Banking im Internet: Langfinger im Netz

von Michael H. Schulz, €uro am Sonntag

Die Cyber-Gangster hatten leichtes Spiel. Leichtfertig gab ein Rentner beim Onlinebanking der Sparda-Bank gleich zehn seiner indizierten Transaktionsnummern (kurz iTANs) für Geldtransaktionen preis. Immerhin teilte ihm die Internetseite mit, dass das System erst nach Angabe der iTANS wieder freigeschaltet werde. Vor diesem Hintergrund verdrängte der Rentner die ursprüng­liche Warnung der Sparda-Bank vor Betrugsfallen, in die Kunden, die ihre Bankgeschäfte über das Internet erledigen, tappen können.

Die Leichtgläubigkeit kommt ihn teuer zu stehen. Er bleibt auf dem Schaden von 5.000 Euro zuzüglich Zinsen und Gerichtskosten sitzen, weil er fahrlässig die Daten preisgab, urteilte der Bundesgerichtshof (BGH, Az. XI ZR 96/11) kürzlich. „Der Kläger hat die im Verkehr erforderliche Sorgfaltspflicht außer Acht gelassen“, verdeutlichte Ulrich Wiechers, der Vorsitzende Richter des Bankensenats beim höchsten deutschen Zivil- und Strafgericht.

Das Beispiel sollte Onlinebanking-Nutzer alarmieren. Ohne gesundes Misstrauen und Virenschutzprogramme sollte niemand Geldgeschäfte vom Heim-PC aus tätigen. Im Schnitt ist laut dem aktuellen Sy­mantec-Intelligence-Report eine von 700 E-Mails eine betrügerische Attacke aus dem Netz. Teilweise dienen diese Mitteilungen als Vehikel für sogenannte Malware oder Trojaner. Wird der Dateianhang geöffnet, nistet sich der Trojaner auf dem Rechner ein und infiziert oder manipuliert diesen, ohne dass es Nutzer merken. Im Handumdrehen ist der PC unter fremder Kontrolle.

Gekaperte Internetseiten
Doch es geht auch noch heimtückischer — mit sogenannten Man-in-the-Middle-Attacken, ferngesteuert von Bot-Netzen. „Bot“ leitet sich von ­Roboter ab und bedeutet so viel wie ­arbeiten.

Unauffällig kapern diese „Schläfer“ unter den Schadensprogrammen echte Internetseiten einer Bank oder von Onlineshops. Von dort werden Besucher auf eine fingierte Dublette der Bankseite umgeleitet. So gelingt es Ganoven Maschine und Mensch zu täuschen, um Kontonummer, Passwort, persönliche Identifikationsnummer (PIN) und Transaktionsnummer (TAN) auszuspionieren.

Hinter den Betreibern von Bot-Netzen stehen gut organisierte und professionelle Cyber-Kriminelle, die sich zunehmend vernetzen und weltweit operieren. Seit Neuestem werden die Bot-Netze auch über soziale Netzwerke wie den Meldungsdienst Twitter gesteuert. Laut dem Sicherheitsunternehmen Symantec gehört Deutschland zu den Ländern mit den meisten Bot-Netzen. Gegen diese Bedrohung aus dem Internet kommt man nur mit Allianzen an.

So gelang es etwa Microsoft Ende März im Schulterschluss mit dem IT-Sicherheitsspezialisten Kyrus Tech und US-Behörden das Zeus-Bot-Netz, eines der größten Netzwerke seiner Art, auszuschalten.

Vor allem bei den iTANs hatten es Cyber-Gangster leicht. Seitdem die iTANs Ende 2011 bei Volks-, Raiffeisen- und PSD-Banken abgeschafft wurden, wird es für die Nepper aus dem Netz aufwendiger. Laut Thomas Nusche von Fiducia, dem größten IT-Dienstleister der Volks- und Raiffeisenbanken, „gibt es nach Einstellung der iTAN weniger Phishing- und Pharmingschäden.“ Auch wenn die iTAN noch nicht bei allen Banken abgeschafft ist, bieten die meisten Onlinebanken nun Chip-TAN, Sm@rt TAN plus oder mobile TAN an.

Was kann man selbst tun?
Eine gesunde Portion Misstrauen bewahrt vor größerem Schaden. ­Zudem sollte man keine Links in ­E-Mails anklicken, um von dort aus Zugang zum Onlinebanking zu bekommen. Nutzer sollten sich nur über die bekannte Internetseite der Bank anmelden. Eine wichtige Grund­­regel sollte man zudem beachten: Keine Bank fordert Kunden auf, per E-Mail vertrauliche Informationen wie Zugangsdaten preiszugeben.

Wie sicher der Heimcomputer ist, kann jeder selbst überprüfen. Anleitung dafür finden Nutzer im Internet unter www.sicher-im-netz.de Auch wichtig: Firewalls und Antiviren-Software installieren und regelmäßig aktualisieren. Ratsam kann es sein, ein Limit für Geldbewegungen beim Onlinebanking mit seiner Bank zu vereinbaren. Mit einem fixierten Höchstbetrag stellt man sicher, dass Betrüger nicht hohe Summen plündern. Auch sollte niemand auf eine sichere Onlinebanking-­Software verzichten.

Ein solcher virtueller Schutzengel beim Homebanking ist etwa StarMoney 8.0 von Star Finanz. Die Vollversion der Software gibt’s regulär für 49,90 Euro. Über manche Banken bekommt man sie auch günstiger. Das Programm bedient die Schnittstellen der Bank, die sogenannten Interfaces. Bei jeder Transaktion prüft StarMoney, ob der Bankserver und die verschlüsselte Internetseite (https:// und das Vorhängeschlosssymbol) echt sind. Somit gewährleistet die Software, dass Kunden mit der echten URL der Bank kommu­nizieren. „Man-in-the-Middle-Attacken sind nahezu ausgeschlossen“, erklärt Sven Klotz, Leiter Produktmanagement bei Star Finanz.

Absolut sicher ist diese Software zwar auch nicht, aber „in 15 Jahren, also seit die Software existiert, gab es keinen Schadenfall mit Star­Money“, sagt Klotz stolz. Die hohe ­Sicherheitsqualität bestätigt auch „Computer Bild“: „So sicher wie Fort Knox.“ Auch für Smartphones bietet StarMoney entsprechende Sicherheitsapplikationen an. Um Sicherheitsstandards zu verbessern, arbeitet Star Finanz unter anderem mit den Computer Emergency Response Teams (CERTs) der Sparkassen zusammen.

Welche Bank haftet trotzdem?
Seit 2010 haften Bankkunden aufgrund einer EU-Regelung nur bei grober Fahrlässigkeit. Die ING-DiBa geht freiwillig einen verbraucherfreundlichen Weg. Die Direktbank stellt Anleger im Fall von Phishing- und Pharming-Attacken komplett von der Haftung frei. Ob der Kunde ein Mitverschulden hat, prüft die Bank dabei nicht. Voraussetzung ist allerdings, dass der Schaden nicht vorsätzlich mitverschuldet wurde und Betrugsopfer sofort Anzeige bei der Polizei erstatten. Darüber hi­naus dürfen die für Transaktionen notwendigen mobilen TANs per SMS nicht auf demselben Computer oder Smartphone abgelegt oder empfangen worden sein. Die ebenfalls von der ING-DiBa angebotene iTAN sollte man gegen die mTAN eintauschen. Das ist immerhin sicherer.