Onlinebanking, TAN contra HBCI

Hallo hyrican,

als "Bulle" kann ich davor nur PIN/TAN warnen...

hier etwas zu HBCI: http://www.hbci-kernel.de/

Auf dem eingebauten Chip in der HBCI-Karte sind alle wichtigen Informationen gespeichert.

Um auf das Onlinekonto zugreifen zu können, muss deine Karte aber in ein spezielles Lesegerät gesteckt und dein Geheimcode (Geburtsdatum *grins*) eingetippt werden. Ein äußerst sicheres Verfahren, weil Karte und Geheimnummer nötig sind. Hat der Täter eins von beiden, bringt es ihm nichts!!!

Also das Verfahren ist okay, wenn auch niemals 100 Prozent sicher...

Ich habe auch schon oft gelesen das HBCI wesendich sicherer ist.
Ein link mit ganz guten Informationen. Hoffe es hilft
http://www.hbci-zka.de/dokumente/aenderungen/
HBCI22_PINTAN_V1.01.pdf#search='Tan%20and%20HBCi'

Gruesse Koschi

Hiho, also ich habe zwar keine Ahnung vom Onlinebanking, aber googeln kann ja Jeder, deshalb hab ich das auch geTAN *g*

und hier findeste ne gute Erläuterung zum eTAN-Verfahren, willst du darüber überhaupt was erfahren?
http://www.computerhilfen.de/nachrichten_38…5104107970.html

hier sind weitere Infos zu deinen beiden Verfahren, die Seite sieht recht informativ aus:
http://www.netplanet.org/sicherheit/banking.shtml

naja ich überschütte dich jetzt nciht weiter mit Links, das kannste auch selber bei Bedarf, gib z.B. mal "Online banking Verfahren" ein ...

Zitat von hyrican

Imho ist das Tan-Verfahren seit Trojaner Bizex.E nicht mehr sicher

also ich bin jetzt kein rangking -pusher ! habe grade mit schrecken die anfrage von hyrican gelesen...
was macht denn der trojaner bizex.e, ich benutze auch das pin/tan verfahren *schluck*
ich weiß nun gar nicht ob meine sparkasse die hbci-karte + lesegerät anbietet, vor einem jahr war das noch nicht der fall..

...also ich finde meine Erläuterung nicht schlecht...oder wusstest du das mit Karte und Zugangssoftware bzw. Lesegerät schon?

Na dann...Phishing nimmt auf alle Fälle täglich zu, das weiß ich aus sicherer Quelle

übern cardreader oder über usb 2.0,
gabs im hinblick auf trusted computing auch schon lösungsansätze
vom ccc.
ich halte hbci allemal für besser.

ich kenne das verfahren von meiner ex und fand es klasse, du hast ein lesegerät mit tastaurfeld und schiebst deine kontokarte rein bzw sieht genauso aus wie die kontokarte... vorteil nr 2 ist neben der sicherheit das die blöden tan nummern wegfallen..

es gibt insgesamt 4 HBCI-Verfahren,

PIN und TAN / Diskette / Chipkarte / Pocket-PC

Über Sicherheit lässt sich streiten, Diskette ist gut, aber anfällig. Chipkarte ist gut, aber lesegerät muss installiert werden und könnte mal wieder zu Komplikationen führen.

PIN und TAN sind sicherer als beim alten verfahren, aber sicherer heißt nicht gut genug. Pocket-PC ist selbsterklärend.

Die Frage ist einmal die Verschlüsselung, und das sollte der Banker wissen und die Haftungsfrage! Sparkasse haftet für Missbrauch, somit ist es denen ihr Bier und du kannst ruhig schlafen.

Andere Banken haften nicht, sondern der Kunde, da heißt es aufpassen!

Diese Haftungsfrage ist unheimlich wichtig. Nimm den Vertrag mit nach Hause und prüfe. Leg ihn notfalls zur Prüfung der Verbraucherzentrale vor, die helfen immer und souverän.

Entschuldigung ich hab zwischendurch auf enter gedrueckt weil er so lang ist

http://www.hbci-zka.de/dokumente/aend….01.pdf#search='Tan%20and%20HBCi'

Sicher ist gar nix. Auch nicht HBCI.
Von wegen kleines Zeitfenster, in dem nur ein Angriff erfolgen könnte.
Nur eine Sekunde reicht einem vernünftig programmierten Programm aus, um einen Angriff zu starten.

Beispiel:
Wir gehen davon aus, das ein bösartiges Programm sich bei dir einschleusen konnte, wie auch immer.
Es analysiert erst mal, was für ein Zugriff auf welchen CardReader gegeben ist. Das geht ganz einfach übers Betriebssystem abzufragen. Macht ja jede Banking Software auch.
Dann legt sich das Programm auf die Lauer und wartet nur darauf, das Du die Banking Software aktivierst. Jetzt übernimmt es die Kontrolle über den CardReader und tut so, als wäre alles bestens. Du schiebst die Karte rein, Du gibts die PIN ein, eventuell auch noch ne TAN und schwups, das wars.

Ja, ich weiß, das hier eine verschlüsselte Übertragung stattfindet. Aber das ist wohl eher das kleinere Problem. Bei entsprechender Fehlermeldung "Karte konnte nicht gelesen werden" wird es der Benutzer sicher nochmal versuchen, weil er erst mal an einen Fehler von ihm selbst glaubt. Also bekommt das böse Programm noch einen Datenstrom, den man später analysieren kann.
Nun schickt das böse Programm die Fehlermeldung "TAN schon verbraucht" zurück. Klingt ja auch logisch, weil gerade ein Fehler passiert war. Also gibt der Benutzer eine andere TAN ein.

Nun die Rätselfrage. Wie lange wird man wohl brauchen, bis man diesen Datenstrom entschlüsselt hat ?

hyrican, ich kann durchaus nachvollziehen, das Du Geld sparen willst, aber soviel kostet das HBCI mit Chipkarte ja nun auch nicht. Ich zahle 5 Euro im Jahr dafür.
Diskette hat in meinen Augen den Nachteil, das die immer dann kaputt geht, wenn man die gerade dringend braucht. Ob man davon ne Sicherheitskopie machen kann, weiß ich nicht.
Ich nutze hier das HBI mit Chipkarte und bin im Prinzip zufrieden damit. Karte rein, PIN eingeben und schon läufts.

Wichtig ist halt, das wenn Fehler auftreten, man danach das Konto eine Zeitlang im Auge behält und so eventuellen Mißbrauch gleich erkennt.
Nutzt man das TAN Verfahren, in welcher form auch immer, und es kommt zu einer Fehlermeldung kurz nach der TAN eingabe, am besten SOFORT die Bank anrufen un den Fall schildern. Die können einzelen TAN's sperren.
Sollte man die nicht erreichen können, bieten eigentlich alle Banken an, das man die komplette TAN Liste übers Internet sperren kann.
Besser das, als Konto leer.

Tja hyrican. Bei dem Diskettenverfsahren sehe ich auch das Risiko, das sich da eventuell auch ein bösartiges Programm die Daten kopieren kann, da zwischen Diskettenlaufwerk und Rechner keine verschlüsselte Verbindung besteht. Der könnte also den Inhalt der Diskette auslesen und sich eventuell bei sich selbe reine erstellen.
Mit einer Chip Karte dürfte das wegen der Verschlüsselung etwas schwieriger sein. Nicht unmöglich, aber wohl doch schwieriger.

Ich würde also immer die Chipkarte der Diskette vorziehen, auch wenn es Geld kostet.