Sicheres Verfahren für Online-Banking mit dem Fotohandy
Stand: 04.11.2008
Bildquelle: ©Adobe Stock / Text: Verivox
Tübingen - Dr. Bernd Borchert und Dr. Klaus Reinhardt vom Lehrstuhl für Theoretische Informatik am Wilhelm-Schickard-Institut für Informatik der Universität Tübingen haben ein Verfahren entwickelt, das unter Nutzung eines Fotohandys durch den Bankkunden sicheres Online-Banking ermöglicht. Das neue Verfahren wurde von der Universität Tübingen zur internationalen Patentierung angemeldet, und ein Software-Prototyp wurde von Informatik-Studenten bereits geschrieben. Der Trick des neuen Verfahrens besteht in einer besonderen Art von Kommunikation des Kunden mit der Bank mittels Fotohandy, die ein möglicher auf dem PC installierter Trojaner-Virus nicht verfolgen und fälschen kann.
Online-Banking ist auch mit den Sicherungsverfahren TAN und iTAN, d. h. der Verwendung von Passwörtern und Codezahlen, nicht wirklich sicher: Ein so genannter Trojaner-Virus, der sich auf dem Rechner des Benutzers eingenistet hat, kann durch einen heimlichen Angriff Zielkonto und Betrag eines Überweisungsauftrags fälschen, ohne dass Benutzer oder Bank davon etwas bemerken. Ein online getätigter Überweisungsauftrag wird dabei vom Trojaner-Virus abgefangen und manipuliert an die Bank geschickt. Die Bank empfängt den gefälschten Auftrag und bittet um Bestätigung mit einer iTAN-Nummer. Diese Rückfrage wird wiederum vom Virus abgefangen und verfälscht auf dem Bildschirm dargestellt, so dass der ahnungslose Bankkunde die gefälschte Überweisung mit dem iTAN-Code bestätigt. Solche Trojaner- Viren sind nicht einfach zu schreiben, aber im Herbst 2007 gab es den ersten solchen Betrugsfall, der Name des Trojaner-Virus war sinnigerweise Silentbanker.
Einige Banken nutzen Verfahren, die solche Trojanerangriffe verhindern, z.B. das mobile-TAN Verfahren mit dem Handy. Das Fotohandy-PIN-Verfahren hat aber den Vorteil, dass keine Funk- bzw. SMS-Verbindung nötig ist und dass das Verfahren doppelt gesichert ist: es reicht nicht aus, in Besitz des Handys zu sein, für jede Überweisung braucht man auch die Kenntnis der Account-PIN.
Der Bankkunde benötigt für das neue Verfahren ein Fotohandy, auf das er das im Internet frei verfügbare Fotohandy-PIN-Programm herunterlädt. Ein geheimer kryptographischer Schlüssel wird von der Bank per Post als 2D-Code auf Papier an den Bankkunden geschickt und wird nun durch einfaches Abfotografieren in das Handy eingelesen.
Der Überweisungsvorgang läuft dann folgendermaßen ab: Nach Eingabe der Überweisungsdaten wird auf dem Bildschirm ein 2D-Code gezeigt, der vom Bankkunden mit dem Handy abfotografiert wird. Auf dem Handy werden ihm die Überweisungsdaten nun nochmals gezeigt. Zur Bestätigung erhält er auf dem Handy ein Nummernfeld mit vertauschten Ziffern, das nicht der üblichen Anordnung entspricht. Die Bestätigung mit der PIN-Nummer durch Mausklicks am Computer-Bildschirm kann der Trojaner nicht abhören: Er kann bestenfalls die Position von Mausklicks wahrnehmen, aber er weiß nicht, was die Klicks bedeuten, denn er "sieht" das Handy-Display nicht.
Nach der Fertigstellung des Prototyps im Sommer haben die Erfinder Kontakt mit Banken aufgenommen. Weitere Einsatzgebiete des Verfahrens könnten Internet-Zugänge von Unternehmen sein, die den Mitarbeitern Online-Transaktionen (z.B. Bestellungen) erlauben.
Eine abgespeckte Version des PIN-Verfahrens für Fotohandys garantiert, dass Trojaner-Viren keine Passwörter bzw. PINs abhören können. Das ließe sich auch bei E-Mail Accounts, E-Commerce Accounts (Ebay, Amazon, etc.) und Internet-Foren anwenden. Als Vorteil der Fotohandy-PIN könnte es sich dabei herausstellen, dass die Software auf dem Handy in der Lage ist, beliebig viele Online Accounts zu verwalten und sich dabei die Account-Namen zu merken, und sogar für jeden Account eine abgespeicherte Gedächtnishilfe (Beispiel: "altes Passwort") für die jeweilige PIN anzeigen kann.
Jetzt Handytarife vergleichen
-
Mit Verivox-Cashback
-
Top-Tarife zu Spitzenpreisen
-
Exklusive Deals und Online-Vorteile
Mehr rund um Handy
-
In Deutschland gibt es drei Mobilfunknetze, die von den großen Mobilfunkanbietern betrieben werden: Die Deutsche Telekom nutzt das D1-Netz, Vodafone das D2-Netz und Telefonica Deutschland das O2-Netz (E-Plus). Das Netz der Telekom wird in Tests regelmäßig am besten bewertet, das E-Netz tendenziell am schlechtesten.
Grundsätzlich erreichen die Mobilfunknetze in Deutschland nahezu komplette Verfügbarkeit bei der Telefonleistung – auch wenn es immer noch über 200 Ortschaften mit Funklöchern gibt. Unterschiede liegen vor allem in der bereitgestellten Datenübertragungsleistung, die die mögliche Surfgeschwindigkeit bestimmt.
Wer einen neuen Handyvertrag abschließen möchte, sollte sich vorab über den Empfang und die Ausbaustufe des gewünschten Anbieters vor Ort informieren. Auf dem Land kann die Netzqualität gegenüber der Stadt abnehmen. Die zahlreichen Mobilfunk-Discounter in Deutschland nutzen übrigens die Netze der großen Anbieter mit – sie sind ebenfalls aufs D1-, D2- und O-Netz verteilt.
Ausführliche Informationen finden Sie unter Mobilfunknetze in Deutschland.
-
Der Wechsel des Mobilfunkanbieters ist kostenlos. Ausführliche Informationen finden Sie in unserem Ratgeber Handy-Anbieterwechsel.
-
Ob man sich für einen Prepaid- oder ein Vertragshandy entscheidet, ist zum einen von der persönlichen Gesprächsdauer pro Monat abhängig, zum anderen von der Frage, ob man über den klassischen Vertrag ein subventioniertes Handy erwerben möchte.
-
Bei den sogenannten "SIM-only"-Verträgen erhält der Kunde lediglich eine SIM-Karte, die dann in ein bereits vorhandenes Handy eingelegt wird. Der Anbieter hat dadurch geringere Kosten, was für den Kunden in den meisten Fällen eine niedrigere monatliche Grundgebühr bedeutet.