieser Stelle ist in aller Regel die Wahl eines angemessenen Verfahrens zur Zahlungsautorisierung, zum Beispiel einer Transaktionsnummer (TAN), wichtig. Auch das HBCI/FinTS-Verfahren gehört mit in die Auswahl. Es gibt eine Vielzahl von Verfahren, die jeweils mit Vor- und Nachteilen aufwarten – verschiedene Banken haben hier ihre jeweiligen Favoriten und beraten Ihre Kunden zu den für sie passenden Möglichkeiten in ihrem Hause.

Als Faustregel gilt: Klassische TAN-Listen und auch iTANs sollten aus Sicherheitsgründen nicht mehr verwendet werden. SMS-TAN oder auch mTAN Verfahren sind gut, aber dann nicht geeignet, wenn die TAN auf dem gleichen Gerät empfangen wird, mit dem der Banking-Vorgang durchgeführt wird. Die Nutzung von TAN-Generatoren mit ihren mannigfaltigen Möglichkeiten hat sich inzwischen bei vielen Banken für ihre Privatkunden durchgesetzt, da es in Bezug auf Benutzerfreundlichkeit, Sicherheit und Kosten eine aktuell angemessene Lösung darstellt.

Einige Banking-Trojaner haben sich darauf spezialisiert, Angriffe mit technischen und Social Engineering-Techniken zugleich zu fahren. So benutzen sie sogenannte Webinjects, um dem Opfer zusätzliche Inhalte auf einer Webseite anzuzeigen - z.B. eine sogenannte Testüberweisung oder eine angeblich fehlgeleitete Gutschrift auf ihrem Konto.

Die Angreifer täuschen vor, das Opfer müsse dafür eine „Rücküberweisung“ tätigen, da ihm/ihr das Geld nicht gehört. In Wahrheit gab es jedoch nie eine Gutschrift – es ist nur ein technischer Trick. Und so ist dann eine getätigte „Rücküberweisung“ eine ganz normale und führt damit zu einem Minus auf dem Konto.

Viele Banken-Portale haben inzwischen eine Funktion zur automatischen Abmeldung nach einigen Minuten der Inaktivität eingebaut. Das Abmelden aus dem Service ist wichtig, damit die aktuelle Sitzung beendet wird und sie niemand mit technischen Hilfsmitteln übernehmen kann.

Banken bieten in der Regel für alle offline und auch online getätigten Transaktionen eine Limit-Funktion an. Damit kann festgelegt werden, welcher Betrag oder auch welche Summe innerhalb eines festgelegten Zeitraums maximal transferiert werden darf. Auch wenn er möglicherweise Komfort-Einbußen bedeutet, kann mit einem solchen Limit ein Schaden im Fall der Fälle reduziert werden.

Auch wenn das Lesen solcher Vertragstexte sicher nicht zum größtmöglichen Freizeitspaß gehört, ist das Studium der AGB sehr sinnvoll. Banken stellen in Bezug auf Sicherheitsvorkehrungen häufig unterschiedliche Anforderungen an ihre Kunden – so wird die Benutzung einer aktuellen Sicherheitslösung von vielen empfohlen oder gar als Anforderung gesehen. Außerdem geben viele Geldinstitute die gesetzlich zulässige Selbstbeteiligung von 150€ für die Kunden vor, sollte es zu einem Schadensfall kommen. Wird einem Nutzer grobe Fahrlässigkeit oder gar betrügerische Absicht nachgewiesen, ist er, mit Ausnahmefällen, zur Zahlung des gesamten Schadens verpflichtet (§675v BGB).

Antiviren-Software wehrt Schädlinge ab, bevor sie auf ein Gerät gelangen. Optimalen Schutz bieten innovative Produkte mit pro-aktiven Technologien, Cloud-Anbindungen sowie Spam-Schutz und Co. Alle G DATA PC-Sicherheitslösungen enthalten zudem G DATA BankGuard, den speziellen Schutz gegen Banking-Trojaner.

Sicherheitslücken müssen schnellstmöglich geschlossen werden, damit Cyber-Kriminelle sie nicht für ihre Angriffe ausnutzen können. Die G DATA Sicherheitslösungen mit innovativem Exploit-Schutz verhindern ein Ausnutzen von Sicherheitslücken.

Die Zugangsdaten zu einem Account sind in jeder Hinsicht wertvoll und sollten auch so behandelt werden. Jeder Account braucht sein eigenes starkes Passwort. Ein häufiger Fehler: Benutzer wählen ihr Geburtsdatum als PIN aus, weil man es sich leicht merken kann. Leichter wird es, wenn Sie einen sicheren Passwortmanager nutzen, der sich Ihr Passwort für Sie merkt. 

Ein Anmeldename in Kombination mit einem Passwort ist die Minimalanforderung an einen gesicherten Zugang. Besser ist es, wenn weitere Anmeldefaktoren dazu kommen, wie zum Beispiel Multi-Faktor-Authentifizierung oder ein biometrischer Faktor.

Viele Angreifer versuchen, potentielle Opfer durch E-Mails zu ködern. Dabei versenden sie massenhaft elektronische Post, die häufig optisch eine Kopie von Originalmails ist. Durch die Optik soll Vertrauen aufgebaut werden, dass die enthaltenen Links ungefährlich sind (häufig jedoch Phishing) oder die angehängten Dokumente sehr dringend gelesen werden müssen (in den allermeisten Fällen Schadcode). Leider funktionieren diese Social Engineering-Angriffe noch allzu häufig, daher sollten Anwender darüber Bescheid wissen, um auch gegen nicht-technische Angriffe gewappnet zu sein. Finanzdienstleister versenden wichtige und persönliche Nachrichten jedoch nicht per E-Mail.